Botnet-Erkennung: Prävention zum Schutz von Unternehmensdaten

Wenn Rechner plötzlich für andere arbeiten

Stellen Sie sich vor, ein unauffälliger Firmenrechner arbeitet plötzlich für jemand anderen, ohne dass jemand im Unternehmen etwas bemerkt. Genau das kann passieren, wenn Schadsoftware ein Gerät in ein Botnetz integriert.

Die Botnet-Erkennung ist ein wichtiger Bestandteil der Cybersicherheit. Sie hilft dabei, kompromittierte Geräte und verdächtige Aktivitäten frühzeitig zu erkennen. So lassen sich Angriffe auf Unternehmensdaten eindämmen und weitere Schäden begrenzen.

Botnetze bilden eine leistungsfähige Infrastruktur für unterschiedliche Cyberangriffe. Sie können unter anderem für Datendiebstahl, DDoS-Attacken, Phishing und die Verbreitung weiterer Schadsoftware eingesetzt werden. Unternehmen sollten deshalb sowohl auf zuverlässige Erkennung als auch auf konsequente Prävention setzen.

Was sind Botnetze?

Ein Botnetz ist ein Netzwerk aus mehreren Computern, Servern oder IoT-Geräten, die durch Schadsoftware kompromittiert wurden. Cyberkriminelle steuern diese Geräte über eine Command-and-Control-Infrastruktur. Diese kann zentral organisiert oder dezentral aufgebaut sein.

Jedes kompromittierte Gerät wird als Bot bezeichnet. Je größer das Botnetz ist, desto mehr Systeme können gleichzeitig für einen Angriff eingesetzt werden. Dazu gehören neben klassischen Computern auch Router, IP-Kameras und andere vernetzte Geräte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt in seinem Lagebericht 2025 unter anderem IoT-Botnetze als relevante Bedrohung auf. ¹

Typische Einsatzbereiche von Botnetzen sind:

• Datendiebstahl
• DDoS-Attacken zur Überlastung von Online-Diensten
• Diebstahl von Zugangsdaten und Passwörtern
• Verbreitung von Phishing-E-Mails
• Versand von Spam-Nachrichten
• Automatisierte Brute-Force-Angriffe
• Verbreitung weiterer Schadsoftware

Die Infografik zeigt, wie mehrere kompromittierte Geräte miteinander verbunden sein können. Wird ein einzelnes Gerät infiziert, kann es als Ausgangspunkt für weitere Angriffe dienen. Eine schnelle Erkennung und die anschließende Isolation des Geräts sind deshalb besonders wichtig.

Botnet-Erkennung: Methoden

Botnetze entwickeln ihre Kommunikationswege laufend weiter. Sie können beispielsweise verschlüsselte Verbindungen, wechselnde Serveradressen oder unauffällige Datenübertragungen nutzen. Eine einzelne Schutzmaßnahme reicht deshalb meist nicht aus.

Eine Kombination verschiedener Erkennungsmethoden ermöglicht eine zuverlässigere Bewertung.

Netzwerkanalyse

Bei der Netzwerkanalyse wird der Datenverkehr innerhalb und außerhalb des Unternehmens untersucht. Auffällig können beispielsweise sein:

• ungewöhnlich große Datenmengen
• regelmäßige Verbindungen zu unbekannten Servern
• Datenübertragungen zu ungewöhnlichen Uhrzeiten
• viele fehlgeschlagene Verbindungsversuche
• unerwartete Verbindungen zwischen Geräten

Auch das Verhalten einzelner Endgeräte wird betrachtet. Weicht ein Gerät deutlich von seinem üblichen Kommunikationsverhalten ab, kann dies auf eine Infektion hindeuten.

Einzelne Auffälligkeiten sind jedoch noch kein Beweis für einen Botnet-Befall. Erst die Kombination mehrerer Hinweise ermöglicht eine belastbarere Bewertung.

Signatur- und Verhaltensanalyse

Bei der Signaturanalyse werden bekannte Muster von Schadsoftware erkannt. Dazu gehören beispielsweise charakteristische Dateien, Prozesse oder Netzwerkverbindungen.

Da neue Schadsoftware bekannte Signaturen umgehen kann, ergänzt die Verhaltensanalyse diesen Ansatz. Sie untersucht, ob sich Programme oder Geräte ungewöhnlich verhalten. Dazu kann beispielsweise gehören, dass ein Bürorechner regelmäßig Kontakt zu externen Servern aufnimmt, obwohl dies für seine Aufgabe nicht erforderlich ist.

Endpoint- und Network-Detection

Endpoint-Detection-and-Response-Lösungen, kurz EDR, überwachen Endgeräte und reagieren auf verdächtige Aktivitäten. Network-Detection-and-Response-Lösungen, kurz NDR, analysieren dagegen den Netzwerkverkehr.

Zusammen liefern beide Ansätze ein umfassenderes Bild: EDR erkennt verdächtige Vorgänge direkt auf dem Gerät, während NDR mögliche Zusammenhänge im Netzwerk sichtbar macht.

Maschinelles Lernen

Algorithmen können große Mengen an Netzwerk- und Gerätedaten auswerten. Sie erkennen wiederkehrende Muster und weisen auf Abweichungen vom normalen Verhalten hin.

Maschinelles Lernen kann die Analyse unterstützen. Die Ergebnisse müssen jedoch durch qualifizierte IT-Fachkräfte bewertet und mit weiteren Erkenntnissen abgeglichen werden. Fehlalarme lassen sich nicht vollständig vermeiden.

Honeypots

Honeypots sind isolierte Systeme, die bestimmte Dienste oder Schwachstellen simulieren. Sie sollen Angreifer oder Schadsoftware anlocken, ohne produktive Systeme zu gefährden.

Auf diese Weise können Unternehmen Informationen über Angriffsmethoden und Kommunikationsmuster gewinnen. Honeypots sollten ausschließlich in einer kontrollierten Umgebung betrieben und in das Sicherheitskonzept eingebunden werden.

Botnet-Angriffe wirksam verhindern

Die Maßnahmen zur Prävention vor Botnet-Attacken ergeben sich aus den allgemeinen Prinzipien der Botnet-Erkennung beginnt nicht erst beim ersten Verdachtsfall. Viele Risiken lassen sich durch eine Kombination aus technischen, organisatorischen und personellen Maßnahmen reduzieren.

Wichtige Grundlagen sind:

• Halten Sie Betriebssysteme, Anwendungen und Firmware stets aktuell.
• Nutzen Sie eine strukturierte Patch- und Schwachstellenverwaltung.
• Schützen Sie Endgeräte mit geeigneten Sicherheitslösungen.
• Aktualisieren Sie Firewalls und Schutzsysteme regelmäßig.
• Deaktivieren Sie nicht benötigte Dienste, Ports und Programme.
• Sichern Sie Backups getrennt vom Produktivnetz und testen Sie deren Wiederherstellung.
• Schulen Sie Mitarbeiterinnen und Mitarbeiter im Umgang mit Phishing-E-Mails und verdächtigen Anhängen.
• Überwachen Sie wichtige Systeme und Netzwerkverbindungen.
• Nutzen Sie starke Passwörter und eine Multi-Faktor-Authentisierung.

Besonders wichtig ist außerdem, dass ein kompromittiertes Gerät nicht automatisch Zugriff auf alle anderen Systeme erhält. Genau hier setzt das Prinzip der Zero-Trust-Sicherheit an.

Zero Trust: Zugriff immer prüfen

Zero Trust bedeutet, dass kein Zugriff allein aufgrund des Standorts, des Netzwerks oder eines bekannten Geräts als vertrauenswürdig gilt. Zugriffsanfragen werden anhand von Identität, Gerätezustand, Kontext und geltenden Richtlinien bewertet. Die Berechtigung wird auf die tatsächlich erforderlichen Ressourcen und Aktionen begrenzt.²

Zu den wichtigsten Prinzipien gehören:

• Identitäten eindeutig prüfen
• Multi-Faktor-Authentisierung einsetzen
• Zugriffsrechte auf das notwendige Maß beschränken
• Netzwerke und Systeme segmentieren
• Geräte regelmäßig bewerten
• Aktivitäten kontinuierlich überwachen
• Zugriffe protokollieren und nachvollziehbar machen

Eine hardwarebasierte Authentisierung kann diesen Ansatz ergänzen. Sie erschwert es Angreifern, gestohlene Passwörter oder abgefangene Anmeldedaten für einen Zugriff zu missbrauchen. Besonders für schützenswerte Konten und Ressourcen empfehlen Sicherheitsbehörden phishing-resistente MFA-Verfahren, beispielsweise auf Basis von FIDO und WebAuthn. ³

Hardwarebasierte Authentisierung ersetzt jedoch weder Endpoint-Schutz noch Netzwerküberwachung und eine sichere Sitzungsverwaltung.

Die Infografik veranschaulicht, wie Zero Trust mehrere Schutzebenen miteinander verbindet. Ein Gerät oder eine Person erhält nicht pauschal Zugriff auf das gesamte Netzwerk. Stattdessen wird jede Zugriffsanfrage geprüft und auf die tatsächlich benötigten Anwendungen und Daten begrenzt.

Diese Struktur kann es Angreifern erschweren, sich nach einer erfolgreichen Infektion unbemerkt im Unternehmen auszubreiten. Wird ein einzelner Rechner Teil eines Botnetzes, sind weitere Systeme dadurch nicht automatisch erreichbar.

Was tun im Verdachtsfall?

Wenn Sie ungewöhnlichen Netzwerkverkehr oder verdächtige Aktivitäten feststellen, sollten Sie strukturiert vorgehen:

1. Trennen Sie das betroffene Gerät möglichst schnell vom Unternehmensnetzwerk. Entfernen Sie die LAN-Verbindung oder deaktivieren Sie die WLAN-Verbindung.
2. Informieren Sie Ihre Administratorinnen und Administratoren oder das zuständige Incident-Response-Team.
3. Schalten Sie das Gerät nicht vorschnell aus. Dabei können flüchtige Informationen verloren gehen. Stimmen Sie das weitere Vorgehen mit der IT ab.
4. Sperren oder ändern Sie möglicherweise betroffene Zugangsdaten.
5. Prüfen Sie, ob weitere Geräte oder Benutzerkonten auffällige Aktivitäten zeigen.
6. Sichern Sie relevante Protokolle und Untersuchungsergebnisse.
7. Bereinigen Sie betroffene Systeme erst nach einer fachlichen Bewertung.
8. Ziehen Sie bei Bedarf externe Cybersicherheitsexpertinnen und Cybersicherheitsexperten hinzu.

Die konkrete Reihenfolge sollte in einem vorbereiteten Incident-Response-Prozess festgelegt und regelmäßig geübt werden.

Fazit: Früher erkennen, konsequent schützen

Botnetze können einzelne Geräte unbemerkt in eine Angriffsinfrastruktur integrieren. Eine wirksame Sicherheitsstrategie verbindet deshalb mehrere Maßnahmen: aktuelle Systeme, Netzwerküberwachung, verhaltensbasierte Erkennung, regelmäßige Schulungen und klar definierte Abläufe für den Verdachtsfall.

Zero-Trust-Sicherheit ergänzt diesen Schutz, indem jeder Zugriff geprüft und auf das notwendige Maß begrenzt wird. Eine phishing-resistente Multi-Faktor-Authentisierung reduziert zusätzlich das Risiko, dass gestohlene Zugangsdaten unmittelbar für einen weiteren Zugriff genutzt werden können.

Sorgen Sie für sicheren Zugriff auf Ihre Systeme und schützen Sie Ihre Unternehmensdaten mit einer starken, hardwarebasierten Authentisierung von REINER SCT.

1. Bundesamt für Sicherheit in der Informationstechnik — Die Lage der IT-Sicherheit in Deutschland 2025 (2025) ↩︎
2. National Institute of Standards and Technology — Zero Trust Architecture, Special Publication 800-207 (2020) ↩︎
3. Cybersecurity and Infrastructure Security Agency — Cybersecurity Performance Goals 2.0 (2025) ↩︎