Die Nachricht kommt nicht überraschend für Cybersecurity-Experten, die seit Jahren eine Eskalation beobachten. Doch die Koordination mehrerer Geheimdienste unterstreicht die Schwere der Bedrohung: China-verbundene Threat-Akteure haben erkannt, dass die Industrialisierung von Botnetzen ein hocheffizientes Geschäftsmodell darstellt.
Das Geschäftsmodell folgt einer klaren Arbeitsteilung: Spezialisierte Teams oder beauftragte Unternehmen kompromittieren und verwalten große Pools von SOHO-Routern und IoT-Geräten. Diese Infrastruktur wird dann an operative Einheiten bereitgestellt – je nach Missionsanforderung. Diese Spezialisierung auf jeder Stufe – Kompromittierung, Verwaltung, Bereitstellung, operative Nutzung – erschwert Attributionen erheblich und macht Abwehrmaßnahmen weniger wirksam.
Der Grund für diese Effektivität liegt in der Struktur der Zielgeräte selbst: SOHO-Router und verbrauchergrüne Technologien teilen charakteristische Schwachstellen – vorgegebene Passwörter, seltene Sicherheitsupdates, fehlende zentrale Verwaltung und Benutzer, die nicht wissen, dass ihre Geräte aus dem Internet erreichbar sind. Ein größeres Bestand dieser Geräte stammt zudem von ausländischen Herstellern, weshalb die US-Regierung kürzlich die Einfuhr neuer Router aus nicht-amerikanischer Produktion restriktiv handhabt.
Das bedeutet für Abwehrmechanismen eine fundamentale Herausforderung: Traditionelle Blockierlisten mit statischen IP-Adressen funktionieren nicht, wenn potenziell Hundertausende von Endpoints in multiple, sich ständig ändernde Netzwerke verteilt sind. Hinzu kommt: Mehrere chinesische Threat-Gruppen können gleichzeitig dasselbe Botnet nutzen.
Die Behörden empfehlen daher Organisationen, ihre Edge-Devices vollständig zu dokumentieren, normale Verbindungen (wie VPNs) zu baseline und ungewöhnliche Zugriffe zu erkennen. Größere Unternehmen sollten geografische IP-Whitelists implementieren, Zero-Trust-Policies einführen und aktiv Bedrohungen tracken.
Experten warnen auch vor Vereinfachungen: Nicht nur Nationalstaaten, sondern auch Cyberkriminelle können solche Botnets für Cryptojacking oder Credential-Stuffing missbrauchen. Der Fokus sollte daher weniger auf der Frage “Wer?” liegen, sondern auf “Was geschieht?” und “Wie schütze ich mich?”