Dark-Web- und Untergrund-Begriffe im Marketing-Kontext

Ein Botnet ist ein Verbund von Geräten oder Softwareinstanzen, die von einer gemeinsamen Steuerungsstruktur für koordinierte Aktionen eingesetzt werden können. Kriminelle Botnetze bestehen häufig aus unbefugt übernommenen Computern, Servern oder vernetzten Geräten. Nicht jeder automatisierte Geräteverbund ist kriminell; der Begriff wird in der IT-Sicherheit vor allem bei missbräuchlichen Netzwerken verwendet.

Wie werden Geräte Bestandteil eines Botnetzes?

Angreifer können verwundbare Geräte, gestohlene Zugangsdaten oder Schadsoftware verwenden, um unerlaubte Kontrolle zu erlangen. Betroffen sein können Heimrouter, Kameras, Computer und Server. Eine Kompromittierung bedeutet nicht zwingend, dass der Eigentümer die Nutzung bemerkt. Gleichwohl ist nicht jedes auffällige Netzwerkverhalten ein Botnet-Indikator.

Welche Aufgaben übernehmen kompromittierte Geräte?

Ein Botnet kann für verteilte Überlastungsangriffe, Spamversand oder andere missbräuchliche Kommunikationsvorgänge eingesetzt werden. Die konkrete Funktion hängt von der Schadsoftware und der Steuerungsinfrastruktur ab. Manche Geräte dienen als Weiterleitungsstation, andere erzeugen große Mengen automatisierter Anfragen.

Steuerung und technische Einordnung

Bei manchen Botnetzen werden Befehle über eine zentrale Infrastruktur vermittelt; andere verwenden verteilte Kommunikationswege. Sicherheitsanalysen betrachten unter anderem auffällige Verbindungen, unerwartete Prozesse und wiederkehrende Kommunikationsmuster. Eine einzelne ausgehende Verbindung zu einer unbekannten IP-Adresse ist kein Beweis einer Infektion.

Botnetze und DDoS-Angriffe

Ein DDoS-Angriff kann durch viele kompromittierte Geräte ausgeführt werden. Hohe Anfragezahlen lassen sich aber auch durch legitime Lastspitzen oder fehlerhafte Dienste erklären. Die Rekonstruktion eines Vorfalls verlangt Protokolle, Zeitverläufe und die Analyse betroffener Funktionen. Die Herkunft der Anfragen erlaubt nicht automatisch die Identifikation des Auftraggebers.

Wie können Unternehmen eine Infektion erkennen?

Hinweise können unerwartete Netzwerkverbindungen, ungewöhnlicher Ressourcenverbrauch, unbekannte Dienste und verdächtige Änderungen an Geräten sein. Anomalien sollten mit dem üblichen Verhalten und aktuellen Sicherheitsinformationen verglichen werden. Eine Untersuchung kann Netzprotokolle, Endpunktinformationen und die tatsächlich installierte Software einbeziehen.

Welche Gegenmaßnahmen sind sinnvoll?

Bei bestätigter Kompromittierung sollten betroffene Systeme kontrolliert isoliert und forensisch untersucht werden. Zugangsdaten und Berechtigungen sind zu überprüfen; verwundbare Komponenten müssen abgesichert werden. Wiederherstellungen sollten aus geprüften Quellen erfolgen. Regelmäßige Updates, individuelle Passwörter, geeignete Netzwerksegmentierung und die Beschränkung unnötiger Dienste verringern bekannte Angriffswege.

Rechtliche Grenzen

Die unbefugte Übernahme fremder Geräte und ihre Verwendung für schädliche Handlungen kann verschiedene Straftatbestände des StGB berühren. Ob bestimmte Sicherheits- oder Meldepflichten greifen, hängt vom betroffenen Unternehmen und vom konkreten Vorfall ab. Personenbezogene Protokolldaten dürfen nur im zulässigen Umfang verarbeitet werden.

BRANDPROTECTIONNOW bei Bot-Angriffen

BRANDPROTECTIONNOW untersucht auffällige automatisierte Zugriffe auf digitale Unternehmensangebote und mögliche Beeinträchtigungen von Website und Markenpräsenz. Bei technischen Sicherheitsvorfällen können spezialisierte Partner in die Untersuchung und Abwehr eingebunden werden. Schutz vor Bot- und Serverangriffen.

Häufige Fragen

Ist jeder Bot Teil eines Botnetzes?

Nein. Viele automatisierte Programme erfüllen erlaubte Aufgaben und gehören nicht zu kriminellen Netzwerken.

Kann ein Heimrouter betroffen sein?

Ja. Unsichere oder verwundbare Netzwerkgeräte können übernommen werden.

Beweist eine auffällige IP-Adresse die Identität eines Täters?

Nein. Eine Adresse kann zu einem kompromittierten Gerät oder Weiterleitungsdienst gehören.

Wie Unternehmen eine DDoS-Attacke eindämmen und sich vorbereiten, zeigt die Seite DDoS-Attacke abwehren.

Bulletproof Hosting bezeichnet Hostingangebote, deren Betreiber die Nutzung ihrer Infrastruktur für missbräuchliche oder rechtswidrige Zwecke bewusst dulden oder die Bearbeitung begründeter Beschwerden gezielt erschweren. Der Begriff stammt aus der IT-Sicherheits- und Ermittlungs­praxis. Ein Hostingdienst ist jedoch nicht allein deshalb „bulletproof“, weil er im Ausland sitzt, Anonymitätsdienste verwendet oder eine Beschwerde ablehnt. Für einen belastbaren Vorwurf sind konkrete Hinweise auf wiederholten Missbrauch und das Verhalten des Anbieters erforderlich.

Welche Rolle spielt Hosting bei digitalen Angriffen?

Webseiten, E-Mail-Dienste und andere internetbasierte Angebote benötigen technische Infrastruktur. Kriminelle können fremde Server missbrauchen oder bewusst Dienste auswählen, die betrügerische Inhalte trotz nachvollziehbarer Hinweise online halten. Die Infrastruktur kann Phishing-Seiten, gefälschte Shops oder Steuerungsdienste für Schadsoftware beherbergen. Der Dienstleister muss für die strafbaren Handlungen seiner Kunden nicht automatisch selbst strafrechtlich verantwortlich sein.

Woran unterscheiden sich problematische Anbieter von regulärem Hosting?

Seriöse Hostinganbieter erhalten ebenfalls Missbrauchsmeldungen. Sie müssen dabei den Sachverhalt und die geltenden Rechtsvorschriften prüfen; nicht jede Beschwerde führt zu einer Sperre. Bei einem mutmaßlich missbrauchsfreundlichen Angebot können beispielsweise wiederholte ignorierte Meldungen, absichtlich irreführende Ansprechpartner oder die Unterstützung bekannter Betrugsinfrastruktur auffallen. Einzelne technische Merkmale wie gemeinsame IP-Adressen oder eine bestimmte Serverregion beweisen die Absicht des Betreibers nicht.

Welche Angriffe können solche Server betreffen?

Zu den denkbaren Missbrauchsformen gehören Webseiten zum Abgreifen von Zugangsdaten, nachgebaute Markenauftritte, der Versand betrügerischer Nachrichten und die Bereitstellung schädlicher Dateien. Auch gestohlene Zugangsdaten oder unerlaubt kopierte Inhalte können auf solchen Systemen verbreitet werden. Die Zugehörigkeit zu einem bestimmten Hostingnetz ist jedoch keine zuverlässige Aussage über die Rechtswidrigkeit sämtlicher dort gespeicherter Inhalte.

Wie können Unternehmen betroffene Infrastruktur untersuchen?

Zunächst werden die vollständigen URLs, sichtbaren Inhalte, Zeitpunkte, verfügbaren DNS-Informationen und Hinweise auf die aktuelle technische Zuständigkeit gesichert. RDAP-Informationen, Netzbetreiberangaben und öffentlich zugängliche Zertifikatsdaten können bei der Einordnung helfen. Wegen Content Delivery Networks, Weiterleitungen und ausgelagerter Dienste lässt sich der tatsächliche Betreiber einer Webseite nicht immer unmittelbar aus einer IP-Adresse ableiten. Technische Hinweise dürfen nicht ohne weitere Belege einer bestimmten Person zugeschrieben werden.

Welche Meldewege kommen infrage?

Abhängig vom konkreten Vorfall können Meldungen an den Hostinganbieter, einen Registrar, den zuständigen Netzbetreiber oder die betroffene Plattform angezeigt sein. Bei nachgewiesenen Straftaten kommt eine Strafanzeige in Betracht. Für Hostingdienste sieht Artikel 16 der Verordnung (EU) 2022/2065 Verfahren zur Meldung mutmaßlich rechtswidriger Inhalte vor. Rechtswidrigkeit muss anhand des gemeldeten Inhalts erläutert werden. Eine Meldung führt nicht automatisch zu einer Löschung.

Was können Markeninhaber unternehmen?

Bei gefälschten Firmenwebseiten sollten Kennzeichenverwendung, konkrete Täuschung und verfügbare technische Belege dokumentiert werden. Ansprüche aus dem Markenrecht kommen nur bei Vorliegen der jeweiligen Voraussetzungen in Betracht. Bei weiteren Inhalten sind gegebenenfalls Persönlichkeitsrechte, Urheberrechte oder wettbewerbsrechtliche Vorschriften zu prüfen. Unternehmen sollten Kunden ausschließlich anhand gesicherter Erkenntnisse vor einem nachgebauten Auftritt warnen.

Schutzmaßnahmen und Grenzen

Domain- und Markenmonitoring können neu auftauchende missbräuchliche Seiten erfassen. Sicherheitsfilter für Webzugriffe und E-Mail helfen, bekannte schädliche Ziele zu erkennen; vollständig verhindern können sie neue Angriffe nicht. Wird ein betrügerischer Auftritt gesperrt, können die Betreiber auf andere Domains oder Infrastruktur ausweichen. Deshalb sollten Nachweise und Veränderungen der betreffenden URLs zeitlich dokumentiert werden.

BRANDPROTECTIONNOW bei Hostingmissbrauch

BRANDPROTECTIONNOW untersucht öffentlich erreichbare betrügerische Markenauftritte, dokumentiert Domains und verfügbare technische Informationen und bereitet geeignete Beschwerden vor. Für weitergehende Sicherheitsvorfälle können spezialisierte Partner beteiligt werden. Eine garantierte Abschaltung fremder Infrastruktur ist damit nicht verbunden. Informationen zum digitalen Markenschutz.

Häufige Fragen

Ist ausländisches Hosting automatisch Bulletproof Hosting?

Nein. Standort, Anonymität und die gewählte Infrastruktur beweisen keinen vorsätzlichen Missbrauch.

Kann eine Phishing-Seite sofort gesperrt werden?

Die Reaktion hängt von der Beweislage, der Zuständigkeit und den Verfahren des jeweiligen Anbieters ab.

Kann eine IP-Adresse den Täter identifizieren?

Eine IP-Adresse bezeichnet zunächst einen technischen Endpunkt. Für eine Personenidentifikation sind zusätzliche rechtmäßig verfügbare Beweise erforderlich.

Ein Captcha Solving Service ist ein Dienst, der CAPTCHA-Abfragen für andere Nutzer oder Programme lösen lässt. Dazu können menschliche Bearbeiter oder automatisierte Verfahren eingesetzt werden. Solche Dienste können zu erlaubten Testzwecken verwendet werden, aber auch zur Umgehung von Schutzabfragen bei unerwünschten Registrierungen, Formularspam oder anderen automatisierten Zugriffen. Die Verwendung eines solchen Dienstes allein beweist keine Straftat.

Wozu dienen CAPTCHA-Abfragen?

CAPTCHAs versuchen automatisierte und menschliche Interaktionen anhand bestimmter Aufgaben oder Verhaltenssignale zu unterscheiden. Sie können beispielsweise Anmeldeformulare, Bestellungen oder Kontaktseiten gegen massenhafte automatisierte Nutzung absichern. Ihre Wirksamkeit hängt von der konkreten Implementierung ab. Captchas sind keine allgemeine Identitätsprüfung und gewährleisten nicht, dass nach bestandener Abfrage ein berechtigter Nutzer handelt.

Wie kann ein Lösungsdienst missbraucht werden?

Bei automatisierten Abläufen kann eine Schutzaufgabe an einen externen Lösungsdienst ausgelagert werden. Das Ergebnis wird anschließend für den weiteren Vorgang verwendet. Dadurch kann ein Schutzsignal entstehen, obwohl die eigentliche Aktivität von einem automatisierten System stammt. Aus Sicherheitsgründen sollte die Untersuchung auf erkennbare Verhaltensmuster und Abwehrmaßnahmen ausgerichtet bleiben, nicht auf praktische Umgehungsanleitungen.

Welche Unternehmenssysteme können betroffen sein?

Betroffen sein können unter anderem Kontaktformulare, Kundenregistrierungen, Buchungsprozesse, Abstimmungen und andere öffentlich zugängliche Eingabemöglichkeiten. Die Folgen hängen vom jeweiligen Geschäftsprozess ab. Fake-Registrierungen können Prüfaufwand verursachen; gefälschte Anfragen können Vertriebsdaten verfälschen. Ein bestandenes CAPTCHA beweist weder die Echtheit einer Kundenanfrage noch, dass sie betrügerisch ist.

Welche Hinweise lassen sich untersuchen?

Auffällige Häufungen neuer Konten, wiederholte Eingabemuster, unplausible Formulardaten und zeitliche Serien können einen Prüfbedarf begründen. Technische Protokolle sollten im zulässigen Rahmen Ereigniszeiten, betroffene Funktionen und geeignete Sicherheitsinformationen erfassen. Einzelne IP-Adressen oder Browserkennungen sind kein verlässlicher Nachweis einer Person oder eines gemeinsamen Urhebers. Datenschutzrechtliche Vorgaben sind bei der Protokollierung zu berücksichtigen.

Wie kann die Abwehr verbessert werden?

CAPTCHA sollte mit zusätzlichen Kontrollen kombiniert werden, etwa belastbaren serverseitigen Eingabeprüfungen, angemessenen Anfragelimits und der Überwachung auffälliger Serien. Bei sensiblen Vorgängen können unabhängige Verifikationsschritte helfen. Die Maßnahmen müssen echte Kunden weiterhin erreichbar halten und sollten auch die Barrierefreiheit berücksichtigen. Eine pauschale Blockierung ganzer Regionen oder aller Anfragen aus gemeinsam genutzten Netzen kann unbeteiligte Nutzer treffen.

Was ist bei verdächtigen Fake-Leads zu prüfen?

Neben technischen Signalen sind die tatsächliche Qualität von Kontaktinformationen, wiederkehrende Inhalte und vorhandene Zustimmungserklärungen zu prüfen. Nicht jede unvollständige Anfrage ist ein Angriff; Tippfehler und automatisierte Browserhilfen können harmlose Ursachen sein. Bei belegtem Spam können betroffene Formulare abgesichert und die Datenqualität im CRM nach nachvollziehbaren Kriterien geprüft werden.

Rechtliche Fragen

Die rechtliche Bewertung richtet sich nach der konkreten Nutzung. Missbräuchliche Zugriffe können unter bestimmten Umständen vertragliche oder gesetzliche Grenzen verletzen. Werden Betrug, unbefugter Datenzugriff oder weitere Straftaten begangen, sind die jeweiligen Tatbestände gesondert zu prüfen. Die Datenschutz-Grundverordnung und das TDDDG können bei der Erfassung und Speicherung von Nutzerdaten relevant sein.

Unterstützung durch BRANDPROTECTIONNOW

BRANDPROTECTIONNOW untersucht bei verdächtigen Botaktivitäten auffällige Registrierungs- und Formularmuster und ordnet deren mögliche Auswirkungen auf Marketingdaten oder digitale Geschäftsprozesse ein. Für technische Abwehrmaßnahmen kann die Zusammenarbeit mit spezialisierten Sicherheitsdienstleistern erforderlich sein. Informationen zum Schutz vor Bot- und Serverangriffen.

Häufige Fragen

Beweist ein bestandenes CAPTCHA, dass ein Mensch die Anfrage gestellt hat?

Nein. Die Prüfung ist nur ein Schutzsignal und lässt sich unter bestimmten Umständen auslagern oder umgehen.

Ist jeder CAPTCHA-Lösungsdienst illegal?

Nein. Die rechtliche Bewertung hängt von der Verwendung und den Umständen ab.

Hilft ein CAPTCHA allein gegen Fake-Leads?

Es kann automatisierte Anfragen erschweren, ersetzt jedoch keine Prüfung der tatsächlichen Leadqualität.

Drop Account bezeichnet ein Bank-, Zahlungs- oder Lieferkonto, das Betrüger nutzen, um Geld oder Waren aus Straftaten entgegenzunehmen, ohne ihre eigene Identität preiszugeben. Häufig wird es auf fremde Namen eröffnet, mit gestohlenen Identitäten angelegt oder von angeworbenen Personen zur Verfügung gestellt. Drop-Adressen erfüllen dieselbe Funktion für Warensendungen.

So funktioniert ein Drop Account

Bei Fake-Shops, Rechnungsbetrug oder Bestellungen mit gestohlenen Zahlungsdaten muss die Beute irgendwo ankommen. Drop Accounts schaffen eine Zwischenstation zwischen Opfer und Täter und erschweren die Rückverfolgung. Oft werden die Gelder schnell weitergeleitet, etwa über Money Mules. Profitieren können die Hintermänner. Geschädigt werden Käufer, Händler und Personen, deren Identität für die Kontoeröffnung missbraucht wurde.

Beispiel

Ein Fake-Shop für Fahrräder verlangt Vorkasse auf ein Konto, das auf den Namen einer Studentin läuft. Diese hatte ihre Ausweisdaten im Rahmen einer vermeintlichen Jobbewerbung übermittelt und weiß nichts von dem Konto.

Warnsignale und Schutz

• Kundenhinweise auf Zahlungen an Konten, die nicht zu Ihrem Unternehmen gehören
• Bestellungen mit wechselnden Lieferadressen und auffälligen Mustern
• Bankverbindung auf Website und Rechnungen klar kommunizieren und schützen

Bei Verdacht sollten Sie Ihre Bank und die Polizei informieren. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Fraud-as-a-Service ist der Oberbegriff für kriminelle Dienstleistungen, bei denen Betrugswerkzeuge, gestohlene Zugänge, Infrastruktur oder ganze Kampagnen vermietet oder verkauft werden. Malware-as-a-Service und Phishing-as-a-Service sind spezialisierte Ausprägungen davon. Fraud-as-a-Service umfasst darüber hinaus etwa Bot-Traffic, Fake-Bewertungen, gefälschte Identitäten oder fertige Fake-Shop-Kampagnen.

So funktioniert Fraud-as-a-Service

Betrug wird arbeitsteilig organisiert: Einige liefern Daten oder Konten, andere Technik, wieder andere führen Kampagnen durch oder waschen Erlöse. Wer betrügen will, muss nicht mehr alles selbst können, sondern kauft die benötigten Bausteine zu. Profitieren können alle Beteiligten dieser Schattenwirtschaft. Für Unternehmen bedeutet das, dass sich Angriffe schneller, in größerem Umfang und mit wechselnden Methoden wiederholen können.

Beispiel

Ein Hersteller von Kosmetik beobachtet gleichzeitig gefälschte Shops mit seinem Namen, eine Welle negativer Fake-Bewertungen und Bot-Zugriffe auf seinen Checkout. Die Muster deuten darauf hin, dass mehrere gemietete Dienste zusammenwirken.

Warnsignale und Schutz

• Mehrere Angriffsarten gegen Ihre Marke im selben Zeitraum
• Professionell gemachte Fälschungen in hoher Stückzahl
• Ganzheitliches Monitoring von Domains, Anzeigen, Bewertungen und Traffic

Spezialisierte Partner und eine Partnerkanzlei unterstützen bei Abwehr und rechtlicher Bewertung. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Malware-as-a-Service bezeichnet ein kriminelles Geschäftsmodell, bei dem Schadsoftware nicht selbst entwickelt, sondern als Dienstleistung gemietet wird. Entwickler stellen die Software bereit, pflegen sie weiter und bieten teils sogar Support an. Die Kunden setzen sie anschließend für eigene Angriffe ein.

So funktioniert Malware-as-a-Service

Das Modell ähnelt legitimen Software-Abonnements: Statt technischer Expertise genügt der Zugang zum Dienst. Dadurch können auch Täter mit geringen Kenntnissen Datendiebstahl, Erpressung mit Verschlüsselungstrojanern oder das Ausspähen von Zugangsdaten betreiben. Die Entwickler verdienen an Mieten oder Beteiligungen, die Anwender an der Beute. Für Unternehmen wächst damit der Kreis möglicher Angreifer, und Angriffe werden professioneller und vielfältiger.

Beispiel

Ein Mitarbeiter eines Maschinenbauers öffnet einen manipulierten Rechnungsanhang. Die nachgeladene Schadsoftware stammt aus einem Mietangebot und liest gespeicherte Browser-Passwörter aus, darunter Zugänge zu Werbekonten und zum Website-Backend.

Warnsignale und Schutz

• Ungewöhnliche Anmeldungen oder Änderungen in Unternehmenskonten
• Sicherheitswarnungen auf Arbeitsrechnern oder unbekannte Prozesse
• Schulungen, aktueller Endgeräteschutz und Zwei-Faktor-Anmeldung

Bei Verdacht sollten Sie betroffene Geräte isolieren und Security-Partner einbinden. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Money Mule, auf Deutsch Finanzagent oder Geldkurier, bezeichnet eine Person, die betrügerisch erlangtes Geld über ihr eigenes Konto empfängt und weiterleitet. Viele Money Mules werden über scheinbar seriöse Jobangebote, Social Media oder Liebesbetrug angeworben. Manche ahnen nicht, worauf sie sich einlassen.

So funktioniert das Money-Mule-System

Täter suchen Menschen, die gegen eine Provision Zahlungen annehmen und sie weiterleiten, etwa als Überweisung, Bargeld oder in Form von Kryptowerten. Dadurch wird die Spur des Geldes verwischt, und die Hintermänner bleiben im Verborgenen. Profitieren können vor allem die Hintermänner. Wichtig: Auch angeworbene Geldweiterleiter können sich strafbar machen und zivilrechtlich für den Schaden haften. Häufig wird zudem ihr Konto gekündigt.

Beispiel

Eine vermeintliche Online-Agentur sucht „Zahlungsabwickler im Homeoffice“. Ein neuer Mitarbeiter erhält Überweisungen von Fremden und soll das Geld abzüglich Provision weiterleiten. Die Gelder stammen aus Fake-Shop-Bestellungen.

Warnsignale und Schutz

• Jobangebote, bei denen Sie Zahlungen über Ihr privates Konto abwickeln sollen
• Hohe Provisionen für einfache Tätigkeiten ohne echte Qualifikation
• Missbrauch Ihres Firmennamens in solchen Stellenanzeigen

Wird Ihr Firmenname für solche Anwerbungen missbraucht, sollten Sie zügig öffentlich warnen und Löschanträge stellen lassen. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Phishing Kit bezeichnet ein fertiges Softwarepaket, mit dem sich gefälschte Login-Seiten bekannter Marken, Banken oder Dienste mit wenig Aufwand erstellen lassen. Es enthält typischerweise Seitenvorlagen, Logos und Funktionen zum Sammeln eingegebener Daten. Wer ein Phishing Kit nutzt, betreibt die Seiten selbst. Beim Phishing-as-a-Service wird dagegen die gesamte Infrastruktur als laufender Dienst gemietet.

So funktioniert ein Phishing Kit

Phishing Kits senken die Einstiegshürde für Betrug erheblich, weil kaum technische Kenntnisse nötig sind. Die gefälschten Seiten imitieren Gestaltung und Ablauf des Originals oft sehr genau. Nutzer gelangen über Mails, SMS oder Anzeigen dorthin und geben ihre Zugangsdaten ein, die anschließend für Kontoübernahmen oder Weiterverkauf genutzt werden. Für imitierte Marken entstehen Imageschäden und Supportaufwand.

Beispiel

Ein Paketdienst stellt fest, dass innerhalb weniger Tage zahlreiche nahezu identische Fake-Seiten mit seinem Logo auftauchen. Die gleichartige Struktur deutet darauf hin, dass verschiedene Täter dasselbe Kit verwenden.

Warnsignale und Schutz

• Neue Domains mit Ihrem Markennamen oder Tippfehlervarianten
• Kundenmeldungen über verdächtige Login-Seiten
• Zwei-Faktor-Anmeldung für Kundenkonten und Domain-Monitoring

Die Abschaltung gefundener Seiten wird über Löschanträge bei Hostern und Registraren koordiniert. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Phishing-as-a-Service bezeichnet ein Geschäftsmodell, bei dem komplette Phishing-Infrastruktur als laufender Dienst angeboten wird. Dazu gehören gefälschte Seiten, Hosting, Versand und die Auswertung erbeuteter Daten. Im Unterschied zum Phishing Kit, das Täter selbst installieren und betreiben, übernimmt hier der Anbieter Technik, Pflege und Aktualisierung.

So funktioniert Phishing-as-a-Service

Kunden des Dienstes wählen die Marke, die imitiert werden soll, und erhalten eine einsatzbereite Kampagne. Manche Angebote sind darauf ausgelegt, auch Zwei-Faktor-Anmeldungen in Echtzeit abzufangen oder Sicherheitsprüfungen zu umgehen. Damit wird professionelles Phishing für Täter ohne technische Kenntnisse zugänglich. Profitieren können Anbieter und Nutzer des Dienstes. Für imitierte Marken bedeutet das eine Vielzahl gleichzeitiger Kampagnen, die schnell wechseln.

Beispiel

Kunden eines Energieversorgers erhalten SMS mit dem Hinweis auf eine angebliche Rückerstattung. Die verlinkte Seite gleicht dem Kundenportal bis ins Detail und fragt Login sowie Bestätigungscode ab. Kurz darauf werden Bankdaten in den Kundenkonten geändert.

Warnsignale und Schutz

• Viele Phishing-Seiten mit Ihrem Branding in kurzer Folge
• Kontoübernahmen trotz aktivierter Zwei-Faktor-Anmeldung
• Phishing-resistente Anmeldeverfahren und Domain-Monitoring

Gefundene Seiten werden über Löschanträge bei Hostern und Registraren gemeldet. Mehr dazu im Schutzbereich Blackhat-Angriffe.

Ein Proxy Network ist ein Verbund von Vermittlungsservern oder anderen Weiterleitungsstationen, über die Netzwerkverkehr zwischen einem Client und einem Zielsystem geführt wird. Solche Netze werden unter anderem für Unternehmenszugänge, technische Tests und Datenschutz eingesetzt. Sie können aber auch dazu dienen, die Herkunft missbräuchlicher Anfragen zu verschleiern. Die bloße Verwendung eines Proxys ist kein Nachweis rechtswidrigen Verhaltens.

Wie funktioniert ein Proxy-Netzwerk?

Eine Anfrage wird zunächst an einen Proxy gesendet und von dort zum eigentlichen Ziel vermittelt. Das Ziel erkennt je nach technischer Umsetzung die Adresse des Proxys statt der ursprünglichen Verbindung. Mehrere Ausgangspunkte können für verschiedene Zugriffe eingesetzt werden. Die tatsächliche Sichtbarkeit hängt vom verwendeten Protokoll, zusätzlichen Headern und der Systemkonfiguration ab.

Welche legitimen Anwendungen gibt es?

Unternehmen können Proxys zur Zugriffskontrolle, zum Caching oder für geografische Funktionstests einsetzen. Auch Sicherheitsforschung und die Überprüfung internationaler Webdarstellungen können solche Vermittlungsdienste verwenden. Eine Proxy-Adresse sollte daher nicht automatisch als Betrugsindikator klassifiziert werden.

Rechenzentrums- und Residential-Proxys

Ein Rechenzentrumsproxy verwendet üblicherweise eine Adresse aus Hostinginfrastruktur. Residential-Proxys verwenden Internetanschlüsse, die Wohn- oder Mobilfunknutzern zugeordnet sein können. Die Kategorien unterscheiden sich in ihrer Herkunft, nicht automatisch in der Rechtmäßigkeit. Entscheidend ist insbesondere, ob die Nutzung der betreffenden Ressourcen autorisiert ist.

Wie werden Proxy-Netze missbraucht?

Bei unerlaubten Automatisierungen können wechselnde Ausgangsadressen die Bewertung von Anfragevolumen erschweren. Denkbare Anwendungsfälle sind massenhafte Registrierungen, manipulierte Werbeinteraktionen oder unzulässige Datenabrufe. Ein Zusammenhang zwischen mehreren Anfragen muss durch zusätzliche Merkmale untersucht werden; eine einzelne Proxy-IP reicht für eine belastbare Zuordnung nicht aus.

Welche Hinweise sollte die Sicherheitsanalyse berücksichtigen?

Protokolle können wiederkehrende Vorgänge, zeitliche Muster, betroffene Endpunkte, Authentifizierungsergebnisse und ungewöhnliche Anfragefolgen zeigen. Auch bei wechselnden Adressen können technische oder geschäftsbezogene Verhaltensmuster erkennbar sein. Solche Hinweise müssen mit der normalen Nutzung verglichen werden. Gemeinsame IP-Adressen können mehrere unabhängige Nutzer repräsentieren.

Wie lassen sich Missbrauch und Fehlalarme verringern?

Geeignete Authentifizierung, anwendungsbezogene Begrenzungen und die Prüfung auffälliger Geschäftsprozesse helfen bei der Abwehr. Pauschale Sperren ganzer Netzbereiche können legitime Kunden treffen. Schutzregeln sollten anhand tatsächlicher Fehlversuche und Beeinträchtigungen bewertet werden und nicht ausschließlich auf der vermuteten geografischen Herkunft beruhen.

Datenschutz und rechtliche Einordnung

Proxy-Nutzung ist nicht pauschal verboten. Bei unbefugten Datenzugriffen, Betrug oder gezielter rechtswidriger Behinderung können zusätzliche Tatbestände einschlägig sein. Bei der Auswertung von IP-Adressen und weiteren Online-Kennungen müssen datenschutzrechtliche Anforderungen beachtet werden.

BRANDPROTECTIONNOW und verdächtiger Proxy-Traffic

BRANDPROTECTIONNOW untersucht auffällige Traffic-Muster, mögliche Bot-Aktivitäten und ihre Auswirkungen auf Unternehmensangebote. Die Einschätzung unterscheidet legitime Vermittlungsdienste von nachweisbarem Missbrauch. Weitere Informationen zum Bot-Schutz.

Häufige Fragen

Ist die Nutzung eines Proxys illegal?

Nein. Die rechtliche Bewertung hängt von Zweck und konkreter Handlung ab.

Kann eine Proxy-IP den tatsächlichen Nutzer identifizieren?

Die sichtbare Ausgangsadresse genügt dafür üblicherweise nicht.

Sollte man sämtliche Proxy-Zugriffe blockieren?

Eine pauschale Blockierung kann legitime Kunden und Dienste beeinträchtigen.