Ihr Hoster spielt am Nachmittag das PHP-Update ein, und im Protokoll Ihres Servers stehen schon Anfragen, die genau die Lücke abklopfen, die das Update schließt. Abgeschickt hat diese Anfragen kein Mensch. Laut dem Bad Bot Report von Thales kamen 2025 rund 53 Prozent des Webverkehrs von Bots, Menschen erzeugten nur noch 47 Prozent.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenFür die Täter lohnt sich der Aufwand, weil fremde Server die Arbeit machen und ein einziger funktionierender Angriff Millionen Websites erreicht. Hier lesen Sie, wer hinter den Bots steckt, womit die Betreiber Geld verdienen, warum Ermittler den Markt nur stören und wie Sie Ihre Website aus der Schusslinie nehmen.
Das Wichtigste in Kürze
- Laut Thales kamen 2025 rund 53 Prozent des Webverkehrs von Bots, 40 Prozent von bösartigen.
- Angreifer nutzen neue Lücken oft binnen Stunden aus, laut Mandiant im Mittel sogar eine Woche vor dem Patch. Bei PHP2Shell rechnete das BSI am 21. Oktober 2026 mit großflächigen Angriffen binnen weniger Stunden.
- Das Geschäft ist arbeitsteilig: Zugangshändler verkaufen den Einbruch, Erpressergruppen kassieren. Ein Zugang zu einem Firmennetz kostete im zweiten Halbjahr 2024 im Schnitt 2.427 Euro, an Erpressergruppen flossen 2025 rund 730 Millionen Euro.
- Die Operation Endgame legte seit 2024 mehr als 1.700 Server lahm. Gegen Bots helfen vor allem schnelle Updates, eine vollständige Übersicht über alle Server und Mehr-Faktor-Authentisierung.
1 Welcher Anteil des Webverkehrs kam 2025 laut Thales von Bots? Aufklappen ↓
Auflösung aufdecken ↓
2 Ab welchem Preis boten sechs Booter-Dienste, deren mutmaßliche Betreiber 2025 in Polen festgenommen wurden, einen Überlastungsangriff an? Aufklappen ↓
Auflösung aufdecken ↓
3 Wie viel Zeit verging 2025 im Median zwischen erstem Einbruch und Übergabe an eine zweite Tätergruppe? Aufklappen ↓
Auflösung aufdecken ↓
4 Welches Botnetz war im Lagebericht 2025 des BSI das größte in Deutschland? Aufklappen ↓
Auflösung aufdecken ↓
5 Wie viele infizierte Websites bereinigten Ermittler im Juni 2026 bei der Operation Endgame? Aufklappen ↓
Auflösung aufdecken ↓
Was sind Bots, und wie viel Verkehr erzeugen sie?
Ein Bot ist ein Programm, das ohne menschliches Zutun Webseiten abruft, Formulare ausfüllt oder Server nach Schwachstellen absucht. Laut dem Bad Bot Report 2026 von Thales kamen 2025 rund 53 Prozent des Webverkehrs von Bots und 40 Prozent allein von bösartigen.
Ein Skript schickt eine Anfrage an einen Server, wertet die Antwort aus und schickt die nächste, Tag und Nacht.
Suchmaschinen erfassen das Netz auf diese Weise, Preisportale lesen Angebote ein, Überwachungsdienste prüfen im Minutentakt, ob Ihre Website erreichbar ist. Ein Mensch schafft ein paar Seitenaufrufe pro Minute, ein Skript auf einem gemieteten Server ein Vielfaches davon. Angreifer nutzen dieselbe Technik, nur zielen ihre Programme auf Anmeldeseiten, Kontaktformulare und ungeschützte Server.
Ein Jahr zuvor lag der Bot-Anteil nach der Thales-Zählung bei 51 Prozent, der bösartige Teil bei 37 Prozent.
Der Netzdienstleister Cloudflare kommt zu einem ähnlichen Ergebnis, zählt aber nur Anfragen nach HTML-Seiten. Anfang Dezember 2025 stammten davon 47 Prozent von Menschen und 44 Prozent von Bots ohne KI-Bezug. Im Jahresschnitt kamen KI-Bots auf 4,2 Prozent, der Googlebot für sich auf 4,5 Prozent.
Gutartig, bösartig und die Grauzone dazwischen
Gutartig nennt die Branche Bots, die sich zu erkennen geben und Spielregeln einhalten: Suchmaschinen-Crawler, die die Datei robots.txt beachten, oder Monitoring-Dienste, die Sie selbst beauftragt haben. Bösartig sind Bots, die sich tarnen und etwas holen wollen, das ihnen niemand freiwillig gibt: Zugangsdaten, Rechenleistung, Kundendaten oder Lagerbestände. Andere legen Ihre Seite mit Massenanfragen lahm.
In der Grauzone arbeiten KI-Crawler, die Inhalte für das Training von Sprachmodellen lesen, und Scraper, die Preise und Produktdaten der Konkurrenz abziehen.
Laut Cloudflare stellten KI-Crawler 2025 ein Fünftel des Verkehrs von Bots, die sich gegenüber Cloudflare ausweisen, OpenAIs GPTBot allein 7,5 Prozent.
Aus gekaperten Geräten wird ein Botnetz
Gefährlicher wird ein Bot, sobald er nicht auf einem gemieteten Server läuft, sondern auf einem gekaperten Gerät. Angreifer übernehmen Router, Kameras, TV-Boxen oder Webserver und steuern sie über einen zentralen Kontrollserver. Tausende solcher Geräte zusammen bilden ein Botnetz, und die Besitzer merken davon in der Regel nichts.
Das größte in Deutschland aktive Botnetz hieß im Lagebericht 2025 des Bundesamts für Sicherheit in der Informationstechnik (BSI) Badbox. Auf das Netz entfielen bis zu 58 Prozent der infizierten Systeme, die Geräte waren laut BSI schon in der Produktion mit Schadsoftware bestückt worden. Das BSI schnitt bis zu 30.000 dieser Geräte von ihren Kontrollservern ab, indem das Amt die Verbindungen der Geräte auf eigene Server umleitete, und informierte die Besitzer.
Im Jahr 2025 ordnete Cloudflare 6,5 Prozent des weltweit beobachteten Bot-Traffics deutschen Netzen zu, nur aus den USA kam mit 40 Prozent mehr.
Eine deutsche IP-Adresse im Serverprotokoll beweist deshalb nicht, dass ein Mensch aus Deutschland zugreift. Hinter der Adresse kann ebenso ein gemieteter Server stecken wie ein gekapertes Gerät.
Thales misst den gesamten Webverkehr seiner Kunden, Cloudflare zählt nur Anfragen nach HTML-Seiten und kam Anfang Dezember 2025 auf 47 Prozent Menschen und 44 Prozent Bots ohne KI-Bezug. Die Werte sind deshalb nicht direkt vergleichbar. Der Wert für Badbox stammt aus dem BSI-Lagebericht 2025 (Juli 2024 bis Juni 2025).
Wie schnell nutzen Bots eine neue Sicherheitslücke aus?
Angreifer nutzen neue Lücken oft binnen Stunden aus, immer öfter schon vor dem Update. Mandiant schätzt die mittlere Zeit bis zur Ausnutzung einer Lücke im Bericht M-Trends 2026 auf minus sieben Tage: Angreifer nutzten Schwachstellen im Schnitt eine Woche, bevor der Hersteller einen Patch veröffentlichte.
Den Anfang macht ein Scan. Andrew Morris, Gründer des Sicherheitsunternehmens GreyNoise, beschreibt die Arbeitsweise so: Angreifer durchsuchen das gesamte Internet, weil das schnell und billig ist, finden, was offen erreichbar ist, und greifen sofort an.
Im Jahr 2021 stellten Forscher der Sicherheitsfirma Palo Alto Networks 320 Ködersysteme, sogenannte Honeypots, in öffentliche Clouds. 80 Prozent davon waren nach 24 Stunden übernommen, alle nach einer Woche. Ein einzelner Angreifer kaperte 96 Prozent der 80 Datenbank-Honeypots innerhalb von 30 Sekunden. Der britische Anbieter Sophos hatte 2019 in einem ähnlichen Versuch den ersten Angriff 52 Sekunden nach dem Start eines Köderservers gemessen, im Schnitt kamen danach 13 Angriffsversuche pro Minute und Köderserver.
Mandiant, die Sicherheitsberatung von Google Cloud, misst die Zeit bis zur ersten Ausnutzung einer bekannten Lücke als Time-to-Exploit.
| Zeitraum | Mittlere Zeit bis zur ersten Ausnutzung |
|---|---|
| 2018 und 2019 | 63 Tage |
| 2020 bis Anfang 2021 | 44 Tage |
| 2021 und 2022 | 32 Tage |
| 2023 | 5 Tage |
| 2025 | geschätzt minus 7 Tage, also vor dem Patch |
Von den Lücken, die 2025 nachweislich ausgenutzt wurden, nutzten Angreifer nach der Zählung des Datendienstes VulnCheck knapp 29 Prozent am Tag der Veröffentlichung oder schon davor aus.
GreyNoise untersuchte 2026 Netzwerkgeräte wie Firewalls, VPN-Zugänge und Router von 18 großen Herstellern: Auf mehr als die Hälfte der auffälligen Anstiege von Angriffsverkehr gegen einen Hersteller folgte binnen drei Wochen eine neue Lücke dieses Herstellers, im Median nach elf Tagen. Die Scans laufen also, bevor die Lücke öffentlich bekannt ist.
Im Umfeld von WordPress nennt der Sicherheitsanbieter Patchstack für die am häufigsten ausgenutzten Lücken einen gewichteten Median von fünf Stunden bis zum ersten Angriff, rund die Hälfte der schweren Lücken wird binnen 24 Stunden ausgenutzt. 91 Prozent der 11.334 Lücken, die 2025 neu bekannt wurden, steckten in Plugins, bei 46 Prozent lag zum Zeitpunkt der Veröffentlichung noch kein Update des Entwicklers vor.
PHP2Shell: der Ernstfall vom 21. Oktober
Kurz vor 16 Uhr deutscher Zeit veröffentlichte das PHP-Team am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die neuen Versionen schließen zwei Lücken im PHP-Interpreter, über die Angreifer ohne Anmeldung eigenen Code auf Webservern ausführen können. Betroffen ist jede Anwendung auf einer verwundbaren PHP-Version, ob WordPress, Drupal oder ein selbst geschriebener Shop.
Am Morgen hatten Hoster dem Sicherheitsanbieter Patchstack bereits erste Angriffe gemeldet. Wenige Minuten nach dem Update registrierte der Anbieter Anfragen, die verwundbare Server aufspüren sollten.
„Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich“, sagte BSI-Vizepräsident Thomas Caspers. Angreifer könnten die Updates mit KI-Hilfe in kurzer Zeit auswerten und daraus Exploits bauen, also fertige Angriffswerkzeuge.
Die Sicherheitsfirma Wiz, die die Fehler an das PHP-Team gemeldet hatte, entwickelte mit KI-Modellen binnen Stunden funktionierende Angriffe auf aktuelle Installationen von WordPress, Drupal und Joomla. Von Hand wären solche Exploits schwer zu bauen und noch schwerer in großem Stil zu wiederholen gewesen. Wiz folgert, KI verändere die Kosten-Nutzen-Rechnung beim Finden und Ausnutzen von Lücken, und Komplexität schütze eine Lücke womöglich nicht mehr.
Für die Betreiber der Bots heißt das: Je billiger ein Angriff wird, desto mehr Server lohnen sich als Ziel.
Ein Update, das erst am nächsten Montag eingespielt wird, kommt für viele Server zu spät. Bei schweren WordPress-Lücken beginnen die Angriffe in rund der Hälfte der Fälle binnen 24 Stunden.
Wer betreibt Bots und Botnetze?
Bots betreiben vor allem drei Gruppen: kriminelle Dienstleister, die Botnetze aufbauen und an andere Täter vermieten, staatsnahe Hacker, die gekaperte Router als Tarnnetz nutzen, und Anbieter zwischen legalem und kriminellem Geschäft, die mit Bots Anschlüsse vermieten, Daten sammeln oder Tickets aufkaufen.
Kriminelle Dienstleister
Viele Botnetze gehören Gruppen, die anderen Tätern den Weg bereiten. Europol beschreibt den Markt für Erpressungs- und Schadsoftware im Mietmodell als wachsend, mit einer Dynamik wie in der legalen Industrie. Im Bundeslagebild Cybercrime 2024 des Bundeskriminalamts (BKA) ist von einer „Underground Economy“ die Rede, die ihre kriminellen Dienstleistungen „inzwischen in industriellen Maßstäben“ anbiete.
Einer der Hauptverdächtigen, gegen die sich die erste Welle der Operation Endgame im Mai 2024 richtete, soll nach den bisherigen Ermittlungen von Europol mindestens 69 Millionen Euro in Kryptowährung verdient haben, mit der Vermietung krimineller Infrastruktur für Erpressungsangriffe.
Staatsnahe Hacker
Im September 2024 warnten FBI, NSA und weitere Behörden vor einem Botnetz der chinesischen Firma Integrity Technology Group, die laut den Behörden Verbindungen zur Regierung in Peking unterhält. Im Juni 2024 umfasste das Netz mehr als 260.000 Router, Kameras, Netzwerkspeicher und andere Geräte, rund 18.900 davon in Deutschland. Über die Geräte konnten die Täter laut der Warnung ihre Identität verschleiern, während sie Überlastungsangriffe starteten oder in Netze eindrangen.
Technisch baute das Netz auf Mirai auf, einer Schadsoftware, deren Quellcode 2016 im Internet veröffentlicht wurde und seither Vorlage für zahllose Botnetze ist. Fast jeder fünfzigste Überlastungsangriff auf Netzwerkebene geht laut Cloudflare noch heute auf eine Mirai-Variante zurück.
Ähnlich nutzte die Gruppe Volt Typhoon, die nach US-Einschätzung für den chinesischen Staat arbeitet, laut der Cybersicherheitsbehörde CISA veraltete Router von Cisco und Netgear ohne Herstellerupdates. Die Behörde wirft den Hackern vor, sich in IT-Netzen der kritischen Infrastruktur für mögliche Sabotage in einer Krise einzunisten.
Geld verdienen diese Gruppen mit ihren Bots in erster Linie nicht, sie verwischen damit ihre Spuren.
Proxy-Anbieter, Datensammler, Ticket-Händler
Ein Residential Proxy leitet Anfragen über den Internetanschluss eines Privathaushalts, sodass ein Bot aussieht wie ein Mensch am heimischen Rechner. Betrugserkennung und Sperrlisten laufen dann ins Leere. Wie ein großer Anbieter dieses Marktes sein Geld verdient, haben wir am Geschäftsmodell von Bright Data nachgezeichnet.
Am kriminellen Ende stand 911 S5. Laut FBI umfasste der Dienst mehr als 19 Millionen gekaperte IP-Adressen in über 190 Ländern. Die Täter hatten Gratis-VPN-Apps in raubkopierte Spiele und Programme gepackt, mit der App landete unbemerkt eine Hintertür auf dem Rechner. Kunden des Dienstes nutzten die Anschlüsse der Opfer laut FBI unter anderem für Finanzbetrug, Identitätsdiebstahl und Bombendrohungen.
Der Betreiber hatte 911 S5 schon 2022 selbst vom Netz genommen, im Oktober 2023 kehrte der Dienst laut FBI unter neuem Namen zurück. Im Mai 2024 zerschlugen die Behörden das Netz, das US-Finanzministerium belegte den mutmaßlichen Betreiber mit Sanktionen, über ein Urteil ist nichts bekannt.
Nach Googles Beschreibung muss ein Proxy-Anbieter seine Software auf Millionen privater Geräte bringen. Manche Nutzer installieren die Software bewusst, weil der Anbieter ihnen Geld für ungenutzte Bandbreite verspricht. In nur einer Woche im Januar 2026 beobachtete die Threat Intelligence Group von Google mehr als 550 Tätergruppen, die zur Tarnung ihren Verkehr über ein und dasselbe Proxy-Netz leiteten.
Auch legale Datensammler kosten die Betreiber von Websites Geld. Nach Messungen von Cloudflare rief der Crawler von Anthropic im Juli 2025 rund 38.000 Seiten für jeden Besucher ab, der über einen Link der KI-Plattform auf die Website kam, bei OpenAI rund 1.100 Seiten. Für Verlage und Shops bedeutet das Serverlast ohne Gegenwert, wobei Cloudflare selbst Schutz gegen solche Crawler verkauft.
Ticket-Bots kaufen Konzertkarten in Sekunden auf, um sie mit Aufschlag weiterzuverkaufen. Die US-Handelsbehörde FTC verklagte im August 2025 einen Zwischenhändler, der mit Tausenden Konten, Proxys und gefälschten IP-Adressen in gut einem Jahr mindestens 379.776 Tickets gekauft haben soll. Im Oktober 2026 verklagte die FTC einen weiteren Händler, der mehr als 18,5 Millionen Tickets erworben haben soll. Entschieden haben die Gerichte in beiden Fällen noch nicht. In Deutschland verbietet das Gesetz gegen den unlauteren Wettbewerb ausdrücklich, Tickets, die mit automatisierten Verfahren unter Umgehung von Kaufgrenzen erworben wurden, an Verbraucher weiterzuverkaufen.
| Akteur | Ziel | Werkzeug | Beispiel |
|---|---|---|---|
| Kriminelle Dienstleister | Geld | Loader, Infostealer, Booter-Dienste | Ein Hauptverdächtiger der Operation Endgame soll laut Europol mindestens 69 Mio. € verdient haben |
| Staatsnahe Hacker | Spionage, Tarnung, Vorbereitung von Sabotage | Gekaperte Router, Kameras und Netzwerkspeicher | Integrity Tech: über 260.000 Geräte, 18.900 in Deutschland (FBI, NSA) |
| Betreiber krimineller Proxy-Netze | Vermietung fremder Internetanschlüsse | Hintertüren in Gratis-Apps | 911 S5: über 19 Mio. IP-Adressen in über 190 Ländern (FBI) |
| Ticket-Zwischenhändler | Weiterverkauf mit Aufschlag | Tausende Konten, Proxys | FTC-Klage 2025: mindestens 379.776 Tickets, vom Gericht noch nicht entschieden |
| KI-Anbieter und Datensammler | Trainingsdaten, Preise, Produktdaten | Crawler und Scraper | GPTBot: 7,5 % des Verkehrs ausgewiesener Bots 2025 (Cloudflare) |
Hinter vielen bösartigen Bots stehen Dienstleister, die ihre Netze vermieten. Staatsnahe Gruppen nutzen gekaperte Router zur Tarnung, und Proxy-Netze machen aus fremden Hausanschlüssen eine Ware.
Womit verdienen die Betreiber Geld?
Die Betreiber verdienen an Zugängen zu fremden Netzen, gestohlenen Zugangsdaten, abgezweigter Rechenleistung, Angriffen zur Miete und Klickbetrug, ihre Kunden am Lösegeld. Die Erlösquellen greifen ineinander: Ein Bot öffnet die Tür, den Zugang verkauft ein Händler an eine Erpressergruppe weiter.
Der Zugang als Ware
Den Zugang verkauft ein Zugangshändler, in der Branche Initial Access Broker genannt. Europol beschreibt diese Händler als Spezialisten für einzelne Technologien. Das Angebot der Händler legt fest, welche Ziele für Erpressergruppen überhaupt in Frage kommen. Ein Zugang zu einem Firmennetz kostete in drei großen Untergrundforen im zweiten Halbjahr 2024 laut der Sicherheitsfirma Rapid7 im Schnitt umgerechnet 2.427 Euro, 39 Prozent der Angebote lagen zwischen rund 445 und 890 Euro.
Ein Jahr später hatten sich viele Händler auf große Unternehmen verlegt, die Durchschnittspreise stiegen laut Rapid7 stark. Weitergereicht wird der Zugang fast ohne Verzögerung: 2022 vergingen laut Mandiant im Median mehr als acht Stunden zwischen dem ersten Einbruch und der Übergabe an eine zweite Tätergruppe, 2025 nur noch 22 Sekunden.
Laut der Blockchain-Analysefirma Chainalysis erhielten Zugangshändler 2025 mindestens 12,5 Millionen Euro über nachvollziehbare Kryptozahlungen, rund ein 58stel dessen, was Erpressergruppen im selben Jahr an Lösegeld einnahmen.
Fremdwährungsbeträge umgerechnet zum EZB-Referenzkurs vom 21.10.2026. Die Zahlungen an Zugangshändler erfasst Chainalysis nur, soweit sie über nachvollziehbare Kryptozahlungen laufen.
Lösegeld und gestohlene Daten
Chainalysis schätzt die Zahlungen an Erpressergruppen für 2025 auf rund 730 Millionen Euro, für das Vorjahr auf rund 794 Millionen Euro. Die Summe dürfte noch steigen, denn die Analysten ordnen Zahlungen nachträglich zu und hoben die Schätzung für 2024 so von rund 724 auf 794 Millionen Euro an. Der Median der einzelnen Zahlungen wuchs 2025 von rund 11.300 auf rund 53.000 Euro.
Die Zahl der Opfer, die auf Erpresserseiten auftauchten, stieg gegenüber 2024 um 50 Prozent, der Anteil zahlender Opfer fiel nach Schätzung von Chainalysis auf einen Tiefstwert von rund 28 Prozent.
In Deutschland wurden 2025 laut Bundeslagebild Cybercrime 1.041 Erpressungsangriffe angezeigt, zehn Prozent mehr als im Vorjahr.
Bei 25 Prozent der befragten Unternehmen haben Angreifer nach der Bitkom-Umfrage von 2026 in den zwölf Monaten davor Daten verschlüsselt, um sie nur gegen Lösegeld freizugeben.
Daten sind nach den Worten von Europol die zentrale Ware der Cyberkriminalität. Infostealer, kleine Programme, die Passwörter und Sitzungsdaten aus Browsern auslesen, liefern den Nachschub. Allein die Schadsoftware Lumma infizierte laut Europol zwischen Mitte März und Mitte Mai 2025 mehr als 394.000 Windows-Rechner, die erbeuteten Daten wurden auf einem eigenen Marktplatz verkauft. Besonders gefragt sind Gesundheitsdaten: Warum Kriminelle für Patientendaten im Darknet mehr zahlen als für Kreditkartendaten, haben wir gesondert untersucht.
Mit den erbeuteten Zugangsdaten probieren Bots massenhaft Anmeldungen bei anderen Diensten aus, ein Verfahren, das die Branche Credential Stuffing nennt. Mehr als 97 Prozent der Angriffe auf Benutzerkonten sind laut dem Microsoft Digital Defense Report 2025 Passwortangriffe, meist mit Zugangsdaten aus früheren Datenlecks. Kontoübernahmen nahmen laut Thales von Juli 2024 bis Juli 2025 um 70 Prozent zu.
Fremde Rechenleistung, Angriffe zur Miete, falsche Klicks
Bei der PHP-Lücke CVE-2024-4577 beobachtete Akamai im Juni 2024 schon einen Tag nach der Veröffentlichung Angriffe, die unter anderem Mining-Software für Kryptowährungen auf gekaperten Servern installierten. Für das Opfer ist dieses Kryptojacking teuer: Am Beispiel einer Tätergruppe rechnete die Sicherheitsfirma Sysdig 2022 vor, dass Opfer das 53-Fache der Beute als Cloud-Kosten bezahlen.
Bei sechs Booter-Diensten, deren mutmaßliche Betreiber polnische Ermittler im Mai 2025 festnahmen, kostete ein Überlastungsangriff laut Europol ab 10 Euro. Kunden gaben nur die Zieladresse ein, wählten Art und Dauer des Angriffs und bezahlten.
Vermittler boten laut Cloudflare Teile des Botnetzes Aisuru, das im dritten Quartal 2025 Angriffe mit bis zu 29,7 Terabit pro Sekunde ausführte, für umgerechnet einige Hundert bis einige Tausend Euro an. Die Motive der Kunden von Angriffsdiensten reichen laut Europol von Neugier über Hacktivismus bis zur Erpressung und zur Störung von Wettbewerbern. In Deutschland registrierte die Polizei 2025 laut Bundeslagebild Cybercrime 36.706 Überlastungsangriffe, ein Viertel mehr als im Vorjahr.
Bots klicken außerdem auf Werbung, die niemand sieht. Juniper Research schätzte den weltweiten Schaden durch Werbebetrug für 2022 auf umgerechnet rund 60,5 Milliarden Euro. Auch das Botnetz Badbox kann laut BSI im Hintergrund Webseiten ansteuern und so Werbeeinnahmen erschleichen.
| Erlösquelle | Was verkauft oder erbeutet wird | Preis oder Umfang |
|---|---|---|
| Zugangshandel | Zugang zu einem Firmennetz | im Schnitt 2.427 € je Angebot, 2. Halbjahr 2024 (Rapid7) |
| Infostealer | Passwörter und Sitzungsdaten | Abos für umgerechnet einige Dutzend bis einige Hundert Euro (Europol) |
| Erpressung | Entschlüsselung, Schweigen über erbeutete Daten | rund 730 Mio. € weltweit 2025, Median rund 53.000 € (Chainalysis) |
| Kryptojacking | Rechenleistung | Opfer zahlen das 53-Fache der Beute an Cloud-Kosten (Sysdig, 2022) |
| DDoS zur Miete | Überlastungsangriffe | ab 10 € je Angriff (Europol, 2025) |
| Klickbetrug | Gefälschte Werbeeinblendungen und Klicks | 60,5 Mrd. € Schaden weltweit 2022, Schätzung (Juniper Research) |
Die Bot-Betreiber verdienen selten das große Geld, sie liefern Zugänge und Zugangsdaten. Kassiert wird am Ende der Kette, beim Lösegeld.
Warum lohnt sich das Geschäft für die Täter?
Die Täter investieren wenig und riskieren wenig: Rechenleistung, Bandbreite und IP-Adressen holen sie sich von ihren Opfern, Werkzeuge mieten sie im Abo, und knapp zwei Drittel der in Deutschland erfassten Taten wurden 2025 aus dem Ausland oder von unbekanntem Ort aus begangen.
Ein legales Unternehmen bezahlt Server, Strom und Bandbreite. Botnetz-Betreiber wälzen diese Kosten auf die Opfer ab: Der Router im Wohnzimmer, die TV-Box im Wartezimmer und der vergessene Webserver einer Agentur arbeiten für fremde Auftraggeber, den Strom zahlen die Besitzer.
Hinzu kommt die Reichweite: Laut W3Techs laufen 69,3 Prozent aller Websites, deren serverseitige Programmiersprache bekannt ist, auf PHP, 39,6 Prozent aller Websites auf WordPress. Ein einziger funktionierender Exploit für eine Lücke im PHP-Kern zielt damit auf einen großen Teil des Webs, und jeder weitere Scan kostet den Angreifer fast nichts.
Künstliche Intelligenz vervielfacht die Angriffe: Thales zählte 2025 zwölfeinhalbmal so viele KI-gestützte Bot-Angriffe wie im Vorjahr und wehrte im Schnitt 25 Millionen davon pro Tag ab.
Arbeitsteilung wie in der legalen Wirtschaft
Europol zählte 2025 mehr als 120 aktive Ransomware-Gruppen, dazu Angebote für jeden Schritt: Botnetze für die Verbreitung, Werkzeuge zum Einnisten, Infrastruktur für den Datenabfluss, Dienste für die Verhandlung mit den Opfern und für die Seiten, auf denen erbeutete Daten erscheinen. Ein Täter mit wenig Fachwissen mietet die Teile und setzt sie zusammen. Für Überlastungsangriffe beschreibt Europol sogar Schritt-für-Schritt-Anleitungen, denen auch Laien folgen können.
Gehandelt wird in Foren, die wie Marktplätze funktionieren. Das Forum Cracked hatte laut Europol mehr als vier Millionen Nutzer und erzielte umgerechnet rund 3,6 Millionen Euro Umsatz.
Erpressergruppen greifen laut Europol gezielt kleine und mittlere Unternehmen an, weil deren Abwehr schwächer ist. Das BSI kommt im Lagebericht 2025 zum selben Befund: Angreifer suchen verstärkt leichte Ziele, und bekannte Lücken in Perimetersystemen wie Firewalls und VPN-Zugängen werden viel zu oft zu spät oder gar nicht geschlossen.
Laut Europol kostete ein Überlastungsangriff ab 10 Euro, die Rechnung für den Ausfall zahlt das Opfer.
Michael Dobler, Herausgeber Dr. Web
Wenig Beute, großer Schaden
Gemessen am Schaden bleibt die Beute klein: Für 2025 summierten sich die angezeigten Lösegeldzahlungen in Deutschland laut Bundeslagebild Cybercrime auf umgerechnet rund 13,8 Millionen Euro.
Der Branchenverband Bitkom beziffert den Schaden durch Cyberangriffe für die deutsche Wirtschaft in seiner Umfrage von 2026 auf 160,4 bis 205,8 Milliarden Euro, hochgerechnet aus den Antworten von 1.003 Unternehmen. Für Ausfälle, Wiederherstellung und Umsatzverluste kommen die Betroffenen auf.
Unsere Einschätzung: Die Schattenwirtschaft der Bots lebt von einer Asymmetrie, die sich mit Technik allein nicht auflösen lässt. Für den Angreifer kostet der millionste Versuch so wenig wie der erste, für ein Unternehmen kostet ein einziger Treffer Tage oder Wochen. Solange ungepatchte Server und Router ohne Updates im Netz hängen, geht die Rechnung für die Täter auf, egal wie viele Netze die Polizei abschaltet. Verschieben lässt sich die Kalkulation nur von der anderen Seite, durch Website- und Netzbetreiber, die jeden Angriff teurer machen.
Die Zahlen stammen aus verschiedenen Erhebungen und Jahren und zeigen Größenordnungen. Bitkom rechnet Umfrageergebnisse hoch, die übrigen Werte beruhen auf Anzeigen, Ermittlungen und Auswertungen von Kryptozahlungen.
Was unternehmen Ermittler gegen Botnetze?
Ermittler schalten Kontrollserver ab, beschlagnahmen Domains und Kryptowährung und leiten die Verbindungen infizierter Geräte auf eigene Server um. Die bislang größte Aktion, die von Europol koordinierte Operation Endgame, legte seit Mai 2024 in vier großen Aktionswellen mehr als 1.700 Server lahm.
Endgame zielt auf den Anfang der Kette. Im Fokus stehen Dropper und Loader, also Programme, die unbemerkt auf einen Rechner gelangen und dort weitere Schadsoftware nachladen. Europol nennt diese Programme den Einstieg für Erpressungsangriffe, Behördenchefin Catherine De Bolle sprach 2025 davon, die Angriffskette gleich am Anfang zu durchbrechen. Deutschland hat die Operation 2024 mit Frankreich und den Niederlanden angestoßen, beteiligt sind das BKA und die Zentralstelle zur Bekämpfung der Internetkriminalität in Frankfurt. Gegen 20 Verdächtige ergingen 2025 internationale Haftbefehle.
Bei der Welle im November 2025 stießen die Ermittler auf Hunderttausende infizierte Rechner mit mehreren Millionen gestohlenen Zugangsdaten. Viele Opfer wussten laut Europol nichts von der Infektion.
Die Welle vom Juni 2026 kam direkt auch kleinen Betrieben zugute. Die Schadsoftware SocGholish verbreitete sich laut Europol über gefälschte Browser-Updates auf gehackten Websites, vor allem auf solchen mit WordPress. Die Ermittler bereinigten 14.971 infizierte Websites, darunter die von Restaurants und Autowerkstätten, und sperrten Kryptowährung im Wert von mehr als 41 Millionen Euro.
| Aktion | Zeitpunkt | Ergebnis |
|---|---|---|
| Operation Endgame, Welle 1 | Mai 2024 | 4 Festnahmen, über 100 Server, über 2.000 Domains |
| Operation Endgame, Welle 2 | Mai 2025 | rund 300 Server, 650 Domains, 20 internationale Haftbefehle |
| Operation Endgame, Welle 3 | November 2025 | über 1.025 Server, Infostealer mit Zugriff auf über 100.000 Krypto-Wallets der Opfer |
| Operation Endgame, Welle 4 | Juni 2026 | 326 Server, 14.971 bereinigte Websites, über 41 Mio. € Kryptowährung gesperrt |
| Lumma | Mai 2025 | über 394.000 infizierte Windows-Rechner, über 1.300 Domains beschlagnahmt oder umgeleitet |
| Operation PowerOFF | April 2026 | über 75.000 Nutzer von DDoS-Diensten angeschrieben, 53 Domains, 4 Festnahmen |
| BSI-Sinkholing gegen Badbox | Dezember 2024 | bis zu 30.000 Geräte in Deutschland von den Tätern abgeschnitten |
Auch Unternehmen gehen gegen Botnetze vor. Google meldete im Januar 2026, gemeinsam mit Partnern gegen eines der größten Netze von Residential Proxys vorgegangen zu sein.
BKA-Präsident Holger Münch sah in den Aktionen 2025 einen zweiten Effekt: Die Ermittler hätten „auch Misstrauen in der Underground Economy geschürt“.
Der Unique-IP-Index des BSI, der die infizierten Systeme in den per Sinkholing beobachteten Botnetzen misst, lag im September 2026 beim 11,96-Fachen des Durchschnitts von 2019. Auf Badbox entfielen 55,6 Prozent dieser Adressen: Die Geräte bleiben infiziert, auch wenn sie keine Befehle mehr erhalten.
Internationale Aktionen wie Endgame zerschlagen Infrastruktur und säen Misstrauen unter Tätern, den Nachschub an verwundbaren Geräten stoppen sie nicht. Die wirksamste Sperre bleibt der gepatchte Server.
Wie schützen Sie Ihr Unternehmen vor Bot-Angriffen?
Am wirksamsten schützen schnelle Updates, eine vollständige Übersicht über alle Server und Geräte, Mehr-Faktor-Authentisierung und ein Filter vor der Website. Phishing-resistente Mehr-Faktor-Authentisierung stoppt laut Microsoft mehr als 99 Prozent der Passwortangriffe, selbst bei korrektem Passwort.
Bei Unternehmen mit Schaden lag die Ursache laut Bitkom-Umfrage 2026 meist in der eigenen Organisation, allen voran in unzureichender Erkennung von Sicherheitsvorfällen.
| Grund, warum ein Angriff zum Schaden führte | Anteil der geschädigten Unternehmen |
|---|---|
| Unzureichende Erkennung von Sicherheitsvorfällen | 59 % |
| Fehlkonfiguration von IT-Systemen | 57 % |
| Unzureichendes Identitäts- und Zugriffsmanagement | 55 % |
| Technische Schwachstellen | 50 % |
| Veraltete Hard- oder Software | 43 % |
Aus diesen Ursachen leiten sich sechs Schritte ab, die auch Unternehmen ohne eigene Sicherheitsabteilung umsetzen können:
- Bestand erfassen: Listen Sie jede Website, jede PHP-Installation, Testumgebungen, Container und vergessene Altprojekte auf, dazu Router, Kameras und TV-Boxen im Firmennetz.
- Updates binnen Stunden einspielen: Legen Sie fest, wer kritische Updates noch am selben Tag installiert. Bei Shared und Managed Hosting fragen Sie gerne beim Anbieter nach dem Zeitplan.
- Altsysteme ablösen: PHP 8.1 und ältere Versionen bekommen vom PHP-Team keine regulären Updates mehr, für PHP2Shell liefert das PHP-Team dort nur Notkorrekturen im Quellcode, fertige Pakete kommen von einzelnen Distributionen. Wechseln Sie auf eine gepflegte Version, am besten PHP 8.3 oder neuer. Wo das nicht sofort geht, nehmen Sie den Server vom Netz oder erlauben den Zugriff nur noch per VPN.
- Konten absichern: Schalten Sie für alle Administrations- und Cloud-Zugänge die Mehr-Faktor-Authentisierung ein, am besten mit Passkeys oder Sicherheitsschlüsseln.
- Verkehr filtern: Eine Web Application Firewall oder ein Bot-Management beim Hoster oder einem Anbieter von Content-Delivery-Netzen blockiert bekannte Angriffsmuster und bremst Massenanfragen.
- Auffälligkeiten beobachten und Rücksicherung testen: Prüfen Sie Serverprotokolle auf gehäufte Anmeldeversuche, neue Dateien und unerklärliche Neustarts, und testen Sie regelmäßig, ob sich Ihre Datensicherung zurückspielen lässt.
Ein Filter ersetzt das Update nicht. Für PHP2Shell spielte Cloudflare am 21. Oktober Regeln für die bekannten Angriffswege ein, auch für Kunden im Gratistarif, und nannte diese Regeln selbst eine Notlösung. In einem großen Test bei Webhostern blockierten deren Schutzsysteme laut Patchstack nur 26 Prozent der Angriffe auf Schwachstellen.
Aussperren sollten Sie dabei nicht jeden Bot. Ohne den Googlebot taucht Ihre Website nicht mehr in der Suche auf, ohne die Crawler der Preisportale nicht mehr im Vergleich. In der Datei robots.txt legen Sie fest, welche Crawler welche Bereiche lesen dürfen. Seriöse Suchmaschinen halten sich daran, bösartige Bots ignorieren die Datei, gegen solche Bots helfen Filter vor dem Server.
Bots probieren Zugangsdaten aus alten Datenlecks so lange aus, bis eine Kombination passt, und ein Passwort für alles gibt dann gleich mehrere Konten preis. Ein Passwort-Manager und der zweite Faktor nehmen dieser Masche die Grundlage.
Ist der Server schon befallen?
Als Warnzeichen für PHP2Shell nennt Wiz gehäufte Serverfehler nach Speicherproblemen, auffällig große Sitzungs-Cookies und PHP-Prozesse, die ohne Grund neu starten. Ein Beweis sind diese Zeichen nicht. Patchstack empfiehlt, einen solchen Server nach dem Update als möglicherweise kompromittiert zu behandeln und einen Wechsel der dort gespeicherten Zugangsdaten zu erwägen, also Passwörter, API-Schlüssel und Tokens.
Gelangt ein Angreifer an personenbezogene Daten, muss der Verantwortliche die Panne nach Artikel 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde melden, gerechnet ab Kenntnis.
Kritische Updates spielen Sie am Tag ihres Erscheinens ein. Ein Filter überbrückt höchstens die Stunden bis dahin: Die Schutzsysteme von Webhostern blockierten im Test von Patchstack nur 26 Prozent der Angriffe.
Glossar: 16 wichtige Fachbegriffe zu Bots und Botnetzen
Botnetz
Botnetz heißt ein Verbund gekaperter Rechner, Router, Kameras oder Server, die ein Angreifer über einen Kontrollserver fernsteuert. Die Besitzer merken davon meist nichts. Botnetze verschicken Spam, starten Überlastungsangriffe, schürfen Kryptowährung oder dienen als Tarnnetz für weitere Angriffe.
Credential Stuffing
Credential Stuffing nennt man das automatisierte Durchprobieren von Benutzernamen und Passwörtern aus früheren Datenlecks bei anderen Diensten. Bots testen Millionen Kombinationen, die Angreifer setzen auf Menschen, die dasselbe Passwort mehrfach nutzen. Mehr-Faktor-Authentisierung macht die erbeuteten Passwörter weitgehend wertlos.
DDoS-Angriff
DDoS-Angriff (Distributed Denial of Service) bezeichnet eine Überlastung von Servern oder Leitungen durch massenhafte Anfragen aus vielen Quellen gleichzeitig. Die Website ist dann nicht mehr erreichbar. Booter- oder Stresser-Dienste verkaufen solche Angriffe an Kunden ohne technische Kenntnisse.
Dropper
Dropper und Loader heißen Schadprogramme, die sich unbemerkt auf einem Rechner einnisten und dort weitere Schadsoftware nachladen, etwa Erpressersoftware oder Mining-Programme. Diese Programme selbst richten oft keinen direkten Schaden an. Die Operation Endgame zielte vor allem auf Dropper und Loader.
Exploit
Exploit nennt man ein Programm oder eine Befehlsfolge, die eine bestimmte Sicherheitslücke ausnutzt. Mit einem funktionierenden Exploit lässt sich ein Angriff automatisieren und an Bots übergeben. Je schneller ein Exploit nach der Veröffentlichung einer Lücke vorliegt, desto kürzer ist die Zeit zum Patchen.
Honeypot
Honeypot heißt ein Ködersystem, das Forscher absichtlich verwundbar ins Netz stellen, um Angriffe zu beobachten. Die Systeme zeigen, wie schnell Bots neue Server finden und welche Lücken sie ausprobieren. Die Forschungsabteilung Unit 42 von Palo Alto Networks betrieb 2021 dafür 320 solcher Systeme.
Infostealer
Infostealer heißen Schadprogramme, die Passwörter, Sitzungsdaten, Krypto-Wallets und Browserdaten von einem Rechner auslesen und an die Täter schicken. Die erbeuteten Datensätze, sogenannte Logs, werden auf Marktplätzen und im Abonnement verkauft. Lumma war 2025 einer der verbreitetsten Vertreter.
Initial Access Broker
Initial Access Broker (Zugangshändler) verkaufen Zugänge zu fremden Firmennetzen, etwa VPN-Konten oder Fernwartungszugänge. Kunden der Zugangshändler sind meist Erpressergruppen, die den Angriff fortsetzen. Laut Rapid7 lag der Preis eines Angebots im zweiten Halbjahr 2024 im Schnitt bei umgerechnet 2.427 Euro.
Kontrollserver
Kontrollserver (Command-and-Control-Server) heißt der Rechner, über den ein Angreifer sein Botnetz steuert. Die gekaperten Geräte melden sich dort und holen neue Befehle ab. Fällt der Kontrollserver aus oder leiten Behörden die Verbindung um, bleibt das Botnetz ohne Befehle.
Kryptojacking
Kryptojacking nennt man das heimliche Schürfen von Kryptowährung auf fremden Rechnern oder Cloud-Servern. Beliebt ist die Kryptowährung Monero. Die Täter kassieren die Ausbeute, das Opfer zahlt Strom und Rechenzeit. Laut Sysdig übersteigen die Kosten der Opfer die Beute um ein Vielfaches.
Ransomware
Ransomware (Erpressersoftware) verschlüsselt Daten oder ganze Netze, die Täter geben sie erst gegen Lösegeld frei. Viele Gruppen drohen zusätzlich, erbeutete Daten zu veröffentlichen. Laut Chainalysis flossen 2025 weltweit rund 730 Millionen Euro an solche Gruppen.
Residential Proxy
Residential Proxy heißt ein Vermittlungsdienst, der Anfragen über den Internetanschluss eines Privathaushalts leitet. Der Verkehr wirkt dadurch wie der eines normalen Nutzers. Kriminelle nutzen solche Dienste, um Sperrlisten und Betrugserkennung zu umgehen, oft mit gekaperten Geräten.
Scraper
Scraper heißen Bots, die Inhalte von Websites automatisch auslesen und weiterverarbeiten, etwa Preise, Produktdaten oder Texte. Manche arbeiten im Auftrag von Preisvergleichen oder KI-Anbietern, andere kopieren Inhalte ohne Erlaubnis. Den Betreiber einer Website kosten Scraper Serverleistung.
Sinkholing
Sinkholing nennt man das Umleiten der Verbindungen infizierter Geräte zu einem Server der Behörden oder Sicherheitsforscher. Die Bots erhalten danach keine Befehle mehr, und die Behörden können die Besitzer benachrichtigen. Das BSI schnitt so bis zu 30.000 Badbox-Geräte von den Tätern ab.
Time-to-Exploit
Time-to-Exploit misst die Zeit zwischen der Veröffentlichung einer Sicherheitslücke und ihrer ersten beobachteten Ausnutzung. Ein negativer Wert heißt, dass Angreifer die Lücke schon vor dem Patch nutzten. Mandiant schätzt den Mittelwert im Bericht M-Trends 2026 auf minus sieben Tage.
Web Application Firewall
Web Application Firewall (WAF) heißt ein Filter, der Anfragen an eine Website prüft, bevor sie den Server erreichen. Der Filter blockiert bekannte Angriffsmuster und bremst Massenanfragen. Ein Update ersetzt die WAF nicht, verschafft Website-Betreibern aber Zeit bis zum Patch.
FAQ: Bösartige Bots: Wer hinter 40 Prozent des Webverkehrs steckt
Wie erkenne ich Bot-Traffic auf meiner Website?
Typische Zeichen sind viele Anfragen aus denselben Adressbereichen, gehäufte Anmeldeversuche, Abrufe nicht vorhandener Dateien und Zugriffe rund um die Uhr im gleichen Takt. Die Serverprotokolle zeigen das, viele Hoster und Anbieter von Content-Delivery-Netzen werten Bot-Traffic auch selbst aus.
Kann mein Router oder Fernseher Teil eines Botnetzes sein?
Ja. Das BSI fand die Schadsoftware Badbox auf Geräten, die schon beim Kauf infiziert waren, und laut FBI und NSA standen 18.900 Geräte des Integrity-Tech-Botnetzes in Deutschland. Halten Sie die Geräte mit Updates aktuell und tauschen Sie Router ohne Herstellerpflege gerne gegen Modelle aus, die der Hersteller noch mit Updates versorgt.
Was kostet ein DDoS-Angriff im Untergrund?
Bei sechs Booter-Diensten, deren mutmaßliche Betreiber im Mai 2025 in Polen festgenommen wurden, kosteten Angriffe laut Europol ab 10 Euro. Vermittler boten laut Cloudflare Teile großer Botnetze wie Aisuru für umgerechnet einige Hundert bis einige Tausend Euro an.
Hilft eine Web Application Firewall gegen Bots?
Teilweise. Eine WAF blockiert bekannte Angriffsmuster und bremst Massenanfragen, ersetzt aber kein Update. Bei einem großen Test unter Webhostern blockierten deren Schutzsysteme laut Patchstack nur 26 Prozent der Angriffe auf Schwachstellen.
Wie viele Unternehmen in Deutschland sind von Cyberangriffen betroffen?
In der Bitkom-Umfrage von 2026 gaben 96 Prozent der Unternehmen an, von Datendiebstahl, Spionage oder Sabotage betroffen zu sein oder das zu vermuten. 58 Prozent hatten in den zwölf Monaten davor einen Schaden durch Cyberangriffe, bei 25 Prozent verschlüsselten Angreifer Daten.
Muss ich einen erfolgreichen Bot-Angriff melden?
Gelangt ein Angreifer an personenbezogene Daten, muss der Verantwortliche die Datenpanne nach Artikel 33 DSGVO in der Regel binnen 72 Stunden, nachdem ihm die Panne bekannt geworden ist, der Aufsichtsbehörde melden. Zusätzlich lohnt eine Anzeige bei der Polizei, für Unternehmen haben die Landeskriminalämter eigene Ansprechstellen für Cybercrime.
Quellen
52 Quellen anzeigenQuellen ausblendenabgerufen am 21.10.2026
- ThalesAI-driven Bot Attacks Surged 12.5x According to Thales Bad Bot Report
- Thales (Imperva)2026 Bad Bot Report: Bad Bots in the Agentic Age
- CloudflareThe 2025 Cloudflare Radar Year in Review
- Bundesamt für Sicherheit in der InformationstechnikDie Lage der IT-Sicherheit in Deutschland 2025, Zusammenfassung
- Bundesamt für Sicherheit in der InformationstechnikBSI weist auf vorinstallierte Schadsoftware auf IoT-Geräten hin
- Bundesamt für Sicherheit in der InformationstechnikLage der Cybernation: Bedrohungen, Monatsbericht (Datenstand September 2026)
- GreyNoise IntelligenceGreyNoise 2025 Mass Internet Exploitation Report
- Palo Alto Networks Unit 42Exposed Services in Public Clouds, Honeypot-Studie
- SophosCybercriminals Attack Cloud Server Honeypot Within 52 Seconds
- GreyNoise IntelligenceReport: How Cyber Threat Activity Precedes Vulnerability Disclosure
- Google Cloud, MandiantM-Trends 2026: Data, Insights, and Strategies From the Frontlines
- Google Cloud, MandiantHow Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends
- VulnCheckState of Exploitation 2026
- PatchstackState of WordPress Security In 2026
- The PHP GroupSecurity advisory: Critical remote code execution vulnerabilities, update now
- PatchstackMajor security alert: PHP vulnerable to critical RCE, attacks ongoing
- Bundesamt für Sicherheit in der InformationstechnikPHP: BSI warnt vor kritischen Schwachstellen, Sicherheitsupdate noch heute notwendig
- Wiz ResearchPHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
- EuropolInternet Organised Crime Threat Assessment (IOCTA) 2024
- EuropolFragmented and multiplied cybercriminal landscape, warns new Europol report
- Bundesministerium des InnernBundeslagebild Cybercrime 2024: Zahlreiche Ermittlungserfolge bei anhaltend hoher Bedrohungslage
- EuropolLargest ever operation against botnets hits dropper malware ecosystem
- FBI, NSA und weitere BehördenPeople’s Republic of China-Linked Actors Compromise Routers and IoT Devices for Botnet Operations
- CISAAdvisory AA24-038A: PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure
- FBI, DCIS, U.S. Department of CommerceGuidance on the 911 S5 Residential Proxy Service
- U.S. Department of the TreasuryTreasury Sanctions a Cybercrime Network Associated with the 911 S5 Botnet
- Google Threat Intelligence GroupNo Place Like Home Network: Disrupting the World’s Largest Residential Proxy Network
- CloudflareThe crawl-to-click gap: Cloudflare data on AI bots, training, and referrals
- Federal Trade CommissionFTC Takes Action Against Ticket Resellers for Using Illegal Tactics to Bypass Ticket Limit Protections
- Federal Trade CommissionFTC Sues Ticket Broker Over Unlawful Tactics Used to Buy Millions of Tickets to Popular Live Events
- Bundesministerium der JustizGesetz gegen den unlauteren Wettbewerb, Anhang zu § 3 Absatz 3
- Rapid72025 Initial Access Brokers Report
- Rapid7Initial Access Brokers have Shifted to High-Value Targets and Premium Pricing
- ChainalysisCrypto Ransomware: 2026 Crypto Crime Report
- Bundesministerium des InnernBundeslagebild Cybercrime 2025: Deutschland im Fokus von Cyberkriminellen
- BitkomAngriffe auf deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten
- EuropolSteal, deal and repeat: How cybercriminals trade and exploit your data, IOCTA 2025
- EuropolEuropol and Microsoft disrupt world’s largest infostealer Lumma
- MicrosoftExtortion and ransomware drive over half of cyberattacks, Microsoft Digital Defense Report 2025
- AkamaiCVE-2024-4577 Exploits in the Wild One Day After Disclosure
- SysdigSysdig Threat Report Reveals Victims Lose $53 for every $1 Cryptojackers Gain
- EuropolDDoS-for-hire empire brought down: Poland arrests 4 administrators, US seizes 9 domains
- CloudflareCloudflare’s 2025 Q3 DDoS threat report, including Aisuru, the apex of botnets
- EuropolEuropol-supported global operation targets over 75 000 users engaged in DDoS attacks
- Juniper ResearchDigital Advertising Spend Lost to Fraud to Reach $68 Billion Globally in 2022
- W3TechsUsage statistics of PHP for websites
- W3TechsUsage statistics and market share of WordPress
- EuropolIOCTA 2026: How encryption, proxies and AI are expanding cybercrime
- EuropolOperation ENDGAME strikes again: the ransomware kill chain broken at its source
- EuropolEnd of the game for cybercrime infrastructure: 1025 servers taken down
- EuropolGlobal cyber strike disrupts SocGholish, Amadey, and StealC malware networks
- Europäische UnionVerordnung (EU) 2016/679, Datenschutz-Grundverordnung, Artikel 33
