Im Oktober 2016 sorgte eine massive DDoS-Attacke auf DNS-Server dafür, dass viele bekannte Websites wie Twitter, Airbnb oder Github für Stunden nicht erreichbar waren. Der Angriff ging von einem Botnet aus, das dazu vor allem auf Geräte aus dem sogenannten Internet der Dinge, wie beispielsweise vernetzte Kameras, zurückgegriffen hat. Das Botnet könnte aus weiter weniger Geräten bestanden haben, als bislang vermutet wurde.

Manche Geräte müsste man wegschmeißen, weil es gar keine Option ist, ein Update einzuspielen

„Level 3 geht davon aus, dass es nur 50.000 Geräte waren“, sagte Chester Wisniewski, Senior Security Advisor bei dem Sicherheitsunternehmen Sophos, t3n.de. Level 3 ist einer der Anbieter, der direkt von der DDoS-Attacke betroffen war. Wisniewski kann die Anzahl zwar selbst nicht verifizieren, rein mathematisch sei es aber plausibel, weil die eingesetzte Botnet-Software über die Fähigkeit verfüge, von jedem infizierten Gerät aus mit jeweils etwa 1.000 gefälschten IP-Adressen anzugreifen.

„Wenn 50.000 von hundert Millionen schlecht geschützter Geräte sowas anrichten können, was können dann hunderttausend, oder eine Million oder zehn Millionen anrichten?“, so Wisniewski. Tatsächlich war der Oktober-Angriff für den IT-Sicherheitsexperten erst der Anfang. Zukünftig könnte es „hundert verschiedene Kriminelle mit jeweils 50.000 Bots“ geben, wenn jeder von ihnen sich auf unterschiedliche IoT-Geräte konzentriert.

Problematisch ist vor allem der Umstand, dass es sich bei dem Botnet um IoT-Geräte handelt, und nicht um herkömmliche PCs. Den Besitzer eines infizierten Computers könnte man theoretisch vom Netz abschneiden, und ihm dann bei der Beseitigung des Problems unterstützen. „Wir können das bei IoT nicht machen, weil wir nicht wissen, wem das Gerät gehört, wo sie sich befinden; die meisten Geräte haben nicht einmal notwendigerweise einen Update-Mechanismus integriert. Manche Geräte müsste man wegschmeißen, weil es gar keine Option ist, ein Update einzuspielen.“

Das wiederum wirft die Frage auf, wie mit dem Problem umgegangen werden kann. „Die natürliche Reaktion für viele Menschen wäre: Regulierung. Aber du kannst es nicht regulieren, wenn es in China hergestellt, in Taiwan entwickelt und dann in 135 Länder ausgeliefert wird.“ Würde die EU beispielsweise Vorschriften einführen, die den Import von extrem unsicheren IoT-Geräten verbieten, würde das laut Wisniewski trotzdem nur etwa 20 Prozent des gesamten Bot-Traffics betreffen. Und auch wenn wir in der westlichen Welt eine Regulierung einführen wollten, könnten wir uns laut dem Sicherheitsexperten vermutlich nicht auf einheitliche Sicherheitsstandards einigen.

Doch was ist die Alternative? „Schneiden wir dich vom Internet ab, weil das Internet deines Landes dreckig ist? Wenn wir das machen würden, wäre Russland schon vor zehn Jahren aus dem Internet geflogen. Wir wollen nicht, dass das Internet in Nachbarschaften zerlegt wird.“ Wisniewski schlägt daher vor, dass Gerätehersteller eine Form von Zertifizierung unterlaufen müssen. Dazu müsste dann auch eine verbindliche Angabe zum Update-Zeitraum gehören. Dann wüssten die Konsumenten, wie lange sie mit sicherheitsrelevanten Updates für ihre Geräte rechnen können.

Aber nicht nur schlecht geschützte IoT-Geräte seien laut Wisniewski ein Problem, sondern auch der Umgang der Netzbetreiber mit den vom Botnet gefälschten IP-Adressen. In viel zu vielen Ländern würden die Telekommunikationsanbieter nicht genug dafür tun, diese Pakete herauszufiltern. „Ich denke die Zahlen, die von Dyn kommen, besagen, dass elf Prozent des Traffics aus Vietnam kam, während neun Prozent oder so aus den USA kamen. Mathematisch betrachtet gibt es viel mehr solcher Kameras in den USA als in Vietnam.“

Eigentlich hätten US-Geräte demnach einen deutlich größeren Anteil am Angriff ausgemacht, aber viele der großen Provider dort haben entsprechenden Traffic anhand der gefälschten IP-Adressen herausgefiltert. „Aber global ist es ziemlich selten. Es machen vielleicht die Hälfte der amerikanischen [Netzbetreiber], die Hälfte der deutschen, ein Drittel der britischen – und der Rest der Welt macht nichts.“

Letztlich müssen vor allem die Hersteller von IoT-Geräten reagieren, notfalls durch politischen Druck. Gleiches gilt für die Netzprovider aus aller Welt. Bis dahin könnten aber noch eine ganze Reihe von großen DDoS-Attacken stattfinden. Es bleibt zu hoffen, dass der Oktober-Angriff zumindest einige der beteiligten Personen aus der IoT- und der Telekommunikationsbranche zum Umdenken angeregt hat.