DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE halten zum Beispiel auf Webseiten, in Online-Shops oder auf Social-Media-Plattformen analysiert, um anschließend zielgerichtet an die jeweiligen Nutzerbedarfe angepasste Werbung einblenden zu können. Bei Malware-Spam handelt es sich um Spam-E-Mails, die Schadprogramme ungezielt und breit verteilen. Während der Spam-Versand zurückgegangen ist, ist die Effektivität von Malware-Spam im Berichtszeitraum weiter gestiegen. So wurde insbesondere die Spam-Komponente von Emotet im Berichtszeitraum weiterhin erfolgreich für die Verteilung des Schadprogramms genutzt. Das Schadenspotenzial basiert dabei insbesondere auf ausgefeilten Social-Engineering-Techniken, durch die die Nutzerin oder der Nutzer zum Ausführen des Schadprogramms verleitet wird. Das Infektionsrisiko ist daher als hoch einzuschätzen (vgl. Kapitel Emotet: Neue Qualität fortschrittlicher Angriffe, Seite 11). 1.1.5 Botnetze Als Bot wird ein Schadprogramm bezeichnet, das einem Angreifer den Fernzugriff auf ein infiziertes System ermöglicht. Jedes Schadprogramm, das eine Verbindung zu einem Command-and-Control-Server des Angreifers aufbauen kann, um von dort Befehle entgegen zu nehmen und auf dem infizierten System auszuführen, ist insofern ein Bot. Durch die großflächige Verbreitung von Bot-Software haben Angreifer Zugriff auf eine große Anzahl fremder Systeme (Computer, Smartphones, Router, IoT-Geräte etc.) und können diese für eigene Zwecke missbrauchen. Den Zusammenschluss mehrerer Bots, die von einer zentralen Stelle gesteuert werden, bezeichnet man als Botnetz. weiterhin beispielsweise neue Varianten des Botnetzes Mirai mit zusätzlichen Infektionsmechanismen, um das Spektrum der Opfersysteme auf zusätzliche Geräteklassen wie IoT-Geräte und weniger stark verbreitete Hardware-Plattformen (z. B. ARM, ARC, oder PowerPC) zu erweitern. Diese traten jedoch nicht mit hohen Infektionszahlen oder erfolgreichen DDoS-Angriffen in Erscheinung. Der Trend zur stärkeren Ausrichtung der Angreifer auf mobile Endgeräte wie beispielsweise Smartphones und Tablets war auch im aktuellen Berichtszeitraum wieder zu beobachten. Im Bereich der Windows-basierten Botnetze haben insbesondere Emotet und Trickbot größere Infektionswellen in Deutschland verursacht. Beide Schadprogramm-Familien sind bereits seit mehreren Jahren in Deutschland aktiv und haben neben Privatanwenderinnen und -anwendern auch mehrere größere Institutionen und Unternehmen infiziert. Durch die Ransomware Ryuk, die ausgewählte, von Trickbot zuvor ausgespähte Opfer angreift, wurden große finanzielle Schäden verursacht (vgl. Kapitel Emotet: Neue Qualität fortschrittlicher Angriffe, Seite 11). Im Berichtszeitraum wurden täglich bis zu 20.000 Bot-Infektionen deutscher Systeme registriert und über das BSI an die deutschen Internet-Provider gemeldet. Diese benachrichtigen ihrerseits die betroffenen Kundinnen und Kunden über die Infektion und stellen teilweise weiterführende Informationen zur Bereinigung der Systeme bereit. Zur Erkennung von Botnetz-Infektionen werden sogenannte Sinkhole-Systeme verwendet, die anstelle der regulären Command-and-Control-Server der Angreifer die Kontaktanfragen von Bots entgegennehmen. Eine Beschreibung des Sinkholing-Verfahrens findet sich unter www.bsi-fuer-buerger.de (vgl. Quellenverzeichnis 3: www.bsi-fuer-buerger.de). Aufgrund des modularen Aufbaus aktueller Bot-Software ist es dem Angreifer möglich, die Funktionalität eines Bots flexibel auf die jeweiligen Einsatzzwecke und Angriffsziele anzupassen. Neben der Verursachung von Schäden auf dem infizierten System selbst (Abgreifen persönlicher Informationen, Online-Banking-Betrug, Datenverschlüsselung etc.), können die infizierten Systeme auch zum Angriff Dritter genutzt werden. So können Angreifer die enormen Rechen- und Netzwerkkapazitäten der zusammengeschlossenen infizierten Systeme zum Beispiel für bandbreitenstarke DDoS-Angriffe (vgl. Kapitel Distributed Denial of Service, Seite 29) oder für den Versand von SpamE-Mails verwenden. Die Bedrohungslage durch Botnetze ist wie auch in den Vorjahren anhaltend hoch. Die aus dem Sinkholing ermittelten Infektionszahlen bilden stets eine Untergrenze, da eine vollständige Erfassung aller Botnetz-Infektionen nicht möglich ist. Abhängig von der Auswahl der beobachteten Botnetze und der zugehörigen Domänen der Steuerungsserver schwanken die Zahlen der sichtbaren Infektionen sehr stark. Die bisherigen Erfahrungen aus Botnetz-Abschaltungen zeigen aber, dass die Dunkelziffer deutlich höher liegt und sich mindestens in einem siebenstelligen Bereich bewegt. Im aktuellen Berichtszeitraum wurden Botnetze in erster Linie zum Informationsdiebstahl sowie zum Nachladen und Verteilen weiterer Schadprogramme (Banking-Trojaner oder Ransomware) genutzt. Im Vergleich zum vergangenen Berichtszeitraum ging die Anzahl bekannter DDoS-Botnetze signifikant zurück. Zwar erschienen auch Aufgrund der stetig breiter werdenden Angriffsfläche potenzieller Opfersysteme durch unzureichend gesicherte IoT-Geräte und mobile Systeme ist mit einer kontinuierlichen Zunahme von Infektionen zu rechnen und davon auszugehen, dass die Anzahl und Größe von Botnetzen weiterhin zunehmen werden. 16