DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Avalanche: Verlängerung der Schutzmaßnahmen Sachverhalt Am 30. November 2016 haben die Zentrale Kriminalinspektion Lüneburg und die Staatsanwaltschaft Verden in einer internationalen Operation erfolgreich die Botnetz-Infrastruktur Avalanche ausgehoben. Dabei unterstützte das BSI maßgeblich. Die Server der Botnetz-Infrastruktur wurden abgeschaltet, die Angreifer wurden verhaftet und die Nutzerinnen und Nutzer infizierter Systeme über die Internet-Provider informiert. Zur fortlaufenden Erkennung infizierter Systeme wurden Sinkhole-Server eingerichtet, die die Kontaktversuche der weiterhin aktiven Bots verzeichnen und deren IP-Adressen identifizieren. Mithilfe der IP-Adressen sowie des Zugriffszeitpunkts können Internet-Provider die betroffenen Anwenderinnen und Anwender informieren und warnen. Reaktion Die ursprünglich auf ein Jahr ausgelegten Schutz- und Informationsmaßnahmen wurden in den Folgejahren kontinuierlich verlängert, um infizierte Systeme weiterhin zu schützen. Im November 2019 wurde eine erneute Verlängerung um zwölf Monate umgesetzt. Hierbei wurden ca. 830.000 Domänen überprüft und vor fremden Zugriff gesichert, um eine Übernahme der Botnetze durch Kriminelle zu unterbinden. Hierzu ist die kooperative Mitwirkung der Domaininhaber erforderlich. Die Weitergabe der Infektionsdaten durch das BSI an Internet-Provider und andere, auch internationale Partner ermöglicht eine rasche Bereinigung der betroffenen Systeme. Aufkommen und Entwicklung der Infektionszahlen werden anhand des Unique-IP-Index gemessen. Gezählt werden die eindeutigen IP-Adressen pro Tag in Deutschland und in der Welt. Auch im aktuellen Berichtszeitraum war der Trend weiter rückläufig, sodass der Index sich überwiegend unter dem Durchschnittswert von 2019 bewegte. Unique-IP-Index * 2019=100 2019 weltweit Mai April März Februar Januar Dezember November Oktober September August Juli Juni 120 100 80 60 40 20 0 2020 Deutschland Abbildung 3 Unique-IP-Index, Quelle: BSI-Auswertung eigener Quellen * Ohne infizierte IP-Adressen, die nicht im Sinkholing erfasst wurden. Empfehlung Die Infektionszahlen verdeutlichen, dass selbst nach dreieinhalb Jahren viele betroffene Anwenderinnen und Anwender ihre infizierten Systeme noch nicht bereinigt haben. Das BSI empfiehlt, dies dringend nachzuholen. 17