Was ist ein Botnet?

Bot ist die Kurzform für Roboter. Aber natürlich sind Computer keine Roboter im herkömmlichen Sinn, dennoch können Sie im Auftrag von Menschen autonom agieren. Wenn ein Programm selbsttätig Aktionen z.B. im Internet ausführt, spricht man von einem Bot. Die Mehrzahl der Bots erledigt sinnvolle Aufgaben, wie z.B. das Katalogisieren von Websites. Googles Bots lesen unablässig alles, was sie im Internet finden, bewerten es, ordnen es zu und sortieren alles hübsch ordentlich in ihren Katalog ein, in dem wir dann finden können, wonach wir suchen.

Neben solchen hilfreichen Bots, gibt es aber auch solche, die destruktiven Einfluss auf die Systeme nehmen, denen sie zugewiesen werden. So kann ein Bot z.B. Spam versenden. Das Problem für den Bot ist dabei, dass die Zeit in der er das aktiv tun kann begrenzt ist, weil die IP von der der Spam kommt zurückverfolgt werden kann und ggf. zur Sperrung führt. Außerdem ist der massenhafte Versand von eMails über die meisten Server wegen eines Versandlimits nicht mehr möglich.

Um dem zu begegnen werden Bots vom Entwickler/Benutzer heimlich auf vielen Rechnern installiert. Das kann z.B. beim Öffnen einer eMail mit einem entsprechenden Anhang passieren. Wenn viele Rechner einen solchen Bot installiert haben, nennt man das ein Botnet. Damit werden über eine zentrale Verwaltung Steuerbefehle für die geplanten Aktionen gegeben. Weil nun viele Bots über die vielen Rechner und deren IP im Netz agieren greift das Versandlimit und das ermitteln der IPs für eine Sperrung nicht mehr. Solche Bots besuchen u.A. auch Websites, wo sie automatisiert Formulare "ausfüllen" und absenden. Besonders beliebt sind dann Formulare, die eine Kopie an den Besucher der Website versenden, weil über diesen kleinen Umweg wieder Spam versendet werden kann.

Aber nicht nur Spam ist ein Thema, auch das Klicken von Feldern für das Manipulieren von Statistiken oder eine BrutForce-Attacke auf Logins können Aufgabe von Botnets sein. Gemeinsam ist diesen Aufgaben, dass sie von vielen verschiedenen IPs kommen müssen um nicht entdeckt zu werden.

Welche Gefahr stellen Botnets für Websites dar?

Obwohl es keinen großen finanziellen Nutzen für die Angreifer von Websites mit Botnets gibt, werden Websites dennoch systematisch angegriffen. In unseren über 20 Jahren Websitebetreuung haben wir jedes schlecht geschützte Formular bereut. In der Regel kann man von einem Angriff nach spätestens 3 Monaten ausgehen, oft auch früher. Zu Testzwecken bewusst ungeschützt hinterlegte Formulare verzeichneten in den vergangenen Jahren jeweils zwischen 10tsd und 25tsd versendete Formulare pro Monat. Nicht nur kann ein Unternehmen den Zweck eines Formulars nicht mehr nutzen, weil die vielen Eingänge unmöglich ausgewertet werden können, um reale Eingänge zu erkennen, es kann auch zu einem Datenschutzproplem führen. Wenn nämlich dem User, der das Formular ausgefüllt hat, eine Kopie an die eigene Adresse gesendet wird, bekommt diese Kopie in Wirklichkeit der vom Bot eingetragene eMail-Account. In der genannten Größenordnung wird das kurzfristig zu Beschwerden führen und, falls man das nicht abstellt, in extremen Fällen die Trennung des Servers oder der Website vom Internet provozieren.

In bestimmen, sicher seltener vorkommenden, Fällen, kann ein Botnet auch einfache Klicks auf einen Artikel erzeugen, die denn eine Bewertung des Artikels beeinflussen. Das mag z.B. für Webshops ein Problem sein, wenn dort die Positionierung von Waren interessensabhängig ist.

Wie kann man sich vor Botnets schützen?

Botnets wachsen schneller als man sie wieder einfangen kann. Ein Schutz wird, zumindest im Augenblick, eher in der Abwehr von Angriffen bestehen. Wir haben mit dem daCaptcha dabei ausschließlich Websites im Blick. Sie sind für Bots genauso erreichbar wie für normale User. Der beste Weg sich vor Bots die als Netzwerk angreifen zu schützen, ist, sie zu erkennen und an der Ausführung ihrer "Arbeit" zu hindern.

In den Anfängen von Websites hat es meist ausgereicht ein krakeliges Bild mit verschiedenen Zeichen zu zeigen, die der User abtippen musste. Inzwischen bieten diese ImageCaptchas keinen ausreichenden Schutz mehr. Außerdem sind sie ziemlich lästig, wenn man gerade ein Formular versenden oder sich irgendwo einloggen möchte. Auch Delays (das Verzögern der Sendefreigabe) oder Honeypots (Felder, die nur ein Bot ausfüllt, weil sie für den User unsichtbar sind) sind wirkungslos.

Bots lassen sich eher mit Art Touring Test, bei dem möglichst viele Parameter beobachtet oder geprüft werden, erkennen. Proof of Work-Methoden, Usertrail-Auswertungen und der Vergleich von Handlungsmustern sind mögliche Wege Bots zu identifizieren. Im Idealfall werden diese Methoden, wie in unserem daCaptcha, kombiniert. Wichtig ist im Blick zu behalten, dass man ja echte Menschen nicht aussperren möchte. Also kann man nicht einfach sehr große Hürden aufbauen, sondern muss vielmehr eine möglichst präzise Beurteilung treffen, bevor dem User ein digitaler Prozess verwehrt wird.