Enisa: Größe von Botnetzen wird überbewertet

Die EU-Agentur für Internetsicherheit Enisa hat einen Bericht über Botnetze veröffentlicht. Er trägt den Titel „Botnets: 10 Tough Questions„. Die Behörde meldet unter anderem Zweifel an, dass die Größe eines Botnetzes unmittelbar im Zusammenhang mit dem Sicherheitsrisiko steht, das von ihm ausgeht. Auch werde die Zahl der betroffenen Geräte vermutlich aus Effektgründen hochgespielt.

„Zahlen sagen überhaupt nichts aus“, erklärte Giles Hogben, Botnetz-Experte der Enisa, gegenüber ZDNet UK. „Selbst ein Botnetz, das aus 1000 Maschinen besteht, kann großen Schaden anrichten.“ Deshalb müsse man sich auf andere Aspekte konzentrieren.

Die Zahlen der an Botnetzen beteiligten Computer würden von Stichproben ausgehend hochgerechnet, heißt es in dem Bericht (PDF). Gleichzeitig gebe es aber keine Erklärungen, wie diese Schätzungen zustande kämen.

„Geläufige Hochrechnungen von Botnetz-Größen, die auch die Aufmerksamkeit der Medien erlangt haben, bewegen sich bei Conficker zwischen sieben und neun Millionen betroffenen Computern, Mariposa soll mehr als 13 Millionen infizierte Geräte umfasst haben, und bis zu 30 Millionen Rechner dürften Teil des Bredolab-Botnetzes gewesen sein“, schreiben die Autoren. „Große Zahlen implizieren große Gefahren – und deshalb hohe Aufmerksamkeit. Es gibt hier ein signifikantes Potenzial, die Menge der Bots zu überschätzen.“

Methoden wie das Zählen von IP-Adressen mit infiziertem Traffic können laut Enisa keinen Aufschluss über die Größe eines Botnetzes geben. Beispielsweise habe die University of California bei einer Untersuchung des Torpig-Botnetzes unterschiedliche Zahlen (PDF) erhalten: Eine eine Analyse einzelner IP-Adressen lieferte demnach 1,2 Millionen Hosts – während die Analyse eines einzigen Bot Identifier nur 180.000 Zombie-Rechner ergab.

Zwar hätten Medien in diesem Fall tatsächlich die 180.000 infizierten Geräte kolportiert, Organisationen seien aber unter Umständen interessiert daran, höhere Schätzungen zu veröffentlichen, um Investoren anzuziehen, sagte Hogben. „Möglicherweise haben Sie zwei gleichermaßen unbelegbare Zahlen, aber Sie wählen die größere, weil sie Ihren Zielen entgegenkommt.“ Aufmerksamkeit seitens der Medien sei ein Punkt, politische Ziele ein anderer. „Oder darüber hinwegzutäuschen, dass die eigene Sicherheitsabwehr nicht besonders effektiv war. ‚Mein Schutz hat gegenüber einer Horde von 30 Millionen Zombie-PCs versagt‘ klingt nicht so mies wie ‚Meine Site wurde von 30 Computern demontiert‘.“

Der Enisa-Bericht enthält auch Empfehlungen für europäische Gesetzgeber. Beispielsweise hält die Behörde ein sogenanntes „Gute-Samariter-Gesetz“ für sinnvoll. Ziel ist es, Hacker von der Haftpflicht auszunehmen, wenn sie in guter Absicht gegen Botnetze vorgehen. Es müsse jedoch darauf geachtet werden, Selbstjustiz via Internet zu unterbinden.