Der Sicherheitstest des BSI: Wie man ein Botnetz findet

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat letztens einen Sicherheitstest vorgestellt [1], mit dem Leute prüfen können, ob ihre E-Mail-Adressen von dem Identitätsdiebstahl eines Botnetzes betroffen sind. Nehmen wir nun mal an, es gibt Leute beim BSI, die wissen, was sie tun…

Vorraussetzungen: Das BSI hat eine Liste von E-Mail-Adressen von Leuten, deren Rechner Teil des Botnetzes sind. Das Botnetz selbst ist schwer zu finden, aber irgendwie ist die Liste rausgeleaked. Vielleicht wurde der Betreiber ja gierig… (das ist für ein Botnetz ein katastrophales Datenleck)

Wir haben also E-Mail-Adressen, aber wir kennen nicht die Rechner, die am Botnetz teilnehmen. Was machen wir?

Wir könnten natürlich im Numbers-Fernsehpolizei-Stil den gesamten Datenverkehr im Internet analysieren. Aber das wäre völlig unnötiger Overhead (und Datenschutztechnisch wohl verboten).

Denn es geht auch einfacher, viel einfacher: Wir wenden uns an die Medien. Die Tagesschau berichtet und sehr, sehr viele Leute geben uns ihre E-Mail-Adressen, und wenn eine der Adressen in unserer Datenbank von korrumpierten Adressen liegt, speichern wir die IP-Adresse.

Voilà, wir haben eine Karte der Verbreitung des Botnetzes. Jetzt können wir sehr begrenzt den Datenverkehr der betroffenen IPs analysieren, um den Betreiber des Botnetzes aufzuspüren.

Der Betreiber weiß nicht, welche seiner Bots wir gefunden haben. Um uns aufzuhalten, hat er jetzt also nur eine Möglichkeit: Den gesamten deutschen Teil des Botnetzes abschalten.

Ein Meisterstück.

Und möglich aus einem Grund: Für die Bürger gehört das BSI zu den Guten. Außerdem haben alle Angst, dass ihre E-Mail korrumpiert sein könnte, sind also hochmotiviert, mitzumachen.

Daher an das BSI: Respekt zu diesem Schritt. Und bitte bleibt die Guten, damit ihr das in Zukunft wieder machen könnt.

PS: » Sollte sich Ihre E-Mail-Adresse in den Botnet-Daten befinden, erhalten Sie eine von uns per PGP signierte E-Mail mit dem folgenden Code im Betreff:…« ← Hiermit haben Millionen Deutsche zum ersten Mal den Namen PGP [2] im Zusammenhang mit E-Mail Signaturen gelesen. Auch das ist ein PR-Technisches Meisterstück, das helfen kann, trotz der politisch verordneten de-mails den Mailverkehr in Deutschland zu sichern.