Die Aktion sollte nicht nur aufzeigen, wie hoch das Infektionsrisiko für Nutzer ist. Denn die Hacker-Attacke diente lediglich zur Vorbereitung weiterer Experimente. "Click" wollte illustrieren, was für ein mächtiges Werkzeug ein Botnetz in den Händen von Cyberkriminellen ist - ob für den Spam-Versand oder DDoS-Attacken (Distributed Denial of Service). In den Besitz der Botnetz-Software ist das Click-Team laut BBC durch den Besuch entsprechender Chatrooms gekommen. "Es ist wirklich sehr einfach, ein eigenes Botnetz aufzubauen. Noch leichter wäre es sogar, bei Bedarf eines im Untergrund anzumieten", bestätigt Joe Pichlmayr, Geschäftsführer bei Ikarus Software, im Gespräch mit pressetext.

Was Kriminelle mit einem Botnetz anstellen können, haben die BBC-Mitarbeiter in Experimenten demonstriert. Zunächst konnten den gekaperten Rechner zwei Test-E-Mail-Adressen binnen Stunden mit tausenden Spam-Nachrichten überfluten. Für Hacker wichtig sind Botnetze aber auch für DDoS-Attacken gegen Webserver. Wie schnell so ein Angriff Erfolg haben kann, hat Click in Zusammenarbeit mit dem Sicherheitsunternehmen Prevx gezeigt. Nur 60 Computer waren laut BBC ausreichend, um die Internetanbindung einer Prevx gehörenden Backup-Seite zu überlasten. Cyberkriminelle nutzen das etwa, um Webseiten allein mit der Androhung von DDoS-Attacken zu erpressen

"Der Schaden fürs Geschäft wäre sehr erheblich, sodass viele der Seiten die Schutzzahlung leisten", erklärt Prevx-Mitarbeiter Jacques Erasmus. In der Praxis würden 60 Computer allerdings schwerlich genügen, um ein wirklich großes Internet-Angebot vom Netz zu schießen, bestätigt Pichlmayr gegenüber pressetext - vor allem, wenn hinter dem Angebot eine dezentrale Infrastruktur steht wie etwa bei Google. Das Click-Experiment wurde mittlerweile beendet und das BBC-Botnetz stillgelegt. Außerdem hat man die Besitzer der gekaperten PCs über ihre mangelnde Sicherheit informiert und darüber aufgeklärt, wie diese verbessert werden kann.

Tatsächlich wertvolle persönliche Daten gestohlen hat das Click-Team nicht, während echte Kriminelle auch daran großes Interesse haben dürften. Für den professionellen Cyber-Untergrund sind bestimmte Netzwerke gekaperter Rechner daher besonders wertvoll. "Computer aus den USA oder Großbritannien kosten etwa 350 bis 400 Dollar pro Tausend, weil sie viele Finanzinformationen wie Online-Banking-Passwörter oder Kreditkarteninformationen enthalten", erklärt Erasmus.

Daran, ob das BBC-Experiment als Aktion zum Wachrütteln der Bevölkerung sinnvoll ist, hat Pichlmayr gewisse Zweifel. "Das ist ein wenig so, wie Sprengstoff in ein Flugzeug zu schmuggeln, nur um zu zeigen, dass es geht", meint er. Seiner Ansicht nach sei eine regelmäßige Berichterstattung über die seit Jahren erfolgenden Warnungen von Sicherheitsunternehmen zweckdienlicher, um ein Gefahrenbewusstsein zu schaffen. (pte)