FBI stoppt Botnetz aus 2 Millionen TV-Geräten

Es ist eine der größten Aktionen gegen die digitale Schattenwirtschaft seit Jahren: Anfang Juli 2026 hat die US-Bundespolizei FBI ein weltweites Netzwerk aus mehr als zwei Millionen gekaperten Geräten lahmgelegt. Darunter waren nach Angaben der Ermittler auch ganz normale Smart-TVs und Streaming-Boxen. Die Besitzer ahnten meist nichts davon, dass ihre Geräte im Hintergrund für fremde und teils kriminelle Zwecke genutzt wurden. Hermann Sauer ist IT-Sicherheitsexperte engagiert sich seit über 20 Jahren für Datenschutz und Online-Anonymität. Er ist Teil unseres Expertennetzwerks EXPERTS Circle. Im Zentrum steht ein Dienst namens NetNut. Er gehört nach Recherchen des Sicherheitsjournalisten Brian Krebs zur börsennotierten israelischen Firma Alarum Technologies. NetNut verkaufte sogenannte Residential Proxies, also Zugänge, über die Datenverkehr scheinbar von normalen Privatanschlüssen ins Netz läuft. Kriminelle nutzen solche Dienste, um ihre Spuren zu verwischen. Am 2. Juli 2026 beschlagnahmte das FBI hunderte Internetadressen des Dienstes, unterstützt von Google und weiteren Sicherheitsfirmen. Zwei Millionen unfreiwillige Helfer Die gekaperten Geräte bildeten zusammen ein riesiges Botnetz, das die Ermittler Popa nennen. Über sie leiteten Angreifer ihren Datenverkehr um und agierten unerkannt. Laut Google reichte das Spektrum von Werbebetrug über das massenhafte Absaugen von Webseiten bis zur Übernahme fremder Nutzerkonten. Allein in einer Woche im Juni 2026 zählte Google 316 verschiedene Angreifergruppen, darunter sogar Spionageakteure. Wie groß das Geschäft mit solchen Proxys ist, zeigt eine weitere Zahl: Der Anbieter Infoblox registrierte 2025 rund 500 Milliarden Proxy-Anfragen pro Monat. ANZEIGE ANZEIGE So gelangte die Schadsoftware auf die Geräte Für Verbraucher ist vor allem wichtig: Wie kommt so etwas auf den eigenen Fernseher? Die Infektionen liefen über drei Wege, meist ohne bewusste Zustimmung der Besitzer. Erstens war ein großer Teil der Geräte schon beim Kauf verseucht. Bei billigen No-Name-Android-Boxen und Streaming-Sticks steckte die Schadsoftware bereits ab Werk in der Betriebssoftware. Google ordnet diese Bauteile dem bekannten Botnetz BadBox 2.0 zu. Zweitens versteckte sich der Schadcode in kostenlosen Apps. Nach Erkenntnissen der Ermittler brachte ein SDK von NetNut, also ein Software-Baustein, heimlich eine Proxy-Funktion mit. Solche Apps sahen harmlos aus, etwa als VPN-Dienst, Bildschirmschoner oder PDF-Betrachter. Bei mehr als 20 davon fand die Firma Spur keinen Warnhinweis. Die Nutzer konnten also kaum erkennen, dass ihr Anschluss heimlich an Fremde weitervermietet wird. Drittens spielten Apps eine Rolle, die Nutzern Geld fürs Teilen ungenutzter Bandbreite versprachen. Hier stimmt man oft zu, ohne zu verstehen, dass das Gerät damit für Fremde geöffnet wird. Auch bei Marken-Fernsehern ein Risiko Besonders brisant: Betroffen war nicht nur graue Importware. Wie verbreitet die Masche mit heimlichen Proxy-Bausteinen ist, zeigt eine Untersuchung der Firma Spur: Von gut 6.000 analysierten LG- und Samsung-Apps enthielt ein erheblicher Teil solche Software, bei den LG-Apps mit dem System webOS rund 42 Prozent, bei Samsung mit Tizen über ein Viertel. Solche Apps werden meist über die offiziellen Stores der Hersteller installiert. Auch Nutzer von LG- und Samsung-Fernsehern konnten so durch installierte Apps betroffen sein. Ist mein Gerät betroffen? Die wichtigsten Checks Einen hundertprozentigen Selbsttest gibt es nicht, ein infiziertes Gerät wirkt im Alltag oft unauffällig. Diese Anzeichen helfen aber, das eigene Risiko einzuschätzen: Das Gerät wird ohne Grund langsam, überhitzt oder verbraucht auffällig viel Strom oder Datenvolumen, obwohl niemand streamt. Auf dem Fernseher oder der Box tauchen unbekannte Apps auf, etwa Gratis-VPNs, Bildschirmschoner oder PDF-Betrachter. Im Router zeigt sich ein hoher Datenabfluss, der nicht zum eigenen Nutzungsverhalten passt. Der Internetanbieter hat bereits vor auffälligem Datenverkehr gewarnt. Das Gerät ist eine sehr günstige No-Name-Box, stammt vom Gebrauchtmarkt oder ist nicht Play-Protect-zertifiziert. Was Sie jetzt tun können Fachleute raten, Apps nur aus den offiziellen Stores zu laden und bei Programmen vorsichtig zu sein, die Geld fürs Teilen der Internetleitung versprechen. Beim Neukauf helfen seriöse Marken und die Kennzeichnung Play-Protect-zertifiziert. Im Zweifel hilft ein Zurücksetzen auf Werkseinstellungen, das aber keine Garantie bietet. Die Gefahr ist nicht vorbei Vorbei ist die Gefahr aber nicht. Für Alarum hatte die Aktion Folgen, die Aktie verlor laut Krebs binnen einer Woche rund 67 Prozent. Ein rechtskräftiges Urteil gibt es bislang nicht, für alle Beteiligten gilt die Unschuldsvermutung. Sicherheitsforscher warnen jedoch, dass die Betreiber oft neue Geräte kapern. Wachsam bleiben lohnt sich, gerade weil der nächste unfreiwillige Helfer im schlimmsten Fall der eigene Fernseher sein könnte.