Was zerschlagen wurde
Am 2. Juli 2026 ging Googles Threat Intelligence Group gemeinsam mit dem FBI, Lumen, der Shadowserver Foundation und der IRS Criminal Investigation gegen NetNut vor, ein Residential-Proxy-Netz, das Google auch unter dem Namen Popa führt und auf nicht weniger als 2 Millionen Geräte weltweit schätzt. Google schaltete die Konten und Dienste ab, über die das Netz seine Steuerung abwickelte, gab technische Details zu den versteckten SDKs an Plattformbetreiber und Forscher weiter und aktualisierte Play Protect, damit Nutzer gewarnt und Apps mit dem Code deaktiviert werden. Das FBI beschlagnahmte Hunderte Domains, darunter netnut.com, wo heute ein behördliches Beschlagnahmebanner steht. Recherchen von Krebs on Security führen den Dienst auf Alarum Technologies zurück, ein an der Nasdaq notiertes Unternehmen, dessen Anwalt erklärte, man nehme die Sache ernst und werde uneingeschränkt mit den Strafverfolgern zusammenarbeiten. Es ist die zweite Aktion dieser Art in diesem Jahr, nach dem Netz IPIDEA im Januar, und laut Google hat sie den verfügbaren Gerätepool bereits um Millionen verkleinert.
Das Ende der verdächtigen IP
Ein Residential-Proxy-Netz vermietet gewöhnliche Privatanschlüsse, sodass der Verkehr eines Angreifers mit der Adresse eines Wohnzimmers ankommt und nicht mit der eines ausländischen Rechenzentrums. Genau darum verkauft es sich. In einer Juniwoche zählte Google 316 verschiedene Angreifergruppen, kriminelle wie staatliche, die mutmaßliche NetNut-Ausgänge nutzten, um ihre Herkunft zu verschleiern, Passwort-Spraying zu fahren und in einigen Fällen von der Proxy-Software aus auf weitere Geräte im selben Heimnetz überzugreifen. Für ein europäisches Unternehmen zerbricht damit eine stille Annahme, die in einem Jahrzehnt Sicherheitstechnik steckt: dass riskanter Verkehr riskant aussieht. Wenn der Anmeldeversuch auf Ihre Konten von einem Privatanschluss im eigenen Land kommt, schlagen Geosperren und IP-Reputationslisten nicht an. Was noch wirkt, sind die Kontrollen, die Adressen nie vertraut haben: Multi-Faktor-Authentifizierung überall, Ratenbegrenzung pro Konto statt pro IP und Alarme auf Verhalten statt auf Herkunft.
Ihre Geräte sind die Ware
Die andere Hälfte der Geschichte ist die Herkunft dieser 2 Millionen Ausgänge: Software, die schon vor dem Kauf auf No-Name-Smart-TVs und Streaming-Boxen installiert war, und SDKs, die in Apps stecken und deren Entwickler für Ihre ungenutzte Bandbreite bezahlen. Der Gerätebesitzer weiß selten, dass er zur Infrastruktur geworden ist, doch in den Protokollen des Opfers erscheint seine Adresse. Damit wird die Gerätebeschaffung zur Sicherheitskontrolle und nicht zur Geschmacksfrage: zertifizierte Geräte seriöser Hersteller, Apps ausschließlich aus offiziellen Stores und ein hartes Nein zu allem, was Geld für geteiltes Internet verspricht. Auch die Aktion selbst erscheint damit in anderem Licht. Die Strafverfolgung verlagert sich vom Festnehmen einzelner Hacker zum Zerlegen der grauen Infrastrukturmärkte, die sie anmieten, und dieser lief, wie Forscher anmerken, in einem börsennotierten Unternehmen. Wenn Kriminalität auf Massenware reitet, schützt Sie die unglamouröse Disziplin: zu wissen, was im eigenen Netz hängt, und davon auszugehen, dass eine Adresse nichts beweist.
Weiterlesen: KI-Prüfung verpasste die Linux-Lücke zu Root | 29 Jahre alter Squid-Fehler gibt Klartext-Logins preis
