> ## Content Index
> Fetch the complete content index at: https://www.aibad.news/llms.txt
> Use this file to discover other available public pages before exploring further.

# Drei Millionen Zombies im Wohnzimmer, und die Firewall hat nicht geholfen
- URL: https://www.aibad.news/drei-millionen-zombies-im-wohnzimmer-und-die-firewall-hat-nicht-geholfen/
- Published: 2026-11-11T06:00:00.000Z
- Updated: 2026-11-11T05:59:59.000Z
- Author: Roger Basler de Roca
- Tags: #linkedin-import

**TLDR:** *Das US-Justizministerium hat bereits am 19\. März 2026 zusammen mit Behörden aus Kanada, Deutschland und den Niederlanden die Steuerinfrastruktur von vier IoT-Botnetzen zerschlagen. Über drei Millionen kompromittierte Geräte, DDoS-Angriffe bis zu 30 Terabit pro Sekunde. Der eigentliche Bruch liegt nicht in der Grösse, sondern in der Methode: Zwei der Netze infizierten gezielt Geräte, die normalerweise vom Internet abgeschirmt sind. Damit fällt eine Annahme, auf der die meisten Heimnetzwerke beruhen.*

### Was tatsächlich passiert ist

Das US-Justizministerium beteiligte sich am 19\. März 2026 an einer gerichtlich genehmigten Operation, um die Command-and-Control-Infrastruktur der Botnetze Aisuru, KimWolf, JackSkid und Mossad lahmzulegen. Zeitgleich agierten Behörden in Kanada und Deutschland gegen die Betreiber, koordiniert über Europols PowerOFF-Team. Beteiligt waren fast zwei Dutzend Technologiefirmen, darunter Akamai, Cloudflare, Google, AWS und Team Cymru.

Der Name Aisuru ist in der Sicherheitsszene seit Längerem bekannt. Das Netz tauchte Ende 2024 auf und lieferte bis Mitte 2025 rekordverdächtige DDoS-Angriffe, während es immer neue IoT-Geräte infizierte. Mossad ist, anders als der Name vermuten lässt, schlicht der Name eines weiteren Botnetzes, kein Tippfehler und keine Geheimdienstoperation.

Wichtig für die Einordnung: Ein Takedown der Steuerserver entfernt nicht die Schadsoftware. Die Geräte bleiben infiziert, aber ohne funktionierende Kommandoinfrastruktur sind sie für ihre Betreiber deutlich weniger nützlich. Die Zombie-Armee steht also weiter in Millionen Wohnzimmern, sie wartet nur auf neue Befehle.

### Die eigentliche Eskalation: hinter der Firewall ist nicht mehr sicher

Die meisten Berichte betonen die Datenrate. Das ist die falsche Schlagzeile. KimWolf und JackSkid griffen gezielt Geräte an, die traditionell vom restlichen Internet abgeschirmt sind. Sie kompromittierten Hardware hinter dem internen Netzwerk der Nutzer:innen, also dort, wo der gesunde Menschenverstand bislang sagte: Da kommt von aussen niemand ran.

KimWolf ist dabei der Android-fokussierte Nachfolger von Aisuru. Das Netz hat mehr als zwei Millionen Android-Geräte versklavt, überwiegend No-Name-Smart-TVs und Set-Top-Boxen. Die Verbreitung beschleunigte sich, nachdem die Sicherheitsfirma Synthient am 2\. Januar 2026 die ausgenutzte Schwachstelle öffentlich machte. Wer einen 39-Franken-Streaming-Stick ans Heimnetz hängt, holt sich potenziell einen Knoten in eine kriminelle Infrastruktur ins Haus, ohne es je zu merken.

### Cybercrime-as-a-Service und die Rekordzahlen

Diese Netze wurden nicht für einzelne Racheakte gebaut. Sie wurden vermietet. Die infizierten Systeme wurden in ein Cybercrime-as-a-Service-Modell überführt, in dem der Zugang zu den Botnetzen an andere Akteure verkauft wurde. Betreiber und Kund:innen führten gemeinsam Hunderttausende Angriffe aus, teils mit Erpressungsforderungen.

Die Befehlszahlen zeigen die Dimension. Aisuru gab über 200'000 Angriffsbefehle aus, KimWolf 25'000, JackSkid 90'000 und Mossad über 1'000\. Kombiniert über 316'000\. Die grösste je gemessene Attacke war ein 31,4-Terabit-Angriff im November 2025, fast sechsmal so gross wie der Spitzenwert von 2024\. Die meisten Angriffe 2025 dauerten unter zehn Minuten, was das Zeitfenster für eine manuelle Abwehr durch Menschen praktisch schliesst.

Dass die Sache nicht abstrakt ist, zeigt der personelle Teil. Die kanadischen Behörden nahmen am 20\. Mai 2026 einen 23-jährigen Mann aus Ottawa fest, der Kimwolf gebaut und betrieben haben soll. Jacob Butler, online bekannt als "Dort", wird in einem Punkt wegen Beihilfe zum Computereinbruch angeklagt und muss bei einer Verurteilung mit bis zu zehn Jahren Haft rechnen. Pikant: der Sicherheitsjournalist Brian Krebs hatte ihn bereits im Februar 2026 öffentlich identifiziert, woraufhin Dort mit DDoS-, Doxing- und Swatting-Kampagnen gegen Krebs und einen Sicherheitsforscher reagierte.

### Das strukturelle Marktversagen

Hier liegt die Ursache, nicht das Symptom. Hersteller billiger IoT-Geräte priorisieren Markteinführung vor Sicherheit. Die Netze verbreiteten sich über den weichen Unterleib des Internets: Router, IP-Kameras und digitale Videorekorder, die oft mit schwachen Standardpasswörtern ausgeliefert und selten gepatcht werden. Security by Design ist bei Konsumgütern die Ausnahme, nicht die Regel.

Das erzeugt eine asymmetrische Bedrohung. Ein einzelnes verwundbares Gerät ist für seine Besitzer:innen harmlos. Drei Millionen davon, koordiniert, sind eine Waffe gegen kritische Infrastruktur. Aisuru zielte wiederholt auf Organisationen kritischer Infrastruktur, etwa in der Telekommunikation und im Finanzsektor. Selbst militärische Systeme waren betroffen, was die Beteiligung des US-Verteidigungsministeriums an der Operation erklärt.

Und das Problem reproduziert sich. Millionen unsicherer Geräte sind weiter online, viele mit veralteter Firmware oder Standardpasswörtern, ein fertiges Rekrutierungsreservoir für die nächste Generation von Botnetz-Bauern. Ein Takedown beseitigt Betreiber und Server. Die Schwachstelle im Markt beseitigt er nicht.

### Implikationen für Entscheider

Für Unternehmen verschiebt sich die Risikobewertung an einer konkreten Stelle. Mit hybriden Arbeitsmodellen sitzen genau diese kompromittierten Geräte in den Heimnetzwerken der Mitarbeitenden. Die Angriffsfläche endet nicht mehr am Rechenzentrum. Der Smart-TV im Wohnzimmer der Mitarbeiterin teilt sich das Netz mit ihrem Firmenlaptop.

Daraus folgen drei nüchterne Konsequenzen. Erstens: Netzwerkgrenzen neu denken. Die Annahme, das interne Netz sei vertrauenswürdig, ist nach KimWolf nicht mehr haltbar, deshalb sind Zero-Trust-Architekturen kein Buzzword, sondern Notwehr. Zweitens: Edge-Security muss volumetrische Angriffe dieser Grössenordnung aushalten, denn bei Angriffsdauern unter zehn Minuten gibt es keine Zeit für manuelle Reaktion. Drittens, und das ist der unbequeme Teil: Wer Mitarbeitenden Home-Office erlaubt, hat eine Mitverantwortung für deren Heimnetz übernommen, ob er das will oder nicht.

Die Frage ist nicht, ob Ihre Mitarbeitenden ein verwundbares IoT-Gerät zu Hause haben. Die Frage ist, ob Sie wissen, was passiert, wenn es kompromittiert wird.

### Die wichtigsten Punkte

- Vier Botnetze (Aisuru, KimWolf, JackSkid, Mossad) wurden am 19\. März 2026 durch eine internationale Operation lahmgelegt, koordiniert von USA, Kanada, Deutschland und den Niederlanden über Europols PowerOFF-Team.
- Die eigentliche Innovation: KimWolf und JackSkid erreichten Geräte hinter dem internen Netzwerk, womit die Annahme "hinter der Firewall ist sicher" fällt.
- Über drei Millionen Geräte infiziert, kombiniert über 316'000 Angriffsbefehle, Spitzenwert 31,4 Tbps.
- Geschäftsmodell war Cybercrime-as-a-Service: Botnetz-Zugang wurde an Dritte vermietet.
- Ein 23-jähriger Kanadier (Jacob Butler, "Dort") wurde am 20\. Mai 2026 festgenommen, angeklagt wegen Beihilfe zum Computereinbruch, bis zu zehn Jahre Haft möglich.
- Der Takedown entfernt die Steuerung, nicht die Infektion. Millionen Geräte bleiben verwundbar.
- Für Unternehmen verschiebt Home-Office die Angriffsfläche ins Heimnetz der Mitarbeitenden.

### Disclaimer

Dieser Artikel wurde nach meinem eigenen Wissen und dann mit Recherchen mit KI ([Perplexity.Ai](http://perplexity.ai/?ref=aibad.news) und [Gemini.Google.com](http://gemini.google.com/?ref=aibad.news)) manuell zusammengestellt und mit [Deepl.com/write](http://deepl.com/write?ref=aibad.news) vereinfacht. Der Text wird dann nochmals von zwei Personen meiner Wahl gelesen und kritisch hinterfragt. Das Bild stammt von KI-generierter Bildgebung (Ideogram/Adobe Firefly). Dieser Artikel ist rein edukativ und erhebt keinen Anspruch auf Vollständigkeit. Bitte melde dich, wenn Du Ungenauigkeiten feststellst, danke.

### Quellen und weitere Informationen

[Abijita.com](http://abijita.com/?ref=aibad.news). (2026, Mai). *Canadian man charged over KimWolf DDoS botnet that infected nearly 2 million devices.* [https://www.abijita.com/canadian-man-charged-over-kimwolf-ddos-botnet-that-infected-nearly-2-million-devices/](https://www.abijita.com/canadian-man-charged-over-kimwolf-ddos-botnet-that-infected-nearly-2-million-devices/?ref=aibad.news)

BleepingComputer. (2026, 22\. Mai). *US and Canada arrest and charge suspected Kimwolf botnet admin.* [https://www.bleepingcomputer.com/news/security/us-and-canada-arrest-and-charge-suspected-kimwolf-botnet-admin/](https://www.bleepingcomputer.com/news/security/us-and-canada-arrest-and-charge-suspected-kimwolf-botnet-admin/?ref=aibad.news)

Cybersecurity Dive. (2026, 20\. März). *US, allies move to dismantle four high-volume IoT botnets.* [https://www.cybersecuritydive.com/news/botnet-takedown-operation-us-canada-germany/815309/](https://www.cybersecuritydive.com/news/botnet-takedown-operation-us-canada-germany/815309/?ref=aibad.news)

Help Net Security. (2026, 20\. März). *Authorities disrupt four IoT botnets behind record DDoS attacks.* [https://www.helpnetsecurity.com/2026/03/20/us-disrupts-iot-botnets-ddos-attacks-aisuru-kimwolf/](https://www.helpnetsecurity.com/2026/03/20/us-disrupts-iot-botnets-ddos-attacks-aisuru-kimwolf/?ref=aibad.news)

Krebs, B. (2026, März). *Feds disrupt IoT botnets behind huge DDoS attacks.* KrebsOnSecurity. [https://krebsonsecurity.com/2026/03/feds-disrupt-iot-botnets-behind-huge-ddos-attacks/](https://krebsonsecurity.com/2026/03/feds-disrupt-iot-botnets-behind-huge-ddos-attacks/?ref=aibad.news)

Krebs, B. (2026, Mai). *Alleged Kimwolf botmaster "Dort" arrested, charged in U.S. and Canada.* KrebsOnSecurity. [https://krebsonsecurity.com/2026/05/alleged-kimwolf-botmaster-dort-arrested-charged-in-u-s-and-canada/](https://krebsonsecurity.com/2026/05/alleged-kimwolf-botmaster-dort-arrested-charged-in-u-s-and-canada/?ref=aibad.news)

The Hacker News. (2026, 20\. März). *DoJ disrupts 3 million-device IoT botnets behind record 31.4 Tbps global DDoS attacks.* [https://thehackernews.com/2026/03/doj-disrupts-3-million-device-iot.html](https://thehackernews.com/2026/03/doj-disrupts-3-million-device-iot.html?ref=aibad.news)

The Register. (2026, 20\. März). *Feds disrupt IoT botnets behind record-breaking DDoS attacks.* [https://www.theregister.com/2026/03/20/botnet\_disruption/](https://www.theregister.com/2026/03/20/botnet%5Fdisruption/?ref=aibad.news)

SecurityWeek. (2026, 20\. März). *Aisuru and Kimwolf DDoS botnets disrupted in international operation.* [https://www.securityweek.com/aisuru-and-kimwolf-ddos-botnets-disrupted-in-international-operation/](https://www.securityweek.com/aisuru-and-kimwolf-ddos-botnets-disrupted-in-international-operation/?ref=aibad.news)

Team Cymru. (2026, 19\. März). *Team Cymru & DOJ disrupt world's largest IoT DDoS botnets.* [https://www.team-cymru.com/post/team-cymru-doj-iot-ddos-botnet-disruption](https://www.team-cymru.com/post/team-cymru-doj-iot-ddos-botnet-disruption?ref=aibad.news)

U.S. Department of Justice, District of Alaska. (2026, 19\. März). *Authorities disrupt world's largest IoT DDoS botnets responsible for record breaking attacks targeting victims worldwide.* [https://www.justice.gov/usao-ak/pr/authorities-disrupt-worlds-largest-iot-ddos-botnets-responsible-record-breaking-attacks](https://www.justice.gov/usao-ak/pr/authorities-disrupt-worlds-largest-iot-ddos-botnets-responsible-record-breaking-attacks?ref=aibad.news)

U.S. Department of Justice, District of Alaska. (2026, 21\. Mai). *Canadian man arrested by international authorities, charged with administrating KimWolf DDoS botnet.* [https://www.justice.gov/usao-ak/pr/canadian-man-arrested-international-authorities-charged-administrating-kimwolf-ddos](https://www.justice.gov/usao-ak/pr/canadian-man-arrested-international-authorities-charged-administrating-kimwolf-ddos?ref=aibad.news)