Risikomonitor warnt: Globale Angriffswelle auf Telekommunikations- und Internetinfrastruktur
Das Wiener Cybersicherheitsunternehmen Risikomonitor GmbH hat im Rahmen seines kontinuierlichen Darknet-Monitoring-Dienstes eine großangelegte, aktive Angriffskampagne auf Telekommunikations- und Internetinfrastruktur aufgedeckt. Die Kampagne, die unter dem Namen REDHEBERG operiert, hat weltweit fast 80.000 Systeme kompromittiert – mit einem dokumentierten Zuwachs von rund 2.000 weiteren Systemen täglich.
„Die Geschwindigkeit, mit der sich dieser Angriff ausbreitet, ist in dieser Form bislang kaum beobachtet worden. Wir sprechen hier nicht von einem opportunistischen Angriff, sondern von einer professionell organisierten, kommerziell betriebenen kriminellen Infrastruktur – die aktiv wächst und vermietet wird."
— Manuel Löw-Beer, CEO Risikomonitor GmbH
Betroffen sind ausschließlich Telekommunikationsunternehmen und Internet Service Provider. Risikomonitors Darknet-Monitoring-Dienst verfolgt die Kampagne seit ihrer Entstehung und stellt die gewonnenen Erkenntnisse nationalen CERTs sowie betroffenen Unternehmen zur Verfügung. Das tschechische Nationale Cybersicherheitszentrum NÚKIB und CERT.cz haben die Kampagne offiziell dokumentiert.
Der Bedrohungsakteur: REDHEBERG
REDHEBERG ist kein Einzeltäter und keine opportunistische Hackergruppe. Es handelt sich um einen organisierten kriminellen Dienstleister, der seine Infrastruktur aktiv auf dem Markt anbietet.
Technisches Vorgehen: Fileless, schnell, schwer zu erkennen
Was REDHEBERG von klassischen Botnet-Kampagnen unterscheidet: Nach der Kompromittierung wird keine neue Schadsoftware installiert. Stattdessen werden die eingebetteten Werkzeuge der betroffenen MikroTik-Netzwerkgeräte direkt umfunktioniert. Klassische Antivirus- und Endpoint-Detection-Lösungen schlagen nicht an.
Explosives Wachstum – Die Dimension der Bedrohung
Mit rund 2.000 neu kompromittierten Systemen täglich verdoppelt sich die Kapazität des Botnets alle drei Wochen.
| Zeitraum | Systeme | DDoS-Kapazität |
|---|---|---|
| 13. April 2026 (Messzeitpunkt) | ~80.000 | 800 Gbps – 1,6 Tbps |
| +1 Woche | ~94.000 | 940 Gbps – 1,9 Tbps |
| +2 Wochen | ~108.000 | 1,1 Tbps – 2,2 Tbps |
| +1 Monat | ~140.000 | 1,4 Tbps – 2,8 Tbps |
| +3 Monate | ~260.000 | 2,6 Tbps – 5,2 Tbps |
Was ein Botnet dieser Größe anrichten kann
Wer steckt hinter REDHEBERG?
Die direkte Attribution von REDHEBERG zu einem staatlichen Akteur ist zum aktuellen Zeitpunkt nicht bestätigt. Risikomonitor und NÚKIB kommen übereinstimmend zu folgendem Befund: Die Struktur der Kampagne und ihre technische Umsetzung weisen auf eine organisierte cyberkriminelle Gruppe mit klarer wirtschaftlicher Motivation hin.
„Die Struktur der Kampagne und ihre technische Umsetzung weisen eindeutig auf eine organisierte cyberkriminelle Gruppe mit klarer wirtschaftlicher Motivation hin."
— Manuel Löw-Beer, CEO Risikomonitor GmbH
Besonders bemerkenswert: Chinas Flax-Typhoon-Botnet (Takedown September 2024) hatte exakt dieselbe Größenordnung wie REDHEBERG heute – 260.000 Geräte. Es wurde von einem öffentlich börsennotierten Pekinger Unternehmen betrieben.
| Akteur | Staat | Botnet-Größe | Modus & Aufdeckung |
|---|---|---|---|
| APT28 / Fancy Bear | Russland | Hunderte Router | FBI Operation 'Dying Ember', Feb. 2024 |
| Volt Typhoon | China | Tausende SOHO-Router | DOJ/FBI Takedown, Dez. 2023 |
| Flax Typhoon | China | 260.000 Geräte | FBI Takedown, Sept. 2024 |
Residential IPs: Warum die Abwehr extrem schwierig ist
Der gefährlichste Aspekt von REDHEBERG ist nicht die schiere Größe – sondern die Herkunft des Traffics. Jedes kompromittierte Gerät ist einem realen ISP-Kunden zugeordnet: einem Unternehmen, einer Behörde, einem Internetcafé, einem Krankenhaus. Der Angriffs-Traffic ist von legitimen Traffic technisch nicht zu unterscheiden.
Effektive Mitigation erfordert teure, spezialisierte Lösungen: BGP-Anycast-Scrubbing-Center. Diese Infrastruktur betreiben weltweit nur wenige Anbieter – Cloudflare, Akamai, Radware, Imperva. Wer keinen solchen Dienst vorgelagert hat, ist gegen ein Botnet dieser Größe praktisch schutzlos.
Kann REDHEBERG das globale Internet zum Erliegen bringen?
Ja – unter bestimmten Bedingungen ist das realistisch.
| Szenario | Kapazität | Auswirkung |
|---|---|---|
| DNS-Root-Server | ~500 Gbps | REDHEBERG kann das heute. Globale Namensauflösung gestört. |
| IXP-Überlastung | 1–3 Tbps | Regionale Ausfälle in Westeuropa oder Nordamerika. |
| Cloudflare-Totalausfall | 5+ Tbps | 20 % des globalen Internettraffics, 41+ Mio. Websites. In 3 Monaten erreichbar. |
Geografische Verteilung
Risikomonitors Darknet-Monitoring-Dienst hat in 91 Ländern kompromittierte Systeme erfasst. Die zehn am stärksten betroffenen Länder:
| # | Land | Einträge | Anteil |
|---|---|---|---|
| 1 | Polen (PL) | 10.505 | 13,1 % |
| 2 | Brasilien (BR) | 8.641 | 10,8 % |
| 3 | Vietnam (VN) | 6.906 | 8,6 % |
| 4 | Indonesien (ID) | 6.346 | 7,9 % |
| 5 | Indien (IN) | 4.288 | 5,4 % |
| 6 | Südafrika (ZA) | 4.262 | 5,3 % |
| 7 | Kambodscha (KH) | 3.404 | 4,3 % |
| 8 | Nepal (NP) | 3.223 | 4,0 % |
| 9 | Tschechien (CZ) | 3.158 | 3,9 % |
| 10 | Kenia (KE) | 2.432 | 3,0 % |
Tschechiens CERT.cz und NÚKIB haben die Kampagne als erste nationale Behörde weltweit offiziell bestätigt und dokumentiert.
Ausgenutzte Schwachstellen
Die hohe Ausbreitungsgeschwindigkeit deutet auf einen vollautomatischen Prozess hin. Primär ausgenutzt wird CVE-2023-30799 (CVSS 9.1) – eine kritische Privilege-Escalation-Schwachstelle in MikroTik RouterOS.
Einordnung der Rekord-Angriffe
Die jüngsten DDoS-Rekorde – darunter 11,5 Tbps und 31,4 Tbps – klingen dramatisch. Bei genauer Betrachtung relativieren sich diese Zahlen jedoch erheblich:
Der 11,5-Tbps-Angriff dauerte nur rund 35 Sekunden. Experten wie William Manzione von RETN sagen dazu explizit: „Ein 11,5-Terabit-Flood klingt dramatisch, aber die kurze Dauer von 35 Sekunden zeigt, warum die Größe allein die falsche Metrik ist." Für einen typischen Unternehmensangriff sind Stunden und Tage relevant, nicht Sekunden.
Diese Rekorde wurden von den weltweit größten Scrubbing-Infrastrukturen abgefangen. Cloudflare selbst war Ziel – das Aisuru-Botnet griff gleichzeitig Cloudflare-Kunden und Cloudflares eigenes Dashboard und Infrastruktur an. Ein normales Unternehmen hat schlicht keine Kapazität, solche Volumina zu absorbieren – die Frage stellt sich gar nicht erst.
Der 11,5-Tbps-Angriff stammte aus einer Kombination von IoT-Geräten und Cloud-Providern – also aus missbrauchten legitimen Cloud-Ressourcen, kein klassisches Botnet aus infizierten PCs. Beim 31,4-Tbps-Rekord im Dezember 2025 stammte der Traffic hauptsächlich von infizierten Android-TVs – ein völlig neues Gerätesegment.
Obwohl die Angriffe hyper-volumetrisch waren, wurden sie automatisch erkannt und mitigiert und lösten keinerlei interne Alarme aus. Das ist möglich, weil Cloudflare ein globales Anycast-Netzwerk über 330+ Standorte betreibt – eine Infrastruktur, die kein normales Unternehmen hat.
Aisuru-Kimwolf nutzt eine Carpet-Bombing-Technik kombiniert mit starker Randomisierung der Paket-Attribute, um Erkennung zu umgehen. Der Traffic wird auf viele IPs verteilt – das ist eine andere Angriffskategorie als ein gezielter Volumenangriff gegen ein einzelnes Unternehmen.
Die Angriffe werden nach dem „Hit and Run"-Prinzip ausgeführt: ein schneller Burst, der fast sofort Maximalwerte erreicht, und dann nach Sekunden bis Minuten endet. Für einen Risikomonitor sind anhaltende, zermürbende Angriffe das relevante Szenario.
Empfehlungen von Risikomonitor
„Fernzugriffe sollten nur über gesicherte Verbindungen erlaubt und Server gezielt auf Schwachstellen geprüft werden."
— Manuel Löw-Beer, CEO Risikomonitor GmbH
Risikomonitor GmbH ist ein österreichisches Cybersicherheitsunternehmen mit Sitz in Wien, spezialisiert auf Darknet-Monitoring, Threat Intelligence und Frühwarnsysteme für Unternehmen und kritische Infrastrukturen.
© 2026 Risikomonitor GmbH, Wien | TLP:WHITE | www.risikomonitor.com
Pressemitteilung herunterladen
Bitte Name und E-Mail-Adresse angeben — Sie erhalten einen Bestätigungscode, danach steht der Download bereit.
Weitere Artikel
PHP2Shell: Kritische PHP-Lücke trifft tausende Websites in Österreich und der Schweiz
CVE-2026-109618 und CVE-2026-109619 erlauben die Fernübernahme von Servern ohne Zugangsdaten. Auf unserer neuen Plattform php.risikomonitor.com können Website-Inhaber kostenlos prüfen, ob sie betroffen sind.
Kommunale IT-Sicherheit: 984 Gemeinden in Combolisten
Unsere Studie analysiert 2.086 österreichische Gemeinden: Zugangsdaten im Darknet, veraltete Software und öffentlich erreichbare Dienste.
Studie: Schatten-IT und Ransomware hängen eindeutig zusammen
Vier von fünf Schweizer Ransomware-Opfern hatten Firmenadressen in Datenlecks – im Schnitt nur jede sechste Firma.