In der heutigen digitalen Landschaft, in der Anwendungen und APIs für Unternehmen von entscheidender Bedeutung sind, lauert eine unsichtbare Gefahr: hochentwickelte, bösartige Bots. Während herkömmliche Sicherheitsmaßnahmen darauf ausgerichtet sind, böswillige Angriffe abzuwehren, bleiben automatisierte Bedrohungen unentdeckt, indem sie menschliches Verhalten nachahmen und Lücken in der Anwendungslogik auf unerwartete Weise ausnutzen.
Der kürzlich von F5 Labs veröffentlichte Bericht zu Advanced Persistent Bots 2025 beleuchtet die sich wandelnden Taktiken fortschrittlicher persistenter Bots und die damit verbundenen Herausforderungen. Auch wenn es sich lohnt, den gesamten Bericht zu lesen, möchte ich hier drei Trends hervorheben, die mir bei der diesjährigen Untersuchung besonders aufgefallen sind, sowie Maßnahmen, mit denen sich Unternehmen schützen können.
1. Credential Stuffing: Wenn gestohlene Passwörter wertvolle Daten offenlegen
Stellen Sie sich ein Szenario vor, in dem Cyberkriminelle leicht verfügbare gestohlene Zugangsdaten nutzen, um auf vertrauliche Benutzerkonten zuzugreifen. Genau das geschieht beim Credential Stuffing, einem weitverbreiteten, botgesteuerten Angriff, der sich zunutze macht, dass viele Menschen ihre Passwörter mehrfach verwenden. Laut F5 Labs entfallen bei einigen Unternehmen mehr als 80 % des Anmeldeverkehrs auf Credential-Stuffing-Angriffe, die von Bots ausgeführt werden. Der Bericht hebt hervor, dass selbst bei einer niedrigen Erfolgsquote von 1 % bis 3 % pro Angriffskampagne die schiere Menge automatisierter Anmeldeversuche dazu führt, dass eine beträchtliche Anzahl von Konten kompromittiert wird.
“Während herkömmliche Sicherheitsmaßnahmen darauf ausgerichtet sind, böswillige Angriffe zu verhindern, bleiben automatisierte Bedrohungen unentdeckt, indem sie menschliches Verhalten nachahmen und Lücken in der Anwendungslogik auf unerwartete Weise ausnutzen.”
Vorfälle wie die PayPal-Datenpanne im Jahr 2022, bei der auf fast 35.000 Benutzerkonten zugegriffen wurde, wodurch äußerst gewinnbringend verwertbare personenbezogene Daten offengelegt wurden, liefern riesige Datenbanken mit Benutzernamen und Passwörtern, die für böswillige Zwecke bei anderen Onlinediensten missbraucht werden können. Da viele Menschen Passwörter mehrfach verwenden, kann selbst eine geringe Erfolgsquote beträchtliche Erfolge ermöglichen. Diese Daten können anschließend für betrügerische Transaktionen oder Datendiebstahl verwendet oder im Darknet für gezielte Angriffe verkauft werden.
In den letzten Jahren haben mehrere bekannte Marken von Credential-Stuffing-Angriffen berichtet. Der Niedergang des Gentestunternehmens 23andMe wurde teilweise auf eine Credential-Stuffing-Kampagne zurückgeführt, durch die Gesundheits- und Abstammungsdaten von Kunden offengelegt wurden. Die Daten wurden im Darknet zum Verkauf angeboten – zu Preisen von 1.000 US-Dollar für 100 Profile bis hin zu 100.000 US-Dollar für 100.000 Profile.
Das Unternehmen nannte als Hauptursache, dass die Kunden die auf der Website angebotene Multi-Faktor-Authentifizierung (MFA) nicht nutzten. Tatsächlich liegt die Heimtücke des Credential Stuffing jedoch darin, dass sich damit herkömmliche Sicherheitsmaßnahmen umgehen lassen. Da die Bots legitime Anmeldedaten verwenden und nicht versuchen, Schwachstellen auszunutzen, lösen sie keine typischen Alarme aus. MFA kann zwar helfen, bietet angesichts der zunehmenden Verbreitung von Echtzeit-Phishing-Proxys (RTPP) jedoch keinen vollständigen Schutz. Unternehmen müssen intelligente Lösungen zur Bot-Erkennung einsetzen, die Anmeldemuster, Geräte-Fingerprints und Verhaltensauffälligkeiten analysieren, um zu erkennen, was tatsächlich vor sich geht.
2. Gastgewerbe unter Beschuss: Geschenkkarten-Bots und der Aufstieg des „Carding“
Obwohl der Finanz- und der Einzelhandelssektor häufig als bevorzugte Ziele für Cyberangriffe gelten, haben Untersuchungen von F5 Labs gezeigt, dass das Gastgewerbe in hohem Maße von bösartigen Bot-Aktivitäten betroffen ist. Insbesondere „Carding“- und Geschenkkarten-Bots nehmen Websites und APIs des Gastgewerbes ins Visier, wobei einige Unternehmen im Vergleich zum Vorjahr einen Anstieg der bösartigen Bot-Aktivitäten um 300 % verzeichnen. Der Bericht weist außerdem darauf hin, dass der durchschnittliche Wert der von Bots anvisierten Geschenkkarten steigt.
Beim Carding werden Bots eingesetzt, um gestohlene Kreditkartennummern zu überprüfen, indem sie diese in schneller Folge auf Bezahlseiten und über APIs testen. Geschenkkarten-Bots nutzen Treueprogramme und Geschenkkartensysteme aus. Angreifer setzen sie ein, um Guthaben abzufragen, Punkte zu übertragen oder Prämien unrechtmäßig einzulösen. Diese Bots zielen häufig auf Schwachstellen wie einfache Muster und fortlaufende Geschenkkarten-IDs ab.
Die Anfälligkeit des Gastgewerbes beruht darauf, dass Treuepunkte und Geschenkkarten im Grunde digitale Zahlungsmittel sind. Cyberkriminelle können diese Vermögenswerte leicht in Bargeld umwandeln oder damit Waren und Dienstleistungen erwerben.
Um sich zu schützen, müssen Unternehmen im Gastgewerbe robuste Strategien zur Erkennung und Abwehr von Bots implementieren, die speziell auf diese Art von Bedrohungen zugeschnitten sind. Dazu gehören die Überwachung von Geschenkkartenaktivitäten, die Analyse von Transaktionsmustern und der Einsatz von Lösungen, die zwischen Menschen und Bots unterscheiden können. CAPTCHAs, einst die bevorzugte Lösung zum Blockieren von Bots, werden von Bot-Betreibern seit Jahren mühelos umgangen – wie wir im Folgenden sehen werden.
3. Umgehung der Zugangskontrollen: Residential Proxies und die Wirkungslosigkeit von CAPTCHAs
Herkömmliche Schutzmaßnahmen gegen Bots wie CAPTCHAs und IP-Sperren versagen angesichts immer ausgefeilterer Umgehungstaktiken. Bot-Betreiber können das Lösen von CAPTCHAs problemlos an menschliche Klickfarmen auslagern, in denen Personen geringe Beträge dafür erhalten, bei Bedarf entsprechende Aufgaben zu lösen.
Darüber hinaus ist die zunehmende Verbreitung von Residential-Proxy-Netzwerken ein wesentlicher Faktor. Diese Netzwerke leiten Bot-Datenverkehr über kompromittierte Geräte und deren private IP-Adressen weiter, wodurch die tatsächlichen IP-Adressen der Bots verschleiert werden. Der Bericht von F5 Labs legt nahe, dass Residential Proxies inzwischen von Bot-Betreibern weitverbreitet eingesetzt werden und der Großteil des Bot-Datenverkehrs mittlerweile aus diesen Netzwerken zu stammen scheint.
Der Anbieter von Identitätsmanagementlösungen Okta wies auf die Rolle der breiten Verfügbarkeit von Residential-Proxy-Diensten bei einem starken Anstieg der Credential-Stuffing-Angriffe auf seine Nutzer im vergangenen Jahr hin. Nach Angaben des Unternehmens wurden Millionen gefälschter Anfragen über Residential Proxys geleitet, um den Anschein zu erwecken, sie stammten von Mobilgeräten und Browsern gewöhnlicher Nutzer und nicht aus dem IP-Adressraum von Anbietern virtueller privater Server (VPS).
Um diese fortschrittlichen Umgehungstechniken wirksam zu bekämpfen, müssen Unternehmen über herkömmliche Abwehrmaßnahmen hinausgehen und intelligente Bot-Lösungen einsetzen. Diese Lösungen nutzen maschinelles Lernen und Verhaltensanalysen, um Bots anhand ihrer charakteristischen Merkmale zu identifizieren. Indem sie den Fokus auf menschenähnliches Verhalten legen, anstatt sich auf IP-Adressen oder CAPTCHAs zu verlassen, können Unternehmen ausgeklügelte Bot-Angriffe präziser erkennen und blockieren.
Durch die Risikolandschaft navigieren: Den optimalen Schutz vor Bots finden
Letztlich hängt der Umfang der Bot-Abwehrmaßnahmen, die ein Unternehmen implementiert, von seiner Risikobereitschaft ab. Jedes Unternehmen muss die potenziellen Kosten und Vorteile verschiedener Abwehrstrategien abwägen und entscheiden, welches Risikoniveau es zu akzeptieren bereit ist.
Eine vollständige Unterbindung des gesamten Bot-Traffics ist möglicherweise weder realisierbar noch wünschenswert, da einige automatisierte Aktivitäten legitim und nützlich sind. Werden bösartige Bot-Aktivitäten jedoch nicht bekämpft, kann dies zu erheblichen finanziellen Verlusten, Reputationsschäden und Frustration bei den Kunden führen.
Entscheidend ist, das richtige Gleichgewicht zu finden. Wenn Sie die verschiedenen Arten von Bots kennen, die es auf Ihr Unternehmen abgesehen haben, die potenziellen Auswirkungen ihrer Aktivitäten bewerten und geeignete Maßnahmen zur Erkennung und Abwehr ergreifen, können Sie Ihr Bot-Risiko effektiv steuern und Ihr Unternehmen – und Ihre Kunden – vor hochentwickelten, anhaltenden Bot-Bedrohungen schützen.
Weitere Informationen finden Sie im vollständigen Bericht hier. Besuchen Sie außerdem unsere Webseite zu F5 Distributed Cloud Bot Defense.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...