Command and Control

Wenn ein Angreifer Schadsoftware auf einen fremden Computer bringt, ist die Sache damit nicht beendet. Das Programm sitzt zwar auf dem Gerät, aber der Angreifer muss ihm noch sagen können, was es tun soll. Genau dafür baut die Schadsoftware eine Verbindung nach außen auf, zu einem Rechner unter der Kontrolle des Angreifers. Über diesen Kanal kommen Befehle herein und gestohlene Daten hinaus. Fachleute nennen diesen Kanal und die dazugehörige Technik Command and Control, oft abgekürzt als C2. Der Begriff stammt ursprünglich aus dem Militär und beschreibt dort die Befehlskette von der Führung bis zur einzelnen Einheit.

Der Unterschied zwischen Einbruch und Kontrolle

Ein einzelner infizierter Rechner ist für einen Angreifer wenig wert, solange er nichts damit anfangen kann. Erst der Rückkanal macht aus dem Einbruch eine dauerhafte Übernahme. Der Angreifer kann dann nachschauen, was auf dem Gerät liegt, weitere Programme nachladen oder sich von dort in andere Rechner desselben Netzwerks vortasten. Viele Angriffe auf Unternehmen laufen wochenlang unbemerkt, weil dieser Kanal leise im Hintergrund offen bleibt.

Besonders folgenreich wird das bei sogenannter Erpressungssoftware, die alle Dateien verschlüsselt und Lösegeld fordert. Der Schlüssel zum Entsperren wird typischerweise über den Steuerkanal übertragen. Ohne diese Verbindung könnte der Angreifer sein eigenes Geschäftsmodell nicht betreiben. Dasselbe gilt für Netzwerke aus tausenden gekaperten Geräten, die gemeinsam eine Website mit Anfragen überfluten. Ohne zentrale Steuerung wären diese Geräte nur einzelne, harmlose Computer.

Für die Verteidigung ist der Kanal deshalb ein wertvoller Angriffspunkt. Wer ihn findet und kappt, macht die Schadsoftware auf einen Schlag nutzlos, auch wenn sie noch installiert ist. Polizeibehörden schalten regelmäßig solche Server ab und übernehmen manchmal sogar deren Adressen, um die infizierten Geräte zu zählen und ihre Besitzer zu warnen.

Wie der Rückkanal versteckt wird

Die Verbindung geht fast immer vom infizierten Rechner aus, nicht umgekehrt. Das hat einen praktischen Grund: Firmennetze blockieren Verbindungen von außen sehr streng, ausgehende Verbindungen dagegen kaum. Die Schadsoftware meldet sich also in Abständen von selbst beim Server und fragt nach neuen Aufträgen. Dieses regelmäßige Anklopfen heißt im Fachjargon Beaconing, nach dem Funkfeuer eines Leuchtturms.

Damit das nicht auffällt, tarnen Angreifer den Datenverkehr als etwas Alltägliches. Er sieht dann aus wie ein normaler Website-Aufruf oder wie ein verschlüsselter Bankbesuch, wie er millionenfach am Tag vorkommt. Manche Schadsoftware holt ihre Befehle sogar aus öffentlichen Diensten, etwa aus einem unauffälligen Beitrag in einem sozialen Netzwerk. Der Datenstrom führt dann zu einem Server, den kein Sicherheitsprogramm blockieren würde.

Verteidiger suchen deshalb weniger nach dem Inhalt als nach dem Muster. Ein Rechner, der sich alle sechzig Sekunden exakt gleich bei derselben unbekannten Adresse meldet, verhält sich nicht wie ein Mensch. Angreifer kontern das mit zufälligen Wartezeiten und mit ständig wechselnden Serveradressen. Ein häufiger Irrtum ist übrigens, C2 mit dem Einbruchsweg zu verwechseln: Der Weg hinein kann eine Phishing-Mail sein, C2 ist erst das, was danach passiert.

C2 in Sicherheitsmeldungen und Firmennetzen

In Berichten über Cyberangriffe taucht der Begriff fast immer auf. Wenn es heißt, Ermittler hätten die Infrastruktur einer Hackergruppe zerschlagen, sind meist deren Steuerserver gemeint. Solche Aktionen legen bekannte Schadsoftware-Netzwerke oft für Monate lahm, bis die Betreiber neue Server aufbauen. Auch Sicherheitsfirmen veröffentlichen Listen bekannter C2-Adressen, die Unternehmen in ihre Filter eintragen können.

Im Alltag begegnet einem das indirekt. Der Internetanbieter oder die Firmen-IT sperrt bestimmte Adressen, damit infizierte Geräte ihren Server nicht erreichen. In größeren Organisationen überwacht spezielle Software den ausgehenden Verkehr genau auf verdächtige Muster. Auch Sicherheitsprüfer arbeiten mit C2-Werkzeugen, wenn sie im Auftrag eines Unternehmens einen Angriff simulieren.

Für Anleger und Beobachter der Tech-Branche ist der Begriff relevant, weil ein wachsender Teil des IT-Sicherheitsmarkts genau darauf zielt. Produkte zur Überwachung von Endgeräten und Netzwerkverkehr verkaufen im Kern das Versprechen, solche versteckten Kanäle zu entdecken. Neuerdings kommt der Begriff auch bei KI-Systemen auf, wenn Angreifer versuchen, autonom arbeitende Programme über manipulierte Eingaben fernzusteuern.