Command-and-Control-Server
Ein Command-and-Control-Server ist der Rechner, von dem Angreifer aus ihre Schadprogramme auf fremden Geräten steuern. Über ihn schicken sie Befehle und holen gestohlene Daten ab — und genau darum ist er das beliebteste Ziel von Ermittlern.
Wenn ein Angreifer heimlich ein Schadprogramm auf fremde Computer bringt, ist die Arbeit für ihn nicht getan. Das Programm liegt auf einem Gerät irgendwo auf der Welt, und er muss ihm sagen können, was es tun soll. Dafür baut er einen zentralen Rechner im Internet auf, den er selbst kontrolliert. Die befallenen Geräte melden sich regelmäßig bei diesem Rechner und fragen nach Anweisungen. Er heißt Command-and-Control-Server, kurz C2-Server: die Kommando- und Kontrollstelle des Angriffs. Man kann ihn sich als Funkzentrale vorstellen, die einer verstreuten Truppe Befehle durchgibt und deren Meldungen einsammelt.
Die zentrale Schwachstelle jeder Schadsoftware
Ein Schadprogramm ohne Verbindung nach draußen ist fast harmlos. Es kann vielleicht Dateien löschen, aber es lernt nichts Neues und liefert nichts ab. Erst der Verbindungskanal macht daraus ein Werkzeug, das der Angreifer flexibel einsetzt. Er kann nachträglich entscheiden, ob er Passwörter abgreift, Daten verschlüsselt oder erst einmal wochenlang mitliest.
Diese Zentralstelle ist gleichzeitig die größte Schwäche des Angreifers. Wer den Server abschaltet oder umlenkt, nimmt tausenden befallenen Geräten auf einen Schlag die Steuerung weg. Polizeibehörden nutzen das gezielt: Bei internationalen Aktionen gegen große Schadsoftware-Netze wird regelmäßig die Serverinfrastruktur beschlagnahmt. Danach laufen die Programme auf den Opfergeräten oft noch, tun aber nichts mehr.
Für Unternehmen hat das eine praktische Folge. Verdächtiger ausgehender Netzwerkverkehr ist häufig das erste sichtbare Zeichen eines Einbruchs. Sicherheitsteams suchen deshalb nicht nur nach Schadprogrammen auf Festplatten, sondern nach Geräten, die mit bekannten C2-Adressen sprechen.
Wie die Befehle unbemerkt übertragen werden
Der typische Ablauf ist einfach. Das Schadprogramm auf dem Opfergerät baut die Verbindung von innen nach außen auf, nicht umgekehrt. Das ist wichtig, weil Firewalls — also Filter am Netzwerkrand — Verbindungen von außen nach innen meist blockieren, Verbindungen nach draußen aber erlauben. In festen Abständen fragt das Programm beim Server nach neuen Aufgaben. Diese regelmäßige Meldung nennt man Beacon, nach dem englischen Wort für Leuchtfeuer.
Damit das nicht auffällt, tarnen Angreifer den Kanal. Sie verpacken Befehle in ganz normal aussehende Webseitenzugriffe oder in verschlüsselte Verbindungen, wie sie jeder Browser nutzt. Manche Gruppen verstecken Anweisungen sogar in öffentlichen Beiträgen auf Social-Media-Plattformen oder in Kommentaren unter Videos. Der Datenverkehr geht dann zu einem Dienst, den niemand blockieren würde.
Weil einzelne Server abgeschaltet werden können, arbeiten professionelle Angreifer mit Ausweichwegen. Sie hinterlegen Listen mit Ersatzadressen oder lassen die Adresse täglich nach einer geheimen Rechenregel neu berechnen. Ein Sonderfall sind Netze ohne echte Zentrale: Dort geben die befallenen Geräte Befehle untereinander weiter. Das ist schwerer zu zerstören, aber für den Angreifer auch schwerer zu steuern.
Botnetze, Erpressungssoftware und die Meldungen dazu
Am bekanntesten sind Botnetze: große Verbünde gekaperter Geräte, die auf Kommando dieselbe Webseite überfluten, bis sie zusammenbricht. Auch Erpressungssoftware, die Daten verschlüsselt und Lösegeld verlangt, holt ihre Schlüssel oft von einem C2-Server. Betroffen sind längst nicht nur Bürorechner, sondern auch Router, Überwachungskameras und andere schlecht gesicherte Internetgeräte.
In Nachrichtenmeldungen begegnet dir der Begriff meist in zwei Situationen. Entweder haben Ermittler eine Infrastruktur zerschlagen, dann ist von beschlagnahmten C2-Servern die Rede. Oder Sicherheitsfirmen veröffentlichen eine Analyse und nennen die Serveradressen, damit andere Firmen sie sperren können. Solche Adresslisten heißen in der Branche Indicators of Compromise, also Hinweise auf eine Kompromittierung.
Ein verbreiteter Irrtum ist, dass ein solcher Server dem Angreifer gehört. Meist steht er bei einem gewöhnlichen Hosting-Anbieter, oft auf einem selbst gehackten Server einer nichtsahnenden Firma. Und der Begriff ist nicht nur kriminell besetzt: Sicherheitsteams verwenden dieselbe Technik in Testangriffen, um die Abwehr ihres eigenen Unternehmens zu prüfen.