Proxy-Netze aus privaten Anschlüssen: Europol beschreibt, wie sich der Datenverkehr von Straftaten immer schwerer zuordnen lässt

Kriminelle leiten ihren Datenverkehr zunehmend über die Internetanschlüsse privater Haushalte. Die europäische Polizeibehörde Europol beschreibt das in ihrem Lagebild zur organisierten Internetkriminalität, das am 28. April 2026 unter dem Titel „The evolving threat landscape“ erschienen ist. Der Bericht widmet diesen Weiterleitungen einen eigenen Abschnitt, weil sie die Zuordnung einer Tat zu einem Urheber erheblich erschweren. Wer wissen will, wie ein kontrollierter Zugangspunkt für verschlüsselte Verbindungen in ein Netzwerk technisch arbeitet, findet die Grundlagen im Fachportal der Provimedia GmbH aus Bietigheim-Bissingen.

Die Unterscheidung ist wichtig: Eine selbst eingerichtete, verschlüsselte Verbindung schützt den eigenen Datenverkehr. Ein fremd genutzter Anschluss dagegen trägt den Verkehr anderer, ohne dass die Anschlussinhaberin oder der Anschlussinhaber davon weiß.

Welche Rolle private Anschlüsse in der Tatinfrastruktur spielen

Laut dem Lagebild tarnen Täter ihren Verkehr als gewöhnlichen Privatverkehr, indem sie ihn über die Adressen von Heimgeräten in verschiedenen Ländern leiten. Solche Proxy-Netze werden offen beworben, meist als Werkzeug zum Umgehen von Ländersperren oder von Prüfschritten bei der Anmeldung. Europol nennt drei typische Einsatzzwecke: das Verschleiern von Angriffsverkehr, das Auslösen von Überlastungsangriffen und das massenhafte Auslesen von Daten.

Der Bericht ordnet das in eine Kette ein, die mit gemieteten Servern beginnt und mit ausgelesenen Anmeldedaten endet. Mehrere Ebenen liegen dabei hintereinander, häufig verteilt auf Anbieter in verschiedenen Staaten. Nach Angaben der Behörde erhalten Ermittler deshalb oft nur unvollständige Nachweise, weil jeder Zwischenschritt ein eigenes Rechtshilfeersuchen auslöst.

Wie ein Anschluss ungewollt zum Zwischenknoten wird

Der Zugriff auf ein Heimgerät entsteht meist ohne Zutun der Bewohner. Unaktualisierte Router, Kameras und Netzwerkspeicher lassen sich über bekannte Schwachstellen übernehmen; ebenso genügt eine App, die im Hintergrund die Weiterleitung freischaltet.

Europol beschreibt die Kette in diesen Schritten:

Ein Gerät im Heimnetz wird über eine offene Schwachstelle oder eine mitinstallierte Anwendung übernommen.

Die Adresse des Anschlusses wird in ein Netz aufgenommen und weitervermietet.

Fremder Verkehr läuft über den Anschluss und erscheint nach außen als Privatnutzung.

Nach einer Abschaltung bleibt die ursprüngliche Schwachstelle bestehen und wird erneut ausgenutzt.

Für Haushalte beginnt die Gegenwehr deshalb am Router und nicht am Rechner. Welche Einstellungen bei einem gängigen Heimrouter greifen und in welcher Reihenfolge sie gesetzt werden, zeigt eine Anleitung zur abgesicherten Einrichtung eines Heimrouters.

Was auf den Marktplätzen mit Zugangsdaten geschieht

Gestohlene Anmeldedaten sind der Rohstoff dieser Wirtschaft. Der Bericht beschreibt kleinere, geschlossene Handelsplätze, die sich auf einzelne Warengruppen spezialisiert haben: Bankkonten, Umgehungswerkzeuge für Einmalpasswörter, ausgelesene Kartendaten und Zugänge zu Fernwartungs- und Firmennetzen.

Wie groß solche Plätze werden können, zeigt ein abgeschlossenes Verfahren. Der Marktplatz Archetyp bestand seit 2020, zählte laut Europol mehr als 600.000 Nutzer und wickelte Geschäfte im Wert von mindestens 250 Millionen Euro ab; im Juni 2025 wurde er in fünf Ländern zerschlagen, darunter Deutschland. Beschlagnahmt wurden dabei Vermögenswerte im Wert von 7,8 Millionen Euro.

Warum Abschaltungen die Lücke nur kurz schließen

Die Zerschlagung einer Infrastruktur wirkt kürzer, als die Zahlen vermuten lassen. Im Mai 2025 nahm die von Europol koordinierte Aktion Endgame nach Angaben des Berichts rund 300 Server vom Netz, schaltete 650 Domains ab und führte zu 20 internationalen Haftbefehlen. Im November 2025 folgte ein zweiter Durchgang gegen Schadprogramme zum Auslesen von Zugangsdaten, bei dem mehr als 1.000 Server abgeschaltet oder gestört wurden.

Parallel zählte Europol im Jahr 2025 mehr als 120 aktive Gruppen, die mit Erpressungssoftware arbeiten. Die Szene ist damit kleinteiliger geworden, nicht kleiner; der Bericht nennt sie ausdrücklich zersplittert und schnelllebig.

„Ein Anschluss, über den fremder Verkehr läuft, wird nicht langsamer und zeigt keine Fehlermeldung. Genau deshalb halte ich die Frage nach dem eigenen Gerätebestand für die wichtigste Sicherheitsfrage im Haushalt“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.

Zwei Prüfungen zeigen, ob ein Anschluss fremden Verkehr trägt

Ein Haushalt kann zwei Dinge selbst kontrollieren. Erstens die Liste der Geräte im Heimnetz, die jeder Router führt: Unbekannte Einträge und Geräte ohne aktuelle Firmware sind die Kandidaten. Zweitens die Freigaben nach außen, also Portweiterleitungen und Fernzugriffe, die oft für einen einmaligen Zweck gesetzt und danach vergessen werden.

Der Oktober bietet dafür einen Anlass. Nach Angaben der EU-Agentur für Cybersicherheit (ENISA) läuft seit dem Jahr 2012 jeden Oktober der Europäische Monat der Cybersicherheit, eine gemeinsame Aufklärungskampagne der Mitgliedstaaten und der Europäischen Kommission. Wer die beiden Listen einmal im Jahr durchgeht, braucht dafür keine zusätzliche Software.

Die Provimedia GmbH ist ein Online-Verlag mit Sitz in der Region Stuttgart. Wir schaffen wertvolle Informationen in unterschiedlichen Branchen um Wissen schnell und einfach zugänglich zu machen. Wir haben uns auf übersichtliche Webseiten und Auffindbarkeit von Informationen spezialisiert.