Der unsichtbare Angriff: Warum Edge-Geräte das Lieblingsziel von Hackern sind

Die besten Parasiten töten ihre Wirte nicht. Sie schleichen sich unbemerkt ein, machen es sich gemütlich und gehen völlig unbemerkt ihrem Tagesgeschäft nach, wobei sie sich nach Belieben bedienen, während der Wirt seinen Alltag fortsetzt, ohne auch nur zu ahnen, dass sich etwas geändert hat.

Die drei wichtigsten Erkenntnisse: Warum Transparenzlücken IoT-Flotten angreifbar machen

Warum der klassische Perimeterschutz nicht mehr ausreicht

Jahrelang folgte Cybersicherheit einer einfachen Logik: den Perimeter schützen. Das Rechenzentrum absichern, das Firmennetzwerk abriegeln, auf Laptops zuverlässige Software installieren. Dieses Modell funktionierte, solange etwas innerhalb einer klar definierten Grenze lag.

Moderne Architekturen halten sich daran nicht mehr. Heutige Unternehmen betreiben Hunderte, teils Tausende Geräte weit außerhalb dieser Grenze.  Beispiele sind Ladeinfrastruktur für Elektrofahrzeuge, Medizinische Überwachungsgeräte, Kassensysteme im Einzelhandel oder Industrielle Sensoren.  All das sind Edge-Geräte: Sie stehen draußen in der Welt, nicht in gesicherten Firmengebäuden, und müssen sich dennoch mit der Zentrale verbinden, um ihre Aufgabe zu erfüllen. Sie funktionieren, sie sind verteilt, und für die meisten Sicherheitsteams sind sie praktisch unsichtbar.
Diese Unsichtbarkeit war kein Designfehler. Diese Geräte sind auf Funktionalität ausgelegt, nicht auf Transparenz. Das macht sie heute besonders angreifbar.

Skalierung, Uneinheitlichkeit, Unsichtbarkeit: Die Kombination, die Angreifer lieben

Aus der Perspektive eines Angreifers vereinen Edge- und IoT-Geräte drei außerordentlich attraktive Eigenschaften.

Das Ergebnis: Eine riesige, verteilte, uneinheitliche Geräteflotte, die niemand wirklich im Blick hat…

Mirai und Badbox: Zwei Weckrufe, fast zehn Jahre auseinander

Im Jahr 2016 legte eine Schadsoftware namens Mirai einen erheblichen Teil des Internets lahm. Twitter, Netflix, Reddit und GitHub waren in weiten Teilen der USA und Europas stundenlang nicht erreichbar.
Bemerkenswert war nicht die Raffinesse von Mirai. Es nutzte weder Zero-Day-Exploits noch fortgeschrittene Techniken. Es durchsuchte das Internet fortlaufend nach IoT-Geräten mit werkseitigen Standardzugangsdaten, kompromittierte sie automatisiert und rekrutierte sie in ein Botnetz. Die schiere Größe, hunderttausende Geräte, erzeugte einen DDoS-Angriff, für den es zu diesem Zeitpunkt keine ausreichende Abwehrinfrastruktur gab.
Die Lehre war eindeutig: Angreifer müssen nicht raffiniert vorgehen, wenn das Ökosystem nachlässig ist. Standardpasswörter, veraltete Firmware und fehlende Überwachung reichen aus.

Fast zehn Jahre später zeigt sich dasselbe Muster in Deutschland, nur mit anderen Vorzeichen. Laut dem BSI-Lagebericht „Die Lage der IT-Sicherheit in Deutschland 2025“ ist Badbox derzeit das größte aktive IoT-Botnetz in Deutschland und macht bis zu 58 Prozent aller infizierten Systeme aus. Die betroffenen Geräte wurden bereits während der Produktion infiziert, lange bevor sie überhaupt bei einem Unternehmen ankamen. Für Betreiber gab es dadurch keine wirksame nachträgliche Gegenmaßnahme. Der Bericht dokumentiert zusätzlich zwei weitere, großflächig aktive IoT-Botnetze mit rund 40.000 betroffenen Geräten, ebenfalls mit vorinstallierter Schadsoftware.
Das Unternehmen hat diese Risiken in solchen Fällen nicht selbst geschaffen. Es hat sie mit dem Gerät gekauft.
Viele Geräte aus der Mirai-Ära laufen noch heute, in industriellen Anlagen, in der Gesundheitsversorgung und bei Versorgungsunternehmen, überall dort, wo Hardware selten ausgetauscht wird. Ihre Software-Stacks sind oft vielschichtig: Firmware von Drittanbietern, eingebettete Linux-Distributionen, Open-Source-Bibliotheken, Cloud-APIs verschiedener Anbieter. Irgendwo darin können sich fest codierte Zugangsdaten, vergessene Debug-Schnittstellen aus der Entwicklung oder legitime Telemetriekanäle von Zulieferern verbergen, die sich ein Angreifer zunutze macht.

Die Transparenzlücke, die sich CISOs nicht leisten können

Die Rolle der CISO hat sich in den vergangenen Jahren grundlegend verändert. Früher lautete der Auftrag: Malware verhindern.
Heute lautet er: Betriebsresilienz aufrechterhalten, regulatorische Vorgaben erfüllen, das Vertrauen der Kunden schützen und gleichzeitig die digitale Transformation vorantreiben, kontinuierlich und über eine Umgebung hinweg, die sich in alle Richtungen ausdehnt. Eine anspruchsvolle Aufgabe.
Edge-Geräte erschweren das zusätzlich. Nicht nur, weil sie sich schwer absichern lassen, sondern weil den meisten Unternehmen schlicht die Transparenz fehlt, um zu wissen, wie „normal“ bei ihnen überhaupt aussieht. Wer nicht weiß, wie normal aussieht, kann Abweichungen nicht erkennen.
Sicherheitsteams wissen häufig, dass ein Gerät existiert. Wissen sie auch, mit welchen IP-Adressen es normalerweise kommuniziert? Wie viel Datenverkehr es erzeugt? Welche Protokolle es nutzt? Ob der leichte Anstieg ausgehender Verbindungen um drei Uhr morgens an einem Dienstag unauffällig ist oder auf laterales Scanning hindeutet?

In vielen Fällen lautet die Antwort: Nein. Genau das hält den Angriff unsichtbar.
Ein kompromittiertes Gerät, das weiterhin seine Aufgabe erfüllt, liefert kein offensichtliches Signal. Die Schadsoftware ist genau dafür ausgelegt. Den normalen Betrieb zu stören, wäre wie ein Alarmsignal zu setzen, deshalb unterbleibt es. Das Gerät erledigt seine eigentliche Aufgabe und arbeitet im Hintergrund parallel für den Angreifer weiter.

Die praktische Konsequenz: Wer sich bei der Frage, ob ein Gerät kompromittiert ist, allein darauf verlässt, dass es „noch funktioniert“, geht von einer falschen Annahme aus.

Verhaltensüberwachung auf Netzwerkebene: So sieht eine gute Lösung aus

In Umgebungen, in denen sich keine Agenten einsetzen lassen, und das trifft auf nahezu alle IoT- und Edge-Geräte zu, wird das Netzwerk zum wichtigsten Beobachtungspunkt. Oft ist es sogar der einzige.
Das bedeutet, das normale Verhalten jedes Geräts zu verstehen: mit wem es kommuniziert, wann, in welchem Umfang und über welche Protokolle. Wer dieses Framework aufbaut, hat plötzlich einen Vergleichsmaßstab: unerwartete ausgehende Verbindungen zu unbekannten IP-Adressen, laterales Scanning, ungewöhnliche DNS-Anfragen oder ein plötzlicher Anstieg des Datenverkehrs ohne betriebliche Erklärung.
Keines dieser Signale ist für sich genommen ein eindeutiger Beweis. Zusammen ergeben sie jedoch ein Bild, und die meisten Unternehmen erfassen dieses Bild heute schlicht nicht.
In Deutschland ist diese Lücke inzwischen auch ein regulatorisches Risiko. Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025 ohne Übergangsfrist und verpflichtet rund 30.000 Unternehmen zu einem systematischen Risikomanagement, beaufsichtigt durch das BSI. Dazu gehört ausdrücklich der Nachweis der Wirksamkeit der eigenen Sicherheitsmaßnahmen, nicht nur deren Dokumentation. Wer nicht weiß, wie sich seine Geräte normalerweise verhalten, kann diese Wirksamkeit im Ernstfall kaum belegen. Für Betreiber kritischer Infrastruktur kommt das KRITIS-Dachgesetz hinzu, dass dieselbe Logik auf die physische und operative Resilienz überträgt, besonders in der Energie- und Verkehrsbranche.

Verhaltensüberwachung auf Netzwerkebene ist deshalb gleichzeitig die praktikabelste Methode, Bedrohungen zu erkennen, und einer der direktesten Wege, Compliance mit NIS2, ISO 27001 und PCI DSS 4.0 nachzuweisen. Keiner dieser Rahmen schreibt im Detail vor, wie Transparenz in verteilten Umgebungen herzustellen ist. Ohne sie lässt sich Compliance jedoch kaum belegen.
Die Angriffsfläche am Edge verschwindet nicht, sie wächst: mehr Geräte, mehr Verteilung, mehr Komplexität. Die Unternehmen, die hier die Nase vorn haben, werden nicht diejenigen sein, die jedes einzelne Gerät perfekt absichern, das ist im großen Maßstab kaum realistisch. Es werden die Unternehmen sein, die kontinuierliche Verhaltenstransparenz über die gesamte Geräteflotte erreichen und dadurch bemerken, wenn sich etwas verändert.
Denn verteidigen lässt sich nur, was sich beobachten lässt. Und derzeit ist das meiste am Edge unsichtbar.

Lara Hellman ist Staff Product Manager bei Wireless Logic und leitet die Strategie und Entwicklung der Sicherheitsprodukte und Kundenplattformen des Unternehmens.

Die Anomalie- und Bedrohungserkennung von Wireless Logic wurde speziell für die Sicherheitsherausforderungen von IoT- und Edge-Umgebungen entwickelt.