Der unsichtbare Angriff: Warum BGP-Hijacking deine Server-Infrastruktur gefährdet

Die Webhosting-Branche wurde jüngst aufgeschreckt. Angreifer haben BGP-Routen gekapert, um Softaculous – eine verbreitete Plattform für Hosting-Automatisierung – und deren Tochterunternehmen Virtualizor ins Visier zu nehmen. Das Ziel: Gefälschte TLS-Zertifikate ergattern und schädliche Updates über offizielle Software-Kanäle zu verbreiten.

Das ist kein gewöhnlicher Sicherheitsvorfall. Es ist ein Weckruf.

Was ist passiert?

Der Angriff folgte einer erschreckend ausgeklügelten Methode:

1. Route-Kaperung: Die Angreifer kündigten BGP-Präfixe an, die ihnen gar nicht gehörten. So wurde Traffic für bestimmte IP-Adressen durch ihre Infrastruktur geleitet.
2. Zertifikatsbetrug: Mit dem abgefangenen Datenverkehr beantragten sie TLS-Zertifikate von Let's Encrypt – für Domains, die sie nicht kontrollierten.
3. Bösartige Updates: Mit gültigen Zertifikaten lieferten sie manipulierte Virtualizor-Updates an ahnungslose Kunden.

Das Beunruhigende daran: Jeder Schritt machte den nächsten möglich. Ohne den BGP-Hijack wäre der Rest nie funktioniert.

BGP erklärt: Das GPS des Internets

BGP ist das Routing-System des Internets. Wenn du Daten von einem Server abrufst, entscheidet BGP, welchen Weg die Pakete durch tausende Netzwerke nehmen.

Manche nennen es das GPS des Internets. Aber im Gegensatz zu deinem Auto-Navi basiert BGP komplett auf Vertrauen. Netzwerke teilen mit, welche IP-Adressen sie verwalten – und andere glauben es einfach. Eine eingebaute Prüfung gibt es nicht.

Das war in den frühen Tagen des Internets kein Problem. Heute ist es eine massive Sicherheitslücke.

Warum sollten Entwickler aufhorchen?

Vielleicht denkst du: BGP-Sicherheit ist doch Sache der Netzwerk-Administratoren. Aber weit gefehlt.

Jedes Mal, wenn du Code auf einen Server deployst, eine Abhängigkeit aktualisierst oder eine Control-Panel-Software installierst, vertraust du dem Übertragungsweg. Wird dieser durch BGP-Hijacking kompromittiert, läuft auf deiner gesamten Infrastruktur manipulierter Code.

Der Softaculous-Vorfall zeigt, was Angreifer erreichen können:

• Sie umgehen Zertifikatsprüfungen, auf die Entwickler für sichere Verbindungen angewiesen sind
• Sie verbreiten Malware über vertrauenswürdige Update-Kanäle, die legitim aussehen
• Sie kompromittieren Server auf Infrastruktur-Ebene, noch bevor irgendeine Anwendung läuft

RPKI: Ein Licht im Dunkeln

Die gute Nachricht: Es gibt Lösungsansätze. RPKI (Resource Public Key Infrastructure) ist ein Framework, das kryptografische Prüfungen zu BGP-Ankündigungen hinzufügt. Mit RPKI können Netzwerke verifizieren, dass sie die IP-Präfixe, die sie ankündigen, tatsächlich besitzen.

Bei korrekter Implementierung macht RPKI Route-Hijacking unmöglich. Große Cloud-Anbieter und Netzwerkbetreiber setzen RPKI zunehmend ein. Aber das Ökosystem ist noch nicht vollständig.

Was du wissen solltest:

• RPKI-Validierung erkennt die meisten versehentlichen Route-Leaks und verhindert bösartige Entführungen
• Die Verbreitung wächst, ist aber noch nicht allgegenwärtig – viele kleinere Netzwerke sind noch ungeschützt
• Es ist eine Netzwerk-Lösung – du bist auf die Infrastruktur deines Hosting-Providers angewiesen

So schützt du deine Infrastruktur

Du kannst BGP nicht im Alleingang reparieren. Aber du kannst dein Risiko minimieren:

Bei der Hosting-Wahl

• Wähle Anbieter mit starker Netzwerksicherheit: Achte auf RPKI-Implementierung, Route Origin Validation (ROV) und transparente Routing-Richtlinien
• Prüfe Zertifizierungen: Erkundige dich, ob dein Hosting-Unternehmen regelmäßige Sicherheits-Audits durchläuft
• Frage nach dem BGP-Sicherheitsstatus: Seriöse Provider sollten ihre RPKI- und Sicherheitsmaßnahmen erklären können

Bei deinem Code

• Prüfe Checksummen unabhängig: Verlass dich nicht nur auf HTTPS zur Software-Verifizierung
• Nutze reproduzierbare Builds, um die Software-Integrität zu prüfen
• Implementiere Code-Signing für deine eigenen Deployments

Bei der Zertifikatsvalidierung

• Nutze Certificate Transparency Logs: Beobachte, ob unerwartete Zertifikate für deine Domains ausgestellt werden
• Setze HSTS um: Erzwinge HTTPS-Verbindungen und reduziere die Angriffsfläche
• Erwäge Certificate Pinning für kritische Infrastruktur-Verbindungen

Das große Bild

Der Softaculous-Vorfall ist kein Einzelfall. Ähnliche BGP-Hijacks haben Krypto-Börsen, große Cloud-Anbieter und Content-Delivery-Networks getroffen. Die Technik wird raffinierter, und das Schadenspotenzial wächst, je mehr Infrastruktur in die Cloud wandert.

Dieser Angriff zeigt auch, wie vernetzt Internet-Sicherheit ist. Eine Schwachstelle in der Routing-Infrastruktur kann selbst die stärksten Anwendungsschutz-Maßnahmen aushebeln. TLS-Zertifikate, die wir blind vertrauen, werden in falschen Händen zur Waffe.

Was kommt als Nächstes?

Die Webhosting-Branche muss BGP-Sicherheit als grundlegende Anforderung behandeln – nicht als optionale Verbesserung. Bei NameOcean arbeiten wir bewusst mit Providern zusammen, die Infrastruktur-Sicherheit ernst nehmen.

Für Entwickler und Startups ist dieser Vorfall eine Erinnerung: Sicherheit geht weit über den eigenen Anwendungscode hinaus. Das Verständnis der Infrastruktur unter deiner Software ist nicht mehr nur etwas für Ops-Teams – es ist Grundlagenwissen für jeden, der digitale Assets verantwortet.

Bleib wachsam, prüfe deine Quellen und wähle Hosting-Partner, die in umfassende Sicherheitsmaßnahmen investieren. Die Angreifer werden raffinierter. Deine Verteidigung sollte es auch sein.

Die gute Nachricht: Die Sicherheits-Community arbeitet aktiv an Lösungen. RPKI-Adoption beschleunigt sich, und Tools zur BGP-Überwachung werden besser. Aber bis dieser Schutz universell ist, bleiben Informiertheit und die Wahl sicherheitsbewusster Anbieter deine beste Verteidigung.

Welche Schritte unternimmst du, um die Integrität deiner Infrastruktur zu verifizieren? Wir freuen uns auf deinen Ansatz im Umgang mit diesen neuen Sicherheitsherausforderungen.