NetNut-Abschaltung: Was Käufer wissen müssen
Am 2. Juli 2026 beschlagnahmte das FBI Hunderte von Domains, die mit NetNut, einem Residential-Proxy-Netzwerk, das von dem an der Nasdaq notierten Unternehmen Alarum Technologies (ALAR) betrieben wird, in Verbindung stehen. Forscher und Google behaupten, dass zumindest ein Teil des Exit-Node-Pools von NetNut mit Popa, einem Residential-Proxy- Botnetz überschneidet, das nach Schätzungen von Google mindestens 2 Millionen Geräte umfasst. Alarum bestreitet die Vorwürfe und erklärte in seiner Offenlegung vom 3. Juli, dass weder das Unternehmen noch NetNut formell vom FBI oder einer anderen staatlichen oder regulatorischen Behörde kontaktiert worden seien.
Der für Käufer relevante Punkt ist folgender: Google stellte mit hoher Sicherheit fest, dass mehrere beliebte Residential-Proxy-Marken das Netzwerk von NetNut unter eigenen Marken vertrieben haben (White-Labeling).1 Kunden dieser White-Label-Marken haben möglicherweise NetNut-Kapazität genutzt, ohne es zu wissen.
Das macht die Beschaffung von Proxys zu einem Lieferkettenproblem. Wie wir in unserem Ethik-Benchmark für Webdaten erläutern, sollten Käufer bewerten, wie sie gescrapte Daten verwenden und ob die zur Erhebung genutzte Infrastruktur auf informierter Einwilligung, Nutzerwert, klaren Opt-out-Möglichkeiten und Kontrollen zur Missbrauchsverhinderung beruht.
Was beschlagnahmt wurde und von wem
Besucher von NetNut fanden am 2. Juli ein Banner der Bundesbehörden zur Beschlagnahme auf der Website des Unternehmens.2 Das Banner trug die Siegel sowohl des FBI als auch der Abteilung für strafrechtliche Ermittlungen des Internal Revenue Service (IRS-CI). Die Beteiligung von IRS-CI ist bemerkenswert, da sie darauf hindeuten könnte, dass die Ermittler auch die finanziellen Aspekte des Betriebs prüfen, obwohl noch keine öffentlichen Anklagen erhoben wurden.
Die Operation wurde mit Google, Lumen, der Shadowserver Foundation und anderen Industriepartnern koordiniert. Öffentlichen Berichten zufolge befanden sich netnut.com, proxyjet.io und divinetworks.com unter den beschlagnahmten Domains.
Google deaktivierte separat Konten und Dienste, die angeblich für Command-and-Control genutzt wurden, teilte technische Erkenntnisse mit Plattformanbietern, Strafverfolgungsbehörden und Forschungsunternehmen und aktualisierte Play Protect, um Nutzer zu warnen und Android-Apps zu deaktivieren, die bekanntermaßen NetNut-SDKs enthalten.
Alarum gab später bekannt, dass auch weitere mit NetNut verbundene Domains beschlagnahmt worden seien. Das Unternehmen erklärte, die Störung betreffe einen Teil seiner Dienste und setzte kurz darauf den Datenverkehr über die betreffenden Netzwerkdienste vorübergehend aus, während es den Vorfall untersuchte.3
Was Forscher behaupten
Mitte Juni veröffentlichten mehrere Sicherheitsforschungsteams übereinstimmende Ergebnisse, darunter Synthient4 (Qurium Media Foundation), Spur und Nokia Deepfield. Die Kernbehauptung lautet, dass zumindest ein Teil des Exit-Verkehrs von NetNut mit Popa verbunden war, einem Android-Proxyware-SDK, das über Verbraucher-Apps verbreitet wurde, darunter IPTV-Apps, Streaming-Dienstprogramme und Tools für Smart-TVs und Android-Streaming-Boxen.
Synthient untersuchte mehr als zwanzig Popa-Publisher und berichtete, dass in seiner Stichprobe keiner den Nutzern eine aussagekräftige Einwilligungsaufforderung zeigte, die erklärte, dass die Installation der App ihr Gerät als Proxy-Node registrieren würde.
Forscher haben Popa auch mit dem Vo1d-Botnetz in Verbindung gebracht, das auf Android-TV-Boxen abzielt. Google gibt an, NetNut-Botnetz-Plugin-Komponenten identifiziert zu haben, die mit groß angelegten Botnetzen wie Badbox 2.0 in Zusammenhang stehen.
Alarum hat die Ergebnisse zurückgewiesen und KrebsOnSecurity mitgeteilt, dass die Berichte von Synthient und Qurium „nachweislich ungenaue Behauptungen und fehlerhafte Schlussfolgerungen statt verifizierter Fakten“ enthielten.5
NetNut erklärte, dass es Hinweis- und Einwilligungsmechanismen, Kunden-Due-Diligence, KYC-Prüfungen, Missbrauchsüberwachung und Maßnahmen aufrechterhält, die darauf abzielen, verdächtige oder nicht autorisierte Aktivitäten zu erkennen und zu unterbinden.
Zum Zeitpunkt der Offenlegung von Alarum vom 3. Juli erklärte das Unternehmen, dass weder es noch NetNut formell vom FBI oder einer anderen staatlichen oder regulatorischen Behörde kontaktiert worden seien. Die oben genannten Vorwürfe beruhen auf unabhängiger Forschung und wurden vor Gericht nicht geprüft.
Warum Bundesbehörden Interesse zeigten
In einer einzigen Woche im Juni 2026 beobachteten die Analysten von Google 316 verschiedene Bedrohungscluster, darunter kriminelle und Spionagegruppen, die ihren Datenverkehr über mutmaßliche NetNut-Exit-Nodes leiteten.
Dies ergibt sich aus der Funktionsweise von Residential Proxys. Residential-Proxy-Netzwerke verkaufen die Möglichkeit, Datenverkehr über IP-Adressen von Internetdienstanbietern zu leiten, sodass Angreifer bösartige Aktivitäten hinter Verbraucher-IP-Adressen verbergen können. Eine Rechenzentrums-IP ist leichter zu klassifizieren; eine Residential-IP ist es oft nicht.
Der Markt ist entsprechend gewachsen. Craig Labovitz von Nokia Deepfield schrieb, dass Analysten schätzen, der Markt für Residential Proxys sei von einer Industrie mit einem Volumen von unter 100 Millionen Dollar vor fünf Jahren zu einem Geschäft mit 2 bis 3 Milliarden Dollar heute angewachsen, vor allem getrieben durch die Nachfrage von KI-Unternehmen nach Residential-IPs, um Trainingsdaten zu crawlen und zu sammeln.
6
Alarum meldete für das erste Quartal 2026 einen Umsatz von 11.7 Millionen US-Dollar, ein Plus von 64 % gegenüber dem Vorjahr, und gab an, das Wachstum sei vor allem auf die starke Nachfrage nach Proxy-Lösungen und den Verkauf neuer Produkte zurückzuführen.7 Labovitz warnte zudem, dass die Residential-Proxy-Infrastruktur inzwischen hinsichtlich der gesamten Upstream-Kapazität mit einigen der weltweit größten Transit- und Content-Netzwerke konkurriere.
Residential-Proxy-Alternativen für NetNut-Nutzer
Der rotierende Residential-Pool von NetNut ist nicht verfügbar. Die nachfolgenden Anbieter sind danach gruppiert, was sie jeweils öffentlich darüber dokumentieren, wie ihre Residential-IPs bezogen werden:
Als bevorzugte Quelle hinzufügenDas Risiko durch Wiederverkäufer
Dies ist der für Käufer relevanteste Teil. Die Threat Intelligence Group von Google stellte fest, dass NetNut ein Reseller-Programm betrieb, das White-Labeling seines Netzwerks ermöglichte, und bewertete mit hoher Sicherheit, dass viele beliebte Residential-Proxy-Marken das Botnetz von NetNut als White-Label-Produkt vertrieben.
NetNut ist zudem das zweite große Residential-Proxy-Netzwerk, das in diesem Jahr gestört wurde, nach der Aktion von Google gegen IPIDEA im Januar. Der Synthient-Gründer Benjamin Brundage sagte KrebsOnSecurity, dass NetNut nach der Abschaltung von IPIDEA erheblich an Popularität gewonnen habe und dass NetNut bei Resellern äußerst verbreitet gewesen sei und in Bezug auf Verkehr, Qualität, Größe und Preis pro Gigabyte mit IPIDEA vergleichbar gewesen sei.
Daraus ergeben sich zwei Konsequenzen. Erstens: Wenn Reseller einmal von IPIDEA zu NetNut migriert sind, könnten sie erneut migrieren; der nächste Upstream sollte nicht ohne Nachweis der Beschaffungsquelle als sauberer angesehen werden. Zweitens: Ein Reseller kann Fragen zur IP-Beschaffung nicht vollständig beantworten, wenn er die IPs nicht selbst bezieht. Er kauft Zugang zu einem Netzwerk und versieht es mit seiner eigenen Marke.
Für einen Kunden verringert dies den praktischen Unterschied zwischen „mein Anbieter wurde beschlagnahmt“ und „der Upstream meines Anbieters wurde beschlagnahmt“. Beides kann denselben Ausfall verursachen, und beides kann den Datenverkehr zu Nodes leiten, deren Besitzer möglicherweise nicht wissentlich zugestimmt haben.
Die eigenen Offenlegungen von Alarum zeigen das Ausmaß des Risikos: Nach weiteren Beschlagnahmungen warnte das Unternehmen, dass eine anhaltende Störung wahrscheinlich wesentliche nachteilige Auswirkungen auf den Betrieb, die Finanzergebnisse und die Fähigkeit haben werde, bestimmte Dienstleistungen für Kunden zu erbringen.
Das Unternehmen setzte daraufhin den Datenverkehr über die betroffenen Netzwerkdienste vorübergehend aus und erklärte, dass die Dienstverfügbarkeit in diesem Zeitraum erheblich eingeschränkt sein werde. Nachgelagerte White-Label-Kunden erbten dieses Risiko, ohne notwendigerweise zu wissen, wessen Netzwerk sie genutzt hatten.
Diese Forschung zitieren
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{karatas2026,
author = {Karatas, Gulbahar},
title = {{NetNut-Abschaltung: Was Käufer wissen müssen}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/netnut-shutdown}},
note = {AIMultiple. Abgerufen am 13. Juli 2026}
}Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.