Prof. Dr. Dennis-Kenji Kipker forscht und berät als Direktor des cyberintelligence.institute international zu Cybersicherheit, digitaler Resilienz sowie IT-Recht in China und den USA. Er ist Teil unseres Expertennetzwerks EXPERTS Circle.

Router sind das stille Rückgrat jedes Netzwerks. Sie stehen am Übergang zwischen dem Heim- oder Firmennetz und dem öffentlichen Internet, sind rund um die Uhr erreichbar und werden in der Praxis selten gewartet. Einmal eingerichtet, geraten sie schnell in Vergessenheit. Genau diese Mischung macht sie für staatliche Angreifer attraktiv: Wer einen Router kontrolliert, kann Datenverkehr beobachten, umleiten oder das Gerät als unauffälligen Ausgangspunkt für weitere Angriffe nutzen. Anders als ein PC läuft ein Router meist ohne Virenschutz, ohne Protokollierung und ohne dass jemand regelmäßig nach dem Rechten sieht.

APT28 ist in Deutschland kein Unbekannter. Die Gruppe wird unter anderem mit dem Cyberangriff auf den Deutschen Bundestag im Jahr 2015 in Verbindung gebracht, ebenso mit Angriffen auf die SPD-Parteizentrale Anfang 2023 und die Deutsche Flugsicherung im August 2024. Das Spektrum reicht von politischer Spionage über die Vorbereitung von Sabotageakten bis hin zu Desinformationskampagnen. Im aktuellen Fall geht es nach Einschätzung der Sicherheitsbehörden um den Zugriff auf militärische Informationen, Regierungsdaten und Erkenntnisse über kritische Infrastrukturen.

Im Visier stehen ältere TP-Link-Router, die direkt aus dem Internet erreichbar sind und bekannte Sicherheitslücken aufweisen. Die Angreifer durchsuchen das Netz systematisch nach solchen Geräten und nutzen offene Verwaltungsschnittstellen oder ungepatchte Schwachstellen, um Schadcode einzuschleusen. Häufig handelt es sich um Modelle, deren Hersteller längst keine Aktualisierungen mehr bereitstellen, die aber in vielen Haushalten und kleineren Büros weiterhin im Einsatz sind. Anschließend wird der Router in ein Netzwerk gekaperter Geräte eingebunden. Über dieses Netzwerk lassen sich Verbindungen verschleiern, sodass nachfolgende Angriffe scheinbar von einem unverdächtigen Anschluss in Europa ausgehen. Das BfV hatte die Betreiber bereits Mitte März informiert und untersucht einzelne Geräte forensisch, um die Vorgehensweise im Detail nachzuvollziehen.

Ein gekaperter Router ist für die Angreifer in erster Linie ein Werkzeug. Er dient als Zwischenstation, um die eigene Identität zu verschleiern, und gleichzeitig als Fenster in das dahinterliegende Netzwerk. Aus Sicht eines Nachrichtendienstes ist das doppelt wertvoll: Man gewinnt Zugang zu möglicherweise interessanten Datenströmen und verfügt zugleich über eine Infrastruktur, die sich für weiteres Ausspähen einsetzen lässt – ohne dass die Eigentümer der Geräte davon etwas bemerken.

Die gute Nachricht: Sie sind diesem Risiko nicht hilflos ausgeliefert. Prüfen Sie zunächst, welches Routermodell bei Ihnen im Einsatz ist und wann zuletzt ein Firmware-Update aufgespielt wurde. Aktivieren Sie automatische Updates, sofern Ihr Gerät dies unterstützt. Ändern Sie voreingestellte Passwörter und deaktivieren Sie die Fernverwaltung über das Internet konsequent, wenn Sie diese nicht zwingend benötigen. Geräte, für die der Hersteller keine Sicherheitsupdates mehr bereitstellt, gehören ausgetauscht. Das BfV berichtet, dass viele betroffene TP-Link-Router bereits ersetzt wurden. Unternehmen sollten zudem den Datenverkehr ihrer Router auf Auffälligkeiten überwachen und sich an den Handlungsempfehlungen der Sicherheitsbehörden orientieren.

Die aktuelle Warnung ist mehr als eine Momentaufnahme. Sie zeigt, dass auch unscheinbare Geräte am Rande des Netzwerks zum strategischen Ziel staatlicher Akteure werden können. Wer seinen Router pflegt wie sein Betriebssystem, nimmt einen wichtigen Teil der eigenen digitalen Selbstverteidigung in die Hand.