NetNut geschlossen: Was unterscheidet einen legalen Wohnproxy von einem Botnetz?

Am 2. Juli 2026 beschlagnahmten das FBI und der US-amerikanische Internal Revenue Service (IRS Criminal Investigation) Hunderte von Domains des NetNut-Netzwerks, während Google gleichzeitig das dahinterstehende Botnet Popa neutralisierte – mindestens 2 Millionen infizierte Geräte, die jahrelang Kunden als „residential proxies“ verkauft wurden. Dies ist die zweite Zerschlagung eines großen Anbieters von Residential IPs innerhalb von sechs Monaten: Im Januar wurde auch IPIDEA „geschlossen“. Für den Markt ist das ein Signal, das man nicht ignorieren kann: Ein erheblicher Teil der billigen „residential“ Pools sind gehackte Fernseher und Set-Top-Boxen anderer Leute, und deren Käufer riskieren viel mehr, als sie denken.

Was genau mit NetNut passiert ist

NetNut ist ein Residential-Proxy-Netzwerk, das auf dem Botnet Popa basiert. Schätzungen der Google Threat Intelligence Group (GTIG) zufolge umfasste das Netzwerk mindestens 2 Millionen Geräte weltweit: hauptsächlich Android-Set-Top-Boxen, Smart TVs und Streaming-Boxen. Am 2. Juli erschien auf der Hauptseite von netnut.com ein Banner des FBI über die Beschlagnahmung, und bis zum 8. Juli erhielt auch die Website der Muttergesellschaft ein ähnliches Banner.

Hinter NetNut stand keine Untergrundgruppe, sondern ein öffentliches Unternehmen – die israelische Alarum Technologies Ltd, die an der NASDAQ unter dem Ticker ALAR gehandelt wird. Nach der Beschlagnahmung fielen die Aktien innerhalb einer Woche um etwa 67 % auf 2,62 $. Der Anwalt von Alarum, Omer Weiss, erklärte, dass das Unternehmen „die Angelegenheit ernst nimmt und vollständig mit den Strafverfolgungsbehörden zusammenarbeiten wird“. An der Zerschlagung waren neben dem FBI und Google auch Lumen und die Shadowserver Foundation beteiligt.

Wie ein „residential proxy“ zu einem Botnet wird

Der Schlüsselmechanismus von NetNut ist die Umwandlung gewöhnlicher Haushaltsgeräte in „immer eingeschaltete“ Ausgangsknoten ohne Wissen des Besitzers. Google und die Ermittler beschreiben zwei Hauptwege der Infektion:

• Vorinstallation auf billigen Geräten. Budget-TV-Boxen kamen bereits mit vorinstallierter Proxy-Software direkt vom Werk und wurden auf Marktplätzen verkauft.
• SDK „als Beigabe“. Den Nutzern wurde angeboten, eine App zu installieren (häufig zur Betrachtung von Raubkopien), und zusammen mit der „Funktion“ wurde ein Proxy-SDK auf das Gerät installiert. Einzelne Komponenten von NetNut fand GTIG innerhalb eines großen Botnets Badbox 2.0, das Proxy-Plugins in infizierte Firmware „packt“.

Diese IPs wurden dann vermietet. Allein in einer Woche im Juni 2026 zählte Google 316 einzelne Bedrohungscluster, die über die Knoten von NetNut liefen – von finanziell motivierten Cyberkriminellen bis hin zu staatlich verbundenen Cyber-Spionagegruppen. Über fremde „Haus“-Adressen wurden Password Spraying, Credential Stuffing, Werbetricks, Account-Hijacking und Scraping durchgeführt. Als Reaktion darauf schaltete Google die mit C2 verbundenen Konten ab und stellte Play Protect so ein, dass es die Nutzer automatisch warnte und Apps mit dem NetNut-SDK deaktivierte.

Warum das den normalen Käufer von Proxys betrifft

Das Hauptproblem für den Markt ist das Reseller-Programm von NetNut mit Whitelabel. Das Netzwerk ermöglichte es, seine Knoten unter fremden Marken weiterzuverkaufen, weshalb Dutzende „unabhängiger“ Anbieter von Residential Proxies in Wirklichkeit dasselbe Botnet unter ihren eigenen Namen verbreiteten. Wenn Sie „residential IPs“ in einem anonymen Geschäft kauften, konnten Sie durchaus jahrelang über den gehackten Fernseher Ihres Nachbarn arbeiten, ohne es zu wissen.

Dies ist keine einmalige Geschichte. Im Januar 2026 wurde IPIDEA auf die gleiche Weise neutralisiert – zu diesem Zeitpunkt das größte Residential-Netzwerk – und zusammen mit ihm verschwanden etwa 13 Marken: 922 Proxy, LunaProxy, PyProxy, IP2World, PIA S5 Proxy, ABC Proxy, Cherry Proxy und andere. Der Trend ist offensichtlich: Google und die Strafverfolgungsbehörden schlagen systematisch genau die Botnet-basierten Anbieter aus, und bei jeder solchen Säuberung verlieren deren Kunden an einem Tag den Zugang.

Die Risiken für Sie setzen sich aus drei Teilen zusammen:

• Juristisch. Ihr Traffic läuft physisch über Geräte, für die Sie keinerlei Rechte haben. Das ist bereits keine „graue Zone“ mehr, sondern eine Tätigkeit, die auf Computerkriminalität basiert – mit allen Fragen zur Zustimmung des Eigentümers und zur Datenverarbeitung. Das Thema Zustimmung und die Legalität der Datensammlung wird 2026 nur strenger – wir haben dies in einem Artikel über die neuen EDPB-Empfehlungen zum Web-Scraping und GDPR behandelt.
• Betrieblich. Ein solcher Pool wird mit einem Beschlagnahmebefehl abgeschaltet. Ihre Parser, Account-Farmen und Monitorings stehen sofort still, und das Geld auf dem Konto verschwindet zusammen mit dem Anbieter.
• Technisch. „Schmutzige“ IPs aus Botnets sind schon lange auf den Radaren von Antifraud-Systemen. Sie werden massenhaft markiert und gesperrt, noch bevor das FBI sie erreicht – wie genau die Plattformen residential Adressen erkennen, haben wir in der Analyse zur Erkennung von Residential Proxies durch IP-Intelligence beschrieben.

Wie man legale Residential Proxies von gestohlenen unterscheidet

Überprüfen Sie den Anbieter vor der Zahlung, und nicht erst, wenn seine Domain ein FBI-Banner anzeigt. Hier ist eine praktische Checkliste mit roten und grünen Flaggen für 2026:

1. Fragen Sie direkt nach der IP-Quelle. Ein legaler Anbieter erklärt, woher der Pool stammt: ausdrückliche Zustimmung der Nutzer, bezahlte SDK-Partnerschaften mit transparentem Opt-in, Verträge mit Betreibern. Die Antwort „das ist unser eigenes Geheimnis“ oder Schweigen ist ein rotes Flag.
2. Suchen Sie nach Worten über ethisches Sourcing und Opt-in – aber überprüfen Sie diese. Die Formulierung „ethically sourced“ ist zu einem Marketing-Slogan geworden; schauen Sie, ob der Anbieter eine klare Zustimmungspolitik und einen Rückzugsmechanismus hat, und nicht nur einen Satz auf der Landingpage.
3. Verdächtig billig – fast immer Botnet. Residential Traffic ist nicht „ehrlich“, wenn er zu den Preisen von Rechenzentren angeboten wird. Die tatsächlichen Kosten für einen legalen Pool sind im Preis enthalten; Dumping bedeutet normalerweise, dass für den Traffic niemand von den Gerätebesitzern einen Cent erhalten hat.
4. Überprüfen Sie das Unternehmen und die Geschichte der Marke. Ein anonymes Geschäft ohne Unternehmen, Adresse und öffentliche Geschichte ist ein typisches Whitelabel über fremder Infrastruktur. Genau solche „Schilder“ verschwanden massenhaft zusammen mit IPIDEA und NetNut.
5. Bewerten Sie, was bei einer Blockierung passieren wird. Ein seriöser Anbieter hat seine eigene Infrastruktur, Unterstützung und SLA, und nicht nur eine Domain, die bei einem Beschlagnahmebefehl erlischt.

Deshalb macht es Sinn, mit einem Anbieter zu arbeiten, der die Herkunft seines Pools kontrolliert und nicht von einem einzigen grauen Netzwerk abhängig ist. Bei den Residential Proxies von ProxyCove stammen die IPs aus legalen, vereinbarten Quellen – so erhalten Sie „saubere“ Haushaltsadressen ohne das rechtliche und betriebliche Minenfeld, das gerade unter den Kunden von NetNut explodiert ist.

Was tun, wenn Sie bereits „residential“ Proxies von einem fragwürdigen Verkäufer gekauft haben

Wenn Ihr Anbieter weder ein Unternehmen noch eine klare Antwort zur IP-Quelle hat, handeln Sie so, als wäre die nächste Säuberung über ihn. Vorgehensweise:

1. Verknüpfen Sie keine kritischen Prozesse mit ihm. Verschieben Sie wichtige Parser und Account-Farmen zu einem Anbieter mit transparenter Herkunft des Pools, solange das Netzwerk noch aktiv ist. Den Zugang nach der Beschlagnahmung der Domain wiederherzustellen, wird niemand können.
2. Halten Sie kein großes Guthaben. Bei der Zerschlagung von IPIDEA und NetNut verbrannten die Gelder auf den Konten der Kunden zusammen mit dem Service. Laden Sie nur kleine Beträge auf, und nicht „für ein Jahr im Voraus wegen des Rabatts“.
3. Überprüfen Sie, ob Ihre IPs markiert sind. Lassen Sie die aktuellen Adressen durch IP-Reputationsdienste laufen: Ein hoher Fraud Score und die Markierungen „proxy/botnet“ bedeuten, dass die Plattformen Sie bereits als Bedrohung betrachten, und die Sperren werden nur zunehmen.
4. Überarbeiten Sie das Risikomodell für Accounts. Wenn Sie über „schmutzige“ IPs wertvolle Accounts aufgewärmt haben, berücksichtigen Sie, dass ein Teil davon bereits unter Verdacht von Antifraud steht, und erhöhen Sie die Last nicht.

Es geht nicht um Panik, sondern darum, nicht der Letzte zu sein, der aus den Nachrichten über die Quelle seines Traffics erfährt. Mobile und Rechenzentrums-Szenarien sollten ebenfalls unter dem gleichen Prinzip „Ich verstehe, woher meine IP kommt und was bei einer Blockierung des Anbieters passiert“ überdacht werden.

Fazit

Die Zerschlagung von NetNut ist nicht einfach nur eine weitere Nachricht über ein Botnet. Es ist ein klares Signal: Die Ära der billigen „residential“ Proxies aus unklaren Quellen geht zu Ende, und sie endet mit der Beschlagnahmung von Domains und der Einfrierung von Guthaben. IPIDEA im Januar, NetNut im Juli – die Liste wird fortgesetzt. Die einzige Versicherung für Unternehmen, die ernsthaft von Proxies abhängig sind, besteht darin, im Voraus einen Anbieter mit transparenter Herkunft der IP und eigener Infrastruktur auszuwählen und nicht die Quelle seines Pools aus einem FBI-Banner zu erfahren.