Am 19.03.2026 gingen die Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW) und das Bundeskriminalamt (BKA) in einer international abgestimmten Aktion gemeinsam mit Strafverfolgungsbehörden aus Kanada und den USA gegen zwei der derzeit weltgrößten Botnetze namens "Aisuru" und "Kimwolf" vor. Im Zuge der Maßnahmen konnte global verteilte technische Infrastruktur der beiden Botnetze abgeschaltet werden. Die Strafverfolgungsbehörden haben zudem zwei mutmaßliche Administratoren identifiziert, gegen die nun rechtliche Konsequenzen folgen. An ihren Wohnorten in Deutschland und in Kanada wurden Durchsuchungen durchgeführt und umfassende Beweismittel sichergestellt. Neben zahlreichen Datenträgern wurden auch Kryptowährungen im fünfstelligen Bereich gesichert. Den Maßnahmen gingen aufwändige mehrmonatige Ermittlungen voraus, die von hohem technischem Anspruch und enger internationaler Koordination geprägt waren. Dem Aisuru-Botnetz wird ein Zusammenschluss aus mutmaßlich mehreren Millionen kompromittierten Internet-of-Things (IoT)-Geräten wie beispielsweise Routern und Webcams zugerechnet. In direktem Zusammenhang damit steht das Kimwolf-Botnetz, welches ebenfalls mehrere Millionen infizierte Geräte umfasst, überwiegend bestehend aus Android-TV-Boxen. Die kompromittierten Geräte werden ohne das Wissen ihrer Betreiber von den Botnetz-Administratoren durch Malware kompromittiert und anschließend für DDoS-Angriffe missbraucht. Darüber hinaus wurden Ressourcen des Kimwolf-Botnetzes als Residential-Proxy-Netzwerk vermietet, wodurch Dritte gegen Bezahlung die infizierten Geräte ohne Wissen des eigentlichen Inhabers als Anonymisierungsschicht nutzen konnten. Infektionen mit der den Aisuru- und/oder Kimwolf-Botnetzen zugrundeliegenden Schadsoftware können ohne aktives Zutun der Geschädigten auftreten, da die Malware direkt an internetverbundene IoT- und Android-Geräte verbreitet wird, die geeignete Schwachstellen aufweisen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt bei den durchgeführten Maßnahmen durch technische Analysen und ein Sinkholing der Täterinfrastruktur, wobei der Datenverkehr eines bösartigen Akteurs umgeleitet wird, um ihn von seinem ursprünglichen Ziel abzulenken und zu einem kontrollierten System zu leiten.