Definition
Cryptojacking ist eine Form der Cyberkriminalität, bei der Angreifer heimlich die Rechenressourcen eines Opfers – CPU, GPU oder FPGA – nutzen, um ohne dessen Wissen oder Zustimmung Kryptowährung zu schürfen . Sie stehlen so Strom, Rechenleistung und verlängern die Lebensdauer der Hardware, um Kryptowährung für sich selbst zu generieren. Anders als Ransomware (die Daten verschlüsselt) oder Datendiebstahl (der auf Informationen abzielt) nutzt Cryptojacking Rechenressourcen unbemerkt aus – es kann monatelang aktiv sein, ohne dass die Opfer außer einer langsameren Geräteleistung, höheren Stromrechnungen und erhöhtem Hardwareverschleiß etwas bemerken. Cryptojacking tritt hauptsächlich in zwei Formen auf: Malware-basiert (Schadsoftware, die auf den Geräten der Opfer installiert wird) und browserbasiert (JavaScript-Mining-Code, der in Webseiten eingebettet ist und ausgeführt wird, während Besucher die Seite aufrufen). Monero (XMR) ist aufgrund seiner CPU-basierten Schürfbarkeit und seiner Datenschutzeigenschaften die mit Abstand beliebteste Kryptowährung.
Herkunft & Geschichte
| Datum | Event |
| 2011 | Frühe Bitcoin-Mining-Malware taucht auf, während Bitcoin an Wert gewinnt. |
| 2013 | GPU-Mining-Botnetze tauchen auf; Tausende von Maschinen werden zum Mining missbraucht. |
| 2017 | Coinhive startet – JavaScript-Browser-Mining-API; legitime und böswillige Nutzung explodiert. |
| 2017 | Pirate Bay wurde dabei erwischt, wie sie Coinhive nutzten, um über Besucherbrowser Monero zu schürfen. |
| 2018 | Cryptojacking entwickelt sich zu einer weit verbreiteten Cyberbedrohung; laut Symantec sind über 500 Millionen Geräte betroffen. |
| 2018 | Tesla-Cloud-Infrastruktur über ungeschützte Kubernetes-Konsole verschlüsselt. |
| 2019 | Coinhive stellt den Betrieb ein, da das Monero-Mining über den Browser im großen Stil unrentabel geworden ist. |
| 2020-22 | Cryptojacking verlagert sich in die Cloud-Infrastruktur (AWS, Azure, GCP) – höhere Hash-Raten |
| 2023 | TeamTNT und andere Advanced Persistent Threat-Gruppen sind auf Cloud-Cryptojacking spezialisiert. |
| 2024 | KI-Infrastruktur (GPU-Cluster) werden zu bevorzugten Zielen für Kryptojacking. |
„Cryptojacking ist das perfekte Verbrechen für versierte Angreifer – es generiert kontinuierliche Einnahmen bei geringem Entdeckungsrisiko, und die Opfer bemerken es oft erst, wenn die Stromrechnungen eintreffen.“
Funktionsweise
| Angriffstyp | Ziel | Erkennungsschwierigkeit | Rentabilität |
| Browser JavaScript | Besucher der Website | Niedrig (Leistung sichtbar) | Niedrig pro Nutzer |
| PC-/Server-Malware | Einzelne Geräte | Medium | Medium |
| Botnet-Mining | Tausende von Gastgebern | Medium-High | Hoch (Skala) |
| Cloud-Infrastruktur | AWS/GCP/Azure | Hoch | Sehr hoch |
| IoT-Geräte-Mining | Router, Kameras, DVRs | Sehr hoch | Niedrig |
| KI/GPU-Cluster | Forschungs-/Unternehmens-GPU | Hoch | Extrem hoch |
Einfach ausgedrückt
- Ihr Gerät, ihr GewinnBeim Cryptojacking wird die Rechenleistung Ihres Computers, Telefons oder Servers genutzt, um Kryptowährung zu schürfen – die Belohnungen gehen an den Angreifer, während Sie die Stromrechnung bezahlen und Leistungseinbußen hinnehmen müssen.
- Monero ist die bevorzugte Kryptowährung.Monero (XMR) ist die bevorzugte Währung von Kryptojackern, weil: es so konzipiert ist, dass es durch CPUs geschürft werden kann (es wird keine spezielle Hardware benötigt), seine Datenschutzfunktionen Transaktionen schwerer nachzuverfolgen machen und sein RandomX-Algorithmus effizient auf normalen Prozessoren läuft.
- Browser-Mining war der „Goldrausch“.In den Jahren 2017–2018 stellte Coinhive JavaScript-Code bereit, den Webseiten einbetten konnten, um mithilfe der CPU-Leistung der Besucher Monero zu schürfen. Einige Seiten nutzten ihn als „Alternative zu Werbung“, andere schleusten ihn in böswilliger Absicht ein. Die Abschaltung des Dienstes im Jahr 2019 reduzierte das browserbasierte Kryptojacking zwar, konnte es aber nicht vollständig beseitigen.
- Die Cloud ist die neue GrenzeModerne Kryptojacking-Angriffe zielen zunehmend auf Cloud-Infrastrukturen ab – ungeschützte Kubernetes-APIs, falsch konfigurierte Docker-Container und AWS-Zugriffsschlüssel. Angreifer starten Tausende von GPU-Instanzen, betreiben Mining tagelang oder wochenlang und hinterlassen den Opfern unerwartet hohe Cloud-Rechnungen.
- ErkennungszeichenUnerklärliche Leistungsverschlechterung, CPU/GPU-Auslastung nahe 100 % im Leerlauf, erhöhter Stromverbrauch, Geräteüberhitzung und ungewöhnlicher Netzwerkverkehr Minenpool IP-Adressen sind allesamt Indikatoren für Kryptojacking.
Beispiele aus der Praxis
| Szenario | Umsetzung | Ergebnis |
| Coinhive in Pirate Bay | Pirate Bay nutzte im Stillen die CPUs der Besucher zum Schürfen von XMR. | Entdeckt von Nutzern, die CPU-Spitzen bemerkten; große Kontroverse |
| Tesla Cloud Cryptojacking | Kubernetes-Dashboard kompromittiert; Angreifer nutzten Tesla-GPU-Instanzen. | Aufgedeckt; Angreifer profitierte von Teslas Rechenleistung/Stromversorgung. |
| Los Angeles Times (2018) | Coinhive-Skript in die Website der LA Times (Seite „Mordberichte“) eingebunden. | Die Abbauarbeiten dauerten wochenlang, bevor die Entdeckung erfolgte; die LA Times entschuldigte sich. |
| Rocke-Gruppenbetrieb | Chinesische Cyberkriminellengruppe setzte Cloud-Cryptojacking in großem Umfang ein | Millionen an XMR durch kompromittierte Cloud-Konten weltweit geschürft |
| KI-GPU-Cluster-Targeting | Angreifer zielen auf ungeschützte Jupyter-Notebooks auf Forschungsclustern ab. | Hochwertige GPU-Ressourcen generieren erhebliche XMR-Kosten für die Opfer. |
Vorteile
| Vorteil | Beschreibung |
| Bewusstseinsbildung | Das Bewusstsein für Kryptojacking fördert eine bessere Cybersicherheitshygiene |
| Alternatives Umsatzmodell | Einige seriöse Websites untersuchten Browser-Mining als Alternative zu Werbung (auf Grundlage einer informierten Einwilligung). |
| Sicherheitsforschung | Cryptojacking-Kampagnen decken häufige Schwachstellen in der Infrastruktur auf (Kubernetes, Cloud-APIs). |
Nachteile & Risiken
| Nachteil | Beschreibung |
| Geräteschaden | Eine dauerhaft maximale CPU-/GPU-Auslastung kann zu Überhitzung und dauerhaften Hardwareschäden führen. |
| Stromdiebstahl | Die Opfer zahlen für den Strom, der durch die Mining-Aktivitäten der Angreifer verbraucht wird. |
| Auswirkungen auf die Leistung | Mining-Software beeinträchtigt die Systemleistung für legitime Aufgaben. |
| Sicherheits-Gateway | Cryptojacking-Malware dient oft als erster Zugang für schwerwiegendere Angriffe. |
| Cloud-Rechnungen | Cloud-Cryptojacking kann unerwartete Infrastrukturkosten im fünf- bis siebenstelligen Bereich verursachen. |
Tipps zum Risikomanagement:
- Installieren Sie eine seriöse Endpoint-Sicherheitslösung (Antivirus/EDR) mit Signaturen zur Erkennung von Kryptojacking.
- Verwenden Sie Browsererweiterungen wie NoScript, uBlock Origin oder spezielle Anti-Kryptomining-Erweiterungen
- Überwachen Sie die CPU-/GPU-Auslastung – eine unerwartet hohe, anhaltend hohe Auslastung im Leerlauf ist ein Warnsignal.
- Für Cloud-Infrastrukturen: API-Schlüssel regelmäßig rotieren, MFA auf Cloud-Konsolen aktivieren, Abrechnungswarnungen überwachen und Container-Image-Quellen einschränken.
- Für Organisationen: Nutzen Sie Kubernetes-Netzwerkrichtlinien und beschränken Sie den Zugriff auf freigegebene APIs.
FAQ
Warum bevorzugen Kryptodiebe Monero gegenüber Bitcoin?
Monero (XMR) ist aus mehreren Gründen die bevorzugte Kryptowährung für Kryptojacking: (1) Der RandomX-Algorithmus ist speziell für die effiziente Ausführung auf Consumer-CPUs entwickelt und widersteht der Spezialisierung von ASICs, wodurch gestohlene CPU-Zyklen konkurrenzfähig werden; (2) Die Datenschutzfunktionen von Monero (Ringsignaturen, Stealth-Adressen, RingCT) erschweren es extrem, Zahlungen von Mining-Pools zu Angreifern zurückzuverfolgen; (3) Die niedrigere Rentabilitätsschwelle im Vergleich zu Bitcoin macht Mining im kleinen Maßstab rentabel; (4) XMR kann effektiv ohne GPUs geschürft werden, wodurch es von einer größeren Bandbreite kompromittierter Geräte, einschließlich IoT-Geräten, zugänglich ist.
Wie kann ich Cryptojacking auf meinem Gerät erkennen?
Anzeichen sind: (1) CPU-/GPU-Auslastung nahe 100 %, obwohl der Computer im Leerlauf ist; (2) Deutliche Leistungseinbußen bei normalen Aufgaben; (3) Ungewöhnlich hohe Gerätetemperatur und Lüfterdrehzahl auf maximaler Stufe; (4) Ungewöhnlich hoher Akkuverbrauch bei Laptops/Smartphones; (5) Höhere Stromrechnungen als erwartet. Zur detaillierten Erkennung: Verwenden Sie den Task-Manager (Windows) oder die Aktivitätsanzeige (Mac), um verdächtige Prozesse zu identifizieren; setzen Sie Sicherheitssoftware mit Kryptomining-Erkennung ein; überwachen Sie auf Servern ungewöhnliche ausgehende Verbindungen zu bekannten Mining-Pool-Adressen.
Stellt browserbasiertes Cryptojacking immer noch eine Bedrohung dar?
Weniger als während des Höhepunkts 2017–2019 nach der Schließung von Coinhive, aber das Problem besteht weiterhin. Einige Websites betten nach wie vor Mining-Skripte ein, und bösartiger JavaScript-Code kann weiterhin über kompromittierte Werbenetzwerke oder Website-Schwachstellen in legitime Seiten eingeschleust werden. Browserbasiertes Mining ist pro Opfer in der Regel weniger lukrativ als Malware-basierte Ansätze, wodurch Angreifer sich lukrativeren Zielen zuwenden (Cloud-Infrastruktur, Unternehmensnetzwerke). Browser-Sicherheitserweiterungen blockieren den Großteil des browserbasierten Minings effektiv.
Welche rechtlichen Konsequenzen hat Cryptojacking?
Cryptojacking ist in den meisten Ländern illegal, da es sich um unbefugten Zugriff auf und die unbefugte Nutzung von Computerressourcen handelt. In den USA verstößt es gegen den Computer Fraud and Abuse Act (CFAA). Mehrere bekannte Cryptojacking-Betreiber wurden international verhaftet und strafrechtlich verfolgt. Die Strafen reichten von Geldstrafen bis zu mehrjährigen Haftstrafen, insbesondere wenn Unternehmens- oder Regierungsinfrastrukturen angegriffen wurden.
Wie können Unternehmen ihre Cloud-Infrastruktur vor Cryptojacking schützen?
Wichtige Schutzmaßnahmen: (1) Multi-Faktor-Authentifizierung (MFA) für alle Cloud-Konsolenzugriffe aktivieren; (2) API-Schlüssel und Zugangsdaten für Dienstkonten regelmäßig ändern; (3) Abrechnungswarnungen für ungewöhnliche Kostenspitzen einrichten; (4) Cloud-Sicherheitstools (AWS Security Hub, GCP Security Command Center) zur Überwachung von Mining-bezogenen Aktivitäten verwenden; (5) Prinzip der minimalen Berechtigungen für alle Dienstkonten anwenden; (6) Container-Image-Scanning zur Erkennung bekannter Mining-Software verwenden; (7) Ausgehenden Datenverkehr auf Verbindungen zu bekannten Mining-Pool-IPs überwachen.
