Glossar · einfach erklärt

Cryptojacking

Cryptojacking stiehlt Rechenleistung fürs Kryptomining: keine Verschlüsselung, kein Alarm — nur stille Kosten.

Cryptojacking ist der heimliche Missbrauch fremder Rechenleistung zum Schürfen von Kryptowährungen: Kompromittierte Server, Cloud-Instanzen oder Container arbeiten für das Wallet des Angreifers — bezahlt über Ihre Strom- und Cloud-Rechnung.

Der Angriff will unentdeckt bleiben: kein Datendiebstahl, keine Erpressung, keine Zerstörung. Genau das macht ihn tückisch — und zu einem verlässlichen Indikator dafür, dass jemand Zugang zu Ihrer Umgebung hat, der ihn morgen auch anders nutzen könnte.

Wie Cryptojacking in Umgebungen gelangt

Bevorzugte Wege sind ungepatchte, exponierte Dienste, kompromittierte Container-Images, offene Kubernetes-Dashboards und geleakte Cloud-Zugangsdaten — Miner lassen sich in Minuten automatisiert ausrollen. In der Cloud missbrauchen Angreifer gestohlene API-Schlüssel, um selbst neue, leistungsstarke Instanzen zu starten: Der Schaden entsteht dann in der Abrechnung, nicht auf eigenen Maschinen.

Erkennung gelingt über Verhalten: dauerhaft hohe CPU- oder GPU-Last ohne Geschäftszweck, Verbindungen zu Mining-Pools, unerwartete Instanzstarts und Kostensprünge. Cloud-Kostenalarme sind dabei ein unterschätzter Sicherheitssensor.

Warnsignale und Gegenmaßnahmen

Grundlast steigt schleichend, Systeme werden träge — ohne neues Workload.
Cloud-Rechnung springt: fremdgestartete Instanzen, unbekannte Regionen.
Egress-Filter blocken Mining-Pool-Verbindungen und machen Miner nutzlos.
Der eigentliche Befund bleibt der Zugang: Einfallstor suchen und schließen.

Häufige Fragen zu Cryptojacking

Ist Cryptojacking gefährlich oder nur lästig?

Beides — die direkten Kosten sind lästig, das Signal ist ernst: Jemand hat Code-Ausführung in Ihrer Umgebung. Derselbe Zugang taugt für Ransomware oder Datendiebstahl; Miner sind oft nur die erste, risikoärmste Verwertung. Der Vorfall verdient volle Aufklärung.

Wie erkenne ich Cryptojacking in der Cloud?

Über Kosten- und Verhaltensanomalien: unerklärliche Ausgabensprünge, Instanzen in nie genutzten Regionen, maximale CPU-Auslastung neuer Ressourcen, API-Aufrufe ungewohnter Herkunft. Budget-Alarme und Anomalie-Erkennung des Cloud-Anbieters sind Pflichtwerkzeuge.

Warum tauchen Miner oft in Kubernetes-Umgebungen auf?

Weil dort Automatisierung auf Angriffsfläche trifft: offene Dashboards, zu großzügige Service-Accounts, verwundbare Images — und ein Orchestrierer, der auf Wunsch beliebig skaliert. Wer einen Cluster kapert, bekommt das Mining-Rechenzentrum gratis dazu.

Hilft Egress-Filterung gegen Miner?

Ja, doppelt: Ohne Verbindung zum Mining-Pool ist der Miner wertlos, und der geblockte Verbindungsversuch ist ein sauberes Erkennungssignal. Ausgehende Kontrolle gehört ohnehin zur Grundhygiene — Cryptojacking liefert nur ein weiteres Argument.

Was tun nach einem Cryptojacking-Fund?

Nicht nur den Miner löschen: Einfallstor identifizieren (Schwachstelle, Zugangsdaten, Image), Persistenzmechanismen und weitere Hintertüren suchen, Zugangsdaten rotieren — und prüfen, was der Zugang sonst noch berührt hat. Der Miner ist Symptom, nicht das Problem.