Das Wichtigste in Kürze
- Am 2. Juli 2026 beschlagnahmten das FBI und die IRS Criminal Investigation Domains von NetNut, einem Residential-Proxy-Dienst der an der Nasdaq notierten Alarum Technologies (ALAR).
- Ermittler bringen das Netzwerk mit einem als Popa geführten Botnet in Verbindung, das aus mindestens zwei Millionen Geräten besteht, die kompromittiert wurden — oft ohne die Einwilligung ihrer Besitzer.
- Wir haben am 26. Juli 2026 unabhängig bestätigt, dass netnut.io einen Beschlagnahmehinweis des Federal Bureau of Investigation ausliefert.
- Das Risiko auf Käuferseite ist indirekte Betroffenheit: Google berichtete, das Netzwerk sei breit weiterverkauft und unter fremdem Label vertrieben worden, sodass manche Kunden Traffic darüber leiteten, ohne die Marke zu kennen.
- Eine Beschlagnahme ist kein Schuldspruch. Zum Redaktionsschluss waren weder Anklagen noch namentlich genannte Beschuldigte berichtet worden, und Alarum erklärt, mit den Strafverfolgungsbehörden zu kooperieren.
Ein Residential Proxy ist nur so legitim wie der Weg, auf dem seine IP-Adressen beschafft wurden. Dieser Satz ist seit Jahren das Argument der ethischen Proxy-Beschaffung, meist als Abstraktion. Im Juli 2026 hörte er auf, abstrakt zu sein.
Was geschah, und wann
Am 2. Juli 2026 beschlagnahmten das FBI und die IRS Criminal Investigation Domains, die NetNut zugeordnet sind — einem Residential-Proxy-Anbieter, der vom börsennotierten israelischen Unternehmen Alarum Technologies (NASDAQ: ALAR) betrieben wird. Bekannt gemacht wurde die Maßnahme am 3. Juli, zeitgleich mit einer koordinierten technischen Störaktion der Google Threat Intelligence Group, von Lumen und der Shadowserver Foundation.
Ermittler verbinden den Dienst mit einem als Popa geführten Botnet, das als aus „mindestens zwei Millionen Geräten" bestehend beschrieben wird, die durch Schadsoftware kompromittiert worden seien — in vielen Fällen ohne Wissen oder Einwilligung der Gerätebesitzer. Berichte beschreiben als Infektionswege vorinstallierte Malware auf billiger Consumer-Hardware sowie trojanisierte Anwendungen, darunter Proxy-Plugins, die über das Ökosystem von Badbox 2.0 verteilt wurden.
Google berichtete, in einer einzigen Woche 316 verschiedene Threat-Cluster beobachtet zu haben, die mutmaßliche NetNut-Exit-Nodes nutzten — von krimineller bis zu Spionageaktivität.
Alarums Justiziar Omer Weiss erklärte, das Unternehmen „nimmt diese Angelegenheit ernst und wird vollumfänglich mit den Strafverfolgungsbehörden kooperieren, damit jeder Missbrauch seiner Infrastruktur gründlich untersucht wird". Bis zum 8. Juli war die Alarum-Aktie um rund 67% auf $2.62 gefallen.
Eine wichtige Unterscheidung: Eine Domain-Beschlagnahme ist eine Ermittlungsmaßnahme, kein Schuldnachweis. Zum Redaktionsschluss war öffentlich keine Anklage erhoben und kein Beschuldigter benannt worden. Die Verbindung zum Botnet ist das, was Ermittler und Google angeben; gerichtlich überprüft wurde sie nicht.
Was wir selbst verifiziert haben
Weil Beschlagnahmehinweise mitunter wieder aufgehoben werden und weil die beiden NetNut-Domains zu unterschiedlichen Zeitpunkten übernommen wurden, haben wir direkt nachgesehen, statt uns allein auf Berichte zu verlassen.
Am 26. Juli 2026 riefen wir https://netnut.io/pricing/ ab und erhielten HTTP 200 mit dem Seitentitel „Seized by the Federal Bureau of Investigation". Die kommerzielle Website ist verschwunden; geblieben ist das Beschlagnahme-Banner. Das deckt sich mit Berichten, wonach netnut.com zuerst beschlagnahmt wurde, am 2. Juli, und netnut.io nach einem separaten Verfahren bis zum 8. Juli folgte.
Wir veröffentlichen das als datierte Erstbeobachtung, so wie wir jeden Preis in unserem Preisvergleich datieren. Wenn Sie dies deutlich später lesen, prüfen Sie die Domain vor jeder Entscheidung selbst noch einmal.
Warum aus einem Proxy-Netzwerk ein Botnet wird
Jeder Residential-Proxy-Anbieter steht vor demselben Beschaffungsproblem: Er braucht IP-Adressen, die zu echten Haushalten gehören, und besitzt selbst keine einzige davon. Es gibt nur zwei Wege, an sie zu kommen.
Der legitime Weg ist, für Einwilligung zu bezahlen. Ein Anbieter kooperiert mit App-Entwicklern, die den Nutzer in klarer Sprache fragen, ob er einen Teil seiner ungenutzten Bandbreite teilen möchte — im Tausch gegen etwas: Geld, eine werbefreie Version, Spielwährung — und die ihn jederzeit wieder aussteigen lassen. Das ist langsam, teuer und dauerhaft dadurch begrenzt, wie viele Menschen zustimmen.
Der illegitime Weg ist, das Fragen zu überspringen. Wer ein stilles Proxy-SDK in eine kostenlose App bündelt oder es auf einem billigen Smart-TV vorinstalliert ausliefert, lässt den Pool ohne Einwilligung, ohne Vergütung und ohne Kostenobergrenze wachsen.
Aus Käufersicht sieht der Traffic aus beiden Quellen identisch aus. Dieselbe Latenz, dieselbe Erfolgsquote, dieselbe Rechnung. Der Unterschied ist im Dashboard unsichtbar und vor Gericht entscheidend — und genau deshalb ist die Sourcing-Dokumentation und nicht die Benchmark-Zahl das, was man vor einer Unterschrift lesen sollte.
Die tatsächliche Betroffenheit der Käufer: White-Label-Weiterverkauf
Das folgenreichste Detail für alle, die Proxies einkaufen, lässt sich leicht übersehen. Googles Threat Intelligence Group erklärte, NetNuts Infrastruktur sei von Drittanbietern „breit weiterverkauft und unter fremdem Label vertrieben" worden und sei „von Cyberkriminellen stark nachgefragt gewesen, die die Herkunft ihres bösartigen Traffics verschleiern wollten".
Das heißt: Die Menge der betroffenen Käufer ist größer als die Menge der NetNut-Kunden. Wenn Sie Residential-Bandbreite bei einem kleinen Anbieter gekauft haben, der seinen Upstream nicht offenlegt, verrät Ihnen Ihre Rechnung nicht, wessen Exit-Nodes Sie genutzt haben.
Es gibt eine Frage, die das klärt, und sie lohnt sich noch heute:
„Betreiben Sie einen eigenen Residential-Pool oder verkaufen Sie das Netzwerk eines anderen weiter? Falls Sie weiterverkaufen: Nennen Sie den Upstream-Anbieter."
Ein Anbieter, der klar antwortet, ist ein Anbieter, den Sie prüfen können. Ein Anbieter, der die Frage als geschäftlich sensibel behandelt, hat Ihnen ebenfalls etwas gesagt.
Wenn Sie Traffic über NetNut geleitet haben
- Stoppen und umleiten. Die Domains stehen unter staatlicher Kontrolle; der Dienst ist daher als nicht verfügbar zu behandeln, unabhängig davon, was Ihr Restguthaben ausweist.
- Unterlagen sichern. Bewahren Sie Verträge, Rechnungen und Nutzungslogs auf. Sie belegen, was Sie wann und zu welchem Zweck gekauft haben.
- Prüfen Sie Ihre Reseller, nicht nur Ihre direkten Anbieter. Stellen Sie die obige Upstream-Frage jedem Anbieter in Ihrem Stack.
- Halten Sie Ihren Anwendungsfall schriftlich fest. Preismonitoring, Ad Verification und SEO-Messung sind gewöhnliche kommerzielle Tätigkeiten. Einen dokumentierten, rechtmäßigen Zweck vorweisen zu können, ist etwas wesentlich anderes, als ihn später zu rekonstruieren.
- Holen Sie Rat ein, wenn Sie real betroffen sind. Wenn Ihre Organisation nennenswerte Volumina über das Netzwerk bewegt hat, ist das eine Frage für Ihre eigene Rechtsberatung, nicht für eine Vergleichsseite.
So prüfen Sie die Beschaffung eines Anbieters vor der Unterschrift
Die vier Netzwerke, die wir verfolgen, veröffentlichen deutlich unterschiedlich viel Detail dazu, woher ihre IP-Adressen stammen. Der Abstand zwischen ihnen ist der eigentliche Produktunterschied — und nach Juli 2026 derjenige, der das größte Risiko trägt.
| Oxylabs | Bright Data | Decodo | IPRoyal | |
|---|---|---|---|---|
| Wie Peers gewonnen werden | Partner-Apps und SDK-Integrationen plus ISP-bezogene IPs | Bright SDK, eingebettet von App-Entwicklern, aktiviert erst nach einem ausdrücklichen Opt-in-Bildschirm | Peer-to-Peer-Netzwerk mit informiertem Opt-in; keine Partner-Apps auf der Seite benannt | Direkter Partner Pawns.app plus Partnerschaften mit IP-Service-Providern |
| Was Peers erhalten | Finanzielle Vergütung oder andere Belohnungen | Nur Sachleistungen: Belohnungen, weniger Werbung, virtuelle Güter, aufgewertete App-Version | Geld, berechnet pro beigetragenem GB | $0.20/GB über Pawns.app, $5 Mindestauszahlung, $3 Willkommensbonus |
| Selbstbewertetes Sourcing | Stuft Beschaffung von Tier A+ (ausdrückliche Einwilligung) bis Tier C (Malware) ab; beansprucht eine Mehrheit in Tier A+ | Entwickler müssen die Teilnahme offenlegen und ein 2-Klick-Opt-out anbieten | Peers behalten die volle Kontrolle über ihre Teilnahme | Verweist auf manuelle und automatisierte Prüfung; die Ethik-URL wurde verschoben, die alte liefert einen 404 |
| KYC auf Käuferseite | KYC-Formular für jeden Kunden, risikobasierte Eskalation, EWDCI-Mitglied | Am strengsten: nur verifizierte Firmen, menschlich geprüft, ggf. Videocall und Ausweis | Automatisierte Betrugsprüfungen und Screening für alle; Ausweisprüfung bei Auffälligkeiten; EWDCI-Mitgründer | KYC über einen Drittanbieter (iDenfy), verpflichtend nur für ISP-Proxies |
| Veröffentlichte eingeschränkte Ziele | Compliance-Monitoring nach dem Onboarding | Auf den abgerufenen Seiten nicht ausgewiesen | Blockiert Banking, Behörden, Streaming, App Stores, Ticketing | Auf den abgerufenen Seiten nicht ausgewiesen |
Lesen Sie diese Tabelle als Karte davon, was jeder Anbieter bereit ist schriftlich festzuhalten, nicht als Tugendranking. Jede Zeile ist eine Herstellerangabe; nichts davon wurde von uns unabhängig auditiert. Doch eine schriftliche Angabe ist widerlegbar und Schweigen ist es nicht — und die Anbieter, die ihren Beschaffungskanal benennen, sind diejenigen, die Sie tatsächlich in die Pflicht nehmen können.
Zwei Zeilen verdienen nach diesem Fall besonderes Gewicht. Benannte Beschaffungskanäle zählen, weil „Peer-to-Peer-Netzwerk" einen einwilligungsbasierten Pool und ein Botnet gleichermaßen gut beschreibt. KYC auf Käuferseite zählt, weil ein Netzwerk, das an jeden verkauft, wenig Anreiz hat, bei der Herkunft seines Angebots sorgfältig zu sein — dieselbe Gleichgültigkeit wirkt meist in beide Richtungen.
Wohin stattdessen
Es gibt keine Version dieses Artikels, die mit einer einzigen richtigen Antwort endet, denn der passende Anbieter hängt von Volumen, Geografie und dem Compliance-Aufwand ab, den Ihre Organisation braucht. Unser Leitfaden zur Auswahl eines Proxy-Anbieters geht die vollständige Entscheidung durch, und beste Residential Proxies behandelt die engere Auswahl im Detail.
Wenn Sie vor allem die umfangreichste Sourcing-Dokumentation und die strengste Kundenprüfung brauchen, veröffentlichen Bright Data und Oxylabs von den vieren die meisten Details. Wenn Sie eine mittelgroße Last ablösen und vor der Bindung testen wollen, beginnen Sie mit den Bedingungen der kostenlosen Trials statt mit dem Schlagzeilenpreis.
Oxylabs
Veröffentlicht ein abgestuftes Sourcing-Modell (A+ bis C) und verlangt von jedem Kunden ein KYC-Formular.
Dieser Artikel enthält Affiliate-Links. Bei einem Kauf über diese Links erhalten wir ggf. eine Provision – ohne Mehrkosten für Sie. Unsere Tests und Rankings sind unabhängig und werden nicht von Partnern beeinflusst.
Bright Data
Strengste Käuferprüfung der vier: nur verifizierte Firmen, menschlich geprüft.
Dieser Artikel enthält Affiliate-Links. Bei einem Kauf über diese Links erhalten wir ggf. eine Provision – ohne Mehrkosten für Sie. Unsere Tests und Rankings sind unabhängig und werden nicht von Partnern beeinflusst.
Welchen Sie auch wählen: Stellen Sie zuerst die Upstream-Frage. Der günstigste Preis pro GB am Markt ist nichts wert, wenn das Netzwerk dahinter in einem Jahr beschlagnahmt wird.
Keine Rechtsberatung
Dieser Artikel fasst öffentliche Berichterstattung und unsere eigene datierte Beobachtung der beschlagnahmten Domain zusammen. Er ist eine allgemeine Information, keine Rechtsberatung, und er behauptet nicht, dass eine Person oder ein Unternehmen eine Straftat begangen hat — zum Redaktionsschluss waren keine Anklagen berichtet worden. Wenn Ihre Organisation wesentlich betroffen ist, ziehen Sie qualifizierten Rechtsbeistand hinzu. Zum größeren rechtlichen Bild rund um Datenerhebung siehe Ist Web Scraping legal?.
Quellen: Krebs on Security — FBI Seizes NetNut Proxy Platform, Popa Botnet, BleepingComputer — NetNut proxy network disrupted, 2 million infected devices cut off sowie unser eigener Abruf von https://netnut.io/pricing/ am 26. Juli 2026. Die Angaben zu Sourcing und KYC der Anbieter stammen aus data/provider-facts.json, abgerufen am 17. Juli 2026.