Diese Geschichte sollte jeder lesen, der auch nur einen einzigen Dienst öffentlich im Netz betreibt: Der Entwickler Andrej Acevski beschreibt in einem bemerkenswert ehrlichen Blogpost, wie ein Botnetz die gehostete Version seines Open-Source-Projekts missbrauchte — um damit rund 14.000 fremde Menschen zu phishen. Er selbst bemerkte davon: nichts. Monatelang.
SO lief der Missbrauch ab
Das Muster ist perfide einfach. Acevski bot — wie viele Open-Source-Entwickler — eine kostenlose Hosted-Version seines Projekts an: anmelden, loslegen, fertig. Genau diese Bequemlichkeit nutzte das Botnetz aus. Es legte automatisiert Accounts an und baute über den Dienst Phishing-Inhalte, die auf den ersten Blick von einer legitimen Domain mit sauberem Ruf kamen — nämlich seiner.
Für die Opfer sah alles vertrauenswürdig aus: echtes TLS-Zertifikat, etablierte Domain, kein Spam-Verdacht. Für Spam-Filter ebenfalls. Erst durch die Aufarbeitung wurde das Ausmaß klar: 14.000 Betroffene, getäuscht über die Infrastruktur eines Einzelentwicklers, der eigentlich nur der Community etwas Gutes tun wollte.
GEFAHR! Warum das jeden Self-Hoster angeht
Man könnte denken: „Betrifft mich nicht, ich hoste nur für mich.“ Aber die Mechanik dahinter ist universell. Sobald dein Dienst öffentlich erreichbar ist und Inhalte annimmt — Registrierung, Datei-Upload, Link-Shortener, Formulare, Kommentare —, bist du ein potenzielles Werkzeug für Missbrauch. Kriminelle scannen das Netz automatisiert nach genau solchen offenen Diensten. Dein Server, deine Domain, dein Ruf — deren Tarnung.
Die Lehren aus dem Vorfall
Erstens: Offene Registrierung nur mit Schutzmechanismen — Rate-Limits, Captcha oder Invite-System. Zweitens: Outbound-Inhalte überwachen: Wer verschickt was über deine Infrastruktur? Drittens: Einen erreichbaren Abuse-Kontakt pflegen — Acevski erfuhr von dem Missbrauch erst spät, auch weil Meldewege fehlten. Viertens: Logs aufheben, sonst ist im Ernstfall keine Aufarbeitung möglich. Und fünftens, vielleicht am wichtigsten: Wer einen Gratis-Hosted-Dienst anbietet, übernimmt Verantwortung für Menschen, die er nie getroffen hat — das sollte in jede Projekt-Planung einfließen.
FAZIT: Ehrlichkeit, die der Szene weiterhilft
Acevski hätte schweigen können — stattdessen dokumentiert er Fund, Aufräumarbeiten und Versäumnisse öffentlich. Genau diese Transparenz macht den Beitrag so wertvoll: Sie zeigt ungeschönt, was es heißt, „mal eben“ eine Cloud für Fremde zu betreiben. Pflichtlektüre.
Häufige Fragen
Was ist konkret passiert?
Welches Projekt war betroffen?
Wie schütze ich meine eigene öffentliche Instanz?
Bin ich rechtlich haftbar, wenn mein Dienst missbraucht wird?
Quellen: Andrej Acevski: Someone used my open source project to phish 14,000 people · Self-Host Weekly (5. Juni 2026)