Über Geräte im Umfeld des Weißen Hauses konnten Kunden kommerzieller Residential-Proxy-Dienste ihren Internetverkehr leiten. Nach Angaben der Sicherheitsfirma Layer3 Intel wurden zwischen dem 5. Oktober und dem 3. November 2026 insgesamt 236 Proxy-Ausgänge aus dem Adressraum des Executive Office of the President beobachtet. Die Aktivität betraf sechs IP-Adressen im autonomen System AS2650 und trat an 26 der 30 untersuchten Tage auf.
Das bedeutet nicht, dass Angreifer nachweislich in Systeme des Weißen Hauses eingedrungen sind. Festgestellt wurde vielmehr, dass Geräte innerhalb oder hinter diesem Netzwerk als Ausgangspunkte einer öffentlich zugänglichen Proxy-Infrastruktur dienten. Wer einen solchen Dienst buchte, konnte Anfragen über eine IP-Adresse senden, die für externe Webseiten wie Verkehr aus dem Netzwerk des Weißen Hauses aussah.
Gerade diese Unterscheidung ist für die Bewertung entscheidend: Für den aktuellen Fall sind weder ein kompromittiertes internes System noch Datendiebstahl oder eine aktive Ausnutzung einer konkreten Schwachstelle belegt. Belegt ist jedoch eine unerwünschte und über Wochen beständige Proxy-Funktion in einem besonders sensiblen Netz.
Sechs IP-Adressen, 28 vermarktende Proxy-Dienste
Layer3 Intel zufolge konzentrierte sich die Aktivität überwiegend auf die Zeit zwischen 17 Uhr und Mitternacht. Das kann zu Geräten passen, die von Beschäftigten verwendet oder in das Netzwerk mitgebracht wurden. Die zeitliche Verteilung allein beweist aber weder den Gerätetyp noch, ob private Geräte, dienstliche Systeme oder eine bestimmte Anwendung verantwortlich waren.
So erscheint fremder Verkehr als Verbindung aus dem Weißen Haus
Die Grafik zeigt den Weg einer Kundenanfrage über einen Residential-Proxy-Dienst und einen Proxy-Endpunkt im Netzwerk AS2650 bis zur Zielwebsite.
Das Proxy-Tracking-Unternehmen Synthient ordnete einen Teil der Aktivität mehreren Windows-11-Installationen des Dienstes Infatica zu. Solche Proxy-Komponenten können in kostenlose Desktop- oder Mobilanwendungen eingebettet sein. Entwickler erhalten dabei Geld für die bereitgestellte Bandbreite, während Nutzer nicht zwingend erkennen, dass ihr Gerät als Exit Node arbeitet.
Layer3 Intel fand nach eigenen Angaben insgesamt 28 Residential-Proxy-Dienste, über die Verbindungen aus dem Netzwerk des Weißen Hauses möglich waren. Diese Zahl ist nicht automatisch mit 28 getrennten Installationen gleichzusetzen. In dem Markt verkaufen Anbieter, Vermittler und Wiederverkäufer teilweise Zugriff auf dieselben Endpunkte. Sie zeigt vor allem, wie breit ein einzelnes Gerät oder eine kleine Gruppe von Geräten kommerziell verfügbar werden kann.
Das Weiße Haus reagierte zunächst nicht auf eine Anfrage von KrebsOnSecurity. Damit ist öffentlich nicht geklärt, auf welchen Geräten die Software lief, wie sie installiert wurde und ob die betreffenden Komponenten inzwischen entfernt oder blockiert wurden.
Der Kunde erhält die Reputation des fremden Netzes
Residential Proxies vermieten nicht nur Bandbreite, sondern auch die Herkunft einer Verbindung. Der Kunde übermittelt eine Anfrage an den Proxy-Anbieter, der sie über ein fremdes Gerät weiterleitet. Für die Zielseite erscheint anschließend die IP-Adresse dieses Geräts als Quelle. Auf diese Weise lassen sich der wirkliche Standort und die Adresse des Kunden verbergen.
Im vorliegenden Fall konnten damit grundsätzlich Anfragen erzeugt werden, die nach außen dem Adressraum des Executive Office of the President zugeordnet wurden. Das kann für Betrug, automatisierte Kontoübernahmen, das Umgehen geografischer Sperren oder massenhaftes Scraping attraktiv sein. Zugleich drohen dem betroffenen Netz Reputationsschäden, Sperrlisten-Einträge und Fehlalarme bei anderen Betreibern.
Einige Wiederverkäufer verlangen laut Synthient-Gründer Ben Brundage nur 60 US-Cent pro Gigabyte. Der Zugang zu einem ungewöhnlich vertrauenswürdig wirkenden Netz kann damit weniger als einen Dollar kosten. Hinzu kommt, dass Wiederverkäufer nach seiner Darstellung teils keine belastbare Identitätsprüfung ihrer Kunden vornehmen.
Die aktuelle Beobachtung ist kein bestätigter Einbruch
Proxy-Software auf einem Endgerät ist nicht automatisch mit einem vollständigen Zugang zum lokalen Netzwerk gleichzusetzen. Sie schafft zunächst einen Ausgang für fremden Verkehr. Das Risiko steigt jedoch, wenn die Software selbst verwundbar ist oder Verbindungen in das lokale Netz ermöglicht.
Ende 2025 wurden laut KrebsOnSecurity Schwachstellen in verbreiteten Residential-Proxy-Diensten massenhaft missbraucht, um von Proxy-Endpunkten aus nach verwundbaren Systemen in deren lokalen Netzen zu suchen. Im Januar 2026 mussten demnach zahlreiche Anbieter ihre Infrastruktur nachbessern, nachdem Synthient eine entsprechende Angriffsmöglichkeit demonstriert hatte.
Für die nun beobachteten Geräte im AS2650 gibt es allerdings keinen Beleg, dass genau diese Schwachstellen ausgenutzt wurden. Auch wurden für den aktuellen Vorfall keine CVE, kein CVSS-Wert und keine konkret betroffene oder korrigierte Softwareversion veröffentlicht. Es handelt sich daher nicht um eine klassische Patch-Meldung, sondern zunächst um ein Problem der Softwarekontrolle, Netzüberwachung und ausgehenden Verbindungen.
Die Verbindung von Infatica zu Russland erhöht die politische Brisanz, ist aber kein Nachweis einer staatlichen Operation. Infatica-Gründer Vladimir Fomenko betrieb zuvor den Hoster King Servers. Sechs der acht IP-Adressen, die russische Sicherheitsdienste 2016 bei Angriffen auf Wahlsysteme in Arizona und Illinois verwendeten, waren dort gehostet. Daraus folgt weder, dass Infatica an den damaligen Angriffen beteiligt war, noch dass die aktuellen Proxy-Ausgänge der Spionage dienten.
Betreiber müssen nach Endpunkten suchen, nicht nur nach Angriffen
Für Behörden und Unternehmen liegt die unmittelbar sinnvolle Maßnahme in einer Bestandsaufnahme: Welche verwalteten und privaten Geräte befinden sich im Netz, welche Anwendungen enthalten Proxy-SDKs, und welche Systeme kontaktieren bekannte Domains solcher Anbieter? Auffällige Geräte sollten isoliert, die Software entfernt und ihre Installation nachvollzogen werden. DNS-Protokolle, Endpoint-Telemetrie und die Kontrolle ausgehender Verbindungen können dabei mehr leisten als die Suche nach eingehenden Angriffen.
Dass dies kein Sonderfall des Weißen Hauses ist, zeigen frühere Erhebungen. Der Analysedienst Spur meldete Residential Proxies in fast 300 staatlichen Netzen, bei 318 Versorgungsunternehmen, 166 Gesundheitseinrichtungen sowie 141 Banken und Finanzunternehmen. Infoblox berichtete zudem, dass 65 Prozent seiner Kunden mindestens eine mit Residential Proxies verbundene Domain abfragten.
Der operative Kern des Falls liegt deshalb nicht in einer spektakulären Übernahme des Regierungsnetzes. Er liegt darin, dass unauffällige Anwendungsbestandteile ein sensibles Netzwerk in eine öffentlich buchbare Infrastruktur verwandeln können. Klassische Zugangskontrollen helfen dagegen nur begrenzt: Das Gerät darf bereits ins Netz, und der problematische Verkehr verlässt es regulär nach außen.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
