FBI beschlagnahmt NightmareStresser: Einer der ältesten DDoS-Mietdienste ist offline — zum zweiten Mal

Wer die Adresse nightmare-stresser.com aufruft, sieht seit Dienstag keine Preisliste für Angriffe mehr, sondern drei Behördensiegel und den Satz „This Website Has Been Seized“. Das FBI hat die Domains von NightmareStresser beschlagnahmt — nach eigener Darstellung einer der am längsten laufenden DDoS-for-Hire-Dienste der Welt. Die Staatsanwaltschaft für den Bezirk Alaska, die den Fall führt, spricht von hunderttausenden tatsächlichen oder versuchten Angriffen seit 2022.

Die Aktion ist Teil von Operation PowerOFF, der seit Jahren laufenden internationalen Kampagne gegen sogenannte Booter- und Stresser-Dienste, über die wir bereits Ende 2024 berichtet haben. Beteiligt waren diesmal das FBI-Büro in Anchorage und die kanadische Bundespolizei RCMP.

Das Wichtigste in Kürze

• Das FBI hat am 15. September 2026 die Domains von NightmareStresser beschlagnahmt, darunter nightmare-stresser.com und nightmarestresser.org.
• Der Dienst soll seit 2022 für hunderttausende DDoS-Angriffe auf Schulen, Behörden, Spieleplattformen und Privatpersonen genutzt worden sein.
• Die Aktion läuft unter Operation PowerOFF; Partner ist die Royal Canadian Mounted Police. Über Festnahmen ist nichts bekannt.
• Es ist bereits die zweite Beschlagnahme des Dienstes: Schon im Dezember 2022 war nightmarestresser.com unter 48 beschlagnahmten Domains — der Betreiber zog einfach um.
• Bilanz der Staatsanwaltschaft Alaska über acht Jahre: zwölf Angeklagte und mehr als 100 beschlagnahmte Domains.
• Für Heimnetz-Betreiber relevant: Solche Dienste angreifen mit gekaperten Routern und IoT-Geräten — und in Deutschland ist schon die Bestellung eines Angriffs strafbar.

Was NightmareStresser war

Booter oder Stresser sind Webdienste, die sich als „Lasttest-Werkzeuge“ tarnen: Der Kunde gibt eine IP-Adresse oder URL ein, wählt Port, Dauer und Angriffsart, zahlt ein paar Dollar in Kryptowährung — und der Dienst überflutet das Ziel mit Datenverkehr, bis es vom Netz fällt. Daher der Name: Das Ziel wird „gebootet“, also aus dem Internet geworfen. Typische Opfer sind Spieleserver, Mitspieler, deren IP-Adresse jemand herausgefunden hat, Schulen während einer Prüfung oder kleine Onlineshops.

NightmareStresser gehörte zu den größten Anbietern dieser Szene. Das Sicherheitsunternehmen Searchlight Cyber zählte Ende 2023 mehr als 566.000 registrierte Nutzer und 52 Angriffsserver. Der Dienst warb mit Layer-4-Verstärkungsangriffen und Layer-7-Floods, die angeblich CAPTCHAs, Geoblocking und Ratenbegrenzungen umgehen, mit einem Empfehlungsprogramm, bei dem Werber an jeder Verlängerung ihrer Geworbenen mitverdienten — und mit einem Satz, der jetzt unfreiwillig komisch wirkt: „Seit über acht Jahren ist NightmareStresser nicht ein einziges Mal offline gewesen.“

Zweiter Anlauf gegen denselben Dienst

Bemerkenswert an dieser Beschlagnahme ist, dass sie nicht die erste ist. Bereits im Dezember 2022 gehörte nightmarestresser.com zu den 48 Domains, die das US-Justizministerium in einer der größten PowerOFF-Aktionen vom Netz nahm. Der Betrieb lief danach unter leicht veränderten Adressen weiter, mit Bindestrich oder anderer Endung. Das zeigt die Grenze reiner Domain-Beschlagnahmen: Die Infrastruktur dahinter, die Angriffsserver und die Kundendatenbank, bleiben unberührt, solange die Betreiber nicht gefasst werden.

Ob es diesmal Festnahmen gab, sagt die Pressemitteilung nicht. Sie spricht von einer „mehrgleisigen Ermittlung“, die auf alle bekannten Booter-Seiten ziele und eine Aufklärungskampagne einschließe. In früheren Fällen hat die Staatsanwaltschaft in Anchorage gemeinsam mit Los Angeles zwölf Personen angeklagt; bei der PowerOFF-Aktion im April 2026 gab es in Europa vier Festnahmen, 25 Durchsuchungen und Warnschreiben an rund 75.000 Kunden solcher Dienste.

Warum das Heimnetz-Betreiber angeht

Die Angriffskapazität solcher Dienste kommt nicht aus Rechenzentren, sondern aus gekaperten Geräten: Router mit Standardpasswort, IP-Kameras mit alter Firmware, NAS-Systeme mit offenem Port. Das FBI in Anchorage hat im März 2026 mit Aisuru und KimWolf zwei IoT-Botnetze zerschlagen, deren Angriffe rund 30 Terabit pro Sekunde erreichten — Rekordwerte, zusammengesetzt aus Millionen kleiner Geräte in Wohnzimmern und Büros. Wer seine Geräte nicht pflegt, ist bei solchen Angriffen nicht Opfer, sondern unfreiwilliger Täter.

Drei Dinge, die den eigenen Anschluss aus diesem Kreislauf heraushalten:

• Keine Ports nach außen öffnen, die nicht zwingend nötig sind — und die nötigen hinter einem VPN betreiben. Ein aus dem Internet erreichbares Webinterface einer Kamera ist eine Einladung.
• Firmware aktuell halten, auch bei Geräten, die „einfach laufen“. Die meisten Botnetze nutzen jahrealte, längst gepatchte Lücken.
• Ausgehenden Verkehr beobachten. Ein Gerät, das plötzlich Gigabytes nach außen schickt, gehört isoliert. Ein Pi-hole oder die Verbindungsübersicht des Routers zeigen, welches Gerät womit spricht.

Rechtslage in Deutschland

Wer glaubt, für zwanzig Dollar einen lästigen Mitspieler „vom Server zu schießen“ sei eine Lappalie, irrt. DDoS-Angriffe sind in Deutschland als Computersabotage nach § 303b StGB strafbar, mit bis zu drei Jahren Freiheitsstrafe, in schweren Fällen bis zu zehn. Strafbar macht sich nicht nur der Betreiber des Dienstes, sondern der Kunde, der den Angriff bestellt. Genau darauf zielt die Aufklärungskampagne von PowerOFF: Bei den Aktionen 2024 und 2026 erhielten tausende Nutzer solcher Dienste Post von der Polizei — die Kundendatenbanken der beschlagnahmten Server sind Beweismittel.

Einordnung

Eine Domain-Beschlagnahme ohne Festnahme ist ein Nadelstich, kein Schlag. NightmareStresser hat das 2022 bewiesen, als der Dienst nach der ersten Beschlagnahme einfach weiterlief. Was die Aktion trotzdem wertvoll macht, ist der Zugriff auf die Server und damit auf die Kundendaten: Wer dort als Nutzer steht, muss damit rechnen, dass die Ermittler ihn finden — die Warnschreiben der letzten Aktionen zeigen, dass das keine leere Drohung ist. Für die Betreiber ist es der zweite Verlust ihrer Adresse in vier Jahren. Ob sie ein drittes Mal umziehen, wird sich in den nächsten Wochen zeigen.

Häufige Fragen

Was ist ein Booter- oder Stresser-Dienst?

Ein Webdienst, der gegen Bezahlung DDoS-Angriffe auf beliebige Ziele ausführt. Die Bezeichnung „Stresser“ soll legale Lasttests suggerieren, tatsächlich werden fast ausschließlich fremde Ziele angegriffen.

Was ist Operation PowerOFF?

Eine seit 2018 laufende, koordinierte Kampagne von Strafverfolgungsbehörden unter anderem aus den USA, Kanada, Deutschland, den Niederlanden und Polen mit Europol gegen DDoS-for-Hire-Dienste. Sie umfasst Beschlagnahmen, Festnahmen und Warnungen an Nutzer.

Ist es strafbar, einen DDoS-Angriff zu bestellen?

Ja. In Deutschland greift § 303b StGB (Computersabotage) auch für den Auftraggeber. Die Kundendaten beschlagnahmter Dienste werden ausgewertet und führen zu Ermittlungen.

Wie merke ich, ob mein Router Teil eines Botnetzes ist?

Hinweise sind ungewöhnlich hoher ausgehender Datenverkehr, ein träger Router und unbekannte Verbindungen in der Router-Übersicht. Abhilfe: Firmware aktualisieren, Standardpasswörter ändern, Fernzugriff abschalten und im Zweifel auf Werkseinstellungen zurücksetzen.

Quellen: Pressemitteilung der U.S. Attorney’s Office for the District of Alaska vom 15.09.2026, Berichterstattung von The Hacker News (17.09.2026) und Cyber Daily, Searchlight-Cyber-Analyse (2023), Europol zu PowerOFF (2024, 2026). Abgerufen am 17.09.2026. Bilder: Beschlagnahme-Banner des FBI, gemeinfrei als Werk der US-Bundesregierung.