Der Shop lädt nicht, das Kundenportal quittiert Anfragen mit Zeitüberschreitungen: DDoS-Angriffe richten sich gegen die Verfügbarkeit digitaler Dienste und treffen damit das Fundament vieler Geschäftsmodelle. In die Systeme dringen die Täter dabei nicht ein. Sie überlasten sie von außen, bis reguläre Anfragen unbeantwortet bleiben.
Die Einstiegshürde liegt niedrig: Fertige Angriffsdienste sind im Untergrund für wenig Geld zu mieten, unter den Zielen finden sich Onlinehändler ebenso wie Behörden. Ein belastbarer Abwehrplan gehört daher zur Grundausstattung der Betriebssicherheit, ähnlich selbstverständlich wie Backups oder Virenschutz.
Was ist ein DDoS-Angriff?
DDoS kürzt „Distributed Denial of Service” ab, sinngemäß: verteilte Dienstverweigerung. Angreifer überlasten einen Onlinedienst, einen Server oder eine Netzwerkanbindung so stark, dass legitime Anfragen keine Antwort mehr erhalten. Für Kunden und Beschäftigte ist der Dienst dann unerreichbar, obwohl niemand in die Systeme eingedrungen ist. Ziel kann eine einzelne Webanwendung sein, die Internetanbindung eines Standorts oder ein vorgelagerter Dienst wie DNS.
Das „Distributed” benennt die Methode: Die Anfragen kommen zeitgleich aus vielen Quellen, häufig aus einem Botnetz mit tausenden gekaperten Rechnern, Servern und IoT-Geräten. Diese Streuung erschwert die Abwehr deutlich, weil das Blockieren einzelner Absenderadressen kaum Wirkung zeigt. Die Stärke eines Angriffs wird je nach Typ in Gigabit pro Sekunde, Paketen pro Sekunde oder Anfragen pro Sekunde gemessen.
Verbreitete Motive sind Erpressung, das Ablenken von parallel laufenden Einbruchsversuchen und politisch motivierte Aktionen. Auch im Umfeld von Ransomware-Kampagnen dienen DDoS-Attacken als zusätzliches Druckmittel.
Wie ein Angriff abläuft
Fast immer bildet ein Botnetz die Grundlage: ein zentral gesteuerter Verbund kompromittierter Geräte. Deren Besitzer ahnen meist nichts davon, dass Router, Kameras oder Server im Hintergrund missbraucht werden. Auf Kommando senden alle Geräte gleichzeitig Anfragen an das Ziel. Technisch lassen sich drei Kategorien trennen:
- Volumetrische Angriffe: Sie sättigen die Internetanbindung des Ziels mit gewaltigen Datenmengen. Verstärkungstechniken (Amplification) über offen erreichbare DNS- oder NTP-Server vervielfachen den Verkehr: Aus kleinen Anfragen entstehen riesige Antwortströme.
- Protokollangriffe: Sie missbrauchen Schwächen in Netzwerkprotokollen und erschöpfen die Ressourcen von Servern, Firewalls und Loadbalancern. Ein Beispiel ist die SYN-Flood: Massenhaft halboffene TCP-Verbindungen füllen die Verbindungstabellen, bis keine neuen Verbindungen mehr zustande kommen.
- Angriffe auf Anwendungsebene (Layer 7): Sie ahmen reguläre Nutzeranfragen nach, etwa aufwendige Suchen oder Login-Versuche, und treiben so die Last der Anwendung in die Höhe. Solche Angriffe brauchen wenig Bandbreite und sind von echtem Verkehr schwer zu unterscheiden.
Täter kombinieren in der Praxis mehrere Techniken und wechseln die Vektoren während des Angriffs. Gefälschte Absenderadressen (IP-Spoofing) verschleiern zusätzlich die Herkunft. Kurze Testläufe dienen als Machbarkeitsnachweis; danach folgt eine Erpressernachricht mit der Drohung, den Angriff auszuweiten.
Warum das Thema relevant ist
DDoS wirkt zunächst wie ein rein technisches Problem, betrifft aber Umsatz, Reputation und Compliance gleichermaßen:
- Direkte Umsatzausfälle: Jede Minute ohne Erreichbarkeit kostet Geld, vor allem in Onlinehandel, Buchungssystemen und Kundenportalen.
- Niedrige Hürde für Täter: Mietbare Angriffsdienste machen DDoS zur Massenerscheinung, die jedes erreichbare Ziel treffen kann.
- Ablenkungsmanöver: Während die IT mit der Abwehr ringt, laufen im Hintergrund mitunter Einbruchsversuche oder Datendiebstahl.
- Vertrauensverlust: Wiederholte Ausfälle sprechen sich bei Kunden und Partnern schnell herum und belasten Geschäftsbeziehungen dauerhaft.
- Regulatorik: Vorgaben wie NIS-2 verlangen von vielen Unternehmen nachweisbare Maßnahmen zur Aufrechterhaltung des Betriebs.
- Abhängigkeit von Dritten: Angriffe auf Hoster, DNS-Provider oder andere Dienstleister ziehen die eigenen Dienste mit in den Ausfall.
Typische Szenarien
So verschieden die Ziele sind, die Muster gleichen sich:
- Erpressung im Onlinehandel: Kurz vor einer umsatzstarken Phase erhält ein Händler eine Lösegeldforderung, flankiert von einem kurzen Demonstrationsangriff auf den Shop.
- Layer-7-Angriff auf das Kundenportal: Ein Botnetz feuert massenhaft Login-Anfragen ab. Die Datenbank kollabiert unter der Last, obwohl die Internetanbindung unauffällig bleibt.
- Angriff als Nebelwand: Parallel zur DDoS-Welle versuchen Täter, über eine Schwachstelle ins Netz einzudringen. Das Sicherheitsteam entdeckt den Einbruch erst verspätet.
- Überlastete Standortanbindung: Der Angriff trifft die öffentliche IP-Adresse der Zentrale. VPN-Zugänge, Cloud-Anbindung und Telefonie fallen gleichzeitig aus.
- Dauerbeschuss einer API: Über Wochen rollen immer neue Anfragewellen gegen die Schnittstellen eines Softwareanbieters. Ohne automatisierte Filterung bindet die Abwehr das Betriebsteam rund um die Uhr.
DDoS und DoS: der Unterschied
Ein DoS-Angriff (Denial of Service) stammt aus einer einzelnen Quelle, etwa einem einzigen Server. Er lässt sich vergleichsweise leicht stoppen: Quelle identifizieren, Adresse sperren. Zugleich bezeichnet DoS allgemein den Zustand der Nichtverfügbarkeit, unabhängig von der Zahl der beteiligten Quellen.
Beim DDoS verteilt sich der Verkehr auf tausende Quellen weltweit. Einzelne Adressen zu sperren läuft ins Leere, und die schiere Menge übersteigt die Kapazität lokaler Schutzsysteme. Lokale Appliances sind gegen große volumetrische Angriffe strukturell unterlegen, weil ihre Wirkung an der Bandbreite der eigenen Anbindung endet. Wirksame Abwehr filtert den Verkehr deshalb vorgelagert in global verteilten Cloud-Infrastrukturen, bevor er die eigene Leitung erreicht. Für die Planung heißt das: Bandbreite vor Ort lässt sich kaum sinnvoll überdimensionieren, Filterkapazität in der Cloud schon.
In der Praxis übernehmen spezialisierte Anbieter diese vorgelagerte Filterung: Managed-Angebote für Application Security mit DDoS-Schutz bündeln global verteilte Filterkapazität mit Web Application Firewall und Bot-Management, ergänzt um einen Reaktionsplan für den Ernstfall.
Häufige Fragen
Woran lässt sich ein DDoS-Angriff erkennen?
Typische Anzeichen sind plötzlich stark verlangsamte oder unerreichbare Dienste, ungewöhnlich hoher eingehender Verkehr, viele Anfragen wechselnder Adressen auf dieselbe Ressource sowie ausgelastete Firewalls oder Loadbalancer. Wichtig bleibt der Abgleich mit anderen Ursachen wie Konfigurationsfehlern oder legitimen Lastspitzen. Monitoring mit Basiswerten für den Normalzustand macht Abweichungen schnell sichtbar.
Wie lange dauert ein typischer DDoS-Angriff?
Die Spanne reicht von wenigen Minuten bis zu mehreren Tagen. Viele Attacken bleiben kurz und dienen als Test oder Druckmittel, andere kommen über Wochen in Wellen. Wichtiger als die Dauer ist die Vorbereitung: Vorgeschalteter Schutz filtert den Angriffsverkehr automatisch, ohne dass das Betriebsteam jede Welle von Hand abwehren muss.
Kann eine Firewall einen DDoS-Angriff stoppen?
Nur sehr eingeschränkt. Gegen kleinere Protokollangriffe helfen Firewall-Regeln und Ratenbegrenzungen. Große volumetrische Angriffe sättigen jedoch die Internetanbindung, bevor die Firewall überhaupt eingreift, und unter Protokollangriffen brechen die Verbindungstabellen der Geräte selbst zusammen. Wirksamer Schutz filtert den Verkehr deshalb vorgelagert in einer global verteilten Cloud-Infrastruktur.
Was kostet DDoS-Schutz für den Mittelstand?
Die Kosten richten sich nach dem Schutzumfang: Zahl der Anwendungen und Domains, benötigte Bandbreite, Anforderungen an Web Application Firewall und Bot-Management sowie gewünschte Betreuung. Cloudbasierte Dienste werden meist als monatliches Abo abgerechnet und liegen deutlich unter den Kosten einer eigenen Abwehrinfrastruktur; Betrieb und Anpassung lassen sich an Managed-Service-Provider auslagern.
Sind DDoS-Angriffe strafbar und lohnt eine Anzeige?
Ja. In Deutschland gelten DDoS-Angriffe als Computersabotage, auch die Beauftragung eines Angriffsdienstes ist strafbar. Betroffene sollten Beweise sichern, also Logdaten, Zeitstempel und Erpressernachrichten, und Anzeige bei den zentralen Ansprechstellen Cybercrime der Landeskriminalämter erstatten. Für kritische Dienste kommen Meldepflichten gegenüber dem BSI hinzu.