DDoS-Angriffe

Was ist ein DDoS-Angriff?

Bei einem Distributed-Denial-of-Service-Angriff (DDoS) schicken viele gekaperte Geräte, oft ein Botnetz, einem Ziel mehr Traffic oder Anfragen, als es verarbeiten kann, sodass echte Nutzer es nicht mehr erreichen. Anders als ein einfacher DoS-Angriff kommt der Traffic aus vielen Quellen gleichzeitig, was Rückverfolgung und Abwehr erschwert.

So funktioniert ein DDoS-Angriff

Der Angreifer übernimmt Tausende Geräte und lässt sie im selben Moment dasselbe Ziel ansteuern. Es gibt drei typische Gruppen:

• Volumetrisch: Die Bandbreite vor dem Ziel wird gesättigt. Ein klassisches Beispiel ist ein DNS-Amplification-Angriff.
• Protokollangriffe: Verbindungstabellen oder Load Balancer werden mit fehlerhaften oder halboffenen Verbindungen erschöpft.
• Anwendungsebene: Anfragen sehen legitim aus, sind aber teuer in der Verarbeitung, etwa bei einem DDoS-Angriff auf der Anwendungsebene oder einer HTTP-Flut.

Anzeichen eines Angriffs

• Die Website oder ein Dienst ist plötzlich langsam oder nicht erreichbar.
• Der Traffic steigt ohne Kampagne, Launch oder Pressemeldung.
• Viele Anfragen treffen dieselbe URL oder kommen aus wenigen Netzen oder identischen Clients.
• Fehlerquoten und Timeouts steigen, während echte Bestellungen oder Logins sinken.

Diese Anzeichen passen auch zu einem normalen Besucheransturm oder einem Fehler und beweisen daher keinen Angriff. Laut CISA lässt sich ein Angriff am besten bestätigen, indem man den Netzwerkverkehr über eine Firewall oder ein Intrusion-Detection-System beobachtet.

Folgen für Unternehmen

Die direkten Kosten sind Ausfallzeiten: keine Verkäufe, keine Anmeldungen, kein Support. Dazu kommen indirekte Kosten wie Vertrauensverlust, Supportaufwand und Notfallausgaben. Ein Angriff kann außerdem als Ablenkung dienen, während anderswo etwas anderes passiert. Prüfen Sie deshalb auch Ihre übrigen Systeme.

Vorbereitung und Reaktion

• Setzen Sie einen DDoS-Schutzdienst oder ein CDN vor den Ursprungsserver. Mehr dazu: DoS-Schutz und DDoS-Angriffe stoppen.
• Begrenzen Sie die Rate teurer Endpunkte und cachen Sie, was möglich ist.
• Legen Sie einen Notfallplan fest: Wer entscheidet, wer spricht mit dem Anbieter, wie wird kommuniziert.
• Halten Sie Origin-Adressen privat und erlauben Sie direkten Zugriff nur aus den Bereichen Ihres Anbieters.
• Kennen Sie Ihren normalen Traffic, damit Auffälligkeiten sofort sichtbar werden.

Wo Lasttests und Monitoring helfen

Ein Lasttest simuliert keinen DDoS-Angriff, und LoadFocus bietet keine Angriffssimulation an. Er zeigt aber Ihre Kapazitätsgrenze bei normalem Traffic: ab wann Antwortzeiten steigen und Fehler auftreten. So wissen Sie, wie viel Spielraum Sie haben, bevor ein Ansturm, ob feindlich oder nicht, Ihr System lahmlegt. Ermitteln Sie diese Grenze mit einem Cloud-Lasttest und lesen Sie zur Szenarioplanung mehr über Spike-Tests und Lasttest vs. Stresstest. Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine Erlaubnis haben.

Häufige Fragen zu DDoS-Angriffen

Was ist der Unterschied zwischen DoS und DDoS?

Ein DoS-Angriff kommt aus einer Quelle. Ein DDoS-Angriff kommt aus vielen Quellen gleichzeitig, meist einem Botnetz. Das Sperren einer einzelnen Adresse stoppt ihn daher nicht.

Schützt mich ein Lasttest vor DDoS-Angriffen?

Nein. Ein Lasttest wehrt keine Angriffe ab. Er zeigt, wie viel normalen Traffic Ihr System verkraftet, bevor es langsam wird oder ausfällt, und hilft bei Kapazitätsplanung und Alarmen. Schutz bieten ein DDoS-Schutzdienst, Rate Limiting und ein Notfallplan.

Woran erkenne ich, ob ein Traffic-Anstieg ein Angriff ist?

Achten Sie auf das Muster. Ein legitimer Anstieg passt meist zu einer Kampagne oder einem Ereignis und verteilt sich auf viele Seiten und Regionen. Ein Angriff trifft oft eine URL, kommt aus wenigen Netzen oder Clients und bringt Fehler ohne mehr Bestellungen.

Stoppt ein CDN DDoS-Angriffe?

Ein CDN fängt einen großen Teil volumetrischer Angriffe und Anfrageflut ab, ist aber kein vollständiger Schutz. Halten Sie den Ursprungsserver privat, setzen Sie Rate Limits und prüfen Sie, was Ihr Anbieter abdeckt.