Ransom DDoS (RDDoS)

Was ist ein Ransom-DDoS-Angriff?

Ein Ransom-DDoS-Angriff (RDDoS) ist Erpressung mit einem DDoS-Angriff als Drohung. Kriminelle schicken eine Nachricht, die eine Zahlung fordert und ankündigt, Ihre Website oder Ihr Netzwerk mit Datenverkehr zu überfluten, falls Sie ablehnen. Manche beginnen mit einem kurzen Demonstrationsangriff, damit man sie ernst nimmt; viele greifen nie an und hoffen nur auf Zahlung. In beiden Fällen lautet die richtige Antwort: vorbereiten und melden, nicht zahlen.

So läuft es ab

• Die Nachricht. Sie kommt per E-Mail, Kontaktformular oder Support-Ticket, oft an eine allgemeine Rolle adressiert. Sie nennt einen Betrag, eine Zahlungsart (meist Kryptowährung) und eine Frist.
• Optionale Demonstration. Eine kurze Flut soll die Drohung glaubhaft machen. Fehlt sie, ist die Drohung deshalb nicht leer.
• Der Angriff, falls er kommt. Der Datenverkehr richtet sich auf die Netzwerkschicht 3 oder 4 oder auf die Anwendungsschicht, mit einem Botnetz oder einem gemieteten DDoS-Dienst. Vergleichen Sie DDoS-Angriffe, Angriffe auf der Anwendungsschicht und HTTP-Floods.
• Nachfassen. Angreifer können später mehr Geld verlangen. Zahlen kauft also keine dauerhafte Ruhe.

Was Sie bei einer Erpressernachricht tun

1. Nicht zahlen. Eine Zahlung garantiert weder, dass der Angriff ausbleibt, noch dass er endet, und sie macht Sie zu einem Ziel für weitere Forderungen.
2. Beweise sichern. Speichern Sie die Nachricht samt Headern, Absenderangaben und Zahlungsadresse und notieren Sie die Uhrzeit.
3. Melden. Informieren Sie Ihre nationale Cybercrime- oder CERT-Stelle und Ihren Hosting-, CDN- oder DDoS-Schutzanbieter.
4. Schutz jetzt prüfen. Stellen Sie sicher, dass jedes aus dem Internet erreichbare Asset, einschließlich Origin, DNS-Server und zusätzlicher IP-Bereiche, hinter der Abwehr liegt. Angreifer suchen die ungeschützte Adresse.
5. Team informieren. Wer Support- und Kontaktpostfächer betreut, sollte solche Nachrichten an die Security weiterleiten, statt zu antworten.

Vorbereitung

Die Vorbereitung gleicht der gegen jeden DDoS-Angriff: einen Schutzdienst oder ein CDN vor den Origin setzen, Origin-Adressen geheim halten, teure Endpunkte mit Rate Limits schützen, Alarmschwellen am normalen Traffic ausrichten und einen Reaktionsplan mit benannten Verantwortlichen schreiben. Das britische NCSC fasst es in vier Gewohnheiten zusammen: den eigenen Dienst verstehen, die eigene Abwehr verstehen, einen Reaktionsplan erstellen und die Reaktion testen. Siehe DDoS-Angriffe stoppen, DoS-Schutz und Cyber-Sicherheitsbedrohungen.

Wo Lasttests und Monitoring ins Bild passen

LoadFocus simuliert keine DDoS- oder Ransom-DDoS-Angriffe und kann Sie nicht davor schützen. Es zeigt Ihre Kapazitätsgrenze bei normalem Traffic und damit Ihren Spielraum: Führen Sie einen Cloud-Lasttest aus und lesen Sie zu Spike Testing (auf Englisch), um Szenarien zu planen. API Monitoring alarmiert Sie, wenn ein Endpunkt langsamer wird oder ausfällt (im kostenlosen Tarif alle 5 Minuten), oft das erste äußere Anzeichen eines Problems. Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine schriftliche Erlaubnis haben, und niemals den Dienst eines Dritten.

Häufige Fragen zu Ransom DDoS

Soll ich das Lösegeld zahlen?

Nein. Eine Zahlung garantiert nicht, dass der Angriff ausbleibt, und die Angreifer können mit einer höheren Forderung zurückkommen. Melden Sie die Nachricht und prüfen Sie stattdessen Ihren Schutz.

Ist die Drohung immer echt?

Nicht immer, aber an der Nachricht erkennen Sie das nicht. Behandeln Sie sie als möglich: Prüfen Sie, ob Ihre DDoS-Abwehr jede erreichbare Adresse abdeckt und Ihr Reaktionsplan funktioniert.

Worin unterscheidet es sich von Ransomware?

Ransomware verschlüsselt Ihre Daten und verlangt Geld für die Entschlüsselung. Ein Ransom-DDoS lässt Ihre Daten in Ruhe und droht, Ihren Dienst lahmzulegen.

Kann ein Lasttest einen Ransom-DDoS verhindern oder simulieren?

Nein. Ein Lasttest schützt nicht vor Angriffen und ersetzt keine autorisierte Angriffssimulation, die nur Ihr Schutzanbieter nach vereinbarten Regeln durchführen kann. Er zeigt, wie viel normalen Traffic Ihr System verkraftet, bevor es langsamer wird.