Was ist ein DDoS-Angriff?
Zuletzt aktualisiert:
Kurz erklärt: Ein DDoS-Angriff (Distributed Denial of Service) ist ein Cyberangriff, der die Verfügbarkeit eines Systems gezielt stört, indem er es aus vielen verteilten Quellen mit Anfragen oder Datenverkehr überlastet. Im Gegensatz zu einem einfachen DoS-Angriff stammt der Verkehr nicht von einem einzelnen Rechner, sondern von Hunderten bis Millionen gekaperter Geräte. Unterschieden werden volumetrische Angriffe, Protokoll-Angriffe und Angriffe auf der Applikationsebene. Das Ziel ist nicht Datendiebstahl, sondern die Unterbrechung des Geschäftsbetriebs — die Verfügbarkeitssäule der Schutzziele.
Ein DDoS-Angriff (Distributed Denial of Service, verteilter Dienstverweigerungsangriff) macht einen Dienst gezielt unerreichbar, indem er ihn aus vielen verteilten Quellen gleichzeitig mit Anfragen überlastet. Anders als bei Angriffen, die Daten entwenden, geht es hier um die Störung der Verfügbarkeit — der Server, die Website oder die API verarbeiten nur noch den Angriffsverkehr und nicht mehr die echten Nutzer. DDoS vergrößert damit die operative Angriffsfläche jedes Unternehmens, das auf erreichbare Online-Dienste angewiesen ist.
Foundational Facts
- Bedeutung: Distributed Denial of Service — verteilte Überlastung eines Dienstes
- Charakter: Angriff auf die Verfügbarkeit, nicht auf Vertraulichkeit oder Integrität
- Schutzziel-Bezug: trifft direkt die Verfügbarkeitssäule der CIA-Triade
- Schlüsselmerkmal: Verkehr aus vielen Quellen, oft über ein Botnet koordiniert
- Regulatorik-Bezug: kann bei kritischen Einrichtungen NIS2-Meldepflichten auslösen
Die drei Angriffstypen
DDoS-Angriffe werden nach der angegriffenen Schicht unterschieden.
| Typ | Ziel | Beispiel |
|---|---|---|
| Volumetrisch | Bandbreite sättigen | UDP-Flood, DNS-Amplification |
| Protokoll | Ressourcen erschöpfen (Firewall, Server) | SYN-Flood, fragmentierte Pakete |
| Applikationsebene | rechenintensive App-Funktionen blockieren | HTTP-Flood gegen Such- oder Login-Endpunkte |
Volumetrische Angriffe sind am sichtbarsten und werden in Gigabit pro Sekunde gemessen. Angriffe auf der Applikationsebene sind tückischer, weil sie mit vergleichsweise wenig Verkehr auskommen und legitimen Anfragen ähneln. In der Praxis kombinieren Angreifer die Typen bewusst: Eine volumetrische Welle bindet die Abwehr, während ein gezielter Angriff auf der Applikationsebene den eigentlichen Ausfall verursacht. Häufig dient ein DDoS auch nur als Ablenkung, um parallel einen unauffälligeren Angriff — etwa Datendiebstahl — durchzuführen, während die IT-Abteilung mit der Verfügbarkeit beschäftigt ist.
Die Rolle von Botnets
Die Verteilung, die DDoS so wirksam macht, stammt meist aus einem Botnet — einem Netz gekaperter Computer, Server oder IoT-Geräte, die ein Angreifer fernsteuert. Schlecht gesicherte Geräte wie Router oder Kameras werden mit Schadsoftware infiziert und auf Kommando gegen ein Ziel gerichtet. Der einzelne Geräteeigentümer bemerkt davon oft nichts, während sein Anschluss Teil eines Angriffs ist.
Mitigation: vorgelagert abfangen
Wirksamer DDoS-Schutz setzt vor der eigenen Infrastruktur an, weil die eigene Internetleitung bei einem großen Angriff schnell gesättigt ist:
- Scrubbing/CDN: Spezialisierte Anbieter filtern Angriffsverkehr in ihren Netzen heraus, bevor er die Zielsysteme erreicht.
- Ratenbegrenzung & Geo-Filter: auffällige Muster auf Anwendungs- und Netzwerkebene drosseln.
- Anycast & Redundanz: Last über mehrere Standorte verteilen, sodass kein einzelner Knoten überläuft.
- Reaktionsplan: vorab geklärte Eskalationswege und Provider-Kontakte sparen im Ernstfall entscheidende Minuten.
DDoS, Verfügbarkeit und KMU
Für kleine und mittlere Unternehmen ist DDoS vor allem ein Verfügbarkeitsrisiko: Ein Online-Shop ohne Umsatz, ein nicht erreichbares Kundenportal oder eine ausgefallene API bedeuten unmittelbaren Geschäftsschaden. Da die meisten KMU einen Angriff im hohen Gigabit-Bereich nicht allein abwehren können, gehört DDoS-Mitigation zur Cyber-Resilienz — der Fähigkeit, den Betrieb trotz Angriff aufrechtzuerhalten oder schnell wiederherzustellen. Betreiber kritischer Infrastrukturen müssen die Verfügbarkeit ihrer Dienste ohnehin nachweisbar absichern.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen DoS und DDoS?
- Ein DoS-Angriff (Denial of Service) geht von einer einzelnen Quelle aus und ist daher leichter zu blockieren. Ein DDoS-Angriff (Distributed Denial of Service) verteilt die Last auf viele Quellen gleichzeitig, meist über ein Botnet aus gekaperten Geräten. Diese Verteilung macht das Filtern schwieriger, weil sich der schädliche Verkehr nicht über eine einzige IP-Adresse abschneiden lässt.
- Welche Typen von DDoS-Angriffen gibt es?
- Man unterscheidet drei Hauptkategorien. Volumetrische Angriffe fluten die Bandbreite mit Datenmengen; Protokoll-Angriffe erschöpfen Ressourcen wie Verbindungstabellen von Firewalls und Servern; Angriffe auf der Applikationsebene zielen auf rechenintensive Funktionen einer Webanwendung. In der Praxis kombinieren Angreifer diese Typen oft, um Schutzmechanismen zu umgehen.
- Wie kann sich ein KMU gegen DDoS schützen?
- Wirksamster Schutz ist ein vorgelagerter DDoS-Mitigation-Dienst oder ein Content-Delivery-Network, das schädlichen Verkehr abfängt, bevor er die eigenen Server erreicht. Ergänzend helfen Ratenbegrenzung, redundante Anbindung und ein dokumentierter Reaktionsplan. Da die eigene Internetleitung schnell gesättigt ist, lässt sich ein großer Angriff lokal kaum allein abwehren.
- Ist ein DDoS-Angriff meldepflichtig?
- Das hängt von den Auswirkungen ab. Führt der Angriff bei einer NIS2-pflichtigen Einrichtung zu einer erheblichen Betriebsstörung, greifen die Meldefristen — Frühwarnung binnen 24 Stunden, Vorfallmeldung binnen 72 Stunden, Abschlussbericht binnen einem Monat. Ob ein Vorfall erheblich ist, richtet sich nach Dauer, betroffenen Nutzern und Schaden.