DDoS-Angriffe erkennen und abwehren

Was sind die Merkmale von DDoS-Angriffen?

DDoS ist der Versuch, die Verfügbarkeit eines Dienstes durch Überlastung von Verbindung, Protokoll oder Anwendungslogik einzuschränken. Ein Angriff legt die Website nicht immer sofort vollständig lahm. Hinweise können steigende Antwortzeiten, Anmeldefehler, überlastete APIs, DNS- oder CDN-Probleme und abgebrochene Sitzungen sein.

Zuerst muss das Team einen Angriff von normalem Lastanstieg oder einer technischen Störung unterscheiden. Dafür braucht es Baselines für Website, API, VPN und andere öffentliche Dienste sowie einen gemeinsamen Blick auf Netzwerk-, DNS-, CDN-, WAF-, Hosting- und Anwendungsdaten.

Wie DDoS funktioniert und warum die Quelladresse nicht den Täter identifiziert

Moderne DDoS-Angriffe können Tausende kompromittierte Geräte, Cloud-Ressourcen und offene Dienste aus vielen Netzen nutzen. Ziel ist häufig die Überlastung von Verbindung, DNS, Server, API oder einer einzelnen Geschäftsfunktion wie Anmeldung oder Bestellprozess.

Eine lokale Firewall-Regel genügt nicht, wenn der Verkehr bereits beim Provider gefiltert werden muss. Schutz verbindet deshalb Provider, DNS, CDN, WAF, Anwendungsmonitoring und einen Kommunikationsplan. Die Quelladresse kann zu einem übernommenen Gerät gehören; die Zuordnung des Angreifers ist daher von Filterung und operativer Reaktion zu trennen.

• Der Angriff kann den Store, die API, das VPN, das Anmeldeformular, das Kundenpanel, das DNS oder einen in der Cloud gehosteten Dienst treffen.
• Zu den Verkehrsquellen gehören Computer, IoT-Geräte, Proxyserver und infizierte Botnet-Ressourcen.
• Zu den Symptomen können Nichtverfügbarkeit, Verzögerungen, hohe Cloud-Kosten oder die Überlastung nur eines Endpunkts gehören.
• Deshalb muss die Reaktion Netzbetreiber, DNS/CDN, WAF, Hosting, Anwendung und Kundenkommunikation einbeziehen.

DDoS-Muster und Werk­zeu­ge, die Verteidiger er­ken­nen sollten

DDoS-Beispiele gehören zu unterschiedlichen Kategorien: LOIC, HOIC und hping3 können Datenverkehr erzeugen, R.U.D.Y. beschreibt ein langsames HTTP-Muster zur Ressourcenerschöpfung und Mirai ist eine Malware-Familie zum Aufbau von IoT-Botnetzen. Für die Verteidigung zählen jedoch Schicht, Volumen, Protokoll, Ziel, Dauer und Wiederholungsmuster mehr als der Werkzeugname. Angreifer nutzen Botnetze, schlecht gesicherte IoT-Geräte, Reflection-Angriffe, offene Resolver oder gemietete Angriffsdienste. Diese Merkmale zeigen, ob Provider-Filter, Rate Limits, CDN/WAF-Regeln oder DNS-Schutz priorisiert werden müssen, und beschleunigen die Einbindung von Provider und Sicherheitsdienstleister.

DDoS-Angriffe – wie schützt man sich davor?

Der Schutz vor DDoS umfasst die vorherige Vorbereitung der Verkehrsfilterung, Kontakte mit Lieferanten, Überwachung und einen eingeschränkten Betriebsmodus. Auch kleine Unternehmen ohne umfangreiche IT-Abteilung sollten einen grundsätzlichen Plan haben: Wer trifft Entscheidungen, wo liegen die Protokolle, wer kontaktiert den Betreiber und wann werden strengere Schutzregeln aktiviert.

• Vereinbaren Sie mit Ihrem Betreiber, Hosting-, DNS/CDN- und WAF-Anbieter, welche Mechanismen während eines Angriffs aktiviert werden können.
• Erstellen Sie Traffic-Baselines und Warnungen für HTTP-Fehler, Latenzen, Linklast, CPU, Warteschlangen und Cloud-Kosten.
• Führen Sie Ratenbegrenzung, Cache, Challenge, Formularschutz und Beschränkungen für teure Endpunkte ein.
• Speichern Sie nach einem Vorfall Protokolle, Entscheidungen, Kosten und Korrekturen am Reaktionsplan.

Was sollte vor dem ersten größeren Vorfall bereit sein

Die höchsten DDoS-Kosten entstehen, wenn das Unternehmen erst während des Angriffs klärt, wer DNS verwaltet, den Provider kontaktiert oder strengere Schutzregeln freigeben darf. Vor einem Vorfall dokumentieren wir deshalb öffentliche Dienste, Abhängigkeiten, Notfallkontakte, Eskalationsschwellen und einen zulässigen eingeschränkten Betriebsmodus.

Die Prüfung umfasst bestehende Schutzmaßnahmen, bekannte Ausnahmen und Daten zur Abgrenzung von Angriff und Störung. Ergebnis ist ein ausführbares Reaktionsverfahren mit Rollen, Entscheidungsfolge, Kommunikation und Testszenario.

• Liste kritischer Dienste, Domänen, IP-Adressen, DNS-Anbieter, Hosting, CDN und Leitungsbetreiber.
• Warnschwellenwerte für Datenverkehr, HTTP-Fehler, Antwortzeit, CPU-Auslastung und Cloud-Kosten.
• Entscheidungen zur Aktivierung des Schutzmodus, der Ratenbegrenzung, WAF-Regeln, Sicherheits-Challenges und Kommunikation mit Kunden.
• Reaktionsplan: Zuständige, Telefonnummern, Eskalationswege, zu sichernde Protokolle und Kriterien für den Abschluss des Vorfalls.

Schwach­stel­len, die erst unter Druck zum Vor­schein kommen

Ein einzelnes Edge-Gerät oder eine WAF-Regel schützt den Dienst nicht, wenn der Angriff gleichzeitig Verbindung, DNS und Anwendungslogik belastet. Schwach ist oft die Komponente mit der langsamsten Reaktion, nicht die mit dem sichtbar höchsten Datenverkehr.

In der Prüfung bewerten wir Umschaltschwellen, Notfallkontakte, DNS- und BGP-Regeln, Berechtigungen zur Aktivierung des Schutzes und die Aufbewahrung von Logs. Außerdem testen wir Limits, Caching und einen eingeschränkten Anwendungsmodus vor dem Ernstfall.

So bauen Sie Schutz in Schichten auf

Der mehrstufige Schutz beginnt mit einem Verzeichnis der öffentlichen Dienste und ihrer Telemetrie. Danach wählen wir Provider-Filterung, DNS- und CDN-Schutz, WAF, Rate Limits, Anomalieerkennung und Notfallrouting. Für kritische Dienste definieren wir den Mindestbetrieb während eines Angriffs, etwa für Bestellungen, Anmeldung oder API.

Jede Schutzebene erhält einen Verantwortlichen, eine Eskalationsschwelle und ein Testszenario. So weiß das Team, wann eine Maßnahme aktiviert wird, wie es ihre Wirkung bewertet und wann die normale Konfiguration sicher wiederhergestellt werden kann.

• Ermitteln Sie, welche Online-Dienste den größten Einfluss auf Umsatz und Kundenservice haben.
• Aktivieren Sie synthetische Überwachung, Anwendungsmetriken und Warnungen bei Verkehrsanomalien.
• Prüfen Sie die Schutzoptionen Ihres Betreibers, Hostings, DNS-, CDN-, WAF-Anbieters und Ihrer Cloud-Plattform.
• Üben Sie das Verfahren für Kommunikation, Eskalation, Protokollspeicherung und Rückkehr zum normalen Schutzmodus.

Was Sie zuerst tun sollten

Beginnen Sie mit einem Dienst, der für Ihr Unternehmen besonders wichtig ist, etwa dem Onlineshop oder dem Kundenservice-System. Prüfen Sie den Schutz gemeinsam mit der zuständigen Administration. Dringende Probleme sollten nicht bis zum Ende der Gesamtprüfung warten. Weitere Arbeiten priorisieren Sie nach den Folgen eines möglichen Ausfalls.

• Klären Sie, wer Domain, Hosting und Internetanbindung betreut und wie Sie einen laufenden Angriff außerhalb der Geschäftszeiten melden.
• Prüfen Sie, ob das Monitoring Ausfälle aus Kundensicht erkennt und nicht nur meldet, dass der Server läuft.
• Vereinbaren Sie mit dem Anbieter verfügbare Filtermaßnahmen und deren Grenzen. Testen Sie Änderungen in einem abgestimmten Zeitfenster ohne Störung der Dienste.
• Besprechen Sie mit dem Team einen Ausfall Schritt für Schritt. Alle müssen wissen, wen sie informieren und wer die Konfiguration ändern darf.

Welche Daten der Anbieter während eines Angriffs benötigt

Bei einem Angriff zählen Fakten von mehreren Orten gleichzeitig. Ohne sie ist es schwierig, zwischen einem Anwendungsfehler, einem Betreiberproblem, einem Anstieg des legitimen Datenverkehrs und einem tatsächlichen volumetrischen oder Anwendungsangriff zu unterscheiden.

Nach der Umsetzung sollten Umfang, Entscheidungen, Konfigurationen oder Verfahren, Testergebnisse, Ausnahmen, offene Risiken und der nächste Prüftermin vorliegen. Diese Nachweise helfen bei ISO 27001, NIS2, DORA, Kundenaudits und internen Managementbewertungen.

Hilfreich sind Zeitstempel, Zielsystem, Quellmuster, Protokolle, Bandbreite, HTTP-Status, Firewall-Logs, Providerinformationen und Änderungen kurz vor dem Vorfall. Diese Daten beschleunigen Triage, Providerkommunikation und Managementbericht nach dem Ereignis.

• Verkehrsmetriken, HTTP-Fehler, Antwortzeit, Linklast, CPU und Anwendungswarteschlangen
• WAF-, CDN-, DNS-, Webserver- und Anwendungsprotokolle mit Zeitstempel und Zeitzone
• Aufzeichnung der Entscheidungen: wann die Filterung, die Mengenbegrenzung, der Kontakt mit dem Betreiber und die Kommunikation mit den Kunden eingeschaltet wurden
• Zusammenfassung nach dem Vorfall mit Kosten, verlorener Betriebszeit und Korrekturen am Reaktionsplan

Passende Leistungen von Virtline

Bei DDoS geht es um Verfügbarkeit, Netzwerksicherheit, Anwendungssicherheit und Reaktion auf Vorfälle. Es ist am besten, dies zusammen mit Überwachungs- und SOC-Verfahren zu berücksichtigen.

Festlegen, was der Dienst während eines Angriffs aufrechterhalten muss

DDoS-Bereitschaft ist eine Entscheidung zur Geschäftskontinuität und nicht nur eine Netzwerkaufgabe. Für jeden öffentlichen Dienst sollten Management und technische Verantwortung festlegen, welche Transaktionen verfügbar bleiben, welcher eingeschränkte Modus akzeptabel ist, wer strengere Schutzmaßnahmen freigibt und welches Restrisiko tragbar ist.

• Customer Journeys, APIs, Fernzugriff und Administrationspfade nach Geschäftsauswirkung priorisieren.
• Reaktionsschwellen, Änderungsbefugnis und sichere Grenzen strengerer Filter oder Challenges definieren.
• Providerverantwortung, Eskalationskontakte und Nachweise für die Nachbereitung dokumentieren.
• Den Reaktionsplan nach Architektur-, Provider- oder Traffic-Änderungen und nach jedem wesentlichen Ereignis prüfen.