Was ist ein DDoS-Angriff? Definition, Ablauf und Schutz
Was ist ein DDoS-Angriff? Ein Distributed-Denial-of-Service-Angriff ist der gezielte Versuch, einen Server, einen Dienst oder ein Netzwerk durch eine übermächtige Flut an Anfragen lahmzulegen. Die Anfragen stammen aus vielen tausend gleichzeitig agierenden Systemen, meist einem Botnetz. Ziel des Angreifers ist es, die Verfügbarkeit für legitime Nutzer vollständig zu blockieren.
Das Wichtigste in Kürze
- Definition: DDoS ist die verteilte Form des DoS-Angriffs, bei der viele tausend Systeme gleichzeitig ein Ziel mit Anfragen überfluten, bis die Infrastruktur zusammenbricht.
- Werkzeug: Botnetze aus kompromittierten Servern, Routern und IoT-Geräten erzeugen das nötige Volumen und lassen sich als Miet-Service buchen.
- Schutz: mehrstufige Abwehr aus Redundanz, Traffic-Filterung und spezialisierten Schutzdiensten, die Angriffslast abfangen, bevor sie das Ziel erreicht.
Wie ein DDoS-Angriff abläuft
Der Angriff beginnt lange vor dem sichtbaren Ausfall. Über Wochen hinweg platziert ein Angreifer Schadsoftware auf schlecht geschützten Systemen wie Servern, Routern oder IP-Kameras. Die besetzten Geräte werden zu einem Botnetz verbunden und von einem Command-and-Control-Server ferngesteuert. Der Eigentümer merkt davon in der Regel nichts. Das Gerät funktioniert scheinbar normal weiter und meldet nur gelegentlich Daten nach außen.
Beim eigentlichen Angriff senden alle befallenen Geräte gleichzeitig Anfragen an dasselbe Ziel. Das kann eine Webseite sein, ein API-Endpunkt oder die Netzwerkanbindung eines ganzen Rechenzentrums. Innerhalb von Sekunden übersteigt das Anfragevolumen die Kapazität von Firewall, Lastverteiler und Webserver. Legitime Nutzer erhalten keine Antwort mehr oder nur noch unbrauchbar langsame Verbindungen. Der bislang größte öffentlich dokumentierte Angriff erreichte im Dezember 2025 einen Spitzenwert von 31,4 Terabit pro Sekunde, ausgeführt von einem Botnetz aus Millionen infizierter Geräte und laut Cloudflare nach 35 Sekunden abgewehrt. Selbst gut abgesicherte Ziele können unter solcher Bandbreitenlast zusammenbrechen.
Volumetrisch, Protokoll, Anwendungsschicht
Jede Ebene verlangt eigene Abwehrmaßnahmen
Die drei Angriffsebenen im Detail
DDoS-Angriffe zielen nicht auf eine einzige Schwachstelle. Praktiker unterscheiden drei Ebenen, die jeweils unterschiedliche Komponenten überlasten und eigene Schutzmaßnahmen erfordern.
Auf der ersten Ebene stehen volumetrische Angriffe. Sie fluten die Netzwerkanbindung mit so vielen Datenpaketen, dass legitimer Traffic keinen Platz mehr findet. Typische Techniken sind UDP-Reflection und DNS-Verstärkerangriffe, bei denen kleine Anfragen große Antworten auslösen und das Opfer damit überschwemmen.
Auf der zweiten Ebene greifen Protokoll-Angriffe die Verbindungsaushandlung an. Der Angreifer öffnet unzählige halboffene Verbindungen oder schickt fehlerhafte Pakete, bis der Zielserver die Ressourcen für neue legitime Verbindungen erschöpft hat. Das bekannteste Beispiel ist die SYN-Flood, die den Drei-Wege-Handshake des TCP-Protokolls missbraucht.
Auf der dritten Ebene sitzen Anwendungsschicht-Angriffe. Sie senden scheinbar normale HTTP-Anfragen, die den Webserver zur Verarbeitung zwingen und CPU sowie Datenbank belasten. Ein einzelner schlecht optimierter Request kann hier Tausende Rechenzyklen auslösen. Schutzmaßnahmen sind auf dieser Ebene am anspruchsvollsten, weil der Traffic kaum von normalem Besucherverhalten zu unterscheiden ist.
DDoS vs. DoS – wo der Unterschied liegt
Bei einem klassischen DoS-Angriff sendet ein einzelner Rechner die Anfragen. Das Volumen ist begrenzt durch die Bandbreite dieses einen Systems. Moderne Server und Firewalls halten solche Lasten oft ohne Weiteres aus. Der Angreifer lässt sich über seine IP-Adresse schnell identifizieren und blockieren.
DDoS verteilt die Last auf viele tausend Quellen. Das erhöht das Angriffsvolumen massiv und erschwert die Abwehr, weil eine Sperrung einzelner Adressen wirkungslos bleibt. Das Botnetz verbirgt den wahren Urheber hinter einer Vielzahl kompromittierter Systeme. Die Aufklärung nach dem Angriff ist entsprechend aufwendig und führt selten zum eigentlichen Auftraggeber.
Beide Formen verfolgen dasselbe Ziel – die Verfügbarkeit eines Dienstes zu brechen. Der entscheidende Unterschied liegt in der Quellenanzahl und der daraus resultierenden Angriffskraft. Wer eine DoS-Abwehr auf einfache IP-Sperren aufbaut, ist gegen DDoS unzureichend geschützt.
Wie Unternehmen sich schützen
Der erste Schritt ist Redundanz. Wer seine Dienste über mehrere Rechenzentren und Netzprovider verteilt, kann Angriffslast auf mehrere Standorte umleiten. Eine ausreichend dimensionierte Anbindung ist die Grundvoraussetzung, um volumetrische Angriffe überhaupt abzufedern. Ohne entsprechende Bandbreite nützt der beste Filter nichts.
Sofort prüfen
- ✓Verfügbarkeit über mehrere Provider und Standorte absichern
- ✓Dienst für Cloud-Scrubbing oder Always-On-Filter aktivieren
- ✓Rate-Limiting und WAF-Regeln für kritische API-Endpunkte prüfen
- ✓Notfallplan mit Eskalationswegen und Ansprechpartnern pflegen
- ✓IoT-Geräte und Router auf aktuelle Patches und starke Zugangsdaten prüfen
Darauf aufbauend kommt die aktive Filterung. Providerseitige Scrubbing-Center leiten eingehenden Traffic durch Prüfstationen, die bösartige Pakete aussondern und nur saubere Anfragen weiterleiten. Moderne Firewalls und Lastverteiler erkennen SYN-Floods über Verhaltensanalysen. Auf der Anwendungsschicht helfen Rate-Limiting und Web-Application-Firewalls, um Überlastung durch scheinbar legitime Requests zu verhindern.
Ergänzend rückt das Monitoring in den Fokus. Wer Anomalien früh erkennt, kann Schutzmechanismen aktivieren, bevor die Infrastruktur kollabiert. Ein definierter Notfallplan mit klaren Eskalationswegen verkürzt die Reaktionszeit und begrenzt den Schaden, falls der Angriff durchkommt.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Was ist der Unterschied zwischen DoS und DDoS?
Bei DoS sendet ein einzelnes System die Anfragen, bei DDoS viele tausend über ein Botnetz. DDoS erzeugt ein deutlich höheres Volumen und lässt sich schwerer abwehren, weil das Blockieren einzelner IP-Adressen wirkungslos bleibt.
Lässt sich ein DDoS-Angriff vollständig abwehren?
Einen hundertprozentigen Schutz gibt es nicht. Ziel ist die Aufrechterhaltung der Verfügbarkeit auch unter Angriff. Redundanz, Scrubbing-Center und Schutz auf Anwendungsschicht-Ebene reduzieren das Risiko erheblich und verkürzen die Ausfallzeit.
Wer steckt hinter DDoS-Angriffen?
Motive sind vielfältig. Erpresser fordern Lösegeld, Konkurrenten lösen Störungen aus, politisch motivierte Gruppen greifen unbequeme Akteure an. Mietbare Botnetze senken die Hemmschwelle, da tiefes Technikwissen kaum noch nötig ist.
Was kostet ein DDoS-Schutz?
Die Spanne ist groß. Kleinere Unternehmen erhalten Cloud-basierten Schutz oft im niedrigen dreistelligen Euro-Bereich pro Monat. Enterprise-Lösungen mit dedizierter Anbindung und 24/7-Support können fünfstellige Euro-Beträge pro Jahr kosten.
Muss ein DDoS-Angriff gemeldet werden?
Bei geschäftskritischen Ausfällen ist eine Meldung ratsam, in Deutschland etwa an das BSI oder die Polizei. Unternehmen unter DORA oder NIS2 müssen besonders schwere Vorfälle zusätzlich an die zuständige Aufsicht melden.
Lesetipps der Redaktion
LesetippRansomware: So läuft ein Angriff abLesetippNIS2: Pflichten und Haftung kompakt
Mehr aus dem MBF Media Netzwerk
Digital ChiefsCloud-Kapazität wird knapp, CIOs müssen jetzt planencloudmagazinKRITIS in die Cloud: Was die Migration absichert
Bildquelle: KI-generiert (Juli 2026)
