Was ist ein DDoS-Angriff?

Kurz erklärt

Ein DDoS-Angriff ist ein Angriff, bei dem eine Website, ein Server oder ein Netzwerk von vielen Quellen gleichzeitig mit Anfragen überlastet wird, bis der Dienst nicht mehr erreichbar ist. DDoS steht für „Distributed Denial of Service“, also eine verteilte Dienstverweigerung. Daten werden dabei meist nicht gestohlen, doch der Ausfall kann für einen Onlineshop oder eine Buchungsplattform teuer werden.

Wie funktioniert ein DDoS-Angriff?

Jeder Server kann nur eine bestimmte Menge an Anfragen gleichzeitig beantworten. Ein DDoS-Angriff erzeugt künstlich so viel Last, dass legitime Besucher:innen nicht mehr durchkommen. Die Anfragen stammen in der Regel aus einem Botnet, also von Tausenden gekaperten Geräten weltweit. Weil sie von so vielen verschiedenen Adressen kommen, lassen sie sich nicht einfach durch das Sperren einer einzelnen Adresse stoppen.

Grob lassen sich drei Arten unterscheiden:

• Volumenbasierte Angriffe: Die Internetleitung wird mit Datenverkehr geflutet, bis sie verstopft ist.
• Protokollangriffe: Sie zielen auf Schwächen in der Netzwerktechnik und überlasten Firewalls oder Server.
• Angriffe auf Anwendungsebene: Scheinbar normale Seitenaufrufe, etwa auf die Suchfunktion oder den Warenkorb, belasten gezielt rechenintensive Teile einer Website.

Die Motive reichen von Erpressung über politischen Aktivismus bis zur Ablenkung: Während das Team mit dem Ausfall beschäftigt ist, laufen im Hintergrund andere Angriffe. DDoS-Angriffe lassen sich im Internet zudem als Dienstleistung mieten, wodurch auch kleine Unternehmen zum Ziel werden können.

Ein typisches Beispiel aus dem KMU-Alltag

Ein Onlineshop für Spielwaren macht einen großen Teil seines Umsatzes im Weihnachtsgeschäft. Anfang Dezember ist die Website plötzlich nur noch extrem langsam erreichbar, kurz darauf gar nicht mehr. Gleichzeitig trifft eine E-Mail ein: Der Angriff werde erst eingestellt, wenn ein Betrag in Kryptowährung überwiesen wird. Der Hoster bestätigt eine massive Zahl an Anfragen aus vielen Ländern. Der Shop bleibt mehrere Stunden offline, bis ein Schutzdienst aktiviert ist.

Woran Sie einen DDoS-Angriff erkennen

• Die Website wird plötzlich sehr langsam oder ist nicht erreichbar, ohne dass etwas geändert wurde.
• Ihr Hoster meldet ungewöhnlich hohen Datenverkehr oder drosselt Ihren Server.
• In den Server-Logs häufen sich Zugriffe von vielen unbekannten Adressen auf dieselben Seiten.
• Sie erhalten eine Erpressernachricht, die einen Angriff ankündigt oder dessen Ende gegen Zahlung verspricht.

So schützen Sie Ihr Unternehmen

• Hoster mit DDoS-Schutz wählen: Fragen Sie aktiv nach, welcher Schutz im Paket enthalten ist.
• Content Delivery Network (CDN) und Web Application Firewall nutzen: Sie verteilen Last und filtern verdächtige Anfragen, bevor sie Ihren Server erreichen.
• Caching einsetzen: Zwischengespeicherte Seiten entlasten den Server erheblich.
• Anfragen begrenzen: Rate Limiting bremst übermäßig viele Zugriffe auf Suche, Login oder Warenkorb.
• Notfallplan vorbereiten: Wer ist beim Hoster erreichbar, wie informieren Sie Kund:innen, gibt es eine Ausweichlösung?
• Risiko absichern: Prüfen Sie, ob eine Cyberversicherung Betriebsunterbrechungen abdeckt.

Was tun im Ernstfall?

1. Kontaktieren Sie sofort Ihren Hoster oder IT-Dienstleister, damit Schutzmaßnahmen aktiviert werden.
2. Zahlen Sie kein Lösegeld. Es gibt keine Garantie, dass der Angriff endet, und Sie werden als zahlungswillig markiert.
3. Sichern Sie Logs und Erpressernachrichten und erstatten Sie Anzeige bei der Polizei, etwa über against-cybercrime@bmi.gv.at. CERT.at unterstützt bei der Einordnung.
4. Prüfen Sie nach dem Angriff, ob parallel andere Systeme kompromittiert wurden, etwa durch Exploits bekannter Schwachstellen.

Für Unternehmen, die unter NIS2 fallen, können erhebliche Ausfälle zudem meldepflichtig sein.