Überblick
Distributed-Denial-of-Service-Angriffe (DDoS) zielen darauf ab, ein Zielsystem von Tausenden oder Millionen Quellen aus mit Datenverkehr zu überfluten und so unerreichbar zu machen. DDoS-Angriffe, die in die drei Hauptkategorien volumetrisch, protokollbasiert und auf Anwendungsebene eingeteilt werden, können Unternehmen jeder Größe treffen. Das Angriffsvolumen nimmt stetig zu, Angriffswerkzeuge werden billiger und komplexe Angriffsvektoren vervielfältigen sich.
Volumetrische DDoS-Angriffe auf Schicht 3–4 versuchen, die Bandbreite auszuschöpfen; UDP Flood, ICMP Flood und Amplification-Angriffe (DNS-, NTP-, SSDP-Reflection) gehören zu dieser Kategorie. Angriffe auf Schicht 7 (Anwendung) hingegen zielen mit geringerem Volumen auf die Ressourcen des Webservers; HTTP Flood, Slowloris und API Abuse fallen in diese Gruppe. Wirksamer DDoS-Schutz muss auf beide Kategorien reagieren können.
On-Premise-DDoS-Schutz kann das Problem nicht lösen, dass die Internetanbindung bei großen volumetrischen Angriffen vollständig ausgelastet wird. Daher ist die zentrale Komponente eines DDoS-Schutzes für Unternehmen ein „Upstream“- bzw. „Cloud“-DDoS-Mitigation-Service, der Angriffsverkehr in Scrubbing-Centern filtert, bevor er die Infrastruktur des Kunden erreicht. Indexline bietet fachkundige Unterstützung bei Auswahl, Inbetriebnahme und operativem Management dieser Services.
Die Planung der DDoS-Reaktion ist ebenso wichtig wie die technische Abwehr. Wer im Angriffsfall was tut, der Eskalationsprozess, die Kommunikationskanäle zum ISP und die Kommunikation mit dem Management müssen vorab definiert sein. Da auch die Kommunikationsinfrastruktur selbst Ziel eines DDoS-Angriffs sein kann, sollten Out-of-Band-Kommunikationskanäle vorbereitet werden.
So funktioniert es
Risikobewertung: Das Risiko des Unternehmens, Ziel eines DDoS-Angriffs zu werden, die Anbindungskapazität und die kritischen Dienste werden bewertet.
Architekturdesign: Es wird zwischen On-Premise- (Appliance), Cloud-basiertem oder hybridem DDoS-Schutz gewählt. Das Scrubbing-Center wird ausgewählt.
Vorbereitung des BGP-Routings: Gemeinsam mit dem ISP werden Verfahren für Blackhole-Routing und die Aktivierung des Scrubbing-Centers vorbereitet.
Schutz der Anwendungsebene: WAF-Integration, Rate Limiting und Challenge-Mechanismen werden konfiguriert.
Baselining: Das normale Verkehrsprofil wird erlernt. Die Schwellenwerte für die DDoS-Erkennung werden kalibriert.
Reaktionsplan: Ein Aktionsplan für den Angriffsfall wird erstellt. Eskalationsmatrix und Kommunikationsverfahren werden dokumentiert.
Übung: Eine DDoS-Reaktionsübung wird durchgeführt. Reaktionszeit und Wirksamkeit werden gemessen.
Wichtigste Funktionen
Cloud Scrubbing
Angriffsverkehr wird in Scrubbing-Centern gefiltert, bevor er Ihre Infrastruktur erreicht. Es steht Schutz mit Kapazitäten im Tbps-Bereich zur Verfügung.
Anycast-Netzwerkverteilung
Angriffsverkehr wird auf globale PoPs verteilt, sodass verhindert wird, dass ein einzelner Scrubbing-Punkt überlastet wird.
L3/L4 Mitigation
UDP/TCP Floods, ICMP Floods und Amplification-Angriffe werden mit Hardwaregeschwindigkeit gefiltert. Angriffe zur Auslastung der Bandbreite werden verhindert.
L7-Anwendungsschutz
HTTP Floods, Slowloris und botbasierte Anwendungsangriffe werden durch Verhaltensanalyse und Challenge-Mechanismen blockiert.
Echtzeit-Verkehrsanalyse
Datenströme, die vom normalen Verkehr abweichen, werden innerhalb von Millisekunden erkannt. Eine adaptive Regel-Engine reagiert automatisch auf den jeweiligen Angriffsvektor.
BGP Blackhole / Flowspec
Angegriffene IP-Adressen werden auf Ebene des Upstream-ISP per Blackhole umgeleitet. Mit Flowspec erfolgt eine granulare Verkehrsfilterung.
Always-On vs. On-Demand
Die Modi Dauerschutz (Always-On) und Aktivierung bei erkanntem Angriff (On-Demand) bieten unterschiedliche Abwägungen zwischen Kosten und Schutz.
Reporting nach Angriffen
Für jeden Angriffsvorfall wird ein Bericht mit Quellenanalyse, Verkehrsprofil und Wirksamkeit der Mitigation erstellt.
Vorteile & Nutzen
Selbst unter großen volumetrischen Angriffen bleiben kritische Dienste erreichbar; die Geschäftskontinuität wird gewahrt.
Angriffe auf Anwendungsebene werden blockiert, ohne das Nutzererlebnis zu beeinträchtigen.
Die Kosten für DDoS-Schutz liegen weit unter den potenziellen Kosten von Serviceausfällen und Reputationsschäden.
Angriffsübungen sorgen dafür, dass das Team auf einen realen Angriff vorbereitet ist; das Risiko einer chaotischen Reaktion sinkt.
Berichte zur Angriffsanalyse tragen dazu bei, Bedrohungsakteure zu verstehen und die Vorbereitung auf künftige Angriffe zu planen.
Compliance-Anforderungen (ISO 27001) verlangen im Rahmen der Geschäftskontinuität einen DDoS-Plan; diese Anforderung wird erfüllt.
Anwendungsfälle nach Branche
Finanzwesen & Banken
Eine Online-Banking-Plattform war während einer Wahlperiode einem DDoS-Angriff im Tbps-Bereich ausgesetzt; dank Cloud Scrubbing wurde der Service unterbrechungsfrei erbracht.
E-Commerce
Ein von einem Wettbewerber ausgehender DDoS-Angriff wurde während einer Kampagnenphase gestartet; durch adaptive Mitigation lief der normale Verkehr innerhalb von 2 Minuten weiter.
Gaming
Spieleserver wurden Ziel eines DDoS-Angriffs; durch UDP-Flood-Mitigation und IP-Reputation blieb das Spielerlebnis erhalten.
Medien & Rundfunk
Während der Übertragung eines großen Sportereignisses wurde ein DDoS-Angriff gestartet; durch Anycast-Verteilung wurde der Angriff absorbiert.
Öffentlicher Sektor
Ein Regierungsportal wurde während einer Wahlperiode angegriffen; mit BGP Flowspec und Scrubbing blieb das System ohne Unterbrechung in Betrieb.
Telekommunikation
DDoS-Angriffe auf Kundeninfrastrukturen wurden auf Upstream-Ebene blockiert; das Kunden-SLA wurde eingehalten.
Der Indexline-Ansatz
Die kritischste Entscheidung bei der Konzeption von DDoS-Schutz ist die Wahl zwischen Always-On- und On-Demand-Modell. Always-On bietet dauerhaft aktives Scrubbing mit Reaktionszeiten im Millisekundenbereich, ist jedoch kostenintensiv. On-Demand wird bei erkanntem Angriff aktiviert; die Aktivierungszeit (Minuten) muss akzeptabel sein. Der Kritikalitätsgrad bestimmt diese Wahl.
DDoS-Schutz allein reicht nicht aus. Geschäftskontinuität während eines Angriffs wird nicht nur durch technische Mitigation sichergestellt, sondern auch durch redundante Anbindungen, geografisch verteilte Infrastruktur und operative Vorbereitung. Indexline betrachtet DDoS-Schutz aus einer ganzheitlichen Perspektive der Geschäftskontinuität.
Jeder DDoS-Angriff ist eine Lernchance. Nach einem Angriff werden Verkehrsprofil, eingesetzte Vektoren und Wirksamkeit der Mitigation analysiert, um die Abwehr zu verbessern. Dieser kontinuierliche Lernzyklus macht die Schutzinfrastruktur zunehmend widerstandsfähiger.
Häufig gestellte Fragen
Gegen DDoS-Angriffe welcher Größenordnung (Gbps) bieten Sie Schutz?
Mit Scrubbing-Netzwerken von Partnern wie Cloudflare, Akamai und Radware ist theoretisch Schutz mit unbegrenzter Kapazität möglich. Das praktische Kontingent richtet sich nach dem Tarif des Kunden; Schutz gegen Angriffe im Terabit-Bereich ist möglich.
Wie lange dauert die Erkennung eines DDoS-Angriffs?
Durch Analyse des Verkehrsprofils werden Angriffe in der Regel innerhalb von 60 Sekunden bis 5 Minuten erkannt. Im Always-On-Modell beginnt die Mitigation im Moment der Erkennung. Im On-Demand-Modell kommen zusätzlich 2–5 Minuten Aktivierungszeit hinzu.
Wird legitimer Datenverkehr versehentlich blockiert?
Das Risiko von False Positives wird durch eine hochwertige Kalibrierung minimiert. Erstellung einer Verkehrs-Baseline, Challenge-Mechanismen (legitime Nutzer kommen durch) und Whitelist-Management verhindern Fehlblockierungen. Selbst unter Angriff wird eine Durchlassrate von über 99 % für legitimen Verkehr angestrebt.
Lässt sich die Quelle eines Angriffs zurückverfolgen?
DDoS-Angriffe nutzen in der Regel gefälschte (spoofed) IP-Adressen oder Botnets; die Ermittlung der tatsächlichen Quelle ist sehr schwierig. Die Zusammenarbeit mit dem ISP und forensische Analysen können teilweise zur Quelle führen, erfordern jedoch ein rechtliches Verfahren.
Kann eine DDoS-Übung durchgeführt werden?
Ja, eine kontrollierte DDoS-Übung (auch als Lasttest bekannt) kann in einer autorisierten Umgebung durchgeführt werden. Diese Übung testet die Wirksamkeit der Mitigation, probt die Reaktionsverfahren und deckt Schwachstellen auf. Sie muss zwingend außerhalb der Produktionsumgebung stattfinden.
Ist eine Abstimmung mit dem ISP erforderlich?
Ja, für Blackhole-Routing und Upstream-Mitigation ist eine vorherige Vereinbarung mit dem ISP unerlässlich. BGP Blackhole (RTBH) und Scrubbing-Optionen des ISP müssen bereitstehen; während eines Angriffs müssen die Kommunikationskanäle offen gehalten werden.
Werden Bot-Traffic und DDoS mit denselben Schutzwerkzeugen behandelt?
Teilweise überschneiden sie sich. Bot-Management (WAF, Bot Management) verhindert auch DDoS auf Anwendungsebene. Für volumetrische Angriffe ist jedoch Scrubbing-Center-Kapazität erforderlich. Beide Ebenen ergänzen sich.
DDoS-Bedrohungen in Verbindung mit Ransomware nehmen zu – wie gehen Sie damit um?
Die Kombination „DDoS und Ransomware“ ist ein zunehmendes Bedrohungsmuster. Der Angreifer lenkt mit DDoS die Aufmerksamkeit ab, während er Ransomware verbreitet. Für dieses Szenario müssen DDoS-Mitigation, EDR und Incident-Response-Plan integriert zusammenarbeiten. Unser MSS-Service enthält für dieses Szenario fertige Playbooks.