DDoS-Angriff erkennen und abwehren - so schützen Sie Ihre Website

Wenn eine Website plötzlich nicht mehr lädt, ein Onlineshop Bestellungen verliert oder der heimische Router ungewöhnlich langsam reagiert, steckt nicht automatisch ein technischer Defekt dahinter. Ein DDoS-Angriff überlastet Internetdienste mit einer großen Menge koordinierter Anfragen und kann dadurch Webseiten, Server oder Netzwerke vorübergehend unerreichbar machen. Ich zeige, wie diese Attacken funktionieren, woran man sie erkennt, was im Ernstfall hilft und warum auch Smart-Home-Geräte eine Rolle spielen können.

Was bei einem DDoS-Angriff tatsächlich passiert

Bei einem Distributed-Denial-of-Service-Angriff wird ein Dienst mit mehr Anfragen oder Datenpaketen konfrontiert, als er verarbeiten kann. Das Ziel ist meist nicht, Daten zu stehlen, sondern die Verfügbarkeit zu beeinträchtigen. Für Besucher wirkt die Website dann langsam, fehlerhaft oder komplett offline.

Die Anfragen stammen selten von einem einzigen Computer. Angreifer nutzen häufig ein Botnetz, also eine Gruppe infizierter PCs, Router, Überwachungskameras oder anderer vernetzter Geräte. Die Besitzer merken oft nichts davon, dass ihre Geräte fremdgesteuert Daten senden.

Ein DDoS-Angriff kann eine kleine Firmenwebsite ebenso treffen wie einen großen Onlineshop. Entscheidend ist nicht allein die Größe des Opfers, sondern ob die vorhandene Bandbreite, Serverleistung oder Datenbank für die zusätzliche Last ausreicht.

Die Zahlen zeigen, dass das Thema nicht nur internationale Konzerne betrifft. Die Bundesregierung meldete für 2025 in Deutschland 36.706 Überlastungsangriffe, ein Anstieg um 25 Prozent. Besonders häufig waren Behörden, Verwaltungen sowie Verkehrs- und Logistikunternehmen betroffen.

Welche Arten von DDoS-Attacken gibt es

Der Begriff beschreibt nicht nur eine einzige Angriffsmethode. In der Praxis werden unterschiedliche Ebenen eines Internetdienstes angegriffen. Diese Unterscheidung ist wichtig, weil ein Schutz gegen riesige Datenmengen nicht automatisch gegen gezielte Anfragen an eine Webanwendung hilft.

Besonders tückisch sind Angriffe auf der Anwendungsebene. Sie sehen im ersten Moment wie normaler Besucherverkehr aus und umgehen einfache Filter. Ich halte deshalb pauschale Aussagen wie „Eine Firewall reicht aus“ für gefährlich. Schutz muss zur Angriffsebene passen.

Woran sich eine Überlastungsattacke erkennen lässt

Ein plötzlich langsamer Internetdienst hat viele mögliche Ursachen. Ein DDoS-Angriff wird wahrscheinlicher, wenn der Traffic ohne erkennbaren Anlass stark ansteigt, ungewöhnlich viele Verbindungen aus verschiedenen Netzen eintreffen oder einzelne Funktionen besonders stark belastet werden.

Typische technische Anzeichen

• Die Website liefert über längere Zeit Timeouts oder Serverfehler.
• Monitoring zeigt einen ungewöhnlichen Anstieg bei Anfragen, Verbindungen oder Datenvolumen.
• CPU, Arbeitsspeicher oder Datenbankverbindungen sind ausgelastet, obwohl kaum normale Nutzer aktiv sind.
• Mehrere Dienste fallen gleichzeitig aus, während interne Systeme weiterhin funktionieren.
• Der Hostinganbieter oder ein vorgeschalteter Schutzdienst meldet auffälligen Datenverkehr.

Ein einzelnes Symptom genügt nicht für eine sichere Diagnose. Bei einer kleinen Website können auch ein fehlerhaftes Update, ein viraler Beitrag in sozialen Netzwerken oder ein Ausfall des DNS-Dienstes denselben Eindruck erzeugen. Das BSI empfiehlt deshalb, Logdaten, Monitoring und Providerinformationen gemeinsam zu betrachten.

Für private Nutzer ist die Lage etwas anders. Wenn nur die eigene Internetverbindung ausfällt, kann eine Störung beim Anbieter, ein defektes Kabel oder ein überlastetes WLAN die Ursache sein. Werden jedoch mehrere Geräte gleichzeitig langsam und bestätigt der Provider ungewöhnlichen eingehenden Traffic, sollte man den Anschluss prüfen lassen.

Was Betroffene während eines Angriffs sofort tun sollten

In einer akuten Situation zählt eine klare Reihenfolge. Ich würde nicht zuerst einzelne IP-Adressen manuell blockieren, weil das bei verteilten Angriffen selten ausreicht und im schlimmsten Fall auch echte Besucher aussperrt.

1. Hosting- oder Internetanbieter informieren und den Vorfall als möglichen DDoS-Angriff melden.
2. Zeitpunkt, betroffene Dienste, Fehlermeldungen und erste Messwerte dokumentieren.
3. Den vorhandenen DDoS-Mitigation- oder CDN-Anbieter aktivieren lassen.
4. Nicht benötigte öffentliche Dienste vorübergehend abschalten.
5. Administrationszugänge zusätzlich absichern und überprüfen, ob parallel ein Einbruch oder Malwarebefall vorliegt.
6. Bei erheblichen Schäden oder Erpressungsversuchen Beweise sichern und Anzeige erstatten.

Ein Schutzdienst mit Traffic-Scrubbing leitet den Datenverkehr über spezielle Filterzentren, entfernt schädliche Pakete und lässt legitime Anfragen weiterlaufen. Bei sehr großen Angriffen muss der Provider den Datenstrom oft schon außerhalb des eigenen Rechenzentrums filtern. Ein Serverwechsel allein löst das Problem dann nicht.

Als Notmaßnahme kann ein Anbieter den betroffenen Datenverkehr komplett verwerfen. Dieses sogenannte Blackholing schützt zwar die übrige Infrastruktur, macht den angegriffenen Dienst aber weiterhin unerreichbar. Das ist eine letzte technische Notbremse, keine eigentliche Lösung.

Wer von einer Erpressungsnachricht begleitet wird, sollte nicht vorschnell zahlen. Eine Zahlung beendet den Angriff nicht zuverlässig und kann weitere Forderungen auslösen. Besser sind eine abgestimmte Reaktion mit Provider, IT-Dienstleister und gegebenenfalls Strafverfolgungsbehörden sowie eine saubere Dokumentation.

Wie Unternehmen ihre Dienste wirksam vorbereiten

Guter DDoS-Schutz beginnt lange vor dem ersten Ausfall. Zuerst sollte feststehen, welche Dienste öffentlich erreichbar sein müssen, wie lange ein Ausfall tolerierbar ist und wer im Notfall entscheidet. Ohne diese Vorgaben wird selbst ein guter Schutzdienst unnötig langsam aktiviert.

Lesen Sie auch: Hijacking erkennen und digitale Konten richtig absichern

Die wichtigsten technischen Maßnahmen

• CDN und DDoS-Schutz für öffentlich erreichbare Websites und APIs einsetzen.
• Rate Limiting verwenden, damit einzelne Clients nicht unbegrenzt Anfragen stellen können.
• Statische Inhalte cachen und aufwendige Datenbankabfragen reduzieren.
• Administrationsoberflächen nicht offen ins Internet stellen oder zusätzlich per VPN und Mehrfaktor-Authentifizierung schützen.
• DNS, Hosting und zentrale Dienste möglichst redundant planen.
• Alarme für Traffic, Fehlerraten, Latenz und Verbindungszahlen einrichten.

Autoscaling kann bei normalen Lastspitzen helfen, ist aber kein vollständiger DDoS-Schutz. Bei einer großen volumetrischen Attacke steigen sonst nur die Cloud- und Bandbreitenkosten. Auch eine Web Application Firewall ist kein Universalfilter, wenn die Leitung bereits vor dem eigenen Rechenzentrum überlastet wird.

Bei der Auswahl eines Dienstleisters achte ich besonders auf Erkennungszeit, Reaktionsweg, Filterstandorte, Datenverarbeitung und Notfall-SLA. Ein Anbieter, der nur mit „unbegrenztem Schutz“ wirbt, erklärt damit noch nicht, wie schnell ein Angriff erkannt wird oder wer nachts erreichbar ist.

Warum Smart-Home-Geräte nicht zum Botnetz werden dürfen

Ein Smart-Home-Gerät ist normalerweise kein attraktives Ziel für einen DDoS-Angriff. Es kann aber als Werkzeug missbraucht werden, wenn das Gerät veraltet, schlecht konfiguriert oder mit einem Standardpasswort erreichbar ist. Besonders problematisch sind alte Router, IP-Kameras, digitale Videorekorder und günstige IoT-Geräte ohne regelmäßige Sicherheitsupdates.

Für den eigenen Haushalt bringen einige einfache Maßnahmen viel:

• Router, Kameras und Steuerzentralen mit aktueller Firmware betreiben.
• Standardpasswörter durch lange, einzigartige Passwörter ersetzen.
• Fernwartung aus dem Internet deaktivieren, wenn sie nicht benötigt wird.
• UPnP nur eingeschaltet lassen, wenn die Funktion wirklich gebraucht wird.
• Gastgeräte und Smart-Home-Komponenten möglichst in getrennten Netzwerken betreiben.
• Geräte ohne Hersteller-Support ersetzen, statt sie dauerhaft weiterlaufen zu lassen.

Eine schnelle Internetleitung schützt nicht vor einem kompromittierten Gerät. Sie kann die Folgen höchstens eine Weile verbergen. Entscheidend sind Updates, sichere Zugangsdaten und ein sauber eingerichteter Router. Wenn der eigene Anschluss wiederholt ungewöhnlich viel ausgehenden Traffic erzeugt, sollte der Internetanbieter prüfen, ob ein Gerät infiziert ist.

Welche Schutzlösung zum eigenen Risiko passt

Ein privater Anschluss, ein kleiner Blog und ein Onlineshop brauchen nicht dieselbe Architektur. Für eine gelegentliche private Website reicht oft ein Hostingpaket mit integriertem Basisschutz. Ein Unternehmen mit Bestellprozess, Kundenkonto oder API benötigt dagegen abgestimmte Filterregeln, Monitoring und einen erreichbaren Ansprechpartner.

Der größte Fehler ist, nur die maximale Angriffsstärke zu vergleichen. Ebenso wichtig sind False Positives, Datenschutz, Kosten bei hohem Traffic und die Wiederherstellung nach dem Angriff. Ein Filter, der legitime Kunden blockiert, kann geschäftlich fast so problematisch sein wie die Attacke selbst.

Was nach einem Angriff dauerhaft verbessert werden sollte

Nach dem Ende der Attacke sollte man nicht einfach zum Normalbetrieb zurückkehren. Die Auswertung muss klären, welcher Dienst zuerst ausfiel, wie lange die Erkennung dauerte und ob der Provider tatsächlich rechtzeitig reagieren konnte.

Ich würde daraus drei konkrete Aufgaben ableiten: Monitoring nachschärfen, den Notfallkontakt testen und die öffentliche Angriffsfläche verkleinern. Bei Unternehmen gehört außerdem eine kurze Übung dazu, damit im Ernstfall nicht erst nach Zuständigkeiten und Telefonnummern gesucht wird.

Für die meisten Leser lautet die praktische Konsequenz schlicht: DDoS-Attacken lassen sich nicht vollständig verhindern, ihre Auswirkungen aber deutlich begrenzen. Wer Infrastruktur, Provider und Smart-Home-Geräte vorbereitet, gewinnt im Ernstfall vor allem eines zurück: Zeit für eine kontrollierte Reaktion.