Wenn eine Website plötzlich langsam wird oder komplett ausfällt, steckt nicht immer ein Serverfehler dahinter. Ein DDoS-Angriff überflutet einen Dienst mit Anfragen aus vielen verteilten Quellen und kann dadurch Online-Shops, Behördenportale, Spiele-Server oder den Zugang zu digitalen Diensten lahmlegen. Ich zeige, wie solche Angriffe funktionieren, woran man sie erkennt und welche Schutzmaßnahmen für Privathaushalte, kleine Websites und Unternehmen wirklich sinnvoll sind.
Die wichtigsten Fakten zu DDoS-Angriffen auf einen Blick
- Verteilte Quellen überlasten Server, Netzwerke oder einzelne Webanwendungen.
- 36.706 Fälle wurden laut Bundesregierung 2025 in Deutschland registriert, 25 Prozent mehr als im Vorjahr.
- Ein Ausfall ist nicht automatisch ein Einbruch, denn bei DDoS steht meist die Verfügbarkeit und nicht der Datendiebstahl im Mittelpunkt.
- Sofort den Provider einschalten, Logs sichern und ungewöhnliche Zugriffe dokumentieren.
- CDN, WAF und vorgeschaltete Filter helfen bei Websites, müssen aber zur Größe und Architektur des Dienstes passen.
Was bei einem DDoS-Angriff tatsächlich passiert
DDoS steht für „Distributed Denial of Service“, also eine verteilte Dienstverweigerung. Ein Angreifer sendet dabei nicht unbedingt selbst Millionen Anfragen. Stattdessen nutzt er ein Botnet aus kompromittierten Geräten, etwa Routern, Kameras, Servern oder unzureichend geschützten IoT-Geräten.
Das Ziel kann die Internetleitung, die Firewall, der Load Balancer oder die Anwendung selbst sein. Sobald die verfügbaren Ressourcen erschöpft sind, erreichen normale Besucher die Website nur noch langsam oder gar nicht. Die Daten auf dem Server bleiben dabei oft unverändert, der Dienst ist lediglich nicht mehr zuverlässig erreichbar.
Ich halte diese Unterscheidung für wichtig, weil ein DDoS-Ereignis häufig vorschnell als „Hacking“ bezeichnet wird. Es kann Teil einer größeren Kampagne sein, bedeutet für sich allein aber nicht, dass ein Angreifer bereits Benutzerkonten, Dateien oder Datenbanken kontrolliert.
Die drei häufigsten Angriffsebenen
| Variante | Angriffsziel | Typische Folge |
|---|---|---|
| Volumetrischer Angriff | Internetleitung und Bandbreite | Die Verbindung ist vollständig ausgelastet. |
| Protokollangriff | Firewall, Router oder Netzwerk-Stacks | Netzwerkgeräte verbrauchen ihre Verbindungs- und Verarbeitungskapazität. |
| Anwendungsangriff | Einzelne Website-Funktionen oder APIs | Login, Suche oder Warenkorb werden langsam, obwohl die Leitung noch frei wirkt. |
Besonders tückisch sind Angriffe auf die Anwendungsebene. Sie sehen teilweise wie normale Besucher aus und erzeugen erst dann Probleme, wenn teure Suchabfragen oder Datenbankzugriffe massenhaft ausgelöst werden.
Warum DDoS-Angriffe gestartet werden
Die Motive reichen von Erpressung bis zu politischem Aktivismus. Manche Täter verlangen Geld für das Ende der Störung, andere wollen ein Unternehmen bloßstellen, eine Behörde treffen oder während eines Streits Aufmerksamkeit erzeugen. Wieder andere testen Botnetze oder verkaufen Angriffsdienste in kriminellen Foren.
In Deutschland richten sich solche Kampagnen häufig gegen Behörden, Verwaltungen, Verkehr und Logistik. Laut Bundesregierung stieg die Zahl der registrierten Überlastungsangriffe im Jahr 2025 um 25 Prozent auf 36.706 Fälle. Diese Zahl zeigt die Größenordnung, sagt aber nicht aus, dass jeder einzelne private Router gezielt angegriffen wird.
Welche Ziele besonders gefährdet sind
- Online-Shops und Buchungsportale während stark frequentierter Verkaufszeiten
- Gaming- und Streaming-Dienste mit vielen gleichzeitig verbundenen Nutzern
- Unternehmen mit öffentlich erreichbaren VPN-, Mail- oder Webservern
- Behörden und Organisationen mit hoher öffentlicher Sichtbarkeit
- Smart-Home- und IoT-Systeme mit veralteter Firmware oder offenen Zugängen
Ein häufiger Irrtum lautet, nur große Konzerne seien interessant. Tatsächlich kann bereits eine kleine Website zum Ziel werden, wenn sie politisch, geschäftlich oder persönlich relevant ist. Gleichzeitig sind viele kurze Störungen bei kleinen Angeboten eher technische Fehler, Providerprobleme oder fehlerhafte Konfigurationen als ein gezielter Angriff.
Woran man einen Angriff erkennt und was sofort hilft
Ein DDoS-Verdacht entsteht meist durch eine Kombination mehrerer Hinweise. Die Website fällt plötzlich aus, die Zahl der Anfragen steigt stark an, Zugriffe kommen aus vielen Netzen und einzelne Endpunkte werden ungewöhnlich oft aufgerufen. Ein einzelnes Merkmal reicht jedoch selten für eine sichere Diagnose.
Die ersten Maßnahmen in der richtigen Reihenfolge
- Provider oder Hosting-Anbieter informieren. Bei einem volumetrischen Angriff kann nur der Netzbetreiber den schädlichen Datenverkehr vor der eigenen Leitung herausfiltern.
- Zeitpunkte und Symptome dokumentieren. Notieren Sie Beginn, betroffene Dienste, Fehlermeldungen, IP-Bereiche und Veränderungen im Datenvolumen.
- Schutzmechanismen aktivieren. Dazu gehören vorgelagerte DDoS-Filter, Rate Limits, WAF-Regeln und gegebenenfalls ein CDN.
- Den Ursprung schützen. Bei Websites darf die echte Server-IP nicht weiterhin direkt erreichbar sein, wenn der gesamte Verkehr über einen Filterdienst laufen soll.
- Kommunikation vorbereiten. Eine statische Statusseite oder ein alternativer Informationskanal hilft, Kunden und Mitarbeitende zu informieren.
Ein Neustart des Servers löst das Problem meistens nicht. Er kann sogar wichtige Spuren verwischen. Auch das pauschale Sperren ganzer Länder ist selten eine gute erste Reaktion, weil Angriffe über verteilte, wechselnde Netze laufen und dadurch legitime Besucher ausgesperrt werden können.
Was Privatpersonen tun sollten
Bei einem privaten Internetanschluss äußert sich ein Angriff häufig durch dauerhaft schlechte Verbindung, hohe Paketverluste oder einen Router, der trotz geringer eigener Nutzung stark ausgelastet ist. Zunächst sollte man prüfen, ob gleichzeitig eine Störung beim Anbieter, ein defektes Gerät oder ein kompromittiertes WLAN-Gerät vorliegt.
Öffnen Sie keine zusätzlichen Ports und deaktivieren Sie Fernzugriffe, die Sie nicht benötigen. Router und Smart-Home-Geräte sollten aktuelle Firmware, individuelle Passwörter und keine unnötigen Internetfreigaben haben. Bei einem konkreten Verdacht ist der Internetanbieter die richtige erste Anlaufstelle. Ein Wechsel der IP-Adresse kann in manchen Anschlussarten helfen, ist aber weder garantiert noch eine dauerhafte Abwehr.
Welche Schutzmaßnahmen für Websites und Unternehmen sinnvoll sind
Die passende Abwehr hängt davon ab, was geschützt werden soll. Eine kleine Firmenwebsite braucht eine andere Architektur als ein Online-Shop mit Zahlungsverkehr oder eine API, die rund um die Uhr erreichbar sein muss. Entscheidend ist, den Angriff möglichst vor dem eigenen Server und der eigenen Internetleitung zu stoppen.
| Maßnahme | Geeignet für | Grenzen |
|---|---|---|
| CDN mit DDoS-Schutz | Websites und öffentliche Inhalte | Nicht jede Anwendung lässt sich ohne Anpassung zwischenspeichern. |
| Web Application Firewall | Webanwendungen und APIs | Schützt vor bestimmten Mustern, aber nicht allein vor jeder Netzüberlastung. |
| Rate Limiting | Login, Suche, Formulare und APIs | Zu strenge Regeln können echte Nutzer behindern. |
| Providerseitige Mitigation | Große oder geschäftskritische Dienste | Vertrag, Vorlauf und genaue Zuständigkeiten müssen geklärt sein. |
| Redundante Infrastruktur | Dienste mit hohen Verfügbarkeitsanforderungen | Mehrere Server helfen wenig, wenn alle am gleichen Netzanschluss hängen. |
Ein CDN verteilt Inhalte über viele Standorte und kann schädliche Anfragen an der Netzgrenze filtern. Für dynamische Anwendungen reicht das allein nicht immer. Dann braucht es Regeln für bestimmte Endpunkte, Caching, gute Datenbankabfragen und eine klare Trennung zwischen öffentlichen und internen Diensten.
Bei professionellen Lösungen wird der Preis meist nach Bandbreite, Schutzumfang, Vertragslaufzeit und benötigter Reaktionszeit kalkuliert. Pauschale Versprechen wie „unbegrenzter Schutz für jede Website“ sind deshalb mit Vorsicht zu bewerten. Vor dem Abschluss sollte geklärt sein, ob auch DNS, VPN, Mailserver und direkte IP-Zugriffe abgedeckt sind.
Was in einen Notfallplan gehört
- 24-Stunden-Kontakt zum Internet- oder Hosting-Provider
- Messwerte für normale Auslastung und typische Besucherzahlen
- Liste aller öffentlich erreichbaren Dienste und IP-Adressen
- Vereinbarte Eskalationsstufen und Freigaben für Schutzregeln
- Backup-Kommunikationsweg für Kunden und Mitarbeitende
- Nachbereitung mit Logs, Ursachenanalyse und Anpassung der Filter
Das BSI empfiehlt für Organisationen, technische Schutzmaßnahmen mit vorbereiteten Abläufen zu verbinden. Genau diese Kombination macht in der Praxis den Unterschied. Ein Filterdienst kann viel Datenverkehr abfangen, ersetzt aber keine aktuelle Software, sichere Zugänge und eine belastbare Notfallkommunikation.
Welche Fehler die Abwehr unnötig erschweren
Der größte Fehler ist, erst im laufenden Angriff über Schutz nachzudenken. Anbieter müssen dann oft kurzfristig DNS-Einstellungen ändern, Filter aktivieren und Zuständigkeiten klären. Das kostet Zeit, während der Dienst bereits ausfällt.
Problematisch ist auch ein einzelner Schutzpunkt. Wenn nur der Webserver abgesichert ist, aber die DNS-Infrastruktur oder ein direkt erreichbarer Origin-Server offen bleibt, kann der Angreifer die Filter umgehen. Ebenso wenig genügt ein WAF, wenn die Internetleitung bereits vollständig überlastet ist.
Ich sehe außerdem häufig eine falsche Priorität bei der Analyse. Teams konzentrieren sich auf einzelne verdächtige IP-Adressen, obwohl bei einem verteilten Angriff eher Muster, Anfragearten, Frequenz und betroffene Endpunkte entscheidend sind. Einzelne Adressen zu blockieren kann kurzfristig helfen, ist aber selten die gesamte Lösung.
Lesen Sie auch: Social Phishing erkennen und nach Fehlklick richtig handeln
DDoS ist nicht dasselbe wie ein Sicherheitsvorfall mit Datenverlust
Während einer Überlastung sollten Unternehmen zusätzlich prüfen, ob parallel unbefugte Logins, Änderungen an Benutzerkonten oder ungewöhnliche Datenabflüsse auftreten. Ein DDoS kann nämlich als Ablenkung für einen anderen Angriff dienen, muss es aber nicht. Die Verfügbarkeit, Integrität und Vertraulichkeit der Systeme sollten deshalb getrennt bewertet werden.
Was die aktuelle Lage in Deutschland für den Alltag bedeutet
Für Privathaushalte bedeutet die wachsende Zahl professioneller Angriffe nicht automatisch, dass jeder Router ein eigenes Schutzabonnement braucht. Viel wichtiger sind ein gepflegter Router, sichere WLAN-Zugänge, deaktivierte unnötige Freigaben und ein Anbieter, der bei Störungen erreichbar ist.
Für Unternehmenist die Lage anspruchsvoller. Besonders kritisch sind Dienste, die keine Unterbrechung tolerieren und keine alternative Kommunikationsmöglichkeit besitzen. Wer im Jahr 2026 einen Online-Dienst betreibt, sollte deshalb mindestens wissen, wer im Angriff den Provider kontaktiert, welche Systeme öffentlich sichtbar sind und wie schnell eine Filterung aktiviert werden kann.
Die Bedrohung entwickelt sich weiter, aber die Grundentscheidung bleibt überschaubar. Für eine einfache Website genügt oft ein gut konfigurierter Hosting- oder CDN-Schutz. Geschäftskritische Plattformen brauchen zusätzlich Überwachung, Redundanz, getestete Abläufe und eine vertraglich zugesicherte Reaktion.
Ein stabiler Internetdienst beginnt mit Vorbereitung
DDoS-Angriffe lassen sich nicht immer verhindern, aber ihre Wirkung lässt sich deutlich begrenzen. Entscheidend sind eine realistische Einschätzung des eigenen Risikos, Schutz außerhalb der eigenen Leitung und ein Notfallplan, der nicht erst während des Ausfalls erstellt wird.
Meine praktische Empfehlung lautet daher, klein zu beginnen. Prüfen Sie öffentlich erreichbare Dienste, aktualisieren Sie Router und Server, sprechen Sie mit dem Provider über dessen Schutzoptionen und testen Sie wenigstens einmal den vorgesehenen Alarmweg. So wird aus einer plötzlichen Störung kein völlig unkontrollierter Ausfall.
