Wenn eine Website, ein Onlineshop oder die Verbindung zu einem Smart-Home-System plötzlich extrem langsam wird, steckt nicht automatisch ein technischer Defekt dahinter. Eine DoS-Attacke überlastet gezielt Server, Router oder Netzwerkdienste, damit berechtigte Nutzer nicht mehr zugreifen können. Ich zeige, wie solche Angriffe funktionieren, woran man sie erkennt und welche Schutzmaßnahmen für Privathaushalte, kleine Unternehmen und vernetzte Geräte wirklich etwas bringen.
Die wichtigsten Fakten zur Überlastungsattacke auf einen Blick
- Ziel ist meist die Verfügbarkeit eines Dienstes, nicht der Diebstahl von Daten.
- Bei einem DDoS-Angriff kommen Anfragen gleichzeitig von vielen kompromittierten Geräten.
- Typische Folgen sind lange Ladezeiten, Verbindungsabbrüche und Ausfälle.
- Ein Heimrouter kann den Angriff meist nicht allein abwehren, weil die Leitung bereits vorher überlastet wird.
- Updates, sichere Passwörter, Monitoring und ein Notfallplan senken das Risiko deutlich.
Wie ein DoS-Angriff einen Dienst lahmlegt
DoS steht für „Denial of Service“, also die Verweigerung eines Dienstes. Der Angreifer schickt so viele Anfragen oder speziell präparierte Datenpakete an ein Ziel, dass dessen Rechenleistung, Arbeitsspeicher, Verbindungen oder Internetleitung nicht mehr ausreichen. Der Server ist dann vielleicht noch eingeschaltet, kann normale Anfragen aber nicht mehr zuverlässig bearbeiten.
Das Prinzip lässt sich mit einer Telefonanlage vergleichen, bei der ständig neue Anrufe eingehen. Selbst wenn niemand am anderen Ende spricht, bleiben die Leitungen belegt. Bei einem Webserver können schon viele scheinbar harmlose Seitenaufrufe, Login-Anfragen oder API-Abfragen eine teure Datenbankabfrage auslösen und das System ausbremsen.
Der Angriff muss dabei nicht zwingend auf große Datenmengen setzen. Manche Varianten nutzen Protokollfehler oder besonders aufwendige Funktionen einer Anwendung. Entscheidend ist, dass der Angreifer beim Ziel mehr Aufwand erzeugt, als die Anfrage auf seiner Seite kostet.
DoS und DDoS sind nicht dasselbe
Bei einem klassischen DoS-Angriff stammt die Belastung oft von einem einzelnen System oder einer begrenzten Zahl von Quellen. Ein DDoS-Angriff ist dagegen verteilt. Der Täter steuert dafür häufig ein Botnetz, also viele zuvor infizierte Computer, Router, Kameras oder andere IoT-Geräte.
| Merkmal | DoS | DDoS |
|---|---|---|
| Angriffsquellen | Ein einzelnes oder wenige Systeme | Viele verteilte Geräte |
| Abwehr | Oft leichter zu filtern | Deutlich schwieriger wegen vieler Quelladressen |
| Typische Ziele | Ein Dienst, Server oder Anschluss | Websites, Plattformen, Provider und große Netzwerke |
| Risiko für Privatanwender | Vor allem bei exponierten Diensten | Auch durch kompromittierte Smart-Home-Geräte als Teil eines Botnetzes |
Das BSI weist darauf hin, dass nicht nur große Unternehmen betroffen sein können. Auch schlecht gesicherte Geräte im Heimnetz können unbemerkt als Werkzeug für einen verteilten Angriff missbraucht werden. Genau deshalb sind Standardpasswörter und veraltete Firmware bei Kameras, NAS-Systemen und Routern mehr als ein kleines Komfortproblem.
Welche Varianten besonders häufig vorkommen
Für die Einordnung genügt es, die wichtigsten Angriffsklassen zu kennen. Ich halte detaillierte Anleitungen zum Ausführen solcher Attacken für wenig sinnvoll und konzentriere mich auf die Merkmale, die bei der Erkennung und Abwehr helfen.
Volumetrische Angriffe
Hier steht die schiere Datenmenge im Mittelpunkt. Das Ziel wird mit Netzwerkpaketen überflutet, bis die verfügbare Bandbreite ausgeschöpft ist. Für einen kleinen Anschluss kann bereits ein deutlich höheres Verkehrsaufkommen als üblich genügen, während große Rechenzentren erst bei sehr viel größeren Angriffen an ihre Grenzen kommen.
Protokollangriffe
Protokollangriffe nutzen die Art, wie Netzwerkverbindungen aufgebaut und verwaltet werden. Ein bekanntes Beispiel ist die SYN-Flood, bei der zahlreiche Verbindungsanfänge offenbleiben und Ressourcen im Zielsystem binden. Eine Firewall oder ein Server kann dadurch überlastet werden, obwohl die tatsächlich übertragenen Datenmengen vergleichsweise klein bleiben.
Anwendungsangriffe
Bei Angriffen auf die Anwendungsebene wirken die Anfragen oft zunächst wie normale Besucher. Sie rufen beispielsweise Suchfunktionen, Warenkörbe oder dynamische Datenbankabfragen in großer Zahl auf. Diese Variante ist besonders tückisch, weil ein einfacher Filter nach IP-Adresse nicht immer genügt und Webserver-Logs sowie Antwortzeiten genauer ausgewertet werden müssen.
Reflektierte und verstärkte Angriffe
Bei einer Reflexion werden Anfragen über fremde Dienste umgeleitet, die dann mit Antworten zum eigentlichen Ziel beitragen. Sind diese Antworten größer als die ursprüngliche Anfrage, entsteht ein Verstärkungseffekt. Für Betreiber bedeutet das, dass die sichtbaren Quelladressen nicht zwingend den tatsächlichen Angreifern entsprechen.
Woran sich ein Angriff erkennen lässt
Ein einzelner Ausfall beweist noch keinen Angriff. Auch ein defekter Router, ein Fehler beim Provider, eine fehlerhafte Softwareaktualisierung oder ein ungewöhnlicher Besucheransturm können ähnliche Symptome verursachen. Verdächtig wird die Lage, wenn mehrere Anzeichen gleichzeitig auftreten und die Belastung plötzlich, dauerhaft oder in wiederkehrenden Wellen erscheint.
- Die Website reagiert ungewöhnlich langsam oder liefert häufig Fehlercodes wie 502, 503 oder 504.
- Die Internetleitung ist ausgelastet, obwohl im eigenen Haushalt kaum Daten übertragen werden.
- Der Server zeigt ungewöhnlich viele Anfragen aus vielen Ländern oder von wechselnden IP-Adressen.
- Ein einzelner Dienst wie Login, Suche oder API ist überlastet, während statische Seiten noch funktionieren.
- CPU-Auslastung, Arbeitsspeicher oder Zahl der offenen Verbindungen steigen ohne nachvollziehbare normale Nutzung.
Die Folgen reichen von einem kurzen Ausfall bis zu erheblichen Geschäftsschäden. Ein Onlineshop verliert Bestellungen, ein Smart-Home-Zugang ist nicht erreichbar und ein Unternehmen kann seine Kunden nicht bedienen. Nach Angaben der Bundesregierung stieg die Zahl der Überlastungsangriffe in Deutschland im Jahr 2025 um 25 Prozent. Das macht sie nicht automatisch wahrscheinlicher für jeden Haushalt, zeigt aber, dass das Thema längst nicht nur große Konzerne betrifft.
Welche Schutzmaßnahmen für Zuhause wirklich helfen
Für die meisten Privathaushalte ist kein teures Spezialprodukt nötig. Gegen einen Angriff, der die Leitung des Internetproviders vollständig auslastet, kann ein Heimrouter allerdings nur wenig ausrichten. Die wirksamsten Schritte setzen deshalb früher an und verhindern, dass Geräte selbst Teil eines Botnetzes werden.
- Router und Geräte aktualisieren: Firmware-Updates schließen bekannte Schwachstellen und sollten nicht monatelang aufgeschoben werden.
- Standardpasswörter ersetzen: Für Router, Kameras, NAS und Smart-Home-Zentralen sind lange, einzigartige Passwörter wichtig.
- Fernzugriff abschalten: Dienste, die nicht aus dem Internet erreichbar sein müssen, gehören deaktiviert oder hinter ein sicheres VPN.
- UPnP bewusst prüfen: Die automatische Portfreigabe ist bequem, öffnet aber je nach Gerät unnötige Zugänge.
- Netzwerk trennen: Gäste, Smart-Home-Geräte und private Rechner sollten möglichst in getrennten WLANs oder VLANs laufen.
- Provider kontaktieren: Bei wiederholten Leitungsproblemen kann der Anbieter prüfen, ob ungewöhnlicher eingehender oder ausgehender Datenverkehr vorliegt.
Eine wichtige Grenze bleibt bestehen. Ein Router kann verdächtige Pakete blockieren, aber er kann keine Datenmenge wegfiltern, die seine eigene Internetleitung bereits verstopft. Bei einem professionellen Schutzdienst wird der Datenverkehr deshalb meist außerhalb des eigenen Anschlusses geprüft und bereinigt. Dieses sogenannte Scrubbing kostet je nach Anbieter, Schutzumfang und Traffic ein monatliches Entgelt oder wird nach Nutzung abgerechnet.
Lesen Sie auch: WLAN-Sicherheit einstellen - WPA3, Passwort und Gäste-Netz
Smart-Home-Geräte nicht vergessen
Billige Kameras, Steckdosen und Geräte mit seltenen Updates sind attraktive Ziele, weil sie rund um die Uhr laufen. Ich würde bei einem neuen Gerät nicht nur auf App-Komfort und Preis schauen, sondern zuerst prüfen, ob der Hersteller regelmäßige Sicherheitsupdates, eine Abschaltung des Fernzugriffs und individuelle Zugangsdaten ermöglicht.
Was Unternehmen während eines Angriffs tun sollten
Ein Unternehmen sollte nicht erst im Ernstfall überlegen, wen es anrufen muss. Ein kurzer Notfallplan mit Provider, Hosting-Anbieter, IT-Dienstleister und internen Verantwortlichen spart in den ersten Minuten viel Zeit. Wichtig ist außerdem, die geschäftskritischen Dienste zu priorisieren, statt überall gleichzeitig unkoordiniert Einstellungen zu verändern.
- Angriff bestätigen: Monitoring, Server-Logs und Providerdaten mit normalen Lastwerten vergleichen.
- Provider und Schutzdienst informieren: Zeitpunkt, betroffene IP-Adressen, Dienste und beobachtete Muster weitergeben.
- Unnötige Dienste reduzieren: Nicht benötigte Endpunkte, Testsysteme und öffentlich erreichbare Verwaltungsoberflächen vorübergehend abschalten.
- Anwendung entlasten: Caching, Rate Limiting und Schutz vor teuren Einzelanfragen aktivieren, sofern sie getestet sind.
- Kundenkommunikation vorbereiten: Eine statische Statusseite oder ein alternativer Kommunikationskanal hält Nutzer informiert.
- Nach dem Vorfall auswerten: Logs sichern, Schwachstellen schließen und die Reaktionszeit des Plans überprüfen.
Ein häufiger Fehler besteht darin, einfach alle ausländischen IP-Adressen zu blockieren. Das kann kurzfristig Ruhe schaffen, trifft aber auch legitime Nutzer, mobile Netze und Cloud-Dienste. Besser sind abgestufte Regeln, belastbare Messwerte und eine enge Abstimmung mit dem Provider.
Warum ein Angriff rechtlich kein harmloser Streich ist
Wer fremde Systeme absichtlich überlastet, kann in Deutschland strafrechtlich belangt werden. Je nach Ablauf und Schaden kommen unter anderem Vorschriften zur Computersabotage, zur Datenveränderung oder zu weiteren Delikten in Betracht. Auch die Teilnahme an einem vermeintlichen Online-Stresstest ist riskant, wenn keine ausdrückliche Zustimmung des Eigentümers vorliegt.
Legale Belastungstests brauchen einen klar definierten Auftrag, ein festgelegtes Zeitfenster und technische Grenzen. Ich würde solche Tests nie mit frei verfügbaren Angriffsdiensten durchführen, sondern mit einem seriösen Anbieter, dokumentierter Einwilligung und einer Notfallabschaltung. Wer selbst betroffen ist, sollte Beweise sichern und den Vorfall dem Provider sowie bei relevantem Schaden der Polizei melden.Die richtige Sicherheitsroutine für den nächsten Monat
Für einen privaten Internetanschluss reicht als erster Schritt eine überschaubare Checkliste. Aktualisieren Sie Router und IoT-Geräte, ändern Sie alte Zugangsdaten, deaktivieren Sie unnötige Fernzugriffe und prüfen Sie, ob im Router unbekannte Geräte oder Portfreigaben auftauchen.
Für Websites und Unternehmen kommen Monitoring, Backups, ein alternativer Kommunikationsweg und ein abgestimmter Providerkontakt hinzu. Entscheidend ist nicht, jede Attacke vollständig verhindern zu können, sondern die Erkennung zu beschleunigen und die Verfügbarkeit wichtiger Dienste zu erhalten.
Wer diese Grundlagen umsetzt, reduziert zugleich andere Risiken wie Botnet-Infektionen, unbefugte Zugriffe und Ausfälle durch Fehlkonfigurationen. Genau darin liegt der praktische Nutzen einer guten DoS-Vorsorge: Sie schützt nicht nur vor einer einzelnen Überlastungsattacke, sondern macht das gesamte Netzwerk widerstandsfähiger.
