Ein DDoS-Angriff (Distributed Denial of Service) überlastet einen Server, eine Website oder ein Netzwerk gezielt mit einer Flut künstlicher Anfragen, bis der Dienst für echte Nutzer nicht mehr erreichbar ist. Das „Distributed“ heißt: Die Anfragen kommen gleichzeitig von tausenden gekaperten Geräten weltweit – einem sogenannten Botnetz. Käme die Last nur von einem einzigen Rechner, spräche man von einem simplen DoS-Angriff.
DoS oder DDoS – wo ist der Unterschied?
Die beiden Begriffe werden oft vermischt, meinen aber unterschiedliche Größenordnungen. Das BSI beschreibt einen DoS-Angriff (Denial of Service, „Verweigerung des Dienstes“) so: Ein Server wird „gezielt mit so vielen Anfragen bombardiert, dass er die Menge nicht mehr bewältigen kann“.
- DoS: Der Angriff kommt von einem System. Eine sauber konfigurierte Firewall kann diese eine Quell-Adresse oft einfach blockieren.
- DDoS: Der Angriff kommt „verteilt“ von hunderten bis Millionen Systemen gleichzeitig. Es gibt keine einzelne IP zum Sperren – genau das macht die Abwehr schwer.
Für die Fachinformatiker-Prüfung ist die Merkformel praktisch: Das zusätzliche „D“ steht für Distributed – also für die verteilte Herkunft des Angriffsverkehrs.
Anzeige
Woran erkenne ich einen DDoS-Angriff?
Bevor du zu Abwehrmaßnahmen greifst, solltest du sicher sein, dass es wirklich ein Angriff ist – nicht jede Störung ist ein DDoS. Typische Anzeichen:
- Ein plötzlicher, steiler Anstieg des Datenverkehrs von vielen unbekannten IP-Adressen, oft aus ungewöhnlichen Regionen.
- Die Website lädt extrem langsam oder ist komplett nicht erreichbar (Timeouts, Fehler 503).
- Auffällige Muster: massenhaft identische Anfragen auf dieselbe URL oder ungewöhnlich viele halb offene Verbindungen.
- Der Ausfall tritt ohne erkennbaren technischen Grund auf – kein fehlgeschlagenes Update, kein Deployment.
Zur Abgrenzung: Ein Ausfall kann auch harmlose Ursachen haben – ein viraler Beitrag, der echte Besucher bringt, eine Fehlkonfiguration nach einem Update oder ein Hardwaredefekt. Prüfe deshalb immer erst die Server-Logs und den Traffic-Verlauf, statt vorschnell alles zu blockieren.
Wie funktioniert ein DDoS-Angriff?
Technisch läuft ein DDoS in drei Phasen ab. Wichtig: Das ist die Verteidiger-Sicht – man muss den Mechanismus verstehen, um ihn zu erkennen und abzuwehren.
- Botnetz aufbauen: Angreifer infizieren im Vorfeld tausende schlecht gesicherte Geräte mit Schadsoftware – klassische PCs, aber zunehmend auch IoT-Geräte wie Router, Kameras oder smarte Steckdosen. Die Besitzer merken davon meist nichts.
- Auf Kommando losschlagen: Über einen zentralen Steuerkanal (Command-and-Control) senden alle gekaperten Geräte gleichzeitig Anfragen an dasselbe Ziel.
- Ziel überlasten: Server, Firewall oder Internetleitung brechen unter der Last zusammen. Der eigentliche Dienst ist für legitime Nutzer „verweigert“.
Die Wucht eines Angriffs misst man je nach Typ in Gbit/s (Bandbreite, die die Leitung verstopft) oder in Anfragen pro Sekunde (Last, die den Server rechnen lässt). Große Angriffe erreichen heute mehrere Terabit pro Sekunde.
Die drei Angriffsarten nach OSI-Schicht
DDoS-Angriffe werden danach eingeteilt, welche Schicht des OSI-Modells sie treffen. Diese Einordnung ist prüfungsrelevant und hilft dir zu verstehen, warum manche Angriffe leichter zu filtern sind als andere.
| Angriffsart | OSI-Schicht | Beispiele | Was überlastet wird |
|---|---|---|---|
| Volumetrisch | Schicht 3/4 | UDP-Flood, ICMP-Flood, DNS-Amplification | Die Bandbreite der Internetleitung |
| Protokoll (State-Exhaustion) | Schicht 3/4 | SYN-Flood | Die Verbindungstabellen von Firewall und Server |
| Anwendung | Schicht 7 | HTTP-Flood, Slowloris | CPU und Arbeitsspeicher der Webanwendung |
Ein volumetrischer Angriff setzt auf schiere Datenmenge – bei einer Amplification-Attacke missbrauchen Angreifer offene Dienste im Netz, um kleine Anfragen zu einer großen Antwortflut aufzublähen. Ein Protokollangriff wie der SYN-Flood nutzt den TCP-Handshake aus: Der Server wartet auf Verbindungen, die nie vollendet werden, bis seine Verbindungstabelle voll ist. Anwendungsangriffe (Schicht 7) sind am tückischsten, weil jede einzelne Anfrage wie ein echter Seitenaufruf aussieht – sie lassen sich kaum allein an der IP-Adresse erkennen.
Wie schützt man sich vor DDoS-Angriffen?
Einen großen DDoS wehrt man nicht mit einem einzelnen Schalter ab, sondern gestaffelt auf mehreren Ebenen. Von unten nach oben:
- Netzwerk-Ebene: Rate Limiting begrenzt, wie viele Anfragen eine einzelne IP pro Sekunde stellen darf. Bei Notfällen kann der Provider per Blackhole-Routing den Verkehr zu einer angegriffenen Adresse verwerfen, bevor er die eigene Leitung erreicht.
- Cloud- und CDN-Ebene: Dienste wie Cloudflare, Akamai oder AWS Shield schalten sich als Schutzschild vor deinen Server. Sie verteilen den Verkehr über Anycast-Netze und filtern Angriffs-Traffic in großen „Scrubbing-Centern“ heraus, bevor er ankommt. Für kleine Seiten gibt es das oft schon in kostenlosen Tarifen.
- Anwendungs-Ebene: Eine Web Application Firewall (WAF) prüft Anfragen inhaltlich und blockt typische Schicht-7-Muster. CAPTCHAs und Verhaltensanalyse trennen Menschen von Bots.
Genauso wichtig ist die Vorbeugung, auf die das BSI ausdrücklich hinweist: Sorge dafür, dass deine eigenen Geräte nicht Teil eines Botnetzes werden. Das heißt Betriebssystem und Router aktuell halten, IoT-Geräte mit Standardpasswörtern absichern und einen Basisschutz gegen Schadsoftware betreiben. Und: Leg dir vorab einen Notfallplan zu – wen rufst du beim Hoster oder Provider an, wenn es ernst wird?
Hintergrund: Warum gibt es DDoS-Angriffe überhaupt?
DDoS ist selten Selbstzweck. Häufige Motive sind Erpressung („Ransom-DDoS“ – zahl, sonst bleibt deine Seite offline), Sabotage gegen Wettbewerber, politischer Protest (Hacktivismus) oder Ablenkung: Während die IT mit dem Angriff beschäftigt ist, versuchen Täter parallel, an anderer Stelle einzudringen.
Befeuert wird das Ganze durch die Masse ungesicherter IoT-Geräte im Internet, aus denen sich billig riesige Botnetze bauen lassen. Rechtlich ist ein DDoS-Angriff in Deutschland kein Kavaliersdelikt: Er fällt als Computersabotage unter § 303b StGB und ist strafbar – auch das gemietete „Booter“-Werkzeug macht den Auftraggeber zum Täter.
Häufige Fragen
Was ist der Unterschied zwischen DoS und DDoS?
Ein DoS-Angriff kommt von einem einzelnen System und lässt sich oft durch Sperren dieser IP abwehren. Bei DDoS ist der Angriff „distributed“, also verteilt auf tausende gekaperte Geräte gleichzeitig – es gibt keine einzelne Quelle zum Blockieren.
Auf welcher OSI-Schicht findet ein DDoS-Angriff statt?
Je nach Typ: Volumetrische und Protokollangriffe (etwa SYN- oder UDP-Flood) treffen die Schichten 3 und 4. Anwendungsangriffe wie HTTP-Flood arbeiten auf Schicht 7. Diese Einordnung ist ein Klassiker in der Fachinformatiker-Prüfung.
Ist ein DDoS-Angriff strafbar?
Ja. In Deutschland gilt ein DDoS-Angriff als Computersabotage nach § 303b StGB und ist strafbar. Auch wer nur einen gemieteten „Booter“-Dienst beauftragt, macht sich strafbar.
Kann sich auch eine kleine Website vor DDoS schützen?
Ja. Cloud- und CDN-Dienste wie Cloudflare bieten Basis-DDoS-Schutz teils schon in kostenlosen Tarifen an. Sie filtern Angriffsverkehr in großen Scrubbing-Centern heraus, bevor er den eigenen Server erreicht.
Wie erkenne ich einen laufenden DDoS-Angriff?
Typische Zeichen sind ein plötzlicher Traffic-Anstieg von vielen unbekannten IP-Adressen, eine langsame oder nicht erreichbare Seite und auffällig gleichförmige Anfragen – ohne dass ein Update oder Deployment die Ursache ist. Ein Blick in die Server-Logs schafft Klarheit.
