Was ist ein DDoS-Angriff? Ablauf, Angriffsarten und Schutz

Kurz gesagt: Der Server wird nicht geknackt, sondern zugeschüttet. Ein DDoS-Angriff (Distributed Denial of Service) lässt tausende fremdgesteuerte Geräte – Router, Kameras, TV-Boxen – gleichzeitig auf dasselbe Ziel feuern, bis Leitung, Firewall oder Webanwendung keine Kapazität mehr haben. Über 90 % dieser Angriffe waren im ersten Halbjahr 2026 nach zehn Minuten wieder vorbei: zu schnell für Handarbeit, die Abwehr muss vorher stehen.

DoS oder DDoS – wo liegt der Unterschied?

Beide Begriffe beschreiben dasselbe Ziel: die Verfügbarkeit eines Dienstes kippen. Das BSI beschreibt einen DoS-Angriff (Denial of Service, „Verweigerung des Dienstes“) als das gezielte Überfluten eines Servers mit so vielen Anfragen, dass er die Menge nicht mehr bewältigen kann. Der Unterschied steckt in der Herkunft des Verkehrs:

• DoS: Die Last kommt von einem System. Eine sauber konfigurierte Firewall kann diese eine Quell-Adresse oft schlicht sperren.
• DDoS: Die Last kommt „verteilt“ von hunderttausenden Systemen gleichzeitig. Es gibt keine einzelne IP-Adresse zum Blockieren – genau das macht die Abwehr schwer.

Für die Fachinformatiker-Prüfung reicht die Merkformel: Das zusätzliche „D“ steht für Distributed, also für die verteilte Herkunft des Angriffsverkehrs. Wichtig für die Einordnung: DDoS greift das Schutzziel Verfügbarkeit an – nicht Vertraulichkeit oder Integrität. Es werden keine Daten gestohlen oder verändert, der Dienst antwortet nur nicht mehr.

Woran erkennst du einen laufenden Angriff?

Bevor du Abwehrmaßnahmen scharf schaltest, solltest du sicher sein, dass es wirklich ein Angriff ist. Typische Anzeichen:

• Ein plötzlicher, steiler Anstieg des Datenverkehrs von vielen unbekannten IP-Adressen, oft aus Regionen, aus denen du sonst keine Besucher hast.
• Die Seite lädt zäh oder gar nicht mehr – Timeouts, Fehler 502/503, Datenbank-Verbindungsfehler.
• Auffällig gleichförmige Muster: massenhaft identische Anfragen auf dieselbe URL, oder ungewöhnlich viele halb offene Verbindungen (SYN_RECV in der Verbindungsliste).
• Der Ausfall kommt ohne technischen Anlass: kein Deployment, kein Update, kein Wartungsfenster.

Zur Abgrenzung: Ein Ausfall kann harmlose Ursachen haben – ein viraler Beitrag mit echten Besuchern, ein aggressiver Crawler, eine Fehlkonfiguration nach dem letzten Update oder ein voller Datenträger. Der erste Griff geht deshalb immer in die Server-Logs und den Traffic-Verlauf, nicht in die Firewall-Regeln. Wer im Panikmodus ganze Adressbereiche sperrt, hat am Ende oft nur die eigenen Nutzer ausgeschlossen.

Wie läuft ein DDoS-Angriff technisch ab?

Technisch sind es drei Phasen. Das ist bewusst die Verteidiger-Sicht: Man muss den Mechanismus verstehen, um ihn zu erkennen und zu filtern.

1. Botnetz aufbauen: Angreifer infizieren im Vorfeld schlecht gesicherte, dauerhaft online stehende Geräte mit Schadsoftware – klassische PCs, vor allem aber IoT-Hardware wie Router, Überwachungskameras, Videorekorder und Streaming-Boxen. Die Besitzer merken davon in der Regel nichts.
2. Auf Kommando losschlagen: Über einen Steuerkanal (Command-and-Control) bekommen alle gekaperten Geräte dasselbe Ziel genannt und senden gleichzeitig Anfragen dorthin.
3. Ziel überlasten: Internetleitung, Firewall-Verbindungstabelle oder Anwendungsserver laufen voll. Der Dienst ist für legitime Nutzer „verweigert“ – ohne dass jemand ins System eingedrungen wäre.

Die Wucht misst man je nach Typ in Gbit/s beziehungsweise Tbit/s (Bandbreite, die die Leitung verstopft), in Paketen pro Sekunde (Last für Router und Firewall) oder in Anfragen pro Sekunde (Rechenlast für die Webanwendung). Diese drei Größen entscheiden auch darüber, auf welcher Ebene die Abwehr überhaupt greifen kann.

Die drei Angriffsarten nach OSI-Schicht

Eingeteilt werden DDoS-Angriffe danach, welche Schicht des OSI-Modells sie treffen. Die Einordnung ist prüfungsrelevant und erklärt, warum manche Angriffe leicht zu filtern sind und andere nicht.

Angriffsart	OSI-Schicht	Beispiele	Was überlastet wird
Volumetrisch	Schicht 3/4	UDP-Flood, DNS-Flood, CLDAP-Reflection	Die Bandbreite der Internetleitung
Protokoll (State-Exhaustion)	Schicht 3/4	SYN-Flood	Verbindungstabellen von Firewall, Loadbalancer und Server
Anwendung	Schicht 7	HTTP-Flood, Slowloris	CPU, RAM und Datenbank der Webanwendung

Volumetrische Angriffe setzen auf schiere Datenmenge. Bei Reflection- oder Amplification-Varianten missbrauchen Angreifer offen erreichbare Dienste im Netz, damit aus einer kleinen Anfrage eine große Antwort wird, die beim Opfer landet – DNS-basierte Vektoren machten in der ersten Jahreshälfte 2026 rund ein Drittel aller Angriffe auf Netzwerkebene aus. Protokollangriffe wie der SYN-Flood nutzen aus, dass der Server für jede begonnene TCP-Verbindung Speicher reserviert und auf eine Bestätigung wartet, die nie kommt. Anwendungsangriffe auf Schicht 7 sind am unangenehmsten: Jede einzelne Anfrage sieht aus wie ein echter Seitenaufruf, und teure Seiten wie Suche, Login oder Warenkorb kosten den Server pro Treffer richtig Rechenzeit.

Wie groß sind DDoS-Angriffe 2026 wirklich?

Die Schlagzeilen macht die Rekordklasse: Der größte öffentlich dokumentierte Angriff erreichte 31,4 Tbit/s und ging auf das IoT-Botnetz Aisuru zurück – er dauerte nur rund 35 Sekunden. Im März 2026 zerschlug das US-Justizministerium mit deutscher und kanadischer Unterstützung die Steuerinfrastruktur von vier solcher Botnetze (Aisuru, Kimwolf, JackSkid, Mossad) mit zusammen mindestens drei Millionen infizierten Geräten – überwiegend Android-TV-Boxen, Videorekorder, Kameras und WLAN-Router aus Privathaushalten.

Für den Alltag relevanter ist aber die andere Zahl aus dem Cloudflare DDoS Threat Report für das erste Halbjahr 2026: Von 23,2 Millionen abgewehrten Angriffen auf Netzwerkebene blieben 96,62 % unter 500 Mbit/s und 90,60 % dauerten weniger als zehn Minuten. Ein DDoS-Angriff muss also gar nicht rekordverdächtig sein, um eine kleine Website oder einen Root-Server umzuwerfen – 500 Mbit/s reichen dafür locker. Und weil der Spuk meist vorbei ist, bevor eine Alarmmail gelesen wurde, ist manuelle Reaktion keine Strategie. Was greift, muss automatisch greifen.

Wie schützt du dich vor DDoS-Angriffen?

Einen verteilten Angriff wehrt man nicht mit einem einzelnen Schalter ab, sondern gestaffelt – von der Leitung bis zur Anwendung:

1. Netzwerk-Ebene: Rate Limiting begrenzt, wie viele Anfragen eine einzelne IP-Adresse pro Sekunde stellen darf. Im Notfall kann der Provider per Blackhole-Routing (auch Nullrouting) den Verkehr zur angegriffenen Adresse schon im eigenen Netz verwerfen – die Leitung bleibt frei, das Ziel allerdings offline. Wichtig ist außerdem, keine offenen DNS-, NTP- oder CLDAP-Dienste ins Internet zu hängen, die für Reflection missbraucht werden können.
2. Cloud- und CDN-Ebene: Dienste wie Cloudflare, Akamai oder AWS Shield schalten sich als Filter vor deinen Server. Sie verteilen den Verkehr über Anycast-Netze auf viele Standorte und waschen Angriffsverkehr in großen Scrubbing-Centern aus, bevor er bei dir ankommt. Für kleine Seiten ist der Basisschutz oft schon im kostenlosen Tarif enthalten – das ist der mit Abstand größte Hebel pro investiertem Euro.
3. Anwendungs-Ebene: Eine Web Application Firewall (WAF) prüft Anfragen inhaltlich und blockt typische Schicht-7-Muster. Bot-Management, Challenges und Caching nehmen zusätzlich Last: Was aus dem Cache kommt, erreicht PHP und Datenbank gar nicht erst.

Genauso wichtig ist die Vorbeugung, auf die auch das BSI mit Blick auf Botnetze hinweist: Sorge dafür, dass deine eigenen Geräte nicht Teil des Problems werden. Router-Firmware und Betriebssysteme aktuell halten, Standardpasswörter an Kamera, Rekorder und Streaming-Box ersetzen, Fernzugriff und UPnP abschalten, wenn du sie nicht brauchst. Die Rekord-Botnetze von 2025/26 bestanden fast vollständig aus genau solcher Hardware im Wohnzimmer.

Der Angriff läuft bereits – was jetzt?

1. Hoster oder Provider informieren. Die Nummer der Notfall-Hotline gehört vorher notiert, nicht während des Ausfalls gesucht. Große Angriffe stoppt ohnehin nur, wer weiter oben in der Leitung sitzt.
2. Notfallmodus des CDN aktivieren. Viele Anbieter haben dafür einen Schalter, der jeden Besucher kurz prüft, bevor er durchgelassen wird – bei Cloudflare heißt er „I’m Under Attack“. Statische Seiten zusätzlich aggressiv cachen.
3. Logs sichern, bevor sie rotieren. Zeitstempel, Ziel-URLs und Verkehrsmuster sind später die Grundlage für Anzeige und Nachbereitung.
4. Bei Erpressung nicht zahlen. Ransom-DDoS lebt davon, dass gezahlt wird; die zweite Forderung folgt fast immer. Stattdessen Anzeige bei der Polizei, in Deutschland über die Zentralen Ansprechstellen Cybercrime der Länder.
5. Nutzer über einen anderen Kanal informieren. Statusseite bei einem fremden Anbieter oder Social-Media-Konto – die eigene Domain ist gerade das, was nicht funktioniert.

Hintergrund: Warum gibt es DDoS-Angriffe überhaupt?

DDoS ist selten Selbstzweck. Die häufigsten Motive sind Erpressung („zahl, sonst bleibt die Seite offline“), Sabotage gegen Wettbewerber, politisch motivierter Protest – die Angriffszahlen folgen sichtbar geopolitischen Ereignissen – und Ablenkung: Während die IT mit dem Ausfall beschäftigt ist, versuchen Täter an anderer Stelle einzudringen. Dazu kommt der schlichte Vandalismus im Gaming-Umfeld, wo Mietdienste für ein paar Euro pro Angriff verkauft werden.

Möglich macht das die Masse ungesicherter Geräte im Netz: Aus Kameras, Rekordern und Routern lassen sich billig riesige Botnetze bauen, und die Betreiber merken vom Missbrauch ihrer eigenen Hardware nichts außer etwas trägerem Internet. Rechtlich ist die Sache in Deutschland eindeutig: Ein DDoS-Angriff fällt als Computersabotage unter § 303b StGB und ist strafbar – auch dann, wenn nur ein gemieteter „Booter“-Dienst beauftragt wurde. Der Auftrag genügt für die Täterschaft.

Häufige Fragen

Was ist der Unterschied zwischen DoS und DDoS?

Ein DoS-Angriff kommt von einem einzelnen System und lässt sich oft durch Sperren dieser IP-Adresse stoppen. Bei DDoS ist der Angriff verteilt auf tausende gekaperte Geräte – es gibt keine einzelne Quelle zum Blockieren.

Wie lange dauert ein DDoS-Angriff im Schnitt?

Meist nur Minuten: Im ersten Halbjahr 2026 endeten laut Cloudflare 90,6 Prozent aller Angriffe auf Netzwerkebene in unter zehn Minuten. Deshalb muss die Abwehr automatisch laufen – für manuelles Eingreifen bleibt keine Zeit.

Auf welcher OSI-Schicht findet ein DDoS-Angriff statt?

Je nach Typ: Volumetrische und Protokollangriffe wie UDP-, DNS- oder SYN-Flood treffen die Schichten 3 und 4, Anwendungsangriffe wie HTTP-Flood die Schicht 7. Diese Einteilung ist ein Klassiker in der Fachinformatiker-Prüfung.

Kann sich auch eine kleine Website vor DDoS schützen?

Ja. Über 96 Prozent der Angriffe bleiben unter 500 Mbit/s, und dagegen hilft schon ein CDN mit DDoS-Filter – bei Anbietern wie Cloudflare ist der Basisschutz auch im kostenlosen Tarif enthalten.

Ist ein DDoS-Angriff strafbar?

Ja. In Deutschland gilt er als Computersabotage nach § 303b StGB. Strafbar macht sich auch, wer den Angriff nicht selbst ausführt, sondern nur einen gemieteten „Booter“-Dienst dafür beauftragt.