--- id: CP-066 slug: ddos-angriff-verteilte-dienstblockade lang: de title: Die verteilte Dienstblockade (DDoS) description: Wie Tausende gekaperte Geräte einen Dienst überlasten, was Beschäftigte am Bildschirm bemerken und wie die Organisation reagiert. canonical_url: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ markdown_url: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Die verteilte Dienstblockade (DDoS)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # Die verteilte Dienstblockade (DDoS) Ein Denial-of-Service-Angriff (DoS) hindert berechtigte Nutzer daran, auf eine Website, ein E-Mail-System, ein Online-Konto oder einen anderen Dienst zuzugreifen. Der Angreifer überflutet das Ziel mit Datenverkehr, bis es nicht mehr antworten kann oder ausfällt [1]. In der verteilten Form (DDoS) handeln mehrere Maschinen gemeinsam gegen ein einziges Ziel [1]. Für Beschäftigte zeigt sich das Ergebnis vor allem als Langsamkeit oder als Seite, die sich nicht mehr öffnet. Diese Anzeichen können wie ein harmloses Verfügbarkeitsproblem aussehen, aber auch auf einen DoS- oder DDoS-Angriff hindeuten [1]. ## In 30 Sekunden - Wo es vorkommt: bei Websites, E-Mail-Diensten, Online-Konten und anderen Diensten, die über das Internet erreichbar sind [1]. - Was der Angreifer will: den Dienst unerreichbar machen, aus politischen Gründen, zur Ablenkung oder um Geld zu erpressen [2]. - Der Reflex: den Netzwerkadministrator informieren. Er prüft, ob der Ausfall von einer Wartung oder einem internen Vorfall stammt, und kann den Datenverkehr überwachen, um einen Angriff zu bestätigen [1]. - Wenn es schon passiert ist: Der Administrator kann den Internetanbieter kontaktieren und Firewall-Regeln anwenden. Das übrige Netz bleibt zu überwachen, da der Angriff manchmal als Ablenkung dient [1]. ## Direkte Fragen ### Was ist ein Botnetz? Ein Botnetz ist eine Gruppe vernetzter Geräte, die ein Angreifer übernommen hat und mit einer Command-and-Control-Software steuert. Die infizierten Geräte sind selbst Opfer des Angriffs [1]. Ein Botnetz kann an andere vermietet werden, oft von „Attack-for-Hire“-Diensten, mit denen auch Nutzer ohne Fachkenntnisse einen DDoS starten können [1]. ### Warum ist ein DDoS schwerer zu stoppen als ein Angriff von einer einzelnen Maschine? Der Datenverkehr kommt aus vielen Quellen und lässt sich dadurch schwerer vom legitimen Verkehr unterscheiden [3]. Ein DDoS erschwert zudem die Ermittlung des tatsächlichen Ursprungs des Angriffs [1]. Im schlimmsten Fall sendet jede Maschine nur wenig Datenverkehr, und ihn vom Verkehr legitimer Kunden zu unterscheiden, wird extrem schwierig [4]. ### Woran erkennt man, ob es ein Angriff oder eine einfache Störung ist? Die Symptome gleichen denen eines gewöhnlichen Problems oder einer Wartung. Die CISA nennt drei Anzeichen, die auf einen Angriff hindeuten können: ein ungewöhnlich langsames Netz, eine bestimmte Website, die nicht mehr antwortet, oder die Unmöglichkeit, irgendeine Website zu öffnen [1]. Am besten lässt sich die Frage durch die Überwachung des Netzwerkverkehrs klären [1]. ### Kann man betroffen sein, ohne das Ziel zu sein? Ja. Wird der Internetanbieter oder der Cloud-Anbieter eines Netzes angegriffen, verliert auch dieses Netz seinen Dienst [1]. ### Stiehlt ein DDoS-Angriff Daten? Die herangezogenen Quellen beschreiben einen Verlust an Verfügbarkeit. Das britische NCSC weist darauf hin, dass eine nicht erreichbare öffentliche Website den Betrieb behindern kann (entgangene Verkäufe, Beschäftigte, die nicht mehr arbeiten können), auch ohne Auswirkung auf Vertraulichkeit oder Integrität der Daten [3]. Die CISA betont dagegen, dass Angreifer einen DDoS starten, um abzulenken und Sekundärangriffe gegen andere Dienste des Netzes durchzuführen [1]. ## In der Haut des Angreifers Der Angreifer braucht Masse. Er kann ein eigenes Botnetz aufbauen oder eines für die Dauer der Nutzung mieten [4]. Vernetzte Geräte, die oft ihr Standardpasswort behalten, sind anfällig: Die Infektion bleibt ihrem Besitzer häufig verborgen, und Hunderttausende Geräte können kompromittiert werden, ohne dass er es merkt [1]. Er kann außerdem die Ursprungsadresse der Pakete verbergen oder fälschen. Das macht die Filterung nach Quelladresse für die Verteidiger weniger wirksam, mitunter sogar nutzlos [2]. Dieser Artikel ordnet die Angriffe in drei Familien ein. Das ist eine Entscheidung der Darstellung und keine Klassifikation aus den Quellen. Die volumetrische Familie sättigt die Bandbreite. MITRE nennt als Beispiel 10 Gbit/s Datenverkehr, die an einen Server gesendet werden, der über eine Verbindung mit 1 Gbit/s am Internet hängt [2]. Eine Variante nutzt Server Dritter, die Reflektoren: Der Angreifer schickt ihnen Pakete mit der gefälschten Adresse des Opfers, und die Antworten, größer als die Anfragen, gehen an das Opfer. DNS und NTP haben solche Verstärkungen ermöglicht; das Protokoll memcache zeigte eine Verstärkung bis zum 51 200-Fachen des Ausgangspakets [5]. Die protokollbasierte Familie nutzt die Funktionsweise des Netzwerkaustauschs aus. Bei einer SYN-Flut fordert der Angreifer eine Verbindung an, ohne den Drei-Wege-Handshake abzuschließen: Der Port bleibt belegt, und wenn die Anfragen weitergehen, sind alle offenen Ports ausgelastet [1]. MITRE empfiehlt zur Abwehr, SYN-Cookies zu aktivieren [6]. Die anwendungsbezogene Familie zielt auf Server und Anwendungen. Eine HTTP-Flut schickt einem Webserver sehr viele Anfragen, um seine Ressourcen zu erschöpfen [7]. Ein Angriff über die SSL/TLS-Neuaushandlung öffnet eine verschlüsselte Verbindung und reiht dann Neuaushandlungsanfragen aneinander, die viel Rechenleistung kosten [7]. Diese Angriffe erschöpfen die Maschine, ohne das Netz zu sättigen [6]. ## Was Sie auf dem Bildschirm sehen Laut CISA können die Symptome wie Verfügbarkeitsprobleme ohne böse Absicht aussehen, aber auf einen DoS- oder DDoS-Angriff hindeuten [1]. Diese Symptome sind ungewöhnliche Langsamkeit beim Öffnen von Dateien oder Websites, eine bestimmte Website, die nicht erreichbar ist, oder gar keine erreichbare Website [1]. Für einen Kunden oder eine Kollegin bzw. einen Kollegen ist es eine Fehlerseite oder ein Dienst, der nicht antwortet. Diese Anzeichen können auch von einer Wartung oder einem technischen Zwischenfall stammen [1]. Beschäftigte müssen daher keine Diagnose stellen: Sie melden, was sie bemerken. ## Unter der Haube Auf der Netzwerkseite nutzt eine direkte Flut vor allem zustandslose Protokolle wie UDP oder ICMP, aber auch TCP kann dienen [4]. Fast jedes Netzwerkprotokoll eignet sich [4]. Auf der Serverseite stützen sich Angriffe auf die Anwendungsebene auf Engpässe, die jeder Schicht eigen sind: Betriebssystem, Webserver, DNS, Datenbank oder Anwendung [6]. Zur Abwehr muss der Datenverkehr, wenn das Volumen die Kapazität der angegriffenen Verbindung übersteigt, vorgelagert gefiltert werden: beim Internetanbieter, in einem Content Delivery Network (CDN) oder bei einem Spezialisten für Schadensminderung [2]. Je nach Volumen ist manchmal eine Filterung vor Ort möglich: das Sperren der Quelladressen, Ports oder Protokolle, auf die der Angriff zielt [2]. ## Fallanalysen ### September 2016: Mirai gegen den Blog von Brian Krebs und OVH Am 20. September 2016 wurde der Sicherheitsblog von Brian Krebs von einem massiven Angriff getroffen, einem der größten, die je verzeichnet wurden, mit mehr als 620 Gbit/s. Er kam von einem Botnetz aus vernetzten Geräten, das von der Schadsoftware Mirai gesteuert wurde [8]. Mirai durchsucht das Internet laufend nach anfälligen Geräten und probiert eine kurze Liste von 62 Standardbenutzernamen und -passwörtern aus [8]. Der mutmaßliche Autor von Mirai behauptete, beim Angriff auf die Website von Krebs seien mehr als 380 000 Geräte versklavt worden [8]. Ende September brach ein weiterer Mirai-Angriff auf den französischen Hoster OVH den Rekord: mindestens 1,1 Tbit/s, möglicherweise 1,5 Tbit/s [8]. Die betroffenen Geräte waren vor allem Heimrouter, Netzwerkkameras und digitale Videorekorder [8]. Der Quellcode von Mirai wurde Ende September online veröffentlicht, was den Weg für weitere Angriffe öffnete [8]. Ende November 2016 scannte eine von Mirai abgeleitete Software den TCP-Port 7547 anfälliger Breitbandrouter [8]. Für ein infiziertes Gerät empfiehlt die CISA, es zu trennen, es ohne Netzverbindung neu zu starten (Mirai liegt im Arbeitsspeicher), das Standardpasswort zu ersetzen und es erst danach wieder zu verbinden [8]. ### August 2023: der HTTP/2-Angriff „Rapid Reset“ Google beschrieb am 10. Oktober 2023 einen neuartigen DDoS-Angriff über HTTP/2, dessen Spitze im August lag. Der stärkste überschritt 398 Millionen Anfragen pro Sekunde, weit mehr als jeder zuvor gemeldete Angriff auf Schicht 7 [9]. Er wurde größtenteils am Rand des Google-Netzes von dessen Lastverteilungs-Infrastruktur abgefangen, ohne Ausfall [9]. Das Prinzip: Der Client öffnet auf einen Schlag viele Streams und bricht dann jede Anfrage sofort durch das Senden eines RST_STREAM-Frames ab, ohne die Antwort abzuwarten [9]. Der Server muss für die abgebrochenen Anfragen dennoch erhebliche Arbeit leisten, während der Client die Kosten fast nicht trägt [9]. Google koordinierte die Offenlegung mit Partnern der Branche und reservierte die Kennung CVE-2023-44487, um die Korrekturen zu verfolgen [9]. Google empfiehlt, die Patches so schnell wie möglich einzuspielen [9]. ### Weitere datierte Fälle 2016 führte APT28 einen DDoS gegen die Welt-Anti-Doping-Agentur durch [2]. 2019 störte das Sandworm Team vorübergehend georgische Websites, nachdem es einen Webhoster kompromittiert hatte [6]. Eine Serie von Vorfällen im Jahr 2012 richtete sich gegen große US-Banken [4]. ## Was die Organisation tut Die CISA gibt an, dass kein Mittel vollständig verhindert, zum Ziel zu werden. Administratoren können einen Schutzdienst abonnieren, der abnormale Datenflüsse erkennt und den Verkehr filtert, und einen Notfallwiederherstellungsplan vorbereiten [1]. Das britische NCSC nennt vier Praktiken: den eigenen Dienst kennen, die eigenen Abwehrmaßnahmen kennen, einen Reaktionsplan erstellen und ihn testen [3]. Für Beschäftigte gibt es zwei Handgriffe: ungewöhnliche Langsamkeit oder Nichtverfügbarkeit rasch dem Netzwerkadministrator melden und die Standardpasswörter vernetzter Geräte ändern, auch zu Hause [1][8]. ## Quellen 1. CISA, „Understanding Denial-of-Service Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Network Denial of Service, Technique T1498 - Enterprise“. https://attack.mitre.org/techniques/T1498/ (abgerufen am 3. November 2026) 3. NCSC (Royaume-Uni), „Denial of Service (DoS) guidance“. https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise“. https://attack.mitre.org/techniques/T1498/001/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise“. https://attack.mitre.org/techniques/T1498/002/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Endpoint Denial of Service, Technique T1499 - Enterprise“. https://attack.mitre.org/techniques/T1499/ (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise“. https://attack.mitre.org/techniques/T1499/002/ (abgerufen am 3. November 2026) 8. CISA, „Heightened DDoS Threat Posed by Mirai and Other Botnets“, 14. Oktober 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (abgerufen am 3. November 2026) 9. Google, „How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack“, 10. Oktober 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.