Cyberpediavon Brain
DEENFR

Die verteilte Dienstblockade (DDoS)

Wie Tausende gekaperte Geräte einen Dienst überlasten, was Beschäftigte am Bildschirm bemerken und wie die Organisation reagiert.

In 30 Sekunden

Wo es vorkommt
Bei Websites, E-Mail-Diensten, Online-Konten und anderen Diensten, die über das Internet erreichbar sind1.
Was der Angreifer will
Den Dienst unerreichbar machen, aus politischen Gründen, zur Ablenkung oder um Geld zu erpressen2.
Der Reflex
Den Netzwerkadministrator informieren. Er prüft, ob der Ausfall von einer Wartung oder einem internen Vorfall stammt, und kann den Datenverkehr überwachen, um einen Angriff zu bestätigen1.
Wenn es schon passiert ist
Der Administrator kann den Internetanbieter kontaktieren und Firewall-Regeln anwenden. Das übrige Netz bleibt zu überwachen, da der Angriff manchmal als Ablenkung dient1.

Worum es geht

Ein Denial-of-Service-Angriff (DoS) hindert berechtigte Nutzer daran, auf eine Website, ein E-Mail-System, ein Online-Konto oder einen anderen Dienst zuzugreifen. Der Angreifer überflutet das Ziel mit Datenverkehr, bis es nicht mehr antworten kann oder ausfällt1.

In der verteilten Form (DDoS) handeln mehrere Maschinen gemeinsam gegen ein einziges Ziel1. Für Beschäftigte zeigt sich das Ergebnis vor allem als Langsamkeit oder als Seite, die sich nicht mehr öffnet. Diese Anzeichen können wie ein harmloses Verfügbarkeitsproblem aussehen, aber auch auf einen DoS- oder DDoS-Angriff hindeuten1.

Direkte Fragen

Was ist ein Botnetz?

Ein Botnetz ist eine Gruppe vernetzter Geräte, die ein Angreifer übernommen hat und mit einer Command-and-Control-Software steuert. Die infizierten Geräte sind selbst Opfer des Angriffs1. Ein Botnetz kann an andere vermietet werden, oft von „Attack-for-Hire“-Diensten, mit denen auch Nutzer ohne Fachkenntnisse einen DDoS starten können1.

Warum ist ein DDoS schwerer zu stoppen als ein Angriff von einer einzelnen Maschine?

Der Datenverkehr kommt aus vielen Quellen und lässt sich dadurch schwerer vom legitimen Verkehr unterscheiden3. Ein DDoS erschwert zudem die Ermittlung des tatsächlichen Ursprungs des Angriffs1. Im schlimmsten Fall sendet jede Maschine nur wenig Datenverkehr, und ihn vom Verkehr legitimer Kunden zu unterscheiden, wird extrem schwierig4.

Woran erkennt man, ob es ein Angriff oder eine einfache Störung ist?

Die Symptome gleichen denen eines gewöhnlichen Problems oder einer Wartung. Die CISA nennt drei Anzeichen, die auf einen Angriff hindeuten können: ein ungewöhnlich langsames Netz, eine bestimmte Website, die nicht mehr antwortet, oder die Unmöglichkeit, irgendeine Website zu öffnen1. Am besten lässt sich die Frage durch die Überwachung des Netzwerkverkehrs klären1.

Kann man betroffen sein, ohne das Ziel zu sein?

Ja. Wird der Internetanbieter oder der Cloud-Anbieter eines Netzes angegriffen, verliert auch dieses Netz seinen Dienst1.

Stiehlt ein DDoS-Angriff Daten?

Die herangezogenen Quellen beschreiben einen Verlust an Verfügbarkeit. Das britische NCSC weist darauf hin, dass eine nicht erreichbare öffentliche Website den Betrieb behindern kann (entgangene Verkäufe, Beschäftigte, die nicht mehr arbeiten können), auch ohne Auswirkung auf Vertraulichkeit oder Integrität der Daten3. Die CISA betont dagegen, dass Angreifer einen DDoS starten, um abzulenken und Sekundärangriffe gegen andere Dienste des Netzes durchzuführen1.

1In der Haut des Angreifers2 min

Der Angreifer braucht Masse. Er kann ein eigenes Botnetz aufbauen oder eines für die Dauer der Nutzung mieten4. Vernetzte Geräte, die oft ihr Standardpasswort behalten, sind anfällig: Die Infektion bleibt ihrem Besitzer häufig verborgen, und Hunderttausende Geräte können kompromittiert werden, ohne dass er es merkt1.

Er kann außerdem die Ursprungsadresse der Pakete verbergen oder fälschen. Das macht die Filterung nach Quelladresse für die Verteidiger weniger wirksam, mitunter sogar nutzlos2.

Dieser Artikel ordnet die Angriffe in drei Familien ein. Das ist eine Entscheidung der Darstellung und keine Klassifikation aus den Quellen.

Die volumetrische Familie sättigt die Bandbreite. MITRE nennt als Beispiel 10 Gbit/s Datenverkehr, die an einen Server gesendet werden, der über eine Verbindung mit 1 Gbit/s am Internet hängt2. Eine Variante nutzt Server Dritter, die Reflektoren: Der Angreifer schickt ihnen Pakete mit der gefälschten Adresse des Opfers, und die Antworten, größer als die Anfragen, gehen an das Opfer. DNS und NTP haben solche Verstärkungen ermöglicht; das Protokoll memcache zeigte eine Verstärkung bis zum 51 200-Fachen des Ausgangspakets5.

Die protokollbasierte Familie nutzt die Funktionsweise des Netzwerkaustauschs aus. Bei einer SYN-Flut fordert der Angreifer eine Verbindung an, ohne den Drei-Wege-Handshake abzuschließen: Der Port bleibt belegt, und wenn die Anfragen weitergehen, sind alle offenen Ports ausgelastet1. MITRE empfiehlt zur Abwehr, SYN-Cookies zu aktivieren6.

Die anwendungsbezogene Familie zielt auf Server und Anwendungen. Eine HTTP-Flut schickt einem Webserver sehr viele Anfragen, um seine Ressourcen zu erschöpfen7. Ein Angriff über die SSL/TLS-Neuaushandlung öffnet eine verschlüsselte Verbindung und reiht dann Neuaushandlungsanfragen aneinander, die viel Rechenleistung kosten7. Diese Angriffe erschöpfen die Maschine, ohne das Netz zu sättigen6.

2Was Sie auf dem Bildschirm sehen1 min

Laut CISA können die Symptome wie Verfügbarkeitsprobleme ohne böse Absicht aussehen, aber auf einen DoS- oder DDoS-Angriff hindeuten1. Diese Symptome sind ungewöhnliche Langsamkeit beim Öffnen von Dateien oder Websites, eine bestimmte Website, die nicht erreichbar ist, oder gar keine erreichbare Website1. Für einen Kunden oder eine Kollegin bzw. einen Kollegen ist es eine Fehlerseite oder ein Dienst, der nicht antwortet.

Diese Anzeichen können auch von einer Wartung oder einem technischen Zwischenfall stammen1. Beschäftigte müssen daher keine Diagnose stellen: Sie melden, was sie bemerken.

3Unter der HaubeIT-Teams1 min

Auf der Netzwerkseite nutzt eine direkte Flut vor allem zustandslose Protokolle wie UDP oder ICMP, aber auch TCP kann dienen4. Fast jedes Netzwerkprotokoll eignet sich4.

Auf der Serverseite stützen sich Angriffe auf die Anwendungsebene auf Engpässe, die jeder Schicht eigen sind: Betriebssystem, Webserver, DNS, Datenbank oder Anwendung6.

Zur Abwehr muss der Datenverkehr, wenn das Volumen die Kapazität der angegriffenen Verbindung übersteigt, vorgelagert gefiltert werden: beim Internetanbieter, in einem Content Delivery Network (CDN) oder bei einem Spezialisten für Schadensminderung2. Je nach Volumen ist manchmal eine Filterung vor Ort möglich: das Sperren der Quelladressen, Ports oder Protokolle, auf die der Angriff zielt2.

4FallanalysenReale Fälle2 min

September 2016: Mirai gegen den Blog von Brian Krebs und OVH

Am 20. September 2016 wurde der Sicherheitsblog von Brian Krebs von einem massiven Angriff getroffen, einem der größten, die je verzeichnet wurden, mit mehr als 620 Gbit/s. Er kam von einem Botnetz aus vernetzten Geräten, das von der Schadsoftware Mirai gesteuert wurde8. Mirai durchsucht das Internet laufend nach anfälligen Geräten und probiert eine kurze Liste von 62 Standardbenutzernamen und -passwörtern aus8. Der mutmaßliche Autor von Mirai behauptete, beim Angriff auf die Website von Krebs seien mehr als 380 000 Geräte versklavt worden8.

Ende September brach ein weiterer Mirai-Angriff auf den französischen Hoster OVH den Rekord: mindestens 1,1 Tbit/s, möglicherweise 1,5 Tbit/s8. Die betroffenen Geräte waren vor allem Heimrouter, Netzwerkkameras und digitale Videorekorder8. Der Quellcode von Mirai wurde Ende September online veröffentlicht, was den Weg für weitere Angriffe öffnete8. Ende November 2016 scannte eine von Mirai abgeleitete Software den TCP-Port 7547 anfälliger Breitbandrouter8.

Für ein infiziertes Gerät empfiehlt die CISA, es zu trennen, es ohne Netzverbindung neu zu starten (Mirai liegt im Arbeitsspeicher), das Standardpasswort zu ersetzen und es erst danach wieder zu verbinden8.

August 2023: der HTTP/2-Angriff „Rapid Reset“

Google beschrieb am 10. Oktober 2023 einen neuartigen DDoS-Angriff über HTTP/2, dessen Spitze im August lag. Der stärkste überschritt 398 Millionen Anfragen pro Sekunde, weit mehr als jeder zuvor gemeldete Angriff auf Schicht 79. Er wurde größtenteils am Rand des Google-Netzes von dessen Lastverteilungs-Infrastruktur abgefangen, ohne Ausfall9.

Das Prinzip: Der Client öffnet auf einen Schlag viele Streams und bricht dann jede Anfrage sofort durch das Senden eines RST_STREAM-Frames ab, ohne die Antwort abzuwarten9. Der Server muss für die abgebrochenen Anfragen dennoch erhebliche Arbeit leisten, während der Client die Kosten fast nicht trägt9. Google koordinierte die Offenlegung mit Partnern der Branche und reservierte die Kennung CVE-2023-44487, um die Korrekturen zu verfolgen9. Google empfiehlt, die Patches so schnell wie möglich einzuspielen9.

Weitere datierte Fälle

2016 führte APT28 einen DDoS gegen die Welt-Anti-Doping-Agentur durch2. 2019 störte das Sandworm Team vorübergehend georgische Websites, nachdem es einen Webhoster kompromittiert hatte6. Eine Serie von Vorfällen im Jahr 2012 richtete sich gegen große US-Banken4.

5Was die Organisation tut1 min

Die CISA gibt an, dass kein Mittel vollständig verhindert, zum Ziel zu werden. Administratoren können einen Schutzdienst abonnieren, der abnormale Datenflüsse erkennt und den Verkehr filtert, und einen Notfallwiederherstellungsplan vorbereiten1. Das britische NCSC nennt vier Praktiken: den eigenen Dienst kennen, die eigenen Abwehrmaßnahmen kennen, einen Reaktionsplan erstellen und ihn testen3.

Für Beschäftigte gibt es zwei Handgriffe: ungewöhnliche Langsamkeit oder Nichtverfügbarkeit rasch dem Netzwerkadministrator melden und die Standardpasswörter vernetzter Geräte ändern, auch zu Hause18.

Merkblatt

Kennung
CP-066
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Hacking verstehen (understand_hacking)
Brain-Reflex
cr-049
Schema
G1 · Angriffskette (Kill Chain)
Sprachen
de, en, fr
Quellen
9 Quellen geprüft am 3. November 2026
Quellen9 Quellen
  1. CISA, „Understanding Denial-of-Service Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Network Denial of Service, Technique T1498 - Enterprise“. https://attack.mitre.org/techniques/T1498/ (abgerufen am 3. November 2026)
  3. NCSC (Royaume-Uni), „Denial of Service (DoS) guidance“. https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise“. https://attack.mitre.org/techniques/T1498/001/ (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise“. https://attack.mitre.org/techniques/T1498/002/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Endpoint Denial of Service, Technique T1499 - Enterprise“. https://attack.mitre.org/techniques/T1499/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise“. https://attack.mitre.org/techniques/T1499/002/ (abgerufen am 3. November 2026)
  8. CISA, „Heightened DDoS Threat Posed by Mirai and Other Botnets“, 14. Oktober 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (abgerufen am 3. November 2026)
  9. Google, „How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack“, 10. Oktober 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Die verteilte Dienstblockade (DDoS)“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/

BibTeX 
@misc{brain_cp066_de_2026,
  author = {Brain},
  title = {Die verteilte Dienstblockade (DDoS)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0