Was ist ein DDoS-Angriff? Ablauf, Folgen und Schutz einfach erklärt

Eine Webseite ist plötzlich nicht mehr erreichbar, ein Online-Shop lädt endlos, ein Spiel-Server bricht mitten im Match zusammen: Häufig steckt dahinter ein sogenannter DDoS-Angriff. Solche Attacken gehören zu den häufigsten Bedrohungen im Internet und treffen von der kleinen Vereinsseite bis zum Großkonzern praktisch jeden. In diesem Artikel erklären wir verständlich, was ein DDoS-Angriff ist, wie er abläuft, welche Arten es gibt und wie man sich schützen kann.

Was ist ein DDoS-Angriff?

DDoS steht für Distributed Denial of Service, also sinngemäß „verteilte Dienstverweigerung“. Bei einem DDoS-Angriff versuchen Angreifer, einen Server, eine Webseite oder einen Online-Dienst gezielt zu überlasten, indem sie ihn mit einer riesigen Menge an Anfragen bombardieren. Das System kann die Flut an Anfragen nicht mehr bewältigen, wird langsam oder fällt komplett aus. Echte Nutzer erreichen den Dienst dann nicht mehr – der Dienst wird ihnen also „verweigert“.

Anders als beim Hacking geht es bei einem DDoS-Angriff meist nicht darum, in ein System einzudringen oder Daten zu stehlen. Das Ziel ist schlicht, den Dienst lahmzulegen. Man kann sich das wie einen Laden vorstellen, dessen Eingang von Hunderten Menschen blockiert wird, die gar nichts kaufen wollen: Die echten Kunden kommen einfach nicht mehr hinein.

DoS vs. DDoS: Wo liegt der Unterschied?

Die Begriffe DoS und DDoS werden oft verwechselt. Der Unterschied liegt im ersten „D“:

• DoS (Denial of Service): Der Angriff kommt von einem einzelnen Computer oder einer einzelnen Internetverbindung. Solche Angriffe sind vergleichsweise leicht zu blockieren, weil man einfach die eine störende Quelle sperren kann.
• DDoS (Distributed Denial of Service): Der Angriff ist „verteilt“ und kommt gleichzeitig von vielen tausend Geräten aus aller Welt. Das macht ihn deutlich gefährlicher, weil man nicht einfach eine einzelne Adresse blockieren kann.

Wie läuft ein DDoS-Angriff ab?

Für einen wirkungsvollen DDoS-Angriff brauchen Angreifer viele Geräte, die gleichzeitig Anfragen senden. Dafür nutzen sie in der Regel ein Botnetz – ein Netzwerk aus gekaperten Computern, Smartphones, Routern oder ungesicherten Smart-Home-Geräten. Die Besitzer dieser Geräte merken davon meist nichts; ihre Technik ist im Hintergrund mit Schadsoftware infiziert.

Auf ein Kommando hin senden alle diese Geräte gleichzeitig Anfragen an das Ziel. Ein typischer Ablauf sieht so aus:

• Der Angreifer infiziert im Vorfeld viele Geräte mit Schadsoftware und baut so ein Botnetz auf.
• Zum gewählten Zeitpunkt weist er alle Bots an, denselben Server oder dieselbe Webseite anzusteuern.
• Die Zielinfrastruktur wird mit Datenverkehr überflutet und kann die legitimen Anfragen echter Nutzer nicht mehr beantworten.
• Der Dienst wird langsam, instabil oder fällt vollständig aus.

Weil die Anfragen von zahllosen echten Geräten mit ganz normalen IP-Adressen kommen, ist es schwierig, den bösartigen von echtem Datenverkehr zu unterscheiden.

Welche Arten von DDoS-Angriffen gibt es?

DDoS-Angriffe lassen sich grob in drei Kategorien einteilen, je nachdem, welchen Teil eines Systems sie überlasten.

Volumetrische Angriffe

Das ist die häufigste und bekannteste Form. Hier geht es schlicht um Masse: Die Angreifer erzeugen so viel Datenverkehr, dass die Internetleitung des Ziels verstopft wird. Gemessen wird das in Gigabit oder sogar Terabit pro Sekunde. Ein bekanntes Beispiel ist die DNS-Amplification, bei der Angreifer kleine Anfragen so manipulieren, dass sehr große Antworten an das Opfer geschickt werden.

Protokoll-Angriffe

Diese Angriffe zielen nicht auf die Bandbreite, sondern auf die Ressourcen von Servern und Netzwerkgeräten wie Firewalls oder Load Balancern. Beim klassischen SYN-Flood etwa werden massenhaft Verbindungsanfragen geöffnet, aber nie abgeschlossen. Der Server hält die halb offenen Verbindungen vor und geht irgendwann in die Knie.

Angriffe auf Anwendungsebene

Hier greifen die Angreifer gezielt einzelne Funktionen einer Webanwendung an, zum Beispiel eine Suchfunktion oder einen Login. Diese Angriffe brauchen weniger Datenverkehr, sind dafür aber schwerer zu erkennen, weil die Anfragen echten Nutzeranfragen sehr ähnlich sehen.

Welche Folgen hat ein DDoS-Angriff?

Die unmittelbare Folge ist ein Ausfall: Der Dienst ist für die Dauer des Angriffs nicht oder nur eingeschränkt nutzbar. Für Unternehmen bedeutet das schnell handfeste Schäden:

• Umsatzverluste, wenn ein Online-Shop oder eine Buchungsplattform stundenlang nicht erreichbar ist.
• Imageschaden, weil Kunden einen unzuverlässigen Eindruck bekommen.
• Zusätzliche Kosten für die Abwehr und für Personal, das den Angriff bekämpft.

Manchmal dienen DDoS-Angriffe auch als Ablenkung: Während die IT-Abteilung mit dem Ausfall beschäftigt ist, versuchen Angreifer an anderer Stelle unbemerkt einzudringen. In einigen Fällen werden sie auch für Erpressung eingesetzt – Angreifer drohen mit einem Angriff und fordern Lösegeld.

Woran erkennt man einen DDoS-Angriff?

Nicht jede lahmende Webseite ist Opfer eines Angriffs – oft steckt einfach ein technischer Fehler oder ein Besucheransturm dahinter. Typische Anzeichen für einen DDoS-Angriff sind jedoch:

• Eine Webseite oder ein Dienst wird plötzlich und ohne erkennbaren Grund extrem langsam oder ist gar nicht mehr erreichbar.
• Es strömt ungewöhnlich viel Datenverkehr von auffällig vielen verschiedenen IP-Adressen gleichzeitig herein.
• Der Datenverkehr kommt gehäuft aus bestimmten Regionen oder von Geräten mit ähnlichem Verhalten.
• Bestimmte Seiten oder Funktionen werden immer wieder in kurzen Abständen aufgerufen.

Wie kann man sich vor DDoS-Angriffen schützen?

Einen hundertprozentigen Schutz gibt es nicht, aber das Risiko und die Auswirkungen lassen sich deutlich verringern. Wichtige Schutzmaßnahmen sind:

• Spezialisierte DDoS-Schutzdienste: Anbieter wie Content Delivery Networks (CDN) filtern bösartigen Datenverkehr heraus, bevor er den eigenen Server erreicht.
• Ausreichende Reserven: Server und Leitungen mit genug Kapazität können kleinere Angriffe abfedern, ohne auszufallen.
• Firewalls und Ratenbegrenzung: Sie begrenzen, wie viele Anfragen ein einzelner Absender in kurzer Zeit stellen darf.
• Überwachung des Datenverkehrs: Wer den normalen Datenverkehr kennt, erkennt Auffälligkeiten früher und kann schneller reagieren.

Auch private Nutzer können ihren Beitrag leisten – nämlich, indem sie verhindern, dass ihre eigenen Geräte Teil eines Botnetzes werden. Dazu gehören regelmäßige Updates, sichere Passwörter und das Ändern der Standardzugangsdaten bei Routern und Smart-Home-Geräten.

Sind private Nutzer selbst betroffen?

Direkt zum Ziel eines großen DDoS-Angriffs werden Privatpersonen selten – für Angreifer lohnt sich das kaum. Vorkommen kann es aber etwa beim Online-Gaming, wo Mitspieler gezielt die Internetverbindung eines anderen lahmzulegen versuchen. Deutlich häufiger sind private Geräte jedoch unfreiwillig auf der Täterseite: Ein schlecht gesicherter Router oder eine ungeschützte Überwachungskamera kann Teil eines Botnetzes werden. Gute Gerätehygiene schützt daher nicht nur einen selbst, sondern auch andere im Netz.

Fazit

Ein DDoS-Angriff überlastet einen Dienst mit einer Flut künstlicher Anfragen aus vielen Quellen gleichzeitig, sodass echte Nutzer ihn nicht mehr erreichen. Anders als beim klassischen Hacking geht es dabei nicht ums Eindringen, sondern ums Lahmlegen. Weil die Angriffe verteilt aus riesigen Botnetzen kommen, sind sie schwer abzuwehren. Unternehmen setzen deshalb auf spezialisierte Schutzdienste, ausreichende Reserven und Datenverkehrsüberwachung. Und jeder Einzelne kann helfen, indem er seine eigenen Geräte aktuell und sicher hält – damit sie nicht ungewollt zur Waffe für den nächsten Angriff werden.