Link11 European Cyber Report 2026 Acht Tage ohne Unterbrechung – DDoS wird zur Dauerbelastung

Anbieter zum Thema

Link11 GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Acht Tage lang bombardierten DDoS-Angreifer 2025 ein Ziel ohne Pause, der längste Angriff, den Link11 jemals dokumentierte. Im selben Jahr standen an 88 Prozent der Tage Unternehmen durch DDoS-Angriffe unter Beschuss. Was früher die Ausnahme war, ist heute der Regelbetrieb: Terabit-Attacken über Tage hinweg zwingen zum Umdenken in der DDoS-Abwehr.

Der DDoS-Angriff auf die Deutsche Bahn liegt inzwischen einige Wochen zurück. Was bleibt, ist eine unbequeme Frage: Wie lange hätte eine solche Attacke dauern können und wäre die Infrastruktur darauf vorbereitet gewesen? Der Link11 European Cyber Report 2026 liefert Daten, die diese Frage neu gewichten.

Störungen bei App und Webseite

DDoS-Angriff schränkt Buchungssystem der Deutschen Bahn massiv ein

Von Stunden zu Tagen: Die unterschätzte Dimension der Angriffsdauer

Wer DDoS-Schutz plant, denkt meistens in Spitzenwerten. Wie viel Volumen kann abgefangen werden? Wie schnell greift die Mitigation? Das sind zwar die richtigen Fragen, gleichzeitig adressieren sie nur noch die halbe Realität. Die andere Hälfte ist Ausdauer. Und in diesem Bereich hat sich im Link11-Netzwerk 2025 etwas verändert. Denn dort wurde im Jahr 2025 eine Einzelattacke mit einer Dauer von 12.388 Minuten dokumentiert – das entspricht mehr als acht Tagen ohne Unterbrechung. Im Jahr 2024 lag der Vergleichswert nur bei 2.689 Minuten.

Kumuliert ergibt sich ein ernüchterndes Bild: Im Jahr 2025 liefen an 88 Prozent der Tage aktive DDoS-Angriffe gegen Systeme im beobachteten Netzwerk. Mit anderen Worten: An 322 von 365 Tagen standen die betroffenen Unternehmen unter Beschuss. Es gibt keine Ruhephasen mehr, sondern nur noch wechselnde Intensitätsstufen. Der Ausnahmezustand ist zum Betriebsmodus geworden.

Anstelle kurzer, schnell eskalierender Attacken setzen Angreifer zunehmend auf anhaltenden Hochvolumen-Traffic über ausgedehnte Zeiträume. Damit wollen sie die Ausdauer der Verteidiger testen und automatisierte Mitigationsbudgets erschöpfen.

Die Konsequenz für Incident-Response-Konzepte ist eindeutig: Eskalationspläne, die auf kurze Krisenphasen ausgelegt sind, versagen strukturell bei tagelangen Angriffen. DDoS ist damit nicht länger nur ein technisches Problem, sondern wird zur organisatorischen Daueraufgabe. Schutzmechanismen müssen nicht nur schnell reagieren, sondern auch über Tage hinweg stabil und ohne manuelle Eingriffe funktionieren.

Notfall-Onboarding scheitert ohne die richtige Vorbereitung

DDoS-Resilienz entscheidet sich schon lange vor dem Angriff

Terabit als Regelbetrieb: Was die Normalisierung extremer Bandbreiten bedeutet

Parallel zur Ausdauer hat sich im Jahr 2025 auch bei den Bandbreiten eine entscheidende Schwelle von der Ausnahme zur Routine verschoben. So wurden im Jahr 2025 allein im Link11-Netzwerk drei Angriffe jenseits der 1-Tbit/s-Marke registriert. Die stärkste gemessene Attacke erreichte 1,33 Tbit/s bei mehr als 120 Millionen Paketen pro Sekunde. Eine koordinierte Angriffsserie summierte sich auf ein Gesamtvolumen von 509 Terabyte.

Der globale Kontext macht deutlich: Dies ist kein Randphänomen. Die größte Einzelattacke im Jahr 2025 erreichte laut Cloudflare 31,4 Tbit/s. Die schnell zugängliche Angriffsinfrastruktur und die zunehmende Automatisierung haben die Fähigkeit von Bedrohungsakteuren, massive Störungen zu verursachen, grundlegend verstärkt.

Hinter dieser Eskalation steckt weniger technische Innovation als infrastrukturelle Verfügbarkeit. Großangelegte Botnetze sind heute für potenzielle Angreifer ohne großen Aufwand verfügbar und können eingesetzt werden, um auch gut ausgestattete Organisationen allein durch ihre Masse zu überfordern. Multi-Terabit-Angriffe wurden zuletzt auf große Cloud- und Plattformanbieter wie Google, Amazon Web Services und Microsoft gerichtet. Dort konnten sie durch hochentwickelte Erkennung, Automatisierung und global verteilte Mitigationskapazitäten abgewehrt werden. Das zeigt zweierlei: die Schwere der Bedrohung und die Anforderungen an moderne Schutzarchitekturen.

Für die Praxis bedeutet das: Systeme, die auf den „bislang größten gemessenen Angriff” ausgelegt sind, arbeiten mit einem Modell, das die aktuelle Realität nicht mehr abbildet. Terabit-Szenarien müssen als Regellast eingeplant werden und nicht als theoretischer Worst Case.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

Die Kombination macht es gefährlich: Ausdauer trifft Volumen

Für Security-Verantwortliche ist die zunehmende Kombination beider Entwicklungen besonders relevant. Angriffe, die tagelang auf hohem Niveau laufen, erschöpfen nicht nur Bandbreiten, sondern auch Teams, Prozesse und Budgets für automatisierte Gegenmaßnahmen.

Anstelle kurzfristiger überwältigender Peaks setzen Angreifer auf anhaltenden Druck über lange Zeiträume. Das Ziel besteht darin, selbst robuste Abwehrsysteme in einen Zustand permanenter Mitigation oder Erholung zu zwingen.

Nokia dokumentierte Angriffskampagnen aus dem Jahr 2025, die innerhalb von drei Minuten vier verschiedene Angriffsvektoren einsetzten: TCP Carpet Bombing, UDP Flood, DNS Amplification und SYN Flood. Dabei passten die Angreifer nach jeder Abwehrreaktion die Strategie an und erhöhten die Bandbreite. Das ist keine chaotische Masse, das ist eine durchdachte Vorgehensweise mit Folgeangriffen.

Was das für die Schutzarchitektur bedeutet

Die Konsequenz aus beiden Trends ist dieselbe: Reaktive Ansätze reichen nicht mehr aus – weder organisatorisch noch technisch.

„Always-on-Schutz” ist keine Luxusoption, sondern eine Grundvoraussetzung. Wer die Mitigation erst bei Angriffsbeginn aktiviert, verliert bei Kampagnen mit einer Laufzeit von 12.000 Minuten schlicht zu viel Zeit. Ebenso wichtig ist eine ausreichende Kapazitätsplanung. Die Schutzinfrastruktur muss für wiederholbare Terabit-Szenarien ausgelegt sein und nicht für einmalige Rekordwerte. Und sie muss multi-vektoriell gedacht werden. Volumen-Angriffe und Layer-7-Kampagnen laufen heute häufig parallel und nicht nacheinander.

DDoS-Szenarien müssen außerdem in Business-Continuity-Pläne integriert werden. Der Angriff auf die Deutsche Bahn hat gezeigt, wie schnell ein Verfügbarkeitsausfall an die Öffentlichkeit gelangt. Die eigentliche Frage ist nicht, ob es passiert, sondern wie lange die eigene Infrastruktur standhält, wenn es passiert.

Angriffe, gesponsert von Iran und Russland

Die Lage im Cyberraum nach dem An­griff der USA und Israels auf den Iran

(ID:50784758)