Mobile-Menu

Gcore-Report zeigt Verdopplung der DDoS-Angriffe DDoS-Angriffe treffen Netzwerk, Web und APIs gleichzeitig

Ein Gastbeitrag von Elena Simon 5 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

DDoS-Angriffe werden nicht nur größer, sie werden taktisch präziser. Sie kombinieren kurze Überlastungsimpulse auf Netzwerkebene mit gezielten Angriffen auf APIs, Logins oder Zahlungsprozesse. Wer Netzwerk-, Web- und Anwendungsschutz getrennt betreibt, erkennt oft nur einzelne Symptome, nicht den Angriff als Ganzes.

1,3 Millionen Angriffe und Spitzen von 12 Tbps: Der Gcore-Report zeigt das Ausmaß moderner DDoS-Wellen. Sie treffen Netzwerke, Websites und APIs gleichzeitig.(Bild: Gemini / KI-generiert)
1,3 Millionen Angriffe und Spitzen von 12 Tbps: Der Gcore-Report zeigt das Ausmaß moderner DDoS-Wellen. Sie treffen Netzwerke, Websites und APIs gleichzeitig.
(Bild: Gemini / KI-generiert)

Viele Unternehmen haben in den vergangenen Jahren erheblich in ihre DDoS-Abwehr investiert. Sie verfügen über Schutzmechanismen gegen volumetrische Angriffe auf Netzwerkebene, über Web Application Firewalls, Bot-Schutz oder API-Security-Lösungen. Auf dem Papier wirkt diese Verteidigung oft solide. In der Praxis entsteht die gefährlichste Schwachstelle jedoch häufig nicht innerhalb einer einzelnen Ebene, sondern genau zwischen ihnen.

Moderne DDoS-Angriffe zielen nicht mehr nur auf Bandbreite. Sie kombinieren kurze Überlastungsimpulse auf L3/L4 mit Angriffen auf APIs, Logins oder transaktionskritische Prozesse. Wer Netzwerk-, Web- und Anwendungsschutz getrennt betreibt, erkennt zwar einzelne Symptome, aber nicht unbedingt den Angriff als Ganzes.

Die entscheidende Frage lautet deshalb nicht mehr nur: Hat ein Unternehmen DDoS-Schutz? Sondern: Erkennt dieser Schutz schnell genug, wenn Netzwerk-, Web- und API-Ebene gleichzeitig Ziel desselben Angriffs sind?

Klassische Schutzmodelle geraten an ihre Grenzen

Der aktuelle Gcore Radar Report Q3–Q4 2025 zeigt, wie stark sich die DDoS-Lage verschärft hat: In der zweiten Jahreshälfte 2025 verdoppelte sich die Zahl der Angriffe gegenüber dem ersten Halbjahr. Für Q4 2025 meldet Gcore 1,3 Millionen Angriffe im Vergleich zu 512.000 im Vorjahresquartal. Gleichzeitig stiegen die beobachteten Angriffsspitzen auf bis zu 12 Tbps. Besonders relevant für die Sicherheitsarchitektur ist jedoch nicht nur die Größe dieser Angriffe, sondern auch ihre Dauer: Rund 75 Prozent der Network-Layer-Angriffe dauerten weniger als eine Minute, während Application-Layer-Angriffe tendenziell länger liefen und stärker auf Webanwendungen, APIs und Backend-Prozesse zielten.

Diese Zahlen zeigen nicht nur die wachsende Wucht moderner Angriffe. Sie machen auch deutlich, dass Unternehmen es mit zwei sehr unterschiedlichen Angriffsdynamiken zu tun haben. Auf der Netzwerkebene sind Attacken kurz, massiv und auf unmittelbare Überlastung ausgelegt. Auf der Anwendungsebene wirken sie oft zunächst legitimer: zum Beispiel wie eine Login-Anfrage, ein API-Call, eine Produktsuche, ein Checkout-Schritt oder eine Abfrage im Kundenportal. Erst im Muster, in der Häufung, in der Session-Logik oder in der Zielrichtung wird der Angriff sichtbar.

Angriffe auf Netzwerkebene erlauben kaum noch Reaktionszeit

Ein erheblicher Teil der Network-Layer-Angriffe dauert weniger als eine Minute, ein reaktives Mitigation-Modell reicht hier nicht mehr aus. Bis ein Angriff eindeutig erkannt, eskaliert, analysiert und manuell abgewehrt wird, kann der eigentliche Schaden bereits entstanden sein.

Das betrifft nicht nur die Verfügbarkeit einzelner Systeme. Kurze, extreme Angriffsspitzen können Monitoring-Systeme überfluten, Scrubbing-Kapazitäten belasten, Routing-Entscheidungen erzwingen oder interne Teams binden. Selbst wenn die Attacke nach wenigen Sekunden wieder abklingt, kann sie genau den Moment schaffen, in dem parallel ein gezielter Angriff auf Anwendungen oder APIs schwieriger zu erkennen ist.

DDoS-Abwehr muss deshalb so nah wie möglich am Edge greifen. Nicht erst dort, wo zentrale Systeme bereits unter Last stehen. Nicht erst nach manueller Analyse. Und nicht erst dann, wenn mehrere Teams unabhängig voneinander feststellen, dass „irgendetwas ungewöhnlich“ ist.

Auf Anwendungsebene zählt vor allem der Kontext

Während sich volumetrische Angriffe vergleichsweise klar über Traffic-Mengen, Paketmuster oder Bandbreitenspitzen identifizieren lassen, ist die Lage auf Layer 7 deutlich komplexer. Eine einzelne Login-Anfrage ist legitim. Eine Suchanfrage ist legitim. Ein API-Call ist legitim. Auch tausende solcher Anfragen können in bestimmten Situationen legitim sein, etwa während einer Marketingkampagne, eines Produkt-Launches oder eines saisonalen Peaks.

Der Unterschied zwischen normaler Last und Angriff liegt nicht allein im Volumen. Er liegt im Kontext. Welche Endpunkte werden aufgerufen? Wie verhalten sich Sessions? Stimmen Anfragefrequenz, Herkunft, Gerätetyp, Authentifizierungsstatus und Geschäftslogik zusammen? Werden bestimmte Prozesse gezielt verlangsamt, etwa Login, Warenkorb, Zahlungsstrecke oder API-basierte Datenabfragen?

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Für die Verantwortlichen bedeutet das: DDoS-Schutz darf nicht ausschließlich als Netzwerkdisziplin verstanden werden. Moderne Angriffe treffen Verfügbarkeit, Anwendungssicherheit und Geschäftsprozesse gleichzeitig.

Die eigentliche Schwachstelle ist fehlende Korrelation

Die kritischsten Szenarien entstehen, wenn ein kurzer L3/L4-Impuls parallel zu einem L7-Angriff läuft. Dann sieht das Netzwerkteam eine volumetrische Spitze. Das Application-Security-Team sieht ungewöhnliche API-Last. Das Plattformteam sieht steigende Latenzen oder Fehlerquoten in bestimmten Workflows. Isoliert betrachtet wirken diese Signale wie unterschiedliche Vorfälle. In der Korrelation zeigen sie jedoch ein koordiniertes Angriffsmuster.

Ähnlich kritisch ist ein Szenario, in dem ein volumetrischer Angriff die Aufmerksamkeit des Security-Teams bindet, während parallel gezielt transaktionskritische Prozesse belastet werden: etwa Checkout, Warenkorb, Zahlungsstrecke oder API-basierte Datenabfragen. Die Bandbreite normalisiert sich vielleicht nach kurzer Zeit wieder. Die eigentliche Störung im Geschäftsprozess läuft jedoch weiter.

Fehlt diese Korrelation, bleibt der Gesamtangriff schwer einzuordnen. Teams reagieren dann auf einzelne Symptome: eine Traffic-Spitze im Netzwerk, ungewöhnliche API-Last oder steigende Fehlerraten in bestimmten Anwendungen. Der Zusammenhang zwischen diesen Signalen wird dann zu spät erkannt. Genau diese Lücke nutzen Angreifende aus, indem sie Ablenkung auf Netzwerkebene erzeugen und gleichzeitig dort ansetzen, wo Anwendungen, APIs und Geschäftsprozesse besonders empfindlich sind.

Genau deshalb muss DDoS-Abwehr Netzwerk-, Web- und API-Ebene zusammendenken. Für Unternehmen geht es dabei nicht darum, einzelne Schutztechnologien gegeneinander zu positionieren. Im Gegenteil: Faktoren wie Kapazität, netzwerknahe Erkennung, sowie Web- und API-Schutz bleiben wichtig. Entscheidend ist jedoch, dass diese Ebenen nicht isoliert betrieben werden.

Eine moderne DDoS-Architektur muss drei Fähigkeiten zusammenführen:

  • Erstens braucht sie Geschwindigkeit auf Netzwerkebene. Angriffe, die nur Sekunden dauern, müssen automatisch und möglichst nah am Ursprung abgefangen werden.
  • Zweitens braucht sie Kontext auf Anwendungsebene. Nicht jede Anfrage mit hoher Frequenz ist ein Angriff, und nicht jeder Angriff zeigt sich durch extremes Volumen. Entscheidend ist das Verhalten entlang konkreter Workflows.
  • Drittens braucht sie Korrelation zwischen beiden Ebenen. Netzwerkereignisse, Bot-Signale, API-Anomalien, Session-Daten und Applikationsmetriken müssen gemeinsam betrachtet werden, damit aus vielen Einzelindikatoren ein belastbares Lagebild entsteht.

Die nächste Evolutionsstufe liegt nicht allein in mehr Bandbreite

DDoS bleibt ein Verfügbarkeitsthema. Aber es ist längst auch ein Architekturthema. Unternehmen, die Schutzmechanismen weiterhin strikt nach Layern trennen, riskieren blinde Flecken genau dort, wo moderne Angriffe besonders wirksam sind: an den Übergängen zwischen Infrastruktur, Anwendung und Geschäftsprozess.

Die nächste Evolutionsstufe der DDoS-Abwehr liegt deshalb in der Fähigkeit, Geschwindigkeit auf Netzwerkebene und Kontext auf Anwendungsebene zusammenzuführen. Unternehmen, die diese Ebenen weiterhin getrennt betrachten, werden moderne Angriffe zwar sehen – aber zu spät verstehen.

Über die Autorin: Elena Simon ist General Manager DACH bei Gcore, einem Anbieter von Public Cloud und Edge Computing, KI, Content Delivery (CDN), Hosting und Security-Lösungen. Neben dem Studium der Wirtschaftsinformatik an der TU Braunschweig machte sie Tanzkarriere und trat bei der Weltmeisterschaft 2004, 2005 an. Mit Diplom und Medaille kam sie 2007 in die Tech-Branche. Nach Stationen bei einem Telecom-Anbieter und einem Spieleentwickler stieg sie 2014 bei Gcore als Business Development Manager ein und leitet dort inzwischen das DACH-Geschäft. Elena tanzt immer noch leidenschaftlich und legt auch bei Kunden- wie Mitarbeiterführung viel Wert auf Harmonie.

(ID:50923604)

Weiterführende Inhalte