Cloudflare DDoS Threat Report H1 2026 DDoS-Attacken werden zur politischen Waffe

DDoS-Angriffe dauern im Schnitt unter zehn Minuten, weshalb manuelle Abwehr meist zu spät kommt. Der DDOS-Report von Cloudflare zeigt, dass Angreifer zunehmend nach geopolitischer Lage vorgehen und massive Reflection-Attacken einsetzen.

Bei Distributed-Denial-of-Service-Attacken (DDoS) hat sich das Kräfteverhältnis zugunsten der Cyberkriminellen verschoben. Sie bestimmen inzwischen den Zeitpunkt und das Ziel, während den Verteidigern meist nur eine verspätete Reaktion bleibt. Ein Angriff ist häufig bereits ab­ge­schlos­sen, bevor Erkennungssysteme Gegenmaßnahmen einleiten können, sodass manuelle Abwehrmechanismen ins Leere laufen. Parallel dazu hat sich die Motivation der Angreifer gewandelt. Anstatt primär schlecht geschützte Ziele ins Visier zu nehmen, orientieren sie sich zunehmend an der geopolitischen Lage, beispielsweise im Umfeld von Militäroperationen und internationalen Gipfeltreffen. Der DDoS-Report zum ersten Halbjahr 2026 des Threat-In­tel­li­gence-Teams Cloudforce One belegt diese Entwicklungen und macht deutlich, dass reaktive Schutzkonzepte dieser Bedrohungslage nicht länger gewachsen sind.

Cloudflare 2025 Q1 DDoS Threat Report

Deutschland weltweit am stärksten durch DDoS-Angriffe betroffen

Reaktion kann mit Angriffsdauer nicht mithalten

Der Grund, warum manuelle Reaktionen heute meist zu spät kommen, ist die extrem kurze Angriffsdauer. In den ersten sechs Monaten 2026 endeten 90,6 Prozent aller abgewehrten Attacken auf Netzwerkebene in weniger als zehn Minuten, die kürzeste war sogar schon nach 35 Sekunden vorüber. Warnmeldungen erreichen die zuständigen IT-Teams daher oft erst, wenn der Vorfall längst abgeschlossen ist.

Zwar fiel das Angriffsvolumen mit unter 500 Mbit/s in 96,6 Prozent der Fälle vergleichsweise gering aus, doch gering ist relativ. Schon 100 Mbit/s genügen, um einen ungeschützten Server lahmzulegen. Ab etwa 100 Gbit/s stoßen selbst Rechenzentren ohne adäquaten Schutz an ihre Belastungsgrenze.

Die wenigen Ausnahmen erreichten erhebliche Größenordnungen. Cloudflare zählte 935 Attacken jenseits von einem Terabit pro Sekunde, davon 805 allein im zweiten Quartal, ein Zuwachs von 519 Prozent gegenüber den ersten drei Monaten. Die kurze Dauer begrenzt den Schaden dabei nicht. Schon eine Attacke von wenigen Sekunden kann Routing-Instabilitäten, Wiederholungen im Datenverkehr und Zeitüberschreitungen in Anwendungen auslösen, deren Folgen über Stunden oder Tage anhalten. Allein auf Netzwerkebene wehrte Cloudflare im ersten Halbjahr 23,2 Millionen Angriffe ab, rechnerisch rund 5.300 pro Stunde.

Link11 European Cyber Report 2026

Acht Tage ohne Unterbrechung – DDoS wird zur Dauerbelastung

Verschiebung bei den Angriffsvektoren

Getrieben wird der enorme Zuwachs bei massiven Angriffen durch eine auffällige strukturelle Veränderung. Der Schwerpunkt verlagerte sich im ersten Halbjahr von klassischen Botnet-Fluten hin zu Reflection- und Amplification-Verfahren. Bei diesen Vektoren lenken Cy­ber­kri­mi­nel­le die Antworten fremder Server auf ihr Ziel um und vervielfachen sie dabei.

Dominierend blieben hierbei DNS-basierte Angriffe mit einem Anteil von 34,3 Prozent auf Netzwerkebene. Hinter diesem Wert stehen zwei unterschiedliche Mechanismen:

• Ein DNS-Flood richtet die geballte Anfragelast eines Botnetzes direkt gegen die autoritativen Namensserver eines Ziels, bis deren Kapazität erschöpft ist und alle abhängigen Dienste ausfallen.

• Eine DNS-Amplification sendet dagegen kleine, gefälschte Anfragen an offene Resolver, die daraufhin mit weit größeren Antworten an die Adresse des Opfers reagieren.

Deutlich zugenommen hat zudem ein bislang weniger verbreitetes Verfahren: CLDAP-Floods missbrauchen ungeschützte Verzeichnisdienste im Active Directory, die über UDP erreichbar sind, und lenken deren überproportional große Antworten auf das Ziel. Diese Angriffsart legte um 580 Prozent gegenüber dem Vorquartal zu und rückte im zweiten Quartal auf den dritten Platz vor.

DDoS Threat Intelligence Report von Netscout

NoName057(16) treibt Zahl der DDoS-Angriffe in die Höhe

Die Nachrichtenlage bestimmt das nächste Ziel

Ebenso auffällig ist die Auswahl der Ziele. Der Report verknüpft mehrere Rangwechsel unmittelbar mit dem Weltgeschehen. Das deutlichste Beispiel liefert der Regierungssektor. Nach dem Beginn der Operation Epic Fury, einer Serie israelisch-amerikanischer Angriffe auf iranische Ziele Ende Februar, stieg die Branche von Rang 29 auf Rang 9 der am stärksten betroffenen Sektoren. Das ist die größte Einzelverschiebung des bisherigen Jahres. Für Verteidiger bedeutet das, dass ihr Risiko weniger von der eigenen Branche abhängt als von der politischen Exponiertheit ihres Landes oder Sektors im jeweiligen Moment.

Am häufigsten betroffen war die Medien- und Verlagsbranche. Sie führte beide Quartale an mit 14,2 Prozent aller abgewehrten HTTP-Angriffsanfragen, nahezu dem Vierfachen des Zweit­plat­zier­ten. Der naheliegendste Grund ist hier die Aufmerksamkeit rund um die Kriege im Iran und in der Ukraine sowie die Fußball-Weltmeisterschaft. Auch die geografische Verteilung ver­schiebt sich: Die meisten Angriffe zielten auf China, gefolgt von den USA und der Türkei, die im Umfeld des NATO-Gipfels in Ankara nach vorne rückten. Bei den Herkunftsländern löste Brasilien die USA an der Spitze ab, dahinter folgt Indonesien.

Angriffe mit Lernkurve

DDoS neu denken oder im Ernstfall offline sein

Hohe Kosten mit langfristigen Folgen

Die finanziellen Auswirkungen eines DDoS-Angriffs beschränken sich selten auf die akute Ausfallzeit. Sie treffen kleine und mittlere Unternehmen (KMU) ebenso wie Großkonzerne und den öffentlichen Sektor. Laut der Plattform Incident Cost belaufen sich die Schäden für un­ge­schütz­te KMU bereits im unteren Bereich auf rund 120.000 US-Dollar. Bei großen Or­ga­ni­sa­ti­o­nen können mehrstündige Attacken auf Anwendungsebene schnell Kosten von zwei Millionen US-Dollar oder mehr verursachen.

Die Nichterreichbarkeit führt dabei nicht nur zu direkten Umsatzausfällen. Hinzu kommen erhebliche Folgekosten für das Incident Management, Überstunden und die Beauftragung externer Spezialisten. Werden durch den Ausfall vertraglich zugesicherte Verfügbarkeiten (SLAs) gerissen, drohen zudem Vertragsstrafen und Gutschriften an Kunden.

Eine zusätzliche Bedrohung stellen sogenannte Ransom-DDoS-Kampagnen dar. Hierbei dient ein kurzer Angriff als Machtdemonstration, gefolgt von einer Lösegeldforderung in Kryp­to­wäh­rung, die meist zwischen 5.000 und 500.000 US-Dollar liegt. Die Zahlung bietet den Opfern jedoch keinerlei Garantie, dass die Attacken danach tatsächlich enden.

Cyberresilienz mit Plan A und Plan B

Cyberresilienz mit Business Continuity und Disaster Recovery

Die Konsequenzen für die Verteidigung

Beide Entwicklungen, das hohe Tempo und die geopolitische Steuerung, führen zu demselben Ergebnis: Reaktive Schutzkonzepte verlieren ihre Grundlage. Eine Reaktion, die erst nach der Erkennung einsetzt, kommt gegen Attacken von wenigen Sekunden nicht an, und eine Risiko­ein­schätzung allein anhand der eigenen Branche unterschätzt die Wirkung politischer Er­eig­nis­se. An die Stelle der Reaktion muss die permanente Vorsorge treten. Schutz­mecha­nis­men sollten unabhängig von Ziel und Zeitpunkt bereitstehen und ohne manuelles Eingreifen auslösen. Für Sicherheitsverantwortliche verlagert sich die Aufgabe daher von der Abwehr des einzelnen Vorfalls hin zu einer dauerhaft belastbaren Infrastruktur.

Über den Autor: Stefan Henke ist RVP DACH bei Cloudflare.

Tool-Overload überfordert SOC-Analysten

Zeitfaktor entscheidet über Schadens­begrenzung bei Cyberangriffen

(ID:50951611)