Notfall-Onboarding scheitert ohne die richtige Vorbereitung DDoS-Resilienz entscheidet sich schon lange vor dem Angriff

DDoS-Angriffe gehören seit 30 Jahren zum Alltag der IT-Sicherheit. Doch ob sie zum echten Geschäftsrisiko werden, entscheidet sich nicht während des Angriffs, sondern Wochen oder Monate zuvor. Wir erklären, welche tech­ni­schen, organisatorischen und regulatorischen Voraussetzungen Un­ter­neh­men schaffen müssen, um im Ernstfall handlungsfähig zu bleiben.

Oft beginnt es unspektakulär. Eine Website reagiert langsamer als gewohnt, einzelne Dienste sind kurzzeitig nicht erreichbar. Zunächst deutet vieles auf eine technische Störung hin. Dann wird klar, dass es sich um einen Distributed-Denial-of-Service-Angriff (DDoS) handelt. Für die IT-Teams beginnt ein Wettlauf gegen die Zeit mit der entscheidenden Frage: Ist die eigene Infrastruktur überhaupt darauf vorbereitet, externen Schutz kurzfristig einzubinden?

Die wachsende Abhängigkeit von digitaler Infrastruktur sowie hybrider Arbeitsmodelle und dauerhaft verfügbare Online-Dienste haben DDoS-Angriffe in den vergangenen Jahren zu einer der sichtbarsten Cyberbedrohungen gemacht. Millionen von Attacken treffen jährlich Un­ter­neh­men unterschiedlichster Branchen. Besonders problematisch ist, dass Angreifer heute oft in der Lage sind, schädlichen Traffic zwischen legitimen Nutzeranfragen zu verstecken. Die Folge sind Ausfälle, Umsatzverluste und ein erheblicher Reputationsschaden.

Störungen bei App und Webseite

DDoS-Angriff schränkt Buchungssystem der Deutschen Bahn massiv ein

Infrastruktur richtig aufstellen: Resilienz statt Reaktion

Ein wirksamer DDoS-Schutz basiert auf einer ehrlichen Bestandsaufnahme. Ein strukturiertes Netzwerk-Audit zeigt, welche Dienste, Ports und IP-Adressen tatsächlich von außen erreichbar sein müssen und welche die Angriffsfläche unnötig vergrößern. Alles, was nicht zwingend benötigt wird, sollte konsequent entfernt oder abgesichert werden.

Darauf aufbauend ist eine resiliente Architektur entscheidend. Kritische Anwendungen dürfen nicht von einzelnen Standorten oder Netzpfaden abhängig sein. Mehrere Rechenzentren, unterschiedliche physische Standorte und voneinander unabhängige Anbindungen reduzieren das Risiko, dass ein Angriff komplette Geschäftsprozesse lahmlegt. Dabei wird die Rolle des DNS besonders häufig unterschätzt: Als zentraler Einstiegspunkt ist dieser ein bevorzugtes Angriffsziel und sollte entsprechend redundant und geschützt ausgelegt sein.

Auch die Bandbreite spielt weiterhin eine Rolle. Sie stoppt keinen Angriff, verschafft im Ernstfall jedoch wertvolle Zeit. Ausreichende Reserven ermöglichen es, erste Angriffswellen abzufangen, während weitergehende Schutzmechanismen greifen. Gleichzeitig müssen Edge-Kom­po­nen­ten wie Router, Firewalls und Load Balancer leistungsfähig sein und korrekt konfiguriert werden. Im Angriffsfall zeigt sich schnell, ob diese Systeme unter Last stabil bleiben oder selbst zum Flaschenhals werden.

Mehrschichtige Schutzmechanismen sinnvoll kombinieren

Moderne DDoS-Abwehr basiert auf dem Prinzip der gestaffelten Verteidigung. Content Delivery Networks (CDN) verteilen Inhalte global und entlasten damit das Ursprungssystem. Moderne WAAP-Plattformen (Web Application & API Protection) analysieren Anfragen auf An­wen­dungs­ebene und blockieren auffällige Muster, insbesondere bei Layer-7-Angriffen. Rate Limiting begrenzt die Anzahl von Anfragen pro Quelle und verhindert so einfache Überlastungs­szenarien.

Bei großvolumigen oder hochkomplexen Angriffen kommen spezialisierte DDoS-Mitigationsdienste zum Einsatz. Diese verfügen über global verteilte Netze und sogenannte Scrubbing-Center. In diesen wird schädlicher Traffic gefiltert, bevor er das Unternehmensnetz erreicht. Entscheidend ist, dass diese Schutzmechanismen nicht erst im Notfall beschafft werden, sondern dass sie technisch vorbereitet und getestet sind.

Gcore Radar Report 1. HJ 2025

DDoS-Angriffe sind ein Stresstest für Plattformen

Anbindung an DDoS-Mitigation-Anbieter: Optionen und Herausforderungen

Wenn ein Unternehmen im Ernstfall auf einen externen DDoS-Mitigation-Dienst angewiesen ist, zählen Minuten. Ob die Schutzmaßnahmen rechtzeitig greifen, hängt maßgeblich davon ab, wie schnell und stabil der Traffic zum Anbieter umgeleitet werden kann. Deshalb sollte die technische Integration bereits im Vorfeld geklärt sein, denn improvisierte Anbindungen sind im Angriffsfall selten erfolgreich.

In der Praxis haben sich vier Anbindungsmodelle etabliert, die sich in Aufwand, Stabilität und Reaktionsgeschwindigkeit unterscheiden.

• Direkte Layer-2- oder Rechenzentrumskopplung
  Im Idealfall sind Kunde und Mitigation-Anbieter im selben Rechenzentrum oder Campus präsent. Die Verbindung erfolgt über eine direkte Layer-2-Kopplung, die sich nahezu verzögerungsfrei aktivieren lässt.Vorteile sind minimale Latenz, hohe Stabilität und geringe Komplexität. Der Nachteil dieser Option ist die eingeschränkte Verfügbarkeit, da eine physische Nähe vorausgesetzt wird.

• Cloud Connect über Peering Points
  Über Interconnection-Plattformen wie DE-CIX oder Equinix können dedizierte Verbindungen bereitgestellt werden. Diese bieten eine hohe Stabilität, planbare Performance und eine klare Trennung vom öffentlichen Internet. Allerdings erfordert diese Variante eine frühzeitige Planung, vertragliche Abstimmungen und eine saubere Netzarchitektur. Ohne entsprechende Vorbereitung ist sie im akuten Notfall kaum nutzbar.

• Dedizierte Layer-2-Leitung („Concierge Service“)
  Dabei wird eine exklusive physische oder logische Verbindung zwischen dem Unternehmen und dem Mitigation-Anbieter eingerichtet. Diese Lösung bietet maximale Kontrolle und Leistung und ist für dauerhaft geschützte Umgebungen geeignet. Ihr Nachteil: Ihr Aufbau kann Tage oder Wochen dauern und ist daher keine Option für spontane Notfallsituationen.

• GRE-Tunnel: flexibel, aber technisch anspruchsvoll
  In vielen Fällen ist der GRE-Tunnel (Generic Routing Encapsulation) eine pragmatische Lösung. Er ermöglicht die Anbindung über bestehende Internetverbindungen, ist jedoch nur dann stabil, wenn die eigene Infrastruktur entsprechend vorbereitet ist. Ein wichtiger Punkt dabei: Der GRE-Tunnel läuft in der Regel über einen regulären Internet-Uplink, der nicht unter der direkten Kontrolle oder Überwachung des Mitigation-Anbieters steht. Paketverluste, Jitter oder kurzzeitige Aussetzer auf dieser Strecke wirken sich unmittelbar auf die Wirksamkeit der Abwehr aus und müssen daher aktiv berücksichtigt werden.

Zu den zentralen technischen Anforderungen zählen:

• Unterstützung des GRE-Protokolls auf allen beteiligten Routern und Firewalls

• Asymmetrisches Routing, bei dem ausgehender Traffic direkt ins Internet geht, während eingehender, bereinigter Traffic über den Mitigation-Anbieter zurückgeführt wird.

• Anpassung der Maximum Segment Size (MSS) aufgrund des GRE-Overheads von rund 24 Byte auf etwa 1480 Byte, um Fragmentierung und Paketverluste zu vermeiden.

• Umsetzung dieser Anpassungen auf allen Uplinks, nicht nur am Tunnel selbst.

• Sorgfältige Planung, um bestehende BGP-Sessions während der Umstellung nicht zu destabilisieren.

• GRE ist damit eine valide, aber anspruchsvolle Option. Fehlt die Planung oder wurden Konfigurationen nie getestet, ist ein schnelles Notfall-Onboarding kaum möglich – genau dann, wenn jede Minute zählt.

Angriffe mit Lernkurve

DDoS neu denken oder im Ernstfall offline sein

Organisation und Compliance: Vorbereitung für das Notfall-Onboarding

Technische Maßnahmen entfalten nur dann ihre Wirkung, wenn auch die organisatorischen Rahmenbedingungen stimmen. Ein klar definiertes DDoS-Incident-Response-Playbook legt im Ernstfall fest, wer entscheidet, wie Eskalationen ablaufen und wie die interne und externe Kommunikation gesteuert wird. Da Angriffe häufig außerhalb regulärer Geschäftszeiten stattfinden, sind eindeutig benannte 24/7-Kontaktpersonen unerlässlich.

Ebenso wichtig ist eine aktuelle Übersicht über kritische Systeme und Daten. Eine einfache Klassifikation hilft dabei, Prioritäten zu setzen, wenn nicht alles gleichzeitig geschützt werden kann. Ergänzend sollten technische Steckbriefe für Dienstleister vorliegen, die Informationen zu IP-Bereichen, Domains, typischen Traffic-Mustern und Ansprechpartnern enthalten.

Auf der Compliance-Seite müssen die Grundlagen bereits vorab geregelt sein. Auf­trags­ver­ar­bei­tungs­ver­trä­ge, Rollenverteilungen, technisch-organisatorische Maßnahmen und Auf­be­wah­rungs­regeln dürfen nicht erst im Notfall diskutiert werden. Ein strukturiertes Vendor-Risk-Management mit definierten Mindestanforderungen – etwa zu Zertifizierungen, Logging oder Zugriffskontrollen – schafft zusätzliche Sicherheit. Klare Regeln für Notfalländerungen ermöglichen schnelle Entscheidungen, ohne die Nachvollziehbarkeit zu verlieren.

Vorbereitung entscheidet über Resilienz

DDoS-Angriffe lassen sich nicht vollständig verhindern. Ob sie jedoch zu einer ernsthaften Krise werden, entscheidet sich lange vor dem ersten Angriff. Unternehmen, die ihre Infrastruktur resilient aufbauen, Netzwerkanbindungen vorbereiten und organisatorische sowie re­gu­la­to­ri­sche Grundlagen schaffen, gewinnen im Ernstfall wertvolle Zeit. Und genau diese Zeit macht den Unterschied zwischen einer kurzen Störung und einem nachhaltigen Schaden aus.

Über den Autor: Jag Bains ist VP Solution Engineering bei Link11.

DDoS Threat Intelligence Report von Netscout

NoName057(16) treibt Zahl der DDoS-Angriffe in die Höhe

(ID:50779832)