Was ist ein DDoS-Angriff?

Ein DDoS-Angriff — Distributed Denial of Service — versucht, einen Dienst unerreichbar zu machen, indem er ihn mit Traffic aus vielen Quellen zugleich überwältigt. Das „Distributed" verleiht dem Angriff seine Wucht und seine Widerstandsfähigkeit: Anfragen kommen von Tausenden oder Millionen Geräten, typischerweise einem Botnet aus kompromittierten Rechnern und IoT-Hardware — keine einzelne Quelle lässt sich blockieren, um ihn zu stoppen. Die Ziele reichen von Erpressung und Sabotage über Ideologie bis zur Ablenkung — ein lauter Angriff an einer Front, während an anderer etwas Leiseres passiert —, und gemietete „Booter"-Dienste haben den Start so verbilligt, dass es gar kein Können mehr braucht.

Die Schichten des Angriffs

DDoS-Angriffe unterscheiden sich danach, was sie erschöpfen. Volumetrische Angriffe sättigen Bandbreite mit rohen Traffic-Fluten, oft verstärkt durch Reflection-Techniken, die fehlkonfigurierte Server dazu bringen, die Ausgabe des Angreifers zu vervielfachen. Protokoll-Angriffe zielen auf die Leitungen — Fluten halboffener Verbindungen und ähnliche Tricks, die Zustandstabellen in Servern und Firewalls füllen. Angriffe auf der Anwendungsschicht (Layer 7) sind die subtile Stufe: scheinbar legitime HTTP-Anfragen auf teure Operationen — Suchanfragen, Login-Versuche, Warenkorb-Aktionen —, bei denen eine vergleichsweise kleine Anfragerate in schwere Backend-Last übersetzt. Layer 7 ist der Punkt, an dem DDoS das Bot-Problem überlappt: Jede Anfrage sieht aus wie gewöhnlicher Bot-Traffic oder gar menschliches Surfen, und grobe Filter können Angriff nicht von Kundschaft trennen.

Die Flut überstehen

Volumetrische und Protokoll-Angriffe werden mit Infrastruktur bekämpft: Anycast-Netze und Scrubbing-Dienste, die Traffic vorgelagert aufnehmen und filtern — betrieben von CDN- und Mitigation-Anbietern in Größenordnungen, die kein einzelner Origin erreicht. Layer-7-Angriffe verlangen feinere Instrumente, denn die Abwehr muss unterscheiden statt absorbieren. Rate Limiting deckelt, was eine Session kosten darf; eine WAF filtert bekannte feindselige Muster; und die teuren Endpunkte selbst können den Nachweis verlangen, dass ein Anfragender es wert ist, bedient zu werden. Hier verdient sich Verifizierung ihren Platz im Stack: Proof-of-Work-basierte Challenges zwingen jeden Client, Rechenleistung auszugeben, bevor der Server irgendetwas ausgibt — und kehren so die Ökonomie des Angriffs um; Bot-Verifizierung wie CaptchaFox hilft, botnet-getriebene Anfragefluten von kostspieligen Operationen wie Suche und Login fernzuhalten, während echte Besucher unsichtbar passieren. Keine dieser Schichten ersetzt die anderen — Widerstandsfähigkeit entsteht aus dem Stapel.

Vorbereiten, bevor es passiert

DDoS-Reaktion scheitert, wenn sie improvisiert wird — die Arbeit liegt also vorn: den normalen Traffic gut genug kennen, um Abnormales früh zu erkennen; den Mitigations-Pfad — Anbieterkontakte, Failover, Traffic-Umleitung — geprobt statt theoretisch halten; und Angreifern die billigen Siege nehmen, indem teure Endpunkte als Architekturfrage geschützt werden. Verfügbarkeit ist die unnachsichtigste Sicherheitseigenschaft; die Zeit, für die Flut zu bauen, ist bevor das Wasser kommt.