Was ist DDoS und wie schützt man sich?
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: DDoS ist ein Angriff, der eine Website, einen Server oder einen anderen Internetdienst mit Datenverkehr aus vielen Quellen überlasten soll, um die Nutzung zu erschweren oder unmöglich zu machen. Das bedeutet nicht zwangsläufig einen Einbruch oder Datendiebstahl – das Hauptziel ist, den Dienst unerreichbar zu machen. Der Schutz besteht darin, schädlichen Datenverkehr zu erkennen und herauszufiltern, möglichst bevor er die überlastete Infrastruktur erreicht.
Wie funktioniert ein DDoS-Angriff?
DDoS steht für Distributed Denial of Service, also eine verteilte Dienstverweigerung. Ein Server verfügt nur über begrenzte Bandbreite und Rechenleistung und kann nur eine begrenzte Anzahl gleichzeitiger Verbindungen verarbeiten. Angreifer versuchen, mindestens eine dieser Ressourcen auszuschöpfen. Dadurch erhalten echte Nutzer Fehlermeldungen, müssen auf eine Antwort warten oder können keine Verbindung herstellen.
Das lässt sich mit einem Geschäft vergleichen, dessen Eingang und Kassen von einer Menschenmenge blockiert werden, die nichts kaufen möchte. Das Geschäft existiert weiterhin, aber normale Kunden können nicht mehr ungehindert einkaufen. Im Internet kann eine solche Blockade sowohl eine einzelne Website als auch einen Spielserver, einen E-Mail-Dienst oder die Infrastruktur eines Netzbetreibers betreffen.
„Verteilt“ bedeutet, dass der Angriff Datenverkehr aus vielen Quellen nutzt. Häufig kommt dafür ein Botnet zum Einsatz – ein Netzwerk aus Geräten, die Kriminelle unter ihre Kontrolle gebracht haben, etwa Computer, Router und Kameras. Ein Angriff kann auch externe Server nutzen, die dazu gebracht werden, Antworten an die Adresse des Opfers zu senden. Nicht jedes Gerät, das an diesem Datenverkehr beteiligt ist, muss daher infiziert sein.
DoS ist der Oberbegriff für Angriffe, die eine Dienstverweigerung verursachen; DDoS ist ihre verteilte Variante. Eine einzelne IP-Adresse zu sperren, also die Adresse eines Geräts oder eines Endpunkts im Netzwerk, reicht normalerweise nicht aus, um einen Angriff aus vielen Quellen zu stoppen.
Was genau kann überlastet werden?
Nicht jeder DDoS-Angriff besteht einfach darin, riesige Datenmengen zu übertragen. Meist unterscheidet man drei Angriffsarten:
- Volumetrische Angriffe überlasten die Verbindung mit großen Mengen an Datenverkehr. Selbst ein leistungsfähiger Server hilft nicht, wenn legitime Verbindungen ihn nicht erreichen können.
- Angriffe auf Netzwerkmechanismen erschöpfen die Ressourcen, die zur Verarbeitung von Verbindungen benötigt werden, etwa auf einem Server oder einem Gerät zur Absicherung des Netzwerks.
- Angriffe auf die Anwendung belasten bestimmte Funktionen einer Website, beispielsweise die Produktsuche oder das Erstellen von Berichten. Sie können normalen Besuchen ähneln und benötigen nicht so viel Bandbreite.
Ein Onlineshop kann beispielsweise vorhandene Bilder schnell ausliefern, für eine komplexe Suche im Katalog aber deutlich länger brauchen. Wird eine solche Funktion massenhaft aufgerufen, kann das die Datenbank überlasten, obwohl die verfügbare Bandbreite nicht ausgeschöpft wird. Deshalb muss der Schutz auf die Ressource abgestimmt sein, die tatsächlich zum Engpass wird.
Wie unterscheidet man DDoS von einer Störung oder großem Besucherandrang?
Eine langsame Website ist kein Beweis für einen Angriff. Ähnliche Symptome können durch eine erfolgreiche Werbekampagne, einen Anwendungsfehler, Datenbankprobleme oder eine Störung beim Hosting entstehen. Erst zusätzliche Anzeichen erhärten den Verdacht auf DDoS: ein ungewöhnlicher Anstieg der Verbindungszahl, wiederholte Anfragen an dieselbe Funktion oder Warnmeldungen des Schutzanbieters.
Prüfen Sie die Verfügbarkeitsüberwachung, die Statistiken zum Datenverkehr und die Logs, also die Aufzeichnungen der Ereignisse und Anfragen, die der Server verarbeitet. Vergleichen Sie den Zeitpunkt der Verschlechterung mit dem Start einer Werbeanzeige, Konfigurationsänderungen und Meldungen des Betreibers. Die Zahl der Seitenaufrufe in einem Analysetool bildet möglicherweise nicht den gesamten Angriff ab, weil ein Teil des schädlichen Datenverkehrs den Analysecode der Website nicht ausführt.
Ein DDoS-Angriff allein bestätigt keinen Datenabfluss, schließt ihn aber auch nicht aus. Wenn gleichzeitig unbekannte Anmeldungen oder Dateiänderungen auftreten, behandeln Sie diese als eigenständige Hinweise auf eine mögliche Sicherheitsverletzung.
Wie lässt sich das Risiko begrenzen und der passende Schutz wählen?
Grundlegend ist ein Schutz, der dem Server vorgeschaltet ist: im Netz des Betreibers oder bei einem spezialisierten Dienst, der den Datenverkehr filtert. Eine lokale Firewall kann Anfragen abweisen, aber keine Bandbreite zurückgewinnen, wenn die Verbindung durch den Angriff bereits ausgelastet ist.
Ein CDN, also ein Netzwerk von Servern, die Inhalte zwischengeschaltet ausliefern, kann die Website entlasten und Funktionen zum Schutz vor DDoS bieten. Eine WAF, also eine Firewall für Webanwendungen, hilft dabei, verdächtige Anfragen an die Website zu filtern. Diese Schutzmaßnahmen sind jedoch weder austauschbar noch eine Garantie gegen Angriffe: Entscheidend sind der Leistungsumfang, die Konfiguration und die Art des Angriffs.
Prüfen Sie vor der Wahl eines Hostings oder eines zusätzlichen Schutzes in der aktuellen Dokumentation des Anbieters:
- ob der Schutz nur Websites oder auch andere genutzte Dienste umfasst;
- ob er automatisch aktiviert wird und wie ein laufender Angriff gemeldet werden kann;
- welche Grenzen, Ausschlüsse und möglichen Gebühren gelten;
- ob der Betreiber während eines Angriffs den Datenverkehr zur geschützten Adresse sperren kann, um sein eigenes Netz zu schützen.
Wenn Sie einen vorgeschalteten Schutzdienst nutzen, sollte der direkte Zugriff auf den Ursprungsserver gemäß dessen Empfehlungen eingeschränkt werden. Andernfalls können Angreifer den Filter umgehen. Backups helfen, Daten nach anderen Vorfällen wiederherzustellen, stoppen aber für sich genommen keinen DDoS-Angriff.
Was tun, wenn der Dienst gerade ausfällt?
Kontaktieren Sie zuerst Ihren Hosting- oder Schutzanbieter. Nennen Sie den Zeitpunkt, zu dem das Problem aufgetreten ist, die betroffenen Dienste, die Symptome und die verfügbaren Messwerte. Bitten Sie darum, die Ursache zu bestätigen und eine geeignete Filterung zu aktivieren.
Bei einem Angriff auf die Anwendung kann es helfen, die Anzahl der Anfragen vorübergehend zu begrenzen oder eine besonders ressourcenintensive Funktion abzuschalten. Solche Maßnahmen können allerdings auch echten Kunden die Nutzung erschweren. Eine eingeschränkte Produktsuche kann beispielsweise den Shop entlasten, doch ein zu strenger Filter blockiert einen Teil der Käufer.
Betrachten Sie weder einen Serverneustart noch den Zukauf von Rechenleistung als sichere Lösung. Bewahren Sie Logs auf, dokumentieren Sie vorgenommene Änderungen und informieren Sie Nutzer über einen unabhängigen Kanal. Wenn der Dienst derzeit ordnungsgemäß funktioniert, bereiten Sie jetzt einen konkreten Bestandteil Ihres Notfallplans vor: den Notfallkontakt des Betreibers samt Verfahren zur Meldung eines Angriffs.
Lesen Sie auch
