DDoS

DDoS (Distributed Denial of Service) ist ein Cyberangriff, bei dem ein Zielsystem, typischerweise ein Webserver oder eine Netzwerkinfrastruktur, durch massenhaft koordinierte Anfragen von vielen verteilten Quellen überlastet wird. Das Ziel ist es, den Dienst für legitime Nutzer unerreichbar zu machen. Im Gegensatz zu einem einfachen DoS-Angriff, der von einer einzelnen Quelle ausgeht, nutzt ein DDoS-Angriff ein Botnetz aus tausenden oder sogar millionen kompromittierten Geräten.

Wie funktioniert ein DDoS-Angriff?

Ein DDoS-Angriff läuft typischerweise in mehreren Phasen ab:

1. Aufbau eines Botnetzes: Der Angreifer infiziert tausende Geräte mit Malware. Besonders anfällig sind IoT-Geräte wie IP-Kameras, Router oder Smart-Home-Geräte mit Standard-Passwörtern.

2. Koordination über Command & Control (C2): Alle infizierten Geräte (“Bots” oder “Zombies”) werden von einem zentralen Server gesteuert und warten auf Befehle.

3. Angriff starten: Auf Befehl senden alle Bots gleichzeitig Anfragen an das Ziel. Die kumulative Last übersteigt die Kapazität des Zielsystems.

4. Überlastung: Der Zielserver kann keine legitimen Anfragen mehr verarbeiten. Der Dienst ist nicht mehr erreichbar.

Eine wichtige Technik bei vielen DDoS-Angriffen ist IP-Spoofing: Die Angreifer fälschen die Absender-IP-Adresse ihrer Pakete. Dadurch ist die wahre Quelle des Angriffs schwer nachzuverfolgen, und bei Amplifikationsangriffen werden die verstärkten Antworten an das Opfer geleitet.

Arten von DDoS-Angriffen

DDoS-Angriffe werden nach der OSI-Schicht klassifiziert, auf der sie operieren:

Volumetrische Angriffe (Layer 3/4)

Diese Angriffe zielen darauf ab, die gesamte verfügbare Bandbreite zu verbrauchen. Sie nutzen oft Amplifikation: Der Angreifer sendet kleine Anfragen an öffentliche Server (z.B. DNS oder NTP) mit der gefälschten IP-Adresse des Opfers. Die Server antworten mit deutlich größeren Datenpaketen, direkt an das Opfer.

Protokoll-Angriffe (Layer 3/4)

Diese Angriffe nutzen Schwachstellen in Netzwerkprotokollen aus, um Serverressourcen zu erschöpfen:

• SYN Flood: Ausnutzung des TCP-Handshakes. Der Angreifer sendet massenhaft SYN-Pakete mit gefälschten IP-Adressen. Der Server reserviert Ressourcen für halboffene Verbindungen, die nie abgeschlossen werden.

• ACK Flood: Überschwemmung des Ziels mit TCP-ACK-Paketen.

• ICMP Flood (Ping Flood): Massive Mengen von ICMP-Echo-Requests überlasten das Netzwerk.

Anwendungsschicht-Angriffe (Layer 7)

Diese Angriffe sind besonders tückisch, da sie legitimen Traffic imitieren und schwerer zu erkennen sind:

• HTTP Flood: Massive Mengen scheinbar legitimer HTTP-Anfragen. Jede Anfrage erfordert serverseitig Datenbankabfragen und Seitenaufbau.

• Slowloris: Hält viele HTTP-Verbindungen offen, indem partielle Anfragen sehr langsam gesendet werden. Benötigt wenig Bandbreite, ist aber sehr effektiv gegen Apache-Server.

• HTTP POST Flood: Sendet große Datenmengen in POST-Requests, die der Server verarbeiten muss.

Unterschied zwischen DoS und DDoS

Bekannte DDoS-Angriffe

Diese historischen Angriffe zeigen die Dimension und Auswirkungen von DDoS:

Der Dyn-Angriff 2016 war besonders bedeutsam: Das Mirai-Botnetz nutzte hunderttausende IoT-Geräte mit Standard-Passwörtern. Der Angriff zeigte erstmals, wie verwundbar die Internet-Infrastruktur durch unsichere IoT-Geräte ist.

Schutzmaßnahmen gegen DDoS

Eine effektive DDoS-Abwehr erfordert mehrere Schutzebenen:

Netzwerkebene

• Rate Limiting: Begrenzung der Anfragen pro IP-Adresse
• Blackhole Routing (RTBH): Angriffsverkehr wird auf Routing-Ebene verworfen
• BGP Flowspec: Granulare Filterregeln auf Router-Ebene
• Überdimensionierte Bandbreite: Mehr Kapazität als der Angreifer aufbringen kann

Cloud-basierte Mitigation

Dienste wie Cloudflare, Akamai oder AWS Shield leiten den Traffic durch ihre global verteilten Netzwerke. Diese können selbst Angriffe mit mehreren Terabit pro Sekunde absorbieren. Das Anycast-Routing verteilt den Angriffsverkehr automatisch auf viele Rechenzentren.

Anwendungsebene

• Web Application Firewall (WAF): Erkennt und blockiert bösartige HTTP-Anfragen
• CAPTCHA: Unterscheidet Menschen von Bots bei verdächtigen Anfragen
• Verhaltensanalyse: Machine Learning erkennt Anomalien im Traffic-Muster

Das Mirai-Botnetz

Mirai ist eines der berüchtigtsten DDoS-Botnetze und demonstriert das Risiko unsicherer IoT-Geräte:

Funktionsweise von Mirai:
1. Scannt das Internet nach IoT-Geräten (Kameras, Router, etc.)
2. Versucht Login mit bekannten Standard-Passwörtern (admin/admin, root/12345...)
3. Infiziert das Gerät und löscht die Malware-Binärdatei zur Tarnung
4. Wartet auf Befehle vom Command & Control Server
5. Führt auf Befehl koordinierte DDoS-Angriffe durch

Nach der Veröffentlichung des Mirai-Quellcodes entstanden zahlreiche Varianten wie GorillaBot (2024), das bis zu 51.000 Angriffe pro Tag durchführte. Die wichtigste Lektion: Standard-Passwörter bei IoT-Geräten immer ändern!

DDoS in der IT-Ausbildung

Als Fachinformatiker für Systemintegration wirst du mit DDoS-Schutzmaßnahmen in Kontakt kommen, etwa bei der Konfiguration von Firewalls, Load Balancern oder der Integration von CDN-Diensten. Für Fachinformatiker für Anwendungsentwicklung ist das Verständnis von Rate Limiting und der sichere Umgang mit HTTP-Anfragen relevant.

In der IHK-Prüfung können DDoS-Angriffe im Kontext von IT-Sicherheit, Netzwerktechnik oder Notfallmanagement abgefragt werden. Wichtig ist das Verständnis der Grundprinzipien: Wie funktioniert die Verteilung des Angriffs? Welche Schichten sind betroffen? Welche Schutzmaßnahmen gibt es?

Quellen und weiterführende Links

• Cloudflare: What is a DDoS Attack?
• BSI: Schutz vor DDoS-Angriffen
• Cloudflare DDoS Threat Report Q2 2025
• GitHub DDoS Incident Report 2018