DDoS-Angriff

Bei einem verteilten Überlastungsangriff (Distributed Denial of Service, DDoS) senden zahlreiche gekaperte Rechner, IoT-Geräte oder gemietete Angriffsdienste gleichzeitig Anfragen an ein Ziel, bis dessen Bandbreite, Verbindungstabellen oder Anwendungsressourcen erschöpft sind. Technisch unterscheidet man volumetrische Angriffe, die die Leitung fluten und häufig Reflexions- und Verstärkungseffekte über offene DNS-, NTP- oder Memcached-Dienste nutzen, Protokollangriffe wie SYN-Floods, die Zustandstabellen von Firewalls und Loadbalancern füllen, sowie Angriffe auf der Anwendungsschicht wie HTTP-Floods oder Slowloris, die mit vergleichsweise wenig Datenvolumen teure Datenbank- und Rendering-Vorgänge auslösen. Weil der Verkehr aus vielen legitimen wie illegitimen Quellen stammt, lässt er sich nicht einfach durch das Sperren einzelner IP-Adressen abwehren. Verbreitet sind zudem Ransom-DDoS-Kampagnen, bei denen ein kurzer Demonstrationsangriff mit einer Lösegeldforderung kombiniert wird, und DDoS als Ablenkung von parallel laufenden Einbruchsversuchen.

Regulatorisch ist der DDoS-Angriff der klassische Angriff auf das Schutzziel Verfügbarkeit. Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet wesentliche und wichtige Einrichtungen in Art. 21 Abs. 2 ausdrücklich zu Maßnahmen für Betriebskontinuität, Backup-Management, Netzsicherheit und Angriffserkennung; die deutsche Umsetzung erfolgt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), dessen Fristen und Registrierungspflichten betroffene Einrichtungen anhand des jeweils aktuellen Stands prüfen sollten. Für erhebliche Sicherheitsvorfälle sieht Art. 23 NIS2 ein gestuftes Meldeverfahren vor: eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallsmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ergänzend adressieren ISO/IEC 27001 mit den Anhang-A-Maßnahmen zu Kapazitätssteuerung, Netzwerksicherheit und IKT-Bereitschaft für Betriebskontinuität sowie die BSI-IT-Grundschutz-Bausteine zur Netzarchitektur den Schutz vor Überlastungsangriffen. Strafrechtlich erfüllen DDoS-Angriffe in Deutschland regelmäßig den Tatbestand der Computersabotage nach § 303b StGB.

Wirksamer Schutz ist mehrstufig. Auf Netzebene helfen Überkapazitäten, Anycast-Verteilung und Content Delivery Networks, damit Lastspitzen geografisch zerstreut werden, sowie eine Upstream-Filterung beim Provider, denn eine gefüllte Zuleitung lässt sich im eigenen Rechenzentrum nicht mehr entlasten. Bei größeren Angriffen wird der Verkehr über BGP- oder DNS-Umleitung in ein Scrubbing-Center geführt, das Angriffs- von Nutzverkehr trennt und den bereinigten Datenstrom über einen Tunnel zurückliefert. Auf Anwendungsebene wirken Rate Limiting, SYN-Cookies, Web Application Firewalls, Bot-Management und Caching statischer Inhalte. Blackholing, also das Verwerfen des gesamten Verkehrs für eine Ziel-IP, ist nur letzte Notlösung, weil es das Angriffsziel selbst offline nimmt. Organisatorisch gehören dazu ein geübter Notfallplan mit Eskalationsweg zum Provider, vorab vereinbarte Aktivierungszeiten im Vertrag mit dem Schutzdienstleister, Monitoring mit Alarmschwellen sowie klare Zuständigkeiten für Kommunikation und Meldepflichten. Von Lösegeldzahlungen bei Ransom-DDoS raten BSI und Strafverfolgungsbehörden ab, da sie weitere Angriffe finanzieren und keine Sicherheit bieten.