Was ist ein DDoS-Angriff und wie schützt man eine Website davor?
Ein DDoS-Angriff (Distributed Denial of Service) versucht, eine Website offline zu nehmen, indem er sie mit weit mehr Datenverkehr überflutet, als sie verarbeiten kann, gleichzeitig gesendet von zahlreichen Rechnern, bis echte Besucher nicht mehr durchkommen. Der Schutz davor besteht darin, diesen bösartigen Datenverkehr herauszufiltern, bevor er Ihren Server erreicht, mithilfe einer Mitigationsschicht, die vor der Website liegt und den Angriff absorbiert oder blockiert. Das praktische Ziel ist einfach: die Website für echte Nutzer verfügbar zu halten, auch während ein Angriff läuft.
Was ist ein DDoS-Angriff?
Ein Denial-of-Service-Angriff zielt darauf ab, eine Website oder einen Dienst unerreichbar zu machen. Ein Distributed-Denial-of-Service-Angriff tut dasselbe von vielen Quellen gleichzeitig, oft Tausende kompromittierte Geräte, die gemeinsam als Botnet agieren, was es weit schwieriger macht, ihn durch das bloße Sperren einer einzelnen Adresse zu stoppen. Der Datenverkehr ist darauf ausgelegt, etwas Endliches zu erschöpfen: die Verbindungen des Servers, seine Verarbeitungskapazität oder die Bandbreite des Netzwerks, in dem er läuft.
Der wesentliche Unterschied zu einer normalen Verkehrsspitze liegt in Absicht und Muster. Ein umsatzstarker Tag bringt Ihnen mehr echte Besucher, während ein DDoS-Angriff Ihnen Datenverkehr schickt, dessen einziger Zweck es ist, Ressourcen zu verbrauchen und echte Besucher zu verdrängen. Laut den DDoS-Bedrohungsberichten von Cloudflare ist das Angriffsvolumen von Jahr zu Jahr stark gestiegen, und die größten erfassten Angriffe werden inzwischen in Terabit pro Sekunde gemessen, weit jenseits dessen, was ein einzelner ungeschützter Server absorbieren kann.
Wie funktioniert ein DDoS-Angriff eigentlich?
Die meisten Angriffe fallen in drei grobe Kategorien, und es hilft zu wissen, welche welche ist, weil sie unterschiedlich abgewehrt werden.
Volumetrische Angriffe sind die Brute-Force-Variante: Sie sättigen Ihre verfügbare Bandbreite mit reiner Masse, etwa durch einen UDP-Flood, sodass nichts anderes mehr durchkommt. Protokollangriffe zielen auf die Art, wie Verbindungen aufgebaut werden, und erschöpfen Server- oder Firewall-Ressourcen mit etwa SYN-Floods, die Verbindungen öffnen und nie abschließen. Angriffe auf der Anwendungsebene sind die leisesten und oft am schwersten zu erkennen: Sie imitieren echtes Nutzerverhalten und senden Anfragen, die legitim wirken, aber auf die teuersten Teile Ihrer Website abzielen, etwa eine Such- oder Login-Funktion, bis die Anwendung zusammenbricht.
Was alle drei gemeinsam haben, ist, dass sie eine Ressource überlasten. Die Abwehr ist in jedem Fall dieselbe: den bösartigen Datenverkehr zu erkennen und zu entfernen, bevor er die angegriffene Ressource erreicht.
Was kostet ein DDoS-Angriff ein Unternehmen?
Die offensichtlichen Kosten sind der Ausfall: Solange die Website unerreichbar ist, können Besucher nicht buchen, kaufen oder Kontakt aufnehmen, und bei einer Website im Gesundheitswesen oder einer Klinik kann das bedeuten, dass Patienten keine Versorgungsinformationen oder Terminformulare erreichen. Branchenschätzungen beziffern die Kosten ungeplanter Website-Ausfälle häufig auf mehrere Tausend Euro pro Stunde für ein Unternehmen mit Online-Transaktionen, wobei die tatsächliche Zahl vollständig davon abhängt, was Ihre Website für Sie leistet.
Auch die weniger sichtbaren Kosten fallen ins Gewicht. Da ist der Reputationsschaden einer sichtbar ausgefallenen Website, die Personalzeit, die im Krisenmanagement gebunden wird, und in manchen Fällen ein DDoS-Angriff, der als Ablenkungsmanöver für einen zweiten Einbruchsversuch genutzt wird. Für eine regulierte oder patientenorientierte Organisation wirft ein Ausfall zudem Fragen zu Verfügbarkeit und Kontinuität auf, die über entgangenen Umsatz hinausgehen.
Wie hält DDoS-Mitigation eine Website online?
Wirksame Mitigation setzt eine Filterschicht zwischen das Internet und Ihren Server, sodass der Datenverkehr geprüft wird, bevor er Sie überhaupt erreicht. Legitime Besucher kommen durch, während Datenverkehr, der Angriffsmustern entspricht, am Rand des Netzwerks absorbiert oder verworfen wird, verteilt über eine Infrastruktur mit weit mehr Kapazität als ein einzelner Origin-Server.
Das funktioniert am besten als dauerhaft aktive Schicht statt als etwas, das man mitten im Angriff einschaltet, denn die ersten Minuten eines Angriffs sind die Minuten, in denen der Schaden entsteht. Ein Mitigationsdienst sieht den Datenverkehr zuerst, erkennt die Merkmale der oben genannten Angriffstypen und skaliert, um Volumen zu absorbieren, das Ihre eigene Hardware überfordern würde. Bei EuroraCloud läuft die DDoS-Mitigation über unsere dezentrale Infrastruktur in den Niederlanden, Frankreich und Deutschland, wodurch der Datenverkehr aus Gründen der Datensouveränität und Latenz innerhalb Europas bleibt und zugleich die Kapazität bereitsteht, um große Angriffe aufzufangen.
Was sollten Sie als Nächstes tun?
Klären Sie zunächst, ob Sie derzeit überhaupt eine Mitigationsschicht haben, denn viele Websites sind nur durch die Standardeinstellungen ihres Hosting-Anbieters geschützt, die oft dürftig sind. Wenn ein Angriff heute Ihre Website offline nehmen würde, ist das die Lücke, die es zu schließen gilt, unabhängig davon, ob Sie je zuvor getroffen wurden, denn der ganze Sinn von Mitigation ist, dass sie bereits aktiv ist, wenn ein Angriff beginnt.
Wenn Sie sehen möchten, wo Ihre eigene Website steht, kann EuroraCloud Ihre aktuelle Einrichtung prüfen und Ihnen zeigen, was unsere Mitigation löst. Sehen Sie, was EuroraCloud löst
Fazit: Was sollten Sie zum DDoS-Schutz mitnehmen?
Ein DDoS-Angriff muss nichts durchbrechen, um Ihnen zu schaden. Er macht Ihre Website schlicht unerreichbar, und für ein Unternehmen, das auf seine Website angewiesen ist, um zu informieren, zu buchen oder zu verkaufen, ist eine Stunde offline ein realer Kostenfaktor. Die drei Angriffstypen funktionieren unterschiedlich, doch die Antwort auf alle drei ist dieselbe: eine Mitigationsschicht vor Ihrer Website, die bösartigen Datenverkehr herausfiltert, bevor er ankommt. Das Nützlichste, was Sie tun können, ist zu prüfen, ob diese Schicht heute bereits vorhanden ist, denn Mitigation schützt Sie nur, wenn sie aktiv ist, bevor ein Angriff beginnt, nicht danach.