Was tun bei einem DDoS-Angriff? Leitfaden für Unternehmen

Ein Distributed Denial of Service (DDoS)-Angriff kann den Geschäftsbetrieb innerhalb weniger Minuten zum Stillstand bringen. Diese Attacken zielen darauf ab, Server und Netzwerke zu überlasten, indem sie mit einer Vielzahl gleichzeitiger Anfragen förmlich überschwemmt werden. In betroffenen Unternehmen herrscht oftmals Ratlosigkeit – was passiert gerade, wie lange dauert der Ausfall an? Hier erfahren Sie die Hintergründe solcher Attacken, was Sie bei einem DDoS-Angriff tun und wie Sie sich langfristig davor schützen können.

Was ist eine DDoS-Attacke?

Ein DDoS-Angriff (Distributed Denial of Service) ist eine gezielte Überlastung von IT-Systemen mit dem Ziel, digitale Dienste vorübergehend oder dauerhaft lahmzulegen. Angreifer nutzen dafür ein Netzwerk aus infizierten Computern oder IoT-Geräten, das sogenannte Botnetz. Diese Systeme schicken gleichzeitig massenhaft Anfragen an einen Server oder eine Webseite. Dadurch sind die betroffenen Systeme irgendwann nicht mehr in der Lage, reguläre Anfragen zu verarbeiten und reagieren in Folge langsam oder gar nicht mehr. Für Nutzer wirkt es, als wäre der Dienst offline. Tatsächlich ist das System aber oft noch intakt, nur schlicht überlastet.

Die Motive hinter DDoS-Angriffen sind vielfältig. Oft geht es hierbei um Erpressung, so werden Unternehmen z. B. aufgefordert, ein Lösegeld zu zahlen. In anderen Fällen verfolgen Täter politische oder ideologische Ziele und wollen Unternehmen oder Institutionen gezielt schädigen.

Was ist der Unterschied zwischen DoS-Angriffen und DDoS-Angriffen?

Bei einem DoS-Angriff („Denial of Service“) erfolgt die Überlastung durch eine einzige Quelle wie z. B. einen einzelnen Rechner, der in kurzer Zeit extrem viele Anfragen sendet. Solche Angriffe sind vergleichsweise einfach zu erkennen und zu blockieren, da sie von einer einzigen IP-Adresse ausgehen. Ein DDoS-Angriff hingegen verteilt die Last auf viele unterschiedliche Systeme, die oft weltweit verstreut sind. Das macht die Abwehr solcher Angriffe deutlich komplizierter.

Was tun gegen DDoS-Angriffe? Maßnahmen im Überblick

Auch wenn DDoS-Angriffe im ersten Moment schwer zu stoppen wirken, gibt es sehr wohl wirksame Maßnahmen, mittels welcher Sie den Schaden begrenzen können und die Verfügbarkeit wichtiger Dienste schnell wiederherstellen können.

Krisenteam aktivieren und Lage erfassen

Der erste Schritt bei einem vermuteten DDoS-Angriff ist die sofortige Aktivierung eines Krisenteams. Dieses sollte aus erfahrenen Mitarbeitern der IT-Abteilung, dem IT-Sicherheitsbeauftragten sowie Vertretern der Geschäftsleitung und Öffentlichkeitsarbeit bestehen. Das Team verschafft sich einen Überblick über das Ausmaß des Angriffs und koordiniert weitere Maßnahmen.

Dokumentieren Sie betroffene Systeme, erste Anzeichen des Angriffs, Zeitpunkt der Überlastung und auffällige IP-Adressen sorgfältig. Diese Informationen sind für die weitere Analyse des Vorfalls entscheidend.

Internetdienstanbieter kontaktieren

Informieren Sie umgehend Ihren Internetdienstanbieter oder Hosting-Provider über den vermuteten Angriff. Viele ISPs verfügen über spezialisierte DDoS-Schutzmaßnahmen und können schädlichen Traffic bereits auf Netzwerkebene herausfiltern, bevor er Ihre Systeme erreicht. Da Provider oft über deutlich größere Bandbreiten-Kapazitäten verfügen als einzelne Unternehmen, können sie auch massive Angriffe effektiver abwehren.

Webserver härten und gezielt filtern

Wenn der Angriff direkt auf eigene Systeme zielt, sollten Sie die Konfiguration der Webserver anpassen:

• Begrenzen Sie die Anzahl der Verbindungen pro IP-Adresse.
• Aktivieren Sie sogenannte SYN-Cookies, um halb geöffnete TCP-Verbindungen abzuwehren.
• Schränken Sie den Traffic auf das Nötigste ein – z. B. nur auf Port 80 und 443.
• Konfigurieren Sie Ihre Firewalls so, dass Angriffsverkehr möglichst frühzeitig gefiltert wird.

Falls erkennbar ist, aus welchen Regionen oder IP-Bereichen der Angriff erfolgt, kann es sinnvoll sein, bestimmte Quellen abzulehnen („Blackholing“). Prinzipiell gilt: Lieber einen Teil des legitimen Traffics temporär blockieren, als die gesamte Website unerreichbar zu machen.

Angriffsmuster analysieren

Moderne Firewalls oder sogenannte DDoS-Mitigation-Appliances ermöglichen es, Muster im Angriffsverkehr zu erkennen – etwa bestimmte HTTP-Header oder wiederkehrende Begriffe in den Anfragen. Solche Merkmale lassen sich nutzen, um bösartigen Traffic gezielt auszuschließen. Aber Achtung: Stateful Firewalls können selbst zum Engpass werden, wenn sie nicht für hohe Last ausgelegt sind.

Ein wichtiger Schritt zur effektiven Abwehr und späteren Aufklärung ist die fundierte Analyse des Netzwerks. Dabei sollten relevante IP-Adressen und Zeitstempel festgehalten und an die jeweiligen Provider gemeldet werden.

Externe Spezialisten hinzuziehen

Wenn die eigene IT mit der Situation überfordert ist oder die Angriffe an Intensität zunehmen, sollten Sie nicht zögern, erfahrene Dienstleister einzubeziehen. Diese verfügen über das nötige Know-how, um Angriffe einzugrenzen und Systeme wiederherzustellen.

Als zertifizierter APT-Response-Dienstleister unterstützen wir Unternehmen mit einem sofortigen Incident-Response-Service. Unsere Experten analysieren den Angriff, stoppen die Ausbreitung und stellen den Notbetrieb schnellstmöglich wieder her.

So beugen Sie DDoS-Attacken langfristig vor

Sobald der DDoS-Angriff überstanden ist, beginnt die eigentliche Arbeit: die langfristige Vorbereitung auf zukünftige Attacken. Die Erfahrung zeigt deutlich, dass gut vorbereitete Unternehmen DDoS-Angriffe nicht nur erfolgreicher abwehren, sondern oft auch deutlich schneller zur Normalität zurückkehren können. Wir zeigen, was Sie tun können, um sich langfristig vor DDoS-Attacken zu schützen.

Kritische Systeme identifizieren und Verantwortlichkeiten klären

Im ersten Schritt sollten alle internetbasierten Dienste auf ihre Angriffsfläche hin überprüft werden. Dazu gehören Web- und Mailserver ebenso wie VPN-Zugänge oder öffentlich erreichbare Schnittstellen (APIs, DNS, Firewalls etc.).

Wichtig ist außerdem, dass im Notfall sofort die richtigen Ansprechpartner verfügbar sind: Wer darf Dienste abschalten? Wer koordiniert die technische Abwehr? Wer übernimmt die Kommunikation mit Kunden und Presse? Klare Zuständigkeiten im Vorfeld vermeiden Zeitverlust im Ernstfall.

Reaktionspläne, Checklisten und Schulungen etablieren

Die wenigsten IT-Abteilungen haben täglich mit DDoS-Abwehr zu tun. Umso wichtiger sind strukturierte Handlungspläne für den Ernstfall. Erstellen Sie klare Ablaufpläne, Checklisten und Eskalationsstufen und stellen Sie sicher, dass auch das Bereitschaftsteam jederzeit Zugriff darauf hat. Wir unterstützen im Rahmen unseres IT-Notfallmanagements dabei, Notfallpläne praxisnah zu entwickeln, interne Rollen zu definieren und realistische Angriffsszenarien durchzuspielen.

Netzwerke segmentieren und Infrastruktur absichern

Eine sinnvolle Segmentierung Ihrer IT-Landschaft sorgt dafür, dass ein Angriff nicht gleich das ganze Unternehmen lahmlegt. Trennen Sie öffentlich zugängliche Dienste (z. B. Webserver) von internen Anwendungen und E-Mail-Systemen.

Wir unterstützen Sie mittels Netzwerksegmentierung, IT-Schwachstellenanalyse und der Härtung kritischer Systeme beim Schutz vor Cyberangriffen bzw. DDoS-Angriffen.

Monitoring, Analyse und Frühwarnsysteme einrichten

Ein weiteres wichtiges Element der Prävention ist die kontinuierliche Überwachung aller kritischen Systeme. Ziehen Sie ein externes Monitoring hinzu, um auch bei internen Ausfällen oder Angriffen frühzeitig Alarm schlagen zu können. Tools zur Dienstanalyse oder Verkehrsauswertung sollten idealerweise schon im Regelbetrieb verfügbar sein, nicht erst im Angriffsfall.

Wir versetzen Ihre Daten im Rahmen von Forensic Readiness in Alarambereitschaft und sorgen dafür, dass digitale Spuren im Ernstfall schnell und rechtssicher gesichert werden können.

DDoS-Abwehrsysteme einbinden

Je nach Bedrohungslage kann es sinnvoll sein, spezialisierte DDoS-Mitigation-Systeme einzusetzen. Diese Appliances oder Cloud-Dienste analysieren den eingehenden Datenstrom und filtern verdächtige Anfragen automatisiert heraus. Für besonders kritische Systeme empfiehlt sich ggf. auch eine Auslagerung an spezialisierte Anbieter, die über eigene DDoS-Abwehrmechanismen verfügen.

Weitere Fragen rund um DDoS-Angriffe und Gegenmaßnahmen beantwortet

Wie merkt man einen DDoS-Angriff?

Ein DDoS-Angriff macht sich in der Regel durch plötzlich auftretende Störungen bemerkbar: Webseiten laden nicht mehr, Dienste reagieren verzögert oder sind gar nicht mehr erreichbar. Auch stark schwankende Serverlasten, unerklärlich hoher eingehender Datenverkehr oder wiederkehrende Verbindungsabbrüche sind typische Anzeichen.

Wie lange dauert ein DDoS-Angriff?

DDoS-Angriffe können von wenigen Minuten bis zu mehreren Tagen andauern, abhängig von den Motiven der Angreifer und der Effektivität der Abwehrmaßnahmen. Kurze Angriffe von 15-30 Minuten dienen oft als Warnung oder Demonstration der Angreifer-Fähigkeiten, während länger andauernde Attacken meist auf Erpressung oder Geschäftsschädigung abzielen.

Wie läuft ein DDoS-Angriff ab?

Bei einem DDoS-Angriff steuern Angreifer ein Botnetz aus tausenden infizierten Rechnern oder Geräten. Diese senden gleichzeitig massenhaft Anfragen an Server oder Online-Dienste, bis diese unter der Last zusammenbrechen. Das führt dazu, dass legitime Nutzer keinen Zugriff mehr haben.

Was hilft gegen DDoS-Attacken?

Gegen DDoS-Attacken hilft vor allem eine gute Vorbereitung. Dazu gehören technisch robuste Systeme, abgestimmte Notfallpläne, ein effektives Monitoring und bei Bedarf professionelle Unterstützung durch externe Spezialisten.

Welche Auswirkungen hat DDOS?

Ein DDoS-Angriff kann die digitale Infrastruktur eines Unternehmens teilweise oder vollständig lahmlegen. Die Folgen reichen von Umsatzeinbußen und Imageverlust bis hin zu Produktionsstillständen. Gerade wenn der Angriff länger anhält oder mit weiteren Attacken kombiniert wird, kann der wirtschaftliche und organisatorische Schaden erheblich sein.

Autorin Joanna Lang-Recht