Was ist ein DDoS-Angriff? Der vollständige Leitfaden

Ein DDoS-Angriff (Distributed Denial of Service) ist ein böswilliger Versuch, einen Online-Dienst durch Überlastung mit Datenverkehr aus mehreren Quellen unerreichbar zu machen. In diesem Leitfaden erfahren Sie alles, was Sie über DDoS-Angriffe wissen müssen, und wie Sie sich dagegen verteidigen können.

Was ist ein DDoS-Angriff?

Bei einem DDoS-Angriff handelt es sich um eine illegale Variante des Hackings, bei der eine Flut von Datenverkehr auf einen Server geleitet wird, um den Zugriff auf verknüpfte Online-Dienste und Websites zu verhindern.

Es gibt viele Gründe, warum Menschen einen DDoS-Angriff starten wollen. Einige sind vielleicht verärgerte Kunden oder Hacktivisten, die die Server eines Unternehmens zum Absturz bringen wollen, nur um ein Zeichen zu setzen. Andere tun dies vielleicht aus Spaß oder um gegen etwas zu protestieren.

Auch wenn DDoS-Angriffe dazu dienen können, ein Unternehmen zu bestehlen, sind sie in erster Linie ein finanzielles Problem. So werden beispielsweise die Internetaktivitäten eines Unternehmens von einem Konkurrenten gestört oder gestoppt, um Kunden abzuwerben. Ein anderes Beispiel ist die Erpressung, bei der Angreifer ein Unternehmen angreifen und Hostware oder Ransomware auf dessen Servern installieren, bevor sie die Zahlung eines hohen Lösegelds fordern, um den Schaden rückgängig zu machen.

Leider haben DDoS-Angriffe in den letzten Jahren an Häufigkeit und Stärke zugenommen, da das Internet für Unternehmen und Privatpersonen immer wichtiger geworden ist. Die Zunahme von IoT-Geräten hat dabei ebenfalls eine Rolle gespielt, da viele dieser Geräte leicht zu hacken sind und zum Aufbau von Botnetzen verwendet werden können, die Angriffe starten.

Wie funktioniert ein DDoS-Angriff?

Von einem DDoS-Angriff spricht man, wenn viele gehackte Computer verwendet werden, um Datenverkehr an eine Website oder einen Server zu senden, so dass der Betrieb der Website oder des Servers erschwert wird. Dies kann durch die Fernsteuerung dieser Computer mithilfe eines Botnets, einer Sammlung von Bots, geschehen.

Nach der Einrichtung eines Botnetzes kann der Angreifer Fernbefehle an jeden Bot senden, um einen Angriff zu steuern. Dadurch kann die IP-Adresse des Ziels mit Anfragen überlastet werden, was zu einem Denial-of-Service-Angriff auf den Routineverkehr führt.

Da es sich bei jedem Bot um ein tatsächliches Gerät im Internet handelt, kann es schwierig sein, festzustellen, ob abnormaler Datenverkehr zu erwarten ist.

Wie man einen DDoS-Angriff erkennt

Das Tückische an einem DDoS-Angriff ist, dass man keine Warnzeichen erkennen kann. Normalerweise warnen prominente Hackerkollektive, bevor sie einen Angriff starten, aber die meisten Angreifer befehlen einfach einen Angriff ohne Vorwarnung.

Die Leute sagen Ihnen vielleicht nicht immer, wenn ihnen der Inhalt Ihrer Website nicht gefällt. Sie haben vielleicht Angst, etwas zu sagen. Aber wenn etwas nicht in Ordnung ist, werden sie es Ihnen sagen. Vielleicht sagen sie es Ihnen nicht sofort, aber später schon. Das liegt daran, dass die Leute Ihre Website normalerweise nicht so genau überprüfen wie Sie. Sie denken, dass alles in Ordnung ist, aber manchmal ist es das nicht. Sie müssen vorsichtig sein, denn manchmal gibt es Probleme, die Sie anfangs nicht sehen können.

Es kann schwierig sein, die Quelle eines Distributed Denial of Service-Angriffs zu finden. Der Angriff kann sich über viele Stunden hinziehen, und Sie sind möglicherweise nicht in der Lage, ihn sofort zu stoppen. Das bedeutet, dass Sie stundenlang auf Einnahmen und Dienste verzichten müssen.

Einen DDoS-Angriff entschärfen

Der beste Weg, Ihre Website vor einem DDoS-Angriff zu schützen, besteht darin, ihn so früh wie möglich zu erkennen. Wenn Sie eines der folgenden Anzeichen bemerken, bedeutet dies, dass Sie gerade von einem DDoS-Angriff betroffen sind:

• Langsames Laden 
• Der Server antwortet mit einer 503
• Die TTL-Zeit ist abgelaufen
• Eine übermäßige Anzahl von Spam-Kommentaren
• Plötzlich unterbrochenes Netzwerk
• Es gibt typische Muster im Verkehr, wie Spitzen zu ungeraden Zeiten

Die häufigsten Arten von DDoS-Angriffen

DDoS-Angriffe werden von Kriminellen genutzt, um eine Vielzahl von Netzwerkverbindungen anzugreifen. Um zu verstehen, wie die verschiedenen Arten von DDoS-Angriffen funktionieren, muss man die Grundlagen der Netzwerktechnik kennen.

Eine Internetverbindung besteht aus verschiedenen Teilen, die auch als Schichten bezeichnet werden. Jede Schicht hat einen bestimmten Zweck.

Das OSI-Modell stellt grafisch dar, wie die verschiedenen Teile eines Netzes miteinander verbunden sind. Das heutige Internet basiert jedoch auf einem einfacheren System namens TCP/IP. Das OSI-Modell wird immer noch verwendet, weil es den Menschen hilft, zu sehen und zu verstehen, wie Netzwerke funktionieren und mögliche Probleme zu beheben.

Es gibt drei Arten von DDoS-Angriffen. Die erste Art besteht darin, dass ein Gerät mit Datenverkehr überlastet wird. Die zweite Art besteht darin, dass ein Netzwerk mit Datenverkehr überlastet ist. Die dritte Art besteht darin, dass ein Angreifer mehr als einen Angriffsvektor verwendet, um sein Ziel zu überwältigen.

Angriffe auf der Anwendungsebene

Die Nutzererfahrung beginnt, wenn eine Person zum ersten Mal mit dem Internet in Kontakt tritt. DDoS-Angriffe auf der Anwendungsebene verhindern, dass Software funktioniert, so dass die Nutzer keine Inhalte sehen können. Webserver sind häufig das Ziel dieser Angriffe, aber auch andere Programme wie SIP-Sprachdienste und BGP können angegriffen werden.

Mit dem TCP/IP-Protokoll können Daten zwischen Geräten in einem Netzwerk übertragen werden. Aber dieses Protokoll ist sehr anfällig für DDoS-Angriffe. Das bedeutet, dass jemand Ihr Gerät angreifen und es durch das gleichzeitige Senden einer großen Datenmenge außer Betrieb setzen kann. Auch wenn dies für manche Menschen frustrierend ist, ist die Verwendung eines sicheren Protokolls für Online-Transaktionen dennoch unerlässlich. Die Verwendung von Verschlüsselung für die Kommunikation schützt beide Parteien vor dem Abfangen und Abhören von Daten. Die meisten DDoS-Angriffe verwenden weit weniger Pakete pro Sekunde.

Dieser Angriff würde die Verwendung des spezifischen Protokolls der anvisierten Anwendung erfordern, was Handshakes und Konformität beinhalten kann. Diese Art von Angriffen wird in erster Linie von IoT-Geräten ausgehen, die sich nicht so leicht fälschen lassen.

Beispiel für DDoS-Angriffe auf Anwendungen

HTTP-Flut

Dies ist ein Server, der Anfragen von vielen verschiedenen Computern annimmt. Bei dieser Methode werden, wie beim gleichzeitigen Aufrufen einer Webseite auf vielen PCs, viele HTTP-Anfragen an den Server gesendet, wodurch dieser überlastet wird. Der Angriff kann einfach oder komplex sein.

Auf eine URL kann über denselben Bereich von angreifenden IP-Adressen, verweisenden Websites und Benutzer-Agenten zugegriffen werden. Dadurch wird es für den Angreifer einfacher, die Ziel-URL zu finden und zu verwenden. Komplexere Varianten können auf eine Vielzahl von URLs abzielen, die über verschiedene Referrer und User Agents aufgerufen werden.

Angriffe über das Protokoll

Bei einem Protocol Flood handelt es sich um einen DDoS-Angriff, bei dem viel Datenverkehr an einen Dienst oder ein Netzwerk gesendet wird, so dass es schwer zu benutzen ist. Ausnutzung von Schwachstellen im Layer-3- und Layer-4-Protokollstapel.

DDoS-Angriffe zielen oft auf viele wenig sichere, ungeschützte und ungesicherte Protokolle ab. DDoS-Angriffe zielen in der Regel auf Internet-Kommunikationsstandards ab. Der Grund dafür ist, dass viele dieser Systeme weltweit verwendet werden und es schwierig ist, sie schnell zu ändern. Da viele Protokolle auch dann noch kompliziert sind, wenn sie überprüft werden, um aktuelle Fehler zu beheben, tauchen immer wieder neue Schwachstellen auf, die neue Arten von Protokoll- und Netzwerkangriffen ermöglichen.

Beispiele für Protokoll-DDoS-Angriffe

(BGP) Hijacking

Cloud-basierte Dienste enthalten eine Menge wertvoller Informationen, auf die es Datendiebe abgesehen haben. Das liegt daran, dass sie aus diesen Diensten hilfreiche Informationen erhalten können. Wenn es bei einem dieser Anbieter zu einer Datenpanne kommt, kann das sehr gefährlich sein. Jemand kann einen DDoS-Angriff gegen ein Unternehmen starten, indem er Protokolle verwendet, die höher sind als die Cloud. BGP (Border Gateway Protocol) kommuniziert Informationen über Netzwerkadressräume.

BGP-Updates werden verwendet, um Informationen zwischen Netzen auszutauschen. Wenn jemand eine gefälschte Aktualisierung sendet, kann der Verkehr in ein anderes Netz geleitet werden. Dies kann Ressourcen verbrauchen und zu Engpässen führen. Die Aufrüstung auf eine sicherere Version von BGP wäre zeitaufwändig und kostspielig, da Zehntausende von Netzbetreibern weltweit damit arbeiten.

SYN-Überschwemmung

Ein TCP SYN Flood ist vergleichbar mit einem Lieferanten, der Bestellungen von der Front des Ladens entgegennimmt.

Der Fahrer nimmt das Paket entgegen, wartet auf eine Bestätigung und befördert es dann nach Erhalt einer Aufforderung nach vorne. Der Mitarbeiter erhält zahlreiche Zustellungsaufträge ohne Bestätigung, bis er keine weiteren Sendungen mehr befördern kann. Dies kann dazu führen, dass er überfordert ist.

Bei diesem Angriff sendet ein Angreifer viele Pakete an ein Opfer. Die Pakete haben gefälschte Adressen. Sie nutzen den Handshake aus, den zwei Computer verwenden, um eine Netzwerkverbindung herzustellen.

Das Ziel eines Eindringlings ist es, so viele Verbindungsversuche wie möglich zuzulassen, bevor er seine Ressourcen abschaltet.

Volumetrische Angriffe

Dieser Angriff zielt darauf ab, die gesamte Internet-Bandbreite zwischen dem Ziel und dem Rest der Welt zu nutzen. Die Daten werden auf eine von zwei Arten an das Ziel gesendet: durch Verstärkung oder durch eine andere Methode zur Erzeugung eines enormen Datenverkehrs, z. B. durch Anfragen von einem Botnet.

Beispiele für volumetrische Angriffe

DNS-Verstärkung

Der Angreifer sendet kleine Anfragen an einen DNS-Server, aber der Server verstärkt die Anfrage zu einer viel größeren Nutzlast, die die Server des Opfers zum Absturz bringt. Diese Art von Angriff wird als Amplifikations-DDoS-Angriff bezeichnet.

DNS-Verstärkung ist eine Art von Netzwerkangriff, bei dem der Angreifer über DNS-Server Nachrichten an das Netzwerk des Opfers sendet. Die Pakete können verstärkt werden, so dass sie schwerer zu blockieren sind.

Bei der DNS-Amplifikation handelt es sich um einen Angriff, bei dem jemand einen DNS-Auflöser dazu bringt, ihm eine Vielzahl von Informationen zu senden. Dies geschieht, indem sie eine gefälschte Anfrage an den DNS-Auflöser mit einer Adresse senden, die nicht echt ist. Da so viele Leute dies tun und es so viele DNS-Auflöser gibt, kann das Netzwerk des Opfers schnell überlastet werden.

Entschärfung eines DDoS-Angriffs

Wenn ein DDoS-Angriff die Menschen trifft, sind sie oft verwirrt. Viele Sicherheitssysteme liefern keine detaillierten Informationen über den eingehenden Datenverkehr. Das Einzige, was bei einem DDoS-Angriff sicher ist, ist, dass die Online-Anwendungen Ihrer Kunden aufgrund eines Netzwerkausfalls nicht mehr zugänglich sind. Das Problem verschlimmert sich noch, wenn das angegriffene Netz durch ein lokales Sicherheitssystem geschützt wird.

Die Verwendung alter Software ist nicht sicher, wenn Sie einen Computer mit alter Software haben. Denn es kann Sicherheitsrisiken geben, die Ihnen nicht bekannt sind. Um dies zu beheben, müssen Sie Ihren Computer regelmäßig mit den neuesten Patches und Software aktualisieren. Dies kann jedoch schwierig sein, da ständig neue Sicherheitslücken entdeckt werden. Hacker können diese Schwachstellen nutzen, um Ihren Computer zu hacken und Ihre Daten zu stehlen.

Einige Angreifer können einen DDoS einsetzen, um ihre Ziele zu erreichen. Dabei gibt es jedoch mehrere Hindernisse. Sicherheitslösungen, die vor Ort installiert sind, können einen Angriff nicht verhindern. Bevor der Angriff eine lokale Filtervorrichtung erreicht, können volumetrische Angriffe die eingehende Internetleitung verstopfen und dazu führen, dass der vorgelagerte ISP überfordert ist und den gesamten eingehenden Datenverkehr blockiert, wodurch das Zielnetz vom Internet abgeschnitten wird. 

Wie man sich vor DDoS-Angriffen schützen kann

Es gibt viele Möglichkeiten, sich gegen DDoS-Angriffe zu schützen. Das Wichtigste ist, dass Sie einen Plan haben, bevor Sie angegriffen werden.

Erhöhung der Bandbreite

Eine der wichtigsten Maßnahmen zum Schutz vor DDoS-Angriffen besteht darin, dafür zu sorgen, dass Ihre Hosting-Infrastruktur ein hohes Datenaufkommen bewältigen kann. Das bedeutet, dass Sie für unerwartete Verkehrsspitzen planen sollten, die auftreten können, wenn jemand in Ihre Website eindringt. Eine Erhöhung Ihrer Bandbreite bedeutet jedoch nicht immer, dass Sie vor DDoS-Angriffen geschützt sind.

Wenn Sie Ihre Bandbreite erhöhen, wird es für Angreifer schwieriger, in Ihre Website einzudringen. Sie können jedoch die Sicherheit Ihrer Website durch eine Reihe von Maßnahmen verbessern.

DDoS-Abwehr auf Serverebene festlegen

Einige Webhoster verfügen über Software zur DDoS-Abwehr auf Serverebene. Diese Funktion ist nicht immer verfügbar, daher sollten Sie Ihren Webhoster fragen, ob er sie anbietet. Wenn ja, erkundigen Sie sich, ob es sich um einen kostenlosen oder einen kostenpflichtigen Dienst handelt. Die Verfügbarkeit dieses Dienstes hängt vom Anbieter und vom Hosting-Tarif ab.

Umstellung auf Cloud-basiertes Hosting

Cloud-basiertes Hosting ist eine Art von Webhosting, das Cloud Computing zur Bereitstellung seiner Dienste nutzt. Cloud-basiertes Hosting ist besser skalierbar und kann zuverlässiger sein als herkömmliches Webhosting.

Einer der Vorteile des Cloud-basierten Hostings ist, dass es widerstandsfähiger gegen DDoS-Angriffe sein kann. Dies liegt daran, dass Cloud-Anbieter über die Ressourcen verfügen, um DDoS-Angriffe abzufangen und abzuwehren.

Ratenbegrenzung

Die Begrenzung der Anzahl der Anfragen, die ein Server in einer bestimmten Zeitspanne annimmt, kann helfen, Denial-of-Service-Angriffe zu verhindern. Die Ratenbegrenzung kann dazu beitragen, Web-Scraper am Diebstahl von Informationen zu hindern und die Zahl der Brute-Force-Anmeldungen zu verringern, aber sie reicht möglicherweise nicht aus, um einen fortgeschrittenen DDoS-Angriff allein zu bewältigen.

Verwendung eines Content Delivery Network (CDN)

Ein CDN ist ein Netz von Servern, die den Nutzern Inhalte auf der Grundlage ihres geografischen Standorts zur Verfügung stellen. CDNs können dazu verwendet werden, die Leistung von Websites zu verbessern und sie vor DDoS-Angriffen zu schützen.

Wenn Sie ein CDN verwenden, wird der statische Inhalt Ihrer Website auf den Servern des CDN zwischengespeichert. Diese Inhalte werden den Nutzern dann von dem Server geliefert, der ihrem Standort am nächsten ist. Ein CDN kann dazu beitragen, die Leistung Ihrer Website zu verbessern und sie vor DDoS-Angriffen zu schützen.

Sie können mehrere CDNs verwenden, um die statischen Inhalte Ihrer Website von verschiedenen Servern weltweit zu liefern. Dies macht Ihre Website zuverlässiger und leistungsfähiger. Außerdem können Sie mit einer Multi-CDN-Lösung die Vorteile eines Netzwerks von PoPs nutzen, die von mehreren CDN-Anbietern bereitgestellt werden.

Blackhole-Routing

Eine Blackhole-Route ist eine großartige Möglichkeit für Netzwerkadministratoren, mit nahezu jedem Problem umzugehen. Wenn die Blackhole-Filterung ohne komplexe Regeln erfolgt, wird eine Null-Route verwendet, um sowohl guten als auch schlechten Netzwerkverkehr abzuweisen.

Wenn ein DDoS-Angriff auf einen Server abzielt, kann der Internetdienstanbieter (ISP) versuchen, den Angriff zu stoppen, indem er den gesamten Datenverkehr der Website an ein schwarzes Loch umleitet. Dies ist nicht ideal, da es dem Angreifer das gibt, was er will: das Netzwerk unzugänglich zu machen.

Verwenden Sie eine Web Application Firewall (WAF)

Eine WAF ist eine Art von Sicherheitssoftware, die Websites vor Angriffen schützen soll. WAFs prüfen den eingehenden Datenverkehr und blockieren oder leiten Anfragen mit bösartigem Code um.

Sie können eine WAF verwenden, um Ihre Website vor DDoS-Angriffen zu schützen. Sie müssen jedoch darauf achten, dass die WAF richtig konfiguriert ist. Andernfalls kann sie legitimen Datenverkehr blockieren.

Überwachen Sie Ihr Netzwerk auf ungewöhnliche Aktivitäten

Sie sollten Ihr Netzwerk auf ungewöhnliche Aktivitäten überwachen. Dazu gehört die Überwachung auf plötzlichen Anstieg des Datenverkehrs und seltsame Anfragen.

Wenn Sie eine ungewöhnliche Aktivität bemerken, sollten Sie diese sofort untersuchen. Es kann ein Zeichen dafür sein, dass Ihre Website angegriffen wird.

Kurz und bündig

DDoS-Angriffe können für Unternehmen verheerend sein. Sie können zu Ausfallzeiten, Umsatzeinbußen und Rufschädigung führen.

Sie können Ihre Website jedoch vor DDoS-Angriffen schützen, indem Sie eine Reihe von Maßnahmen ergreifen, darunter DDoS-Abwehr auf Serverebene, Cloud-basiertes Hosting, Ratenbegrenzung und die Verwendung eines CDN. Außerdem sollten Sie Ihr Netzwerk auf ungewöhnliche Aktivitäten überwachen und jede verdächtige Aktivität sofort untersuchen.

Mit diesen Maßnahmen können Sie sicherstellen, dass Ihre Website auch bei einem DDoS-Angriff für Ihre Nutzer verfügbar und zugänglich ist.

FAQs zu DDoS-Angriffen