Ein DDoS-Angriff gehört zu den häufigsten Gründen, warum eine Website ohne Vorwarnung offline geht. Jeder Server kann nur eine bestimmte Zahl von Anfragen gleichzeitig verarbeiten. Ein DDoS-Angriff überschreitet diese Grenze, indem er von Tausenden verschiedenen Geräten gleichzeitig riesige Mengen an Anfragen sendet, bis dem Server die Kapazität ausgeht und echte Besucher nicht mehr durchkommen.
Anders als die meisten anderen Webangriffe versucht ein DDoS-Angriff nicht, in eine Website einzubrechen oder etwas von ihr zu stehlen. Er versucht, sie umzuwerfen. Wer versteht, wie das funktioniert, erkennt, warum der Schutz davor ganz anders aussieht als andere Sicherheitsmassnahmen.
DDoS steht für Distributed Denial of Service. "Denial of Service" bedeutet, dass das Ziel ist, die Website unbenutzbar zu machen. "Distributed" (verteilt) bedeutet, dass der Angriff von Tausenden verschiedenen Orten gleichzeitig kommt und nicht von einer einzelnen Quelle. Diese Verteilung macht es schwer, ihn zu stoppen. Du kannst nicht eine IP-Adresse sperren und damit alles beenden. Welche Bedrohungen Websites ausgesetzt sind und warum Schutz für jede Website wichtig ist, erfährst du im Artikel Warum Website-Sicherheit wichtig ist.
Wie ein DDoS-Angriff funktioniert
Der Angreifer sendet den ganzen Datenverkehr nicht selbst. Er nutzt ein grosses Netzwerk von Geräten, die unbemerkt durch Schadsoftware übernommen wurden: Heimcomputer, Router, Kameras und alles andere, was mit dem Internet verbunden ist. Die Besitzer der Geräte ahnen meist nicht, dass etwas passiert.
Die Mechanik des Angriffs
- Der Angreifer weist alle diese Geräte an, gleichzeitig Anfragen an die Ziel-Website zu senden
- Weil die Anfragen von Tausenden verschiedenen Orten kommen, sieht der Server einen massiven Anstieg von Datenverkehr, der wie echter aussieht
- Der Server versucht, die Last zu bewältigen, und kommt an die Grenze seiner Kapazität
- Die Anfragen echter Besucher gehen in der Flut unter und bekommen nie eine Antwort
- Die Website wirkt für die Dauer des Angriffs offline
Was es so schwer macht, ihn zu stoppen
Der verteilte Teil eines DDoS-Angriffs unterscheidet ihn von einer einfachen Flut aus einer Quelle. Wenn ein einzelnes Gerät den ganzen Datenverkehr sendet, beendet das Sperren dieses Geräts den Angriff. Sind Tausende Geräte beteiligt, die jeweils nur wenig Datenverkehr senden, bringt das Sperren eines einzelnen kaum etwas. Das Problem verursacht die Gesamtmenge, und sie zu stoppen, erfordert Filterung auf einer Ebene oberhalb der einzelnen Website.
Was ein DDoS-Angriff mit einer Website macht
Die Website geht offline
Wenn der Server überlastet ist, hört er auf zu antworten. Wer irgendeine Seite laden will, bekommt eine Fehlermeldung oder eine Zeitüberschreitung bei der Verbindung. Die Website ist nicht kaputt und nichts wurde gelöscht. Sie kann nur keine Anfragen beantworten, weil sie eine unmögliche Menge falscher Anfragen bearbeitet.
Für den Website-Inhaber zeigt sich das so: Warnmeldungen gehen in den Überwachungstools ein, Nachrichten beim Kundenservice kommen herein, und das Dashboard ist nicht erreichbar, weil der Server auf nichts antwortet.
Echte Besucher kommen nicht durch
Der Server kann einen echten Besucher nicht von einer Angriffsanfrage unterscheiden. Er versucht, alle zu bearbeiten, und bearbeitet am Ende keine davon wirksam. Wer wirklich eine Seite lesen, eine Bestellung aufgeben oder Kontakt aufnehmen will, wird genauso vollständig blockiert wie die Flut falscher Anfragen. Die Website ist für alle dunkel, bis der Angriff aufhört oder gefiltert wird.
Wie lange Angriffe dauern
Manche Angriffe sind nach Minuten vorbei. Andere laufen Stunden, und in schwereren Fällen gehen sie über Tage. Der Angreifer bestimmt, wann Schluss ist. Je länger der Angriff dauert, desto mehr kostet er den Website-Inhaber an verlorenem Traffic, verpassten Bestellungen und Schäden für die Leistung in der Suche durch lange Ausfallzeiten.
Warum Websites von DDoS-Angriffen getroffen werden
Gezielte Angriffe
Manche DDoS-Angriffe richten sich gegen eine bestimmte Website. Ein Konkurrent, der einen Rivalen in einer Phase mit viel Traffic lahmlegen will. Jemand mit einem Groll gegen ein Unternehmen oder eine Person des öffentlichen Lebens. Eine koordinierte Aktion gegen eine bekannte Organisation. Diese Angriffe sind bewusst und gezielt gewählt.
Zufällige automatische Angriffe
Ein grosser Teil der DDoS-Angriffe hat nichts mit der konkreten Website zu tun, die getroffen wird. Automatische Tools testen Websites und greifen die an, die sich überlasten lassen. Die Website muss kein ausgewähltes Ziel sein. Sie muss nur auffindbar sein und auf einem Server laufen, der die Last, die das Tool erzeugt, nicht verkraftet.
Lösegeldforderungen
In manchen Fällen melden sich Angreifer vor dem Angriff bei einem Unternehmen und verlangen Geld dafür, dass sie davon absehen. Kommt keine Zahlung, beginnt der Angriff. Diese Art von Angriff, manchmal Ransom-DDoS genannt, ist eine echte Bedrohung für Onlinehändler und Onlinedienste, bei denen Ausfallzeiten klare und sofortige finanzielle Kosten haben.
Wie Websites vor DDoS-Angriffen geschützt werden
Datenverkehrsfilterung auf Netzwerkebene
Der wirksamste DDoS-Schutz greift auf Netzwerkebene, bevor der Angriffsverkehr den Server der einzelnen Website überhaupt erreicht. Hosting-Anbieter und Content Delivery Networks beobachten ungewöhnliche Verkehrsmuster, erkennen, wenn eine Website angegriffen wird, und beginnen, die eingehende Flut zu filtern, bevor sie den Server lahmlegt.
Das funktioniert, weil es oberhalb der einzelnen Website passiert. Ein Server, der überlastet wäre, wenn er all diesen Datenverkehr direkt bearbeiten müsste, bekommt die Menge auf Netzwerkebene abgefangen und verworfen, bevor sie ankommt.
Ratenbegrenzung
Die Ratenbegrenzung (Rate Limiting) setzt eine Obergrenze dafür, wie viele Anfragen eine einzelne Quelle in kurzer Zeit senden darf. Ein echter Besucher, der eine Seite lädt, sendet nur wenige Anfragen. Ein Angriffstool kann von derselben Quelle Tausende pro Sekunde senden. Die Ratenbegrenzung erkennt Quellen, die sich so verhalten, wie es kein echter Besucher je tun würde, und bremst oder blockiert sie.
Ratenbegrenzung allein ist keine vollständige Abwehr gegen grosse verteilte Angriffe, weil diese die Anfragen auf so viele Quellen verteilen, dass keine einzelne die Grenze erreicht. Sie verringert aber die Last grösserer Angriffe und fängt kleinere Flut-Versuche vollständig ab.
Verteilung des Datenverkehrs auf mehrere Server
Content Delivery Networks verteilen die Inhalte einer Website auf viele Server an verschiedenen Orten. Wenn ein Angriff auf eine Website zielt, wird der Datenverkehr auf alle diese Server verteilt, statt einen zu treffen. Eine Angriffsmenge, die einen Server lahmlegen würde, muss gross genug sein, um viele gleichzeitig zu überlasten, damit sie dieselbe Wirkung hat.
Eine Web Application Firewall, die neben einem CDN läuft, ergänzt eine weitere Schicht und filtert schädliche Anfragen, bevor sie die Server überhaupt erreichen. Mehr dazu erklärt der Artikel Was ist eine Web Application Firewall und wie schützt sie deine Website?
Was du bei einem DDoS-Angriff tun solltest
- Wende dich sofort an deinen Hosting-Anbieter. Er hat Werkzeuge auf Netzwerkebene, die Angriffsverkehr viel schneller erkennen und filtern können als alles, was du vom Website-Dashboard aus tun kannst
- Notiere, wann der Angriff begonnen hat und was du beobachtest. Das hilft dem Hosting-Team zu verstehen, womit es zu tun hat und woher der Datenverkehr kommt
- Nimm keine grösseren Änderungen an der Konfiguration der Website vor, solange der Angriff läuft. Warte, bis sich die Lage stabilisiert hat, bevor du etwas anpasst
- Prüfe, dass die Backups der Website intakt sind. Ein DDoS-Angriff verändert oder löscht keine Inhalte, aber es ist nützlich zu wissen, dass die Backups sicher sind
Wie du Backups einrichtest, damit sie bereitstehen, wenn du sie brauchst, erklärt der Artikel So sicherst du deine Website per Backup. Die vollständige Anleitung, wie du deine Website gegen alle gängigen Angriffsarten schützt, findest du im Artikel So schützt du deine Website vor Hackern.
So geht WEMASY mit DDoS-Schutz um
Das Hosting von WEMASY enthält DDoS-Schutz und Datenverkehrsfilterung auf Netzwerkebene. Angriffe werden erkannt und gefiltert, bevor sie einzelne Websites auf der Plattform erreichen. Dieser Schutz ist in jedem Tarif eingebaut und braucht weder Einrichtung noch Konfiguration durch die Website-Inhaber.
Websites bei WEMASY müssen keine separaten DDoS-Schutzdienste kaufen. Die Filterung auf Netzwerkebene fängt die Datenfluten mit hohem Volumen ab, die eine Website bei ungeschütztem Hosting offline nehmen würden, und sie ist für jede Website auf der Plattform standardmässig aktiv.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Was ist ein DDoS-Angriff?
Ein DDoS-Angriff, kurz für Distributed Denial of Service, überflutet den Server einer Website mit so vielen Anfragen auf einmal, dass ihm die Kapazität ausgeht und er echten Besuchern nicht mehr antwortet. Die Anfragen kommen gleichzeitig von Tausenden verschiedenen Geräten und lassen sich deshalb an der Quelle schwer blockieren. Die Website geht für die Dauer des Angriffs offline oder wird sehr langsam. Anders als beim Hacken versucht ein DDoS-Angriff nicht, auf die Website zuzugreifen oder etwas von ihr zu stehlen. Das Ziel ist einfach, sie lahmzulegen. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Wie unterscheidet sich ein DDoS-Angriff vom Hacken?
Beim Hacken geht es darum, an der Sicherheit einer Website vorbeizukommen, um etwas darin einzusehen, zu ändern oder zu stehlen. Ein DDoS-Angriff tut nichts davon. Er überflutet den Server mit Datenverkehr, bis die Website niemandem mehr antworten kann. Inhalte, Dateien und Daten der Website bleiben unberührt. Echte Besucher kommen nur nicht auf die Website, solange der Angriff läuft. Beides sind Bedrohungen, aber sie funktionieren völlig unterschiedlich und brauchen unterschiedliche Arten von Schutz.
Kann eine kleine Website Ziel eines DDoS-Angriffs werden?
Ja. Ein grosser Teil der DDoS-Angriffe ist automatisiert und wählt seine Ziele nicht gezielt aus. Tools suchen nach Websites, die sich überlasten lassen, und treffen, was sie finden. Eine kleine Website mit begrenzter Serverkapazität lässt sich sogar leichter offline nehmen als eine grosse mit mehr Ressourcen, um Datenverkehr aufzufangen. Grösse schützt nicht. Entscheidend sind die Schutzmassnahmen beim Hosting und im Netzwerk.
Wie lange dauert ein DDoS-Angriff?
Das hängt vom Angreifer ab. Manche Angriffe laufen ein paar Minuten. Andere dauern Stunden oder sogar Tage. Der Angriff geht so lange weiter, wie der Angreifer ihn aufrechterhalten will. Mit Schutz auf Netzwerkebene lässt sich der Angriffsverkehr filtern, bevor er die Website erreicht. Die Website bleibt dann erreichbar, auch während der Angriff läuft. Ohne diesen Schutz ist die Website für die gesamte Dauer offline.
Was sollte ich tun, wenn meine Website von einem DDoS-Angriff getroffen wird?
Wende dich sofort an deinen Hosting-Anbieter. Er hat Werkzeuge auf Netzwerkebene, die Angriffsverkehr viel schneller erkennen und filtern können als alles, was über das Website-Dashboard möglich ist. Notiere, wann der Angriff begonnen hat und was du siehst. Nimm keine grösseren Konfigurationsänderungen vor, solange der Angriff aktiv ist. Wenn sich die Lage stabilisiert hat, prüfe, ob dein Hosting-Tarif DDoS-Schutz enthält und ob sich zusätzliche Massnahmen lohnen.
Ist DDoS-Schutz in meinem Hosting enthalten?
Das hängt vom Anbieter und Tarif ab. Manche Hosting-Anbieter enthalten DDoS-Schutz auf Netzwerkebene in allen Tarifen als Standardfunktion. Andere bieten ihn als Zusatz oder nur in höheren Tarifen an. Schau in die Hosting-Dokumentation oder frag deinen Anbieter, was enthalten ist. Auch Content Delivery Networks bieten von Haus aus DDoS-Schutz, weil die Verteilung des Datenverkehrs auf viele Server die Wirkung eines Angriffs auf einen einzelnen Standort verringert.