DDoS (Distributed Denial of Service) bezeichnet einen Angriff, bei dem eine Vielzahl koordinierter Systeme ein Ziel überlastet, etwa mit einer großen Menge von Anfragen, sodass Dienste für legitime Nutzer nur stark verzögert oder gar nicht erreichbar sind.
Auf einen Blick
Laut BSI ist ein solcher Angriff daran zu erkennen, dass er deutlich mehr Netzressourcen beansprucht als der normale Netzwerkverkehr; eine ungewollte Überlastung des Systems kann nach dem BSI allerdings ebenfalls zu einem Denial of Service führen.
Der Schutz ist nach Angabe des BSI schwer, weil der Zielrechner die Daten erst erhalten muss, um sie zu analysieren.
Zu den Folgen gehören laut BSI-Lagebericht finanzielle Verluste für Diensteanbieter oder Online-Shops, wenn diese nicht erreichbar sind.
Was ist DDoS?
Ein DDoS-Angriff ist die verteilte Form eines Denial-of-Service-Angriffs: Statt eines einzelnen Angriffssystems kommt nach Darstellung des BSI eine Vielzahl unterschiedlicher Systeme in einem großflächig koordinierten Angriff zum Einsatz. Bei einem DoS-Angriff wird ein Server nach Beschreibung des BSI gezielt mit so vielen Anfragen bombardiert, dass er die Menge der Anfragen nicht mehr bewältigen kann und den Dienst verweigert oder im schlimmsten Fall zusammenbricht. Von einem Denial of Service spricht man, wenn Dienste, die eigentlich über das Internet erreichbar sein sollten, nicht verfügbar sind.
Legt ein DDoS-Angriff das Kundenportal eines Versicherers lahm, überlasten Anfragen aus vielen verteilten Quellen, etwa aus einem Botnetz, den Dienst, sodass Kunden zeitweise keine Schäden online melden können; betroffen ist vor allem die Verfügbarkeit. Nicht jede Nichterreichbarkeit geht auf einen Angriff zurück: Das BSI nennt neben dem mutwilligen Angriff auch eine ungewollte Überlastung des Systems und physische Nichterreichbarkeit als mögliche Ursachen eines Denial of Service. Ziel der Angreifer ist es nach dem Lagebericht des BSI, die angegriffenen Dienste so stark zu überlasten, dass sie lahmgelegt sind.
Wie funktioniert DDoS?
Ein DDoS-Angriff überlastet sein Ziel, indem eine große Menge von Anfragen zeitgleich aus einer Vielzahl koordinierter Systeme eintrifft; nach dem BSI versuchen Angreifer in einigen Fällen zusätzlich, Programmfehler im Zielsystem auszunutzen. Das BSI beschreibt, dass eine mutwillige Überlastung meist unter Zuhilfenahme eines Botnetzes hervorgerufen wird: Der Täter schließt zuvor gekaperte IT-Systeme zusammen und lässt sie zeitgleich auf das Ziel los. Verteilt ein Hacker nach dem Beispiel des BSI seine Angriffsprogramme auf mehrere hundert bis tausend ungeschützte Rechner, bombardieren diese auf Kommando ein bestimmtes Ziel, zum Beispiel einen Webserver, mit gefälschten Anfragen.
Ist das Ziel ein Host, reagiert er wegen der großen Menge von Anfragen sehr langsam, und seine Dienste oder Webseiten sind für legitime Nutzer wenn überhaupt nur mit starken Verzögerungen erreichbar. Die Programme für solche Angriffe sind laut BSI mittlerweile sehr ausgefeilt, und die Täter sind nur schwer zu ermitteln, weil sich der Weg der Anfragen verschleiern lässt.
DDoS im Vergleich
| Kriterium | DDoS | Denial-of-Service | Botnetz |
|---|---|---|---|
| Was der Begriff beschreibt | Verteilte DoS-Attacke: Eine Vielzahl unterschiedlicher Systeme kommt in einem großflächig koordinierten Angriff zum Einsatz. | Dienste, die eigentlich über das Internet erreichbar sein sollten, sind nicht verfügbar. | Zusammenschluss von vom Täter gekaperten IT-Systemen. |
| Ursache | Mutwillige Überlastung durch einen Angriff. | Kann nach Angabe des BSI verschiedene Gründe haben: physische Nichterreichbarkeit, ungewollte Überlastung des Systems oder ein mutwilliger Angriff. | Kann als Werkzeug einer mutwilligen Überlastung dienen: Die gekaperten Systeme werden zeitgleich auf das Ziel losgelassen. |
| Beteiligte Systeme | Eine Vielzahl unterschiedlicher Systeme. | Bei einem DoS-Angriff kommt nach dem BSI ein einzelnes Angriffssystem zum Einsatz; ein Denial of Service kann auch ohne Angriff entstehen, etwa durch ungewollte Überlastung. | Die vom Täter zusammengeschlossenen, zuvor gekaperten IT-Systeme. |
Woran erkenne ich einen DDoS-Angriff?
| Merkmal | Worauf es ankommt |
|---|---|
| Netzressourcen | Laut BSI ist eine DDoS-Attacke daran zu erkennen, dass sie deutlich mehr Netzressourcen beansprucht als der normale Netzwerkverkehr; auch eine ungewollte Überlastung kann nach dem BSI einen Denial of Service verursachen. |
| Erreichbarkeit des Ziels | Ist das Ziel ein Host, reagiert er laut BSI sehr langsam; seine Dienste oder Webseiten sind für legitime Nutzer wenn überhaupt nur mit starken Verzögerungen erreichbar. |
| Bandbreitenkapazität wird überschritten (volumetrischer Angriff) | Das NCSC (britische Behörde) nennt ungewöhnlich große Verkehrsmengen, die die Bandbreitenkapazität überschreiten, sodass nicht der gesamte legitime Verkehr sein Ziel erreicht; nach dem NCSC kann es auch nicht böswillige Gründe geben, warum ein System langsamer geworden oder ausgefallen ist. |
| Ungewöhnlich viele Datenbankabfragen oder hohe Serverlast (Anwendungsangriff) | Das NCSC (britische Behörde) nennt ungewöhnlich große Mengen an Datenbankabfragen oder eine ungewöhnlich hohe Serverlast, die zu deutlich langsameren Antwortzeiten der Datenbank führen; nach dem NCSC kann es auch nicht böswillige Gründe geben, warum ein System langsamer geworden oder ausgefallen ist. |
Schutz im Ernstfall
Vorbeugen
- Architektur widerstandsfähiger machen: Gegen DDoS-Angriffe nennt die ENISA Maßnahmen wie den Betrieb kritischer Portale hinter einem Content Delivery Network oder einer Web Application Firewall mit ständig aktivem Schutz auf Netzwerk- und Anwendungsebene sowie statische Ausweichseiten mit DNS-Failover. Entscheidend ist, dass die gewählte Lösung diesen Schutz auf Netzwerk- und Anwendungsebene tatsächlich bietet; der Einsatz eines CDN oder einer WAF allein garantiert ihn nicht.
- Der Schutz vor solchen Angriffen ist nach Angabe des BSI schwer, weil der Zielrechner die Daten erst erhalten muss, um sie zu analysieren.
- Bei Cyberangriffen kann nach Einschätzung des BSI schon bei der Prävention die Einbindung eines qualifizierten Dienstleisters sinnvoll sein.
Was tun im Ernstfall
- Nach einem akuten Sicherheitsvorfall kann nach Einschätzung des BSI die Einbindung eines qualifizierten Dienstleisters sinnvoll sein.
- Meldepflicht nach DORA prüfen: Fällt ein Unternehmen als Finanzunternehmen unter die Verordnung (EU) 2022/2554, meldet es schwerwiegende IKT-bezogene Vorfälle nach Artikel 19 der zuständigen Behörde; ob ein DDoS-Angriff als schwerwiegend einzustufen ist, ist dafür zu prüfen.
Beispiele aus der Praxis
- Im Umfeld von Wahlen versuchen Angreifer laut BSI-Lagebericht in der Regel, den Zugang zu Informationen durch die Überlastung von Regierungswebsites, Informationsportalen oder Medienwebsites einzuschränken.
- Infizierte Rechner bombardieren auf Kommando des Hackers einen Webserver mit gefälschten Anfragen, sodass der Webserver für legitime Nutzer nur noch stark verzögert erreichbar ist.
- Fällt das Kundenportal eines Versicherers unter der Last verteilter Anfragen aus, können Kunden zeitweise keine Schäden online melden; die Verfügbarkeit des Dienstes ist betroffen.
