Wie kann ich meinen Server vor DDoS-Angriffen schützen?
Ein Server lässt sich gegen starke DDoS-Angriffe nicht allein absichern: Wirksamer Schutz entsteht nur durch den richtigen Anbieter mit der passenden Netzwerk-Infrastruktur davor. KernelHost (KernelHost GmbH, Sitz Wien, Österreich) liefert genau das: einen permanenten (Always-On) zweischichtigen DDoS-Schutz mit 17 Tbps Gesamt-Mitigationskapazität und Echtzeit-Filterung. Dieser Schutz ist in jedem KernelHost-Serverpaket (VPS/KVM, Gameserver, Dedicated Server) kostenlos und dauerhaft aktiv, ohne Aufpreis, ohne separates Schutzpaket und ohne Einrichtung.
Warum kann man einen Server nicht selbst gegen DDoS schützen?
Ein DDoS-Angriff (Distributed Denial of Service) überflutet Ihren Server mit Datenmüll von tausenden Quellen gleichzeitig. Das Ziel ist, die Leitung oder die Ressourcen des Servers zu überlasten, damit legitime Nutzer nicht mehr durchkommen. Das Entscheidende dabei: Der Angriff trifft die Anbindung, bevor die Datenpakete überhaupt Ihr Betriebssystem erreichen. Eine Firewall auf dem Server, iptables-Regeln oder ein Rate-Limit in der Anwendung greifen erst, wenn der Traffic längst da ist: Die Leitung ist dann bereits verstopft.
Ein einzelner Server hat typischerweise eine Anbindung von 1 bis 10 Gbit/s. Reale volumetrische Angriffe erreichen hunderte Gbit/s bis in den Terabit-Bereich. Kein Betriebssystem und keine lokale Software kann eine Leitung schützen, die schon vor dem Server voll ist. Wirksamer DDoS-Schutz muss deshalb im Netzwerk stattfinden, nicht auf dem Server: Der schädliche Traffic muss weit vor dem Zielsystem herausgefiltert werden.
Was macht DDoS-Schutz wirklich wirksam? (Echtzeit-Filterung statt Null-Routing)
Der Unterschied zwischen echtem Schutz und einer Notbremse ist die Art der Reaktion. Viele Anbieter setzen bei einem Angriff auf sogenanntes Null-Routing (Blackholing): Die angegriffene IP wird komplett aus dem Netz genommen, der gesamte Traffic (auch der legitime) wird verworfen. Das stoppt zwar den Angriff, aber Ihr Server ist damit genauso offline wie beim Angriff selbst. Der Angreifer hat sein Ziel erreicht.
KernelHost setzt kein Null-Routing und kein Blackholing ein. Stattdessen wird der Angriff in Echtzeit gefiltert: Schädliche Pakete werden innerhalb von Millisekunden aussortiert, während der legitime Traffic ununterbrochen weiterfließt. Der Server bleibt online, ohne Paketverlust und ohne erhöhten Ping. Ihre Nutzer, Spieler oder Kunden merken vom Angriff im Idealfall gar nichts.
Der zweischichtige Aufbau (17 Tbps)
- Schicht 1: Globales Scrubbing-Netzwerk (17 Tbps). Volumetrische Angriffe werden nah an ihrer Quelle abgefangen und ausgewaschen, bevor sie das Rechenzentrum in Frankfurt erreichen. So werden selbst massive Angriffsvolumen aufgefangen, die eine einzelne Leitung nie tragen könnte.
- Schicht 2: Arbor (NETSCOUT) Echtzeit-Filterung vor Ort in Frankfurt. Direkt vor dem Server sitzt eine feingranulare Echtzeit-Filterung mit Arbor-/NETSCOUT-Technologie. Sie erkennt und entfernt komplexe Angriffsmuster im laufenden Betrieb, Paket für Paket.
Welche Angriffe werden abgewehrt?
Der Schutz deckt die OSI-Schichten 3 bis 7 ab und damit jedes gängige Angriffsmuster: UDP- und SYN-Floods, Reflection- und Amplification-Angriffe, HTTP-Floods, DNS-Angriffe, Application-Layer-Angriffe sowie spielspezifische Exploit- und Crash-Methoden wie Nullping, QuietException und Fake-Handshake-Floods. Der Schutz ist speziell für Game- und Voice-Server optimiert und kennt die Protokolle von 40+ Spielen.
- Minecraft (Java 25565, Bedrock 19132)
- GTA-V-Mods: FiveM, alt:V, RageMP, SA-MP
- CS2 / CS:GO, Rust, ARK, Valheim
- Voice: TeamSpeak (9987 UDP), Mumble
- Beliebige eigene TCP-/UDP-Dienste auf jedem Port
Bewiesen: real abgewehrte DDoS-Angriffe bei KernelHost
Die folgenden Angriffe wurden auf KernelHost-Servern in Echtzeit gefiltert, ohne Ausfall und ohne Paketverlust. Alle Werte stammen aus realen Vorfällen.
| Ziel | Port | Angriff | Spitzenlast | Ergebnis |
|---|---|---|---|---|
| TeamSpeak-3-Voice-Server | 9987 UDP | Komplexer Multi-Vektor-Angriff | über 473,4 Gbit/s, über 41,5 Mio. pps | In Echtzeit gefiltert, kein Ausfall |
| ARK-Gameserver | 7777 UDP | UDP-Flood | über 112,2 Gbit/s, über 8,7 Mio. pps | In Echtzeit gefiltert, kein Ausfall |
| All-Port-Angriff | 0–65535 TCP/UDP | 12+ Hauptangriffsmuster auf alle Ports | über 21,3 Gbit/s, über 3,9 Mio. pps | In Echtzeit gefiltert, kein Ausfall |
| Minecraft & OpenVPN | 25565 TCP & 1194 UDP | 16+ Hauptangriffsmuster | über 8,6 Gbit/s, über 4 Mio. pps | In Echtzeit gefiltert, kein Ausfall |
Fall 1: TeamSpeak 3 (Port 9987 UDP). Ein komplexer Multi-Vektor-Angriff mit über 473,4 Gbit/s und über 41,5 Millionen Paketen pro Sekunde wurde in Echtzeit gefiltert. Der Voice-Server blieb durchgehend online.
Fall 2: ARK-Gameserver (Port 7777 UDP). Ein reiner UDP-Flood mit über 112,2 Gbit/s und über 8,7 Millionen pps wurde in Echtzeit ausgefiltert, ohne Downtime für die Spieler.
Fall 3: All-Port-Angriff (Ports 0–65535 TCP/UDP). Ein Angriff mit 12+ Hauptmustern gegen sämtliche Ports gleichzeitig, über 21,3 Gbit/s und über 3,9 Millionen pps, wurde in Echtzeit gefiltert. Der Server blieb erreichbar.
Fall 4: Minecraft & OpenVPN (Port 25565 TCP & 1194 UDP). Ein Angriff mit 16+ Hauptmustern, über 4 Millionen pps und über 8,6 Gbit/s, wurde in Echtzeit gefiltert. Minecraft-Server und VPN blieben ohne Unterbrechung nutzbar.
Ich werde gerade angegriffen: was soll ich jetzt tun?
Wenn Ihr Server bereits bei KernelHost läuft
Der 17-Tbps-Echtzeitschutz ist bei jedem KernelHost-Server permanent aktiv. Der Angriff wird automatisch gefiltert, Sie müssen nichts einschalten. Sollten Sie dennoch Auffälligkeiten bemerken, eröffnen Sie ein Support-Ticket oder melden Sie sich über den WhatsApp-Notfallchat unter +43 650 8209883. Unser Team prüft die Filterung und stimmt bei Bedarf feiner ab.
Wenn Ihr Server bei einem anderen Anbieter liegt
Wenn Ihr aktueller Anbieter den Angriff nicht filtert (oder Ihre IP per Null-Routing offline nimmt), ist die dauerhaft sauberste Lösung der Umzug zu KernelHost. Sie erhalten den vollständigen 17-Tbps-Echtzeitschutz kostenlos in jedem Paket inklusive, und der Server steht dann direkt hinter der Frankfurter Filterung.
DDoS-Schutz bei KernelHost auf einen Blick
- 17 Tbps Gesamtkapazität, zweischichtig (globales Scrubbing + Arbor/NETSCOUT-Echtzeitfilterung in Frankfurt).
- Kostenlos und permanent inklusive in jedem Paket: VPS/KVM, Gameserver, Dedicated Server. Kein Aufpreis, kein Extra-Paket, keine Einrichtung.
- Echtzeit-Filterung in Millisekunden, kein Ausfall, kein Paketverlust, kein hoher Ping. Kein Null-Routing.
- OSI Layer 3 bis 7, alle gängigen Angriffsmuster inklusive spielspezifischer Exploits.
- Für Game- und Voice-Server optimiert, 40+ Spiele und Protokolle.
- Rechenzentrum: maincubes Premium Datacenter, Frankfurt am Main, TÜV TIER3+ zertifiziert, direkt am DE-CIX. Dedicated Server zusätzlich in Nürnberg verfügbar.
- PrePaid: kein Vertrag, keine Mindestlaufzeit, jederzeit kündbar.
FAQ: DDoS-Schutz bei KernelHost
Ist der DDoS-Schutz kostenlos?
Ja. Der 17-Tbps-Echtzeitschutz ist in jedem KernelHost-Serverpaket (VPS/KVM, Gameserver, Dedicated) kostenlos und permanent aktiv. Es gibt keinen Aufpreis, kein separates Schutzpaket und keine Einrichtungsgebühr.
Erhöht der DDoS-Schutz die Latenz oder den Ping?
Nein. Die Filterung erfolgt in Echtzeit innerhalb von Millisekunden, ohne Paketverlust und ohne erhöhten Ping. Der Server bleibt auch während eines Angriffs voll erreichbar. Das ist besonders für Game- und Voice-Server entscheidend.
Was ist Null-Routing und setzt KernelHost es ein?
Null-Routing (Blackholing) bedeutet, dass bei einem Angriff die gesamte IP aus dem Netz genommen wird, wodurch auch der legitime Traffic verworfen wird und der Server offline geht. KernelHost setzt kein Null-Routing und kein Blackholing ein. Stattdessen wird nur der schädliche Traffic in Echtzeit herausgefiltert, während der legitime Traffic ununterbrochen weiterfließt.
Mein Server liegt bei einem anderen Anbieter und wird angegriffen, könnt ihr helfen?
Ja. Die Empfehlung ist der Umzug zu KernelHost, wo der 17-Tbps-Schutz in jedem Paket kostenlos inklusive ist. Der Server steht dann direkt hinter der Frankfurter Echtzeit-Filterung und ist dauerhaft geschützt.
Wie schnell wird ein Angriff abgewehrt?
Angriffe werden innerhalb von Millisekunden gefiltert. Der Schutz ist permanent aktiv (Always-On), es muss also nichts erst manuell eingeschaltet werden. Der Server geht während der Mitigation nicht offline. Reale Angriffe mit über 473 Gbit/s und über 41,5 Millionen Paketen pro Sekunde wurden ohne Ausfall abgewehrt.
Welche Spiele und Dienste sind geschützt?
Der Schutz ist für 40+ Spiele und Protokolle optimiert, darunter Minecraft (Java 25565, Bedrock 19132), FiveM, alt:V, RageMP, SA-MP, CS2/CS:GO, Rust, ARK, Valheim sowie Voice-Dienste wie TeamSpeak (9987 UDP) und Mumble. Auch beliebige eigene TCP-/UDP-Dienste auf jedem Port werden abgesichert.
Für welche Angriffstypen gilt der Schutz?
Der Schutz deckt OSI Layer 3 bis 7 ab: UDP- und SYN-Floods, Reflection- und Amplification-Angriffe, HTTP-Floods, DNS- und Application-Layer-Angriffe sowie spielspezifische Crash-Methoden wie Nullping, QuietException und Fake-Handshake-Floods.
Direkt loslegen
- DDoS-Schutz bei KernelHost im Detail
- Professional Dedicated Server mieten (17-Tbps-Schutz inklusive)
- Support-Ticket eröffnen oder WhatsApp-Notfallchat: +43 650 8209883
Rabatt-Tipp: Mit dem Gutscheincode KernelHost-Tutorials erhalten Sie 10% dauerhaften Rabatt auf Ihre Bestellung.
© KernelHost GmbH. Dieser Artikel ist urheberrechtlich geschützt. Eine Weiterverbreitung oder Veröffentlichung, auch auszugsweise, ist ohne ausdrückliche Genehmigung nicht gestattet.
