Bester DDoS-Schutz für Ihren Server: welche Kombination wirklich schützt

Kurz gesagt: Den bestmöglichen DDoS-Schutz erreichen Sie mit einem Professional VDS oder einem Professional Dedicated Server in unserem Rechenzentrum in Frankfurt am Main, kombiniert mit unserer Advanced DDoS Protection. Der Angriffsverkehr wird dabei direkt in unserem Netz mit spezialisierten Profilen in Echtzeit gefiltert, mit einer Abwehrkapazität von bis zu 17 Tbps. Diese Kombination ist darauf ausgelegt, dass ein erfolgreicher DDoS-Angriff praktisch unmöglich wird.

Brauchen Sie zwingend Unlimited Traffic oder einen Standort außerhalb Deutschlands und trotzdem starken DDoS-Schutz, ist ein Unlimited-Traffic-Server oder ein Edge-Server zusammen mit unserer Remote DDoS Protection die beste Wahl. Dieser Ratgeber erklärt, warum das so ist und worauf Sie bei der Einrichtung achten müssen.

Die drei Stufen des DDoS-Schutzes im Überblick

Jeder Server bei KernelHost hat einen Grundschutz mit 3,2 Tbps inklusive. Er wehrt gängige Floods ab, etwa UDP-, TCP-, SYN- und ICMP-Floods sowie Reflection- und Amplification-Angriffe. Spezialisierte Profile für einzelne Spiele oder Dienste hat er nicht. Gegen gezielte Angriffe, die sich als echter Spielverkehr tarnen, braucht es deshalb eine der beiden Ausbaustufen:

Warum Professional-Server mit Advanced DDoS Protection am stärksten schützen

Ein DDoS-Schutz ist nur so stark wie seine schwächste Stelle. Bei der Kombination aus Professional-Server und Advanced DDoS Protection greifen vier Dinge ineinander.

Filterung direkt in unserem Netz

Ihr Server steht in unserem eigenen Netz in Frankfurt am Main und erhält eine eigene geschützte IP-Adresse. Der Verkehr wird direkt in unserem Netz gefiltert und an Ihren Server zugestellt. Für Ihre Spieler und Nutzer entsteht dadurch keine zusätzliche Verzögerung.

Spezialisierte Profile statt pauschaler Regeln

Die Advanced DDoS Protection kennt optimierte Schutzprofile für über 40 Spiele und Dienste, darunter Minecraft, FiveM, Rust, Counter-Strike 2, ARK, DayZ und TeamSpeak. Ein Profil weiß, wie der echte Verkehr eines Spiels aussieht, und verwirft Pakete, die nur so tun. Profil, Port und Protokoll wählen Sie selbst im Kundenbereich, für unbegrenzt viele Ports. Eigene und modifizierte Spiele schützen Sie auf jedem TCP- oder UDP-Port, ebenso Websites, SSH, RDP und VPN-Dienste wie OpenVPN und WireGuard.

Bis zu 17 Tbps Abwehrkapazität, dauerhaft aktiv

Der Schutz läuft immer und nicht erst nach einer Erkennung. Große Angriffe fängt das globale Scrubbing-Netzwerk nah an ihrer Quelle ab, mit einer Abwehrkapazität von bis zu 17 Tbps auf Layer 3, 4 und 7. Ihre IP-Adresse wird dabei nicht nullgeroutet: Verworfen werden nur die schädlichen Pakete, Ihre Nutzer kommen weiter durch. Warum das so wichtig ist, zeigt unser Artikel zum Nullrouting.

Hardware mit Reserven

Der Professional VDS läuft mit AMD-EPYC-Kernen, DDR4-ECC-Arbeitsspeicher, NVMe-SSDs im RAID und einer Anbindung mit 2x 1 Gbit/s, ab 59,99 € im Monat. Der Professional Dedicated Server ist ein eigener Bare-Metal-Server in Frankfurt mit AMD-Ryzen- oder Intel-Prozessor, ab 169,99 € im Monat. So bleibt Ihr Projekt auch unter Last stabil, und der Standort Frankfurt sorgt für niedrige Latenz in ganz Europa.

Zusammen ist diese Kombination darauf ausgelegt, dass ein erfolgreicher DDoS-Angriff praktisch unmöglich wird. Sie ist unsere Empfehlung für jedes Projekt, das gezielt angegriffen wird oder bei dem jeder Ausfall Spieler, Kunden und Umsatz kostet.

Unlimited Traffic oder ein anderer Standort: Remote DDoS Protection

Die Advanced DDoS Protection wirkt für Server in unserem Netz in Frankfurt. Brauchen Sie zwingend Unlimited Traffic oder einen Server an einem anderen Standort, kombinieren Sie einen dieser Server mit der Remote DDoS Protection:

• Unlimited-Traffic-VPS ab 14,99 € im Monat, mit Traffic ohne Volumenlimit und Standorten in Europa, Nordamerika, Asien und Australien.
• Edge-Server mit Unlimited Traffic, einer Anbindung von bis zu 1 Gbit/s und bis zu 25 Standorten weltweit.

Die Remote DDoS Protection arbeitet als vorgeschalteter Filter. Sie erhalten eine eigene geschützte IP-Adresse aus unserem Anycast-Filternetz. Der Verkehr auf den Ports, die Sie schützen, kommt am nächstgelegenen Filterstandort an, wird dort gereinigt und an Ihren Server weitergeleitet. Angriffe wehrt der Filter in unter einer Sekunde ab. Die echte IP-Adresse Ihres Servers bleibt verborgen. Mit dem PROXY-Protokoll v1 oder v2 sieht Ihr Server trotzdem die echten IP-Adressen Ihrer Spieler. Abgerechnet wird je geschütztem Port, Angriffstraffic wird nie berechnet.

Weil der Verkehr über einen Filterstandort läuft, kommt eine Strecke hinzu. Wählen Sie deshalb einen Serverstandort, der nah an einem Filterstandort liegt, zum Beispiel Frankfurt, Amsterdam, London, Paris, Warschau, Helsinki, Istanbul, Dubai, Johannesburg, Singapur, Hongkong, Sydney, Chicago oder Washington DC. Die vollständige Liste der Filterstandorte steht auf der Seite der Remote DDoS Protection.

So richten Sie die Remote DDoS Protection richtig ein

Ein vorgeschalteter Filter schützt nur den Verkehr, der auch über ihn läuft. Damit Angreifer ihn nicht umgehen, gelten drei Regeln:

1. Nur die geschützte IP-Adresse veröffentlichen. Tragen Sie in DNS-Einträgen, Serverlisten, auf Discord und auf Ihrer Website ausschließlich die geschützte IP ein. Die echte IP-Adresse Ihres Servers muss geheim bleiben.
2. Die Firewall des Servers schließen. Lassen Sie auf den geschützten Ports nur die Adressen unserer Filterstandorte zu. Die Liste und ein Skript, das sie automatisch aktuell hält, finden Sie im Kundenbereich bei Ihrem Schutzdienst im Abschnitt Einrichtung.
3. Die Server-IP nach der Einrichtung mindestens einmal wechseln. Die bisherige IP-Adresse Ihres Servers ist meist schon bekannt, etwa aus Serverlisten, DNS-Einträgen oder früheren Angriffen. Über sie kann ein Angreifer den Filter umgehen. Wechseln Sie deshalb nach der Einrichtung mindestens einmal auf eine neue Server-IP und tragen Sie diese im Kundenbereich ein. Am einfachsten bestellen Sie den Schutz gleich zusammen mit einem neuen Server.

Für VPN-Server: Advanced DDoS Protection

Die Remote DDoS Protection ist für Spiele und Anwendungen auf festen Ports gedacht. Für VPN-Server, die den bestmöglichen DDoS-Schutz brauchen, empfehlen wir die Advanced DDoS Protection: Sie ist dafür ausgelegt und schützt auch OpenVPN und WireGuard. Mehr dazu lesen Sie in unserem Ratgeber VPN-Server vor DDoS-Angriffen schützen.

Welche Lösung passt zu Ihrem Projekt?

• Gameserver mit gezielten Angriffen und Spielern in Europa: Professional VDS oder Professional Dedicated Server mit Advanced DDoS Protection.
• VPN-Server mit hohen Anforderungen: Advanced DDoS Protection auf einem Server in Frankfurt.
• Projekte mit sehr viel Traffic: Unlimited-Traffic-VPS mit Remote DDoS Protection für die Ports, die angegriffen werden.
• Spieler in Asien, Nordamerika, Afrika oder Australien: Edge-Server nah an einem Filterstandort mit Remote DDoS Protection.
• Server bei einem anderen Anbieter: Am stärksten schützen Sie ihn mit einem Umzug in unser Netz und der Advanced DDoS Protection. Ist ein Umzug keine Option, schützt die Remote DDoS Protection den Server dort, wo er steht.
• Kleine Projekte ohne gezielte Angriffe: Der inklusive Grundschutz mit 3,2 Tbps reicht oft aus. Aufrüsten können Sie jederzeit.

Was Sie zusätzlich tun sollten

• Verwaltungszugänge wie SSH, RDP, Datenbanken, RCON und Panels nicht offen ins Internet stellen, sondern auf Ihre eigenen IP-Adressen beschränken.
• Auf dem Server eine Ratenbegrenzung je Absender für Abfrage- und Login-Ports setzen.
• Betriebssystem und Spielserver aktuell halten, damit Angriffe auf Anwendungsebene keine Schwachstellen finden.
• Im Angriffsfall Messwerte sichern und uns ein Ticket mit Zeitpunkt, Ziel-IP und Port schicken. Woran Sie einen Angriff erkennen, erklärt unser Artikel DDoS-Angriff am Server erkennen.

Wie ein DDoS-Angriff technisch abläuft und warum Filterung auf dem Server allein nicht reicht, lesen Sie in unserem Grundlagenartikel Was ist ein DDoS-Angriff?

Zusammenfassung

Den stärksten DDoS-Schutz erreichen Sie mit einem Professional VDS oder Professional Dedicated Server in Frankfurt und der Advanced DDoS Protection: Filterung direkt in unserem Netz, spezialisierte Profile, bis zu 17 Tbps Abwehrkapazität und keine zusätzliche Latenz. Brauchen Sie Unlimited Traffic oder einen anderen Standort, kombinieren Sie einen Unlimited-Traffic- oder Edge-Server mit der Remote DDoS Protection und halten die drei Regeln ein: nur die geschützte IP veröffentlichen, die Firewall schließen und nach der Einrichtung die Server-IP mindestens einmal wechseln.