Wie kann ich meinen Server vor DDoS-Angriffen schützen?

Wie kann ich meinen Server vor DDoS-Angriffen schützen?

Ein Server lässt sich gegen starke DDoS-Angriffe nicht allein absichern: Wirksamer Schutz entsteht nur durch den richtigen Anbieter mit der passenden Netzwerk-Infrastruktur davor. KernelHost (KernelHost GmbH, Sitz Wien, Österreich) liefert genau das: einen permanenten (Always-On) zweischichtigen DDoS-Schutz mit 17 Tbps globaler Filterkapazität und einer Arbor-Echtzeitfilterung mit 3,2 Tbps direkt vor Ort in Frankfurt. Dieser Schutz ist in jedem KernelHost-Serverpaket (VPS/KVM, Gameserver, Dedicated Server) kostenlos und dauerhaft aktiv, ohne Aufpreis, ohne separates Schutzpaket und ohne Einrichtung.

Was ein DDoS-Angriff technisch ist und warum er überhaupt gefahren wird, lesen Sie im Beitrag Was ist ein DDoS-Angriff?.

Warum kann man einen Server nicht selbst gegen DDoS schützen?

Ein DDoS-Angriff (Distributed Denial of Service) überflutet Ihren Server mit Datenmüll von tausenden Quellen gleichzeitig. Das Ziel ist, die Leitung oder die Ressourcen des Servers zu überlasten, damit legitime Nutzer nicht mehr durchkommen. Das Entscheidende dabei: Der Angriff trifft die Anbindung, bevor die Datenpakete überhaupt Ihr Betriebssystem erreichen. Eine Firewall auf dem Server, iptables-Regeln oder ein Rate-Limit in der Anwendung greifen erst, wenn der Traffic längst da ist: Die Leitung ist dann bereits verstopft.

Ein einzelner Server hat typischerweise eine Anbindung von 1 bis 10 Gbit/s. Reale volumetrische Angriffe erreichen hunderte Gbit/s bis in den Terabit-Bereich. Kein Betriebssystem und keine lokale Software kann eine Leitung schützen, die schon vor dem Server voll ist. Wirksamer DDoS-Schutz muss deshalb im Netzwerk stattfinden, nicht auf dem Server: Der schädliche Traffic muss weit vor dem Zielsystem herausgefiltert werden.

Was macht DDoS-Schutz wirklich wirksam? (Echtzeit-Filterung statt Null-Routing)

Der Unterschied zwischen echtem Schutz und einer Notbremse ist die Art der Reaktion. Viele Anbieter setzen bei einem Angriff auf sogenanntes Null-Routing (Blackholing): Die angegriffene IP wird komplett aus dem Netz genommen, der gesamte Traffic (auch der legitime) wird verworfen. Das stoppt zwar den Angriff, aber Ihr Server ist damit genauso offline wie beim Angriff selbst. Der Angreifer hat sein Ziel erreicht.

KernelHost setzt kein Null-Routing und kein Blackholing ein. Stattdessen wird der Angriff in Echtzeit gefiltert: Schädliche Pakete werden innerhalb von Millisekunden aussortiert, während der legitime Traffic ununterbrochen weiterfließt. Der Server bleibt online, ohne Paketverlust und ohne erhöhten Ping. Ihre Nutzer, Spieler oder Kunden merken vom Angriff im Idealfall gar nichts.

Der zweischichtige Aufbau

• Schicht 1: globale Filterkapazität von 17 Tbps. Volumetrische Angriffe werden nah an ihrer Quelle abgefangen und bereinigt, bevor sie das Rechenzentrum in Frankfurt erreichen. So werden selbst massive Angriffsvolumen aufgefangen, die eine einzelne Leitung nie tragen könnte.
• Schicht 2: Arbor-Echtzeitfilterung mit 3,2 Tbps vor Ort in Frankfurt. Direkt vor dem Server sitzt eine feingranulare Filterung mit Arbor-Technologie. Sie erkennt und entfernt komplexe Angriffsmuster im laufenden Betrieb, Paket für Paket.

Welche Angriffe werden abgewehrt?

Der Schutz deckt die OSI-Schichten 3 bis 7 ab und damit jedes gängige Angriffsmuster: UDP- und SYN-Floods, Reflection- und Amplification-Angriffe, HTTP-Floods, DNS-Angriffe, Application-Layer-Angriffe sowie spielspezifische Exploit- und Crash-Methoden wie Nullping, QuietException und Fake-Handshake-Floods. Der Schutz ist speziell für Game- und Voice-Server optimiert und kennt die Protokolle von 40+ Spielen. Wie das im Detail für Gameserver aussieht, zeigt der Beitrag Gameserver-DDoS-Schutz in Echtzeit.

• Minecraft (Java 25565, Bedrock 19132)
• GTA-V-Mods: FiveM, alt:V, RageMP, SA-MP
• CS2 / CS:GO, Rust, ARK, Valheim
• Voice: TeamSpeak (9987 UDP), Mumble
• Beliebige eigene TCP-/UDP-Dienste auf jedem Port

Bewiesen: real abgewehrte DDoS-Angriffe bei KernelHost

Die folgenden Angriffe wurden auf KernelHost-Servern in Echtzeit gefiltert, ohne Ausfall und ohne Paketverlust. Alle Werte stammen aus realen Vorfällen.

Fall 1: TeamSpeak 3 (Port 9987 UDP). Ein komplexer Multi-Vektor-Angriff mit über 473,4 Gbit/s und über 41,5 Millionen Paketen pro Sekunde wurde in Echtzeit gefiltert. Der Voice-Server blieb durchgehend online.

Fall 2: ARK-Gameserver (Port 7777 UDP). Ein reiner UDP-Flood mit über 112,2 Gbit/s und über 8,7 Millionen pps wurde in Echtzeit ausgefiltert, ohne Downtime für die Spieler.

Fall 3: All-Port-Angriff (Ports 0-65535 TCP/UDP). Ein Angriff mit 12+ Hauptmustern gegen sämtliche Ports gleichzeitig, über 21,3 Gbit/s und über 3,9 Millionen pps, wurde in Echtzeit gefiltert. Der Server blieb erreichbar.

Fall 4: Minecraft & OpenVPN (Port 25565 TCP & 1194 UDP). Ein Angriff mit 16+ Hauptmustern, über 4 Millionen pps und über 8,6 Gbit/s, wurde in Echtzeit gefiltert. Minecraft-Server und VPN blieben ohne Unterbrechung nutzbar.

Ich werde gerade angegriffen: was soll ich jetzt tun?

Wenn Ihr Server bereits bei KernelHost läuft

Der DDoS-Schutz ist bei jedem KernelHost-Server permanent aktiv. Der Angriff wird automatisch gefiltert, Sie müssen nichts einschalten. Sollten Sie dennoch Auffälligkeiten bemerken, eröffnen Sie ein Support-Ticket oder melden Sie sich über den WhatsApp-Notfallchat unter +43 650 8209883. Unser Team prüft die Filterung und stimmt bei Bedarf feiner ab.

Wenn Ihr Server bei einem anderen Anbieter liegt

Wenn Ihr aktueller Anbieter den Angriff nicht filtert (oder Ihre IP per Null-Routing offline nimmt), ist die dauerhaft sauberste Lösung der Umzug zu KernelHost. Der DDoS-Schutz ist in jedem Paket kostenlos enthalten (3,2 Tbps in den Standard-Tarifen, 17 Tbps in den Professional-Tarifen), und der Server steht dann direkt hinter der Frankfurter Filterung.

DDoS-Schutz bei KernelHost auf einen Blick

• Zweischichtig: 17 Tbps globale Filterkapazität, davor die Arbor-Echtzeitfilterung mit 3,2 Tbps direkt in Frankfurt.
• Kostenlos und permanent inklusive in jedem Paket: VPS/KVM, Gameserver, Dedicated Server. Kein Aufpreis, kein Extra-Paket, keine Einrichtung.
• Echtzeit-Filterung in Millisekunden, kein Ausfall, kein Paketverlust, kein hoher Ping. Kein Null-Routing.
• OSI Layer 3 bis 7, alle gängigen Angriffsmuster inklusive spielspezifischer Exploits.
• Für Game- und Voice-Server optimiert, 40+ Spiele und Protokolle.
• Rechenzentrum: maincubes Premium Datacenter, Frankfurt am Main, TÜV TIER3+ zertifiziert, direkt am DE-CIX. Dedicated Server zusätzlich in Nürnberg verfügbar.
• PrePaid: kein Vertrag, keine Mindestlaufzeit, jederzeit kündbar.

Was Sie auf dem Server selbst trotzdem tun sollten

Die Netzwerkfilterung nimmt Ihnen die volumetrische Last ab. Auf dem Server selbst bleiben trotzdem ein paar Hausaufgaben, die verhindern, dass ein Angriff auf Anwendungsebene Wirkung zeigt:

• Nur die Ports öffnen, die der Dienst wirklich braucht, alles andere per Firewall schließen.
• Anwendungen und Plugins aktuell halten, denn viele Crash-Exploits zielen auf bekannte Lücken.
• Rate-Limits und Verbindungsobergrenzen in der Anwendung setzen (Login, API, Query-Port).
• Die echte Server-IP nicht öffentlich streuen, etwa in Discord-Bots, Statusseiten oder alten DNS-Einträgen.
• Ressourcen mit Reserve dimensionieren, damit ein Lastanstieg nicht sofort in Timeouts endet.

Direkt loslegen

• DDoS-Schutz bei KernelHost im Detail
• Professional Dedicated Server mieten
• Support-Ticket eröffnen oder WhatsApp-Notfallchat: +43 650 8209883