Was ist ein DDoS-Angriff?

Ein DDoS-Angriff (Distributed Denial of Service) überflutet einen Server, eine Website oder ein ganzes Netzwerk mit so vielen Anfragen, dass legitime Nutzer nicht mehr durchkommen. Verteilt heißt der Angriff deshalb, weil er nicht von einem einzelnen Rechner kommt, sondern gleichzeitig von hunderten bis hunderttausenden gekaperten Geräten, dem sogenannten Botnetz.

Wie ein DDoS-Angriff abläuft

Am Anfang steht das Botnetz. Angreifer infizieren fremde Rechner, Router, Kameras oder schlecht gesicherte Server mit Schadsoftware und steuern sie anschließend zentral fern. Die Besitzer merken davon meist nichts. Auf Kommando senden alle diese Geräte gleichzeitig Anfragen an dasselbe Ziel.

Der Effekt tritt an der schwächsten Stelle ein: entweder ist die Anbindung dicht, oder CPU und Arbeitsspeicher des Zielsystems sind mit dem Beantworten der Anfragen ausgelastet. In beiden Fällen ist der Dienst für echte Nutzer nicht mehr erreichbar. Genau deshalb greifen Firewall-Regeln auf dem Server oft zu spät: Sie werden erst wirksam, wenn die Pakete längst über die Leitung gekommen sind.

Typische Angriffsarten

• Volumetrische Angriffe: UDP-Floods und ähnliche Muster, die schlicht die Bandbreite sättigen. Gemessen wird in Gbit/s.
• Protokollangriffe: SYN-Floods und State-Exhaustion, die Verbindungstabellen von Servern, Firewalls und Loadbalancern füllen. Gemessen wird in Paketen pro Sekunde.
• Angriffe auf Anwendungsebene (Layer 7): HTTP-Floods, teure Suchanfragen, Login-Floods. Sie brauchen wenig Bandbreite und sehen echtem Verkehr sehr ähnlich.
• Spielspezifische Exploits: Nullping, QuietException oder Fake-Handshake-Floods gegen Gameserver, die den Verbindungsaufbau missbrauchen statt die Leitung zu füllen.

Was ist ein Amplification-Angriff?

Bei einem Amplification-Angriff (Verstärkungsangriff) nutzt der Angreifer fremde, öffentlich erreichbare Dienste als Verstärker. Er sendet kleine Anfragen an offene DNS-, NTP- oder Memcached-Server und trägt dabei die IP-Adresse des Opfers als Absender ein. Die Antworten sind ein Vielfaches größer als die Anfragen und gehen alle an das Opfer.

Aus wenigen Megabit Angriffsverkehr werden so schnell hunderte Gigabit. Für den Angreifer ist das billig, für das Ziel verheerend, und der eigentliche Absender bleibt verdeckt.

Warum funktionieren gefälschte IP-Adressen so gut?

Beim IP-Spoofing setzt der Angreifer eine falsche Absenderadresse in die Pakete. Das hat zwei Effekte: Erstens lässt sich die Quelle nicht mehr einfach sperren, weil jede Anfrage von einer anderen, frei erfundenen Adresse zu kommen scheint. Zweitens ist Spoofing die Voraussetzung für Amplification-Angriffe, weil die Antworten der missbrauchten Dienste sonst nicht beim Opfer landen würden.

Gegen gespooften Verkehr helfen keine Blocklisten. Nötig ist eine Filterung, die das Verhalten des Datenverkehrs bewertet und die gefälschten Pakete verwirft, bevor sie das Ziel erreichen.

Warum wird ausgerechnet mein Server angegriffen?

Die Motive sind selten technisch. In der Praxis sehen wir vor allem diese Muster:

• Konkurrenz: Ein anderes Gaming-Netzwerk, ein anderer Shop oder ein anderer Discord-Server will Ihre Nutzer.
• Rache: Ein gebannter Spieler, ein entlassener Mitarbeiter oder ein verärgerter Kunde.
• Erpressung: Ein kurzer Angriff als Warnung, verbunden mit einer Lösegeldforderung.
• Vandalismus: Buchbare Angriffsdienste kosten wenige Euro, entsprechend niedrig ist die Hemmschwelle.

Für die Abwehr ist das Motiv unerheblich. Entscheidend ist, dass der Schutz permanent aktiv ist und nicht erst gebucht oder eingeschaltet werden muss, wenn der Angriff bereits läuft.

Was hilft wirklich gegen DDoS-Angriffe?

Wirksamer Schutz sitzt im Netz vor dem Server, nicht auf dem Server. KernelHost betreibt dafür einen zweistufigen Dauerschutz: Die globale Filterkapazität liegt bei 17 Tbps und fängt volumetrische Angriffe nah an ihrer Quelle ab. Direkt vor dem Server in Frankfurt arbeitet die Arbor-Echtzeitfilterung mit 3,2 Tbps und entfernt komplexe, protokollspezifische Muster Paket für Paket.

Wichtig dabei: Es wird kein Null-Routing eingesetzt. Beim Null-Routing würde die angegriffene IP komplett aus dem Netz genommen, der Server wäre offline und der Angreifer hätte sein Ziel erreicht. Stattdessen bleibt die IP erreichbar, und nur die schädlichen Pakete fallen weg. Der Schutz ist in jedem Serverpaket enthalten, die Standard-Tarife weisen 3,2 Tbps aus, die Professional-Tarife 17 Tbps.

Ergänzend sinnvoll bleiben Monitoring, aktuelle Software, sparsam geöffnete Ports und Rate-Limits in der Anwendung. Eine Schritt-für-Schritt-Übersicht dazu finden Sie im Beitrag Server vor DDoS-Angriffen schützen. Wie das speziell für Spiele- und Voice-Server aussieht, zeigt Gameserver-DDoS-Schutz in Echtzeit.

Praxisfälle: real abgewehrte Angriffe

Die folgenden Angriffe trafen KernelHost-Kundenserver und wurden vollständig in Echtzeit gefiltert, jeweils ohne Ausfall. Die Screenshots stammen aus dem Live-Monitoring der Abwehr.

TeamSpeak-3-Voiceserver, Port 9987 UDP

Komplexer Angriff mit mehreren gleichzeitigen Angriffsmustern, über 473,4 Gbit/s und über 41,5 Millionen Pakete pro Sekunde. In Echtzeit gefiltert, ohne Downtime.

ARK-Gameserver, Port 7777 UDP

Einfacher UDP-Flood ohne komplexe Struktur, dafür über 112,2 Gbit/s und über 8,7 Millionen Pakete pro Sekunde. In Echtzeit gefiltert, ohne Downtime.

All-Port-Angriff, Ports 0-65535 TCP/UDP

Über 12 verschiedene Hauptangriffsmuster gegen sämtliche Ports gleichzeitig, insgesamt über 21,3 Gbit/s und über 3,9 Millionen Pakete pro Sekunde. Vollständig in Echtzeit gefiltert.

Minecraft und OpenVPN, Ports 25565 TCP und 1194 UDP

Kombinierter Angriff mit über 16 verschiedenen Hauptangriffsmustern, über 4 Millionen Paketen pro Sekunde und über 8,6 Gbit/s. Beide Dienste blieben durchgehend erreichbar.