Illustration Absmeier foto ki designer

Moderne DDoS-Angriffe setzen nicht zwangsläufig auf maximale Datenmengen. Auf Anwendungsebene imitieren Bots reguläre Nutzer, verwenden gültige HTTP-Anfragen und treffen gezielt teure Funktionen wie Login, Suche oder Checkout. Für Entscheider bedeutet das: Kapazität bleibt notwendig, doch erst die Kombination aus Edge-Schutz, anwendungsspezifischen Regeln und Verhaltensanalyse macht digitale Dienste belastbar.

Management Summary

Das Angriffsmuster verschiebt sich: Gefährliche Layer-7-Attacken wirken technisch legitim und lassen sich deshalb schwerer vom normalen Geschäft trennen.
Mehr Infrastruktur ist keine Gesamtstrategie: Zusätzliche Bandbreite hilft gegen Volumen, nicht automatisch gegen gezielte Anfragen an rechenintensive Funktionen.
Verhalten wird zum Schlüsselsignal: Zugriffstempo, Sequenzen, Sitzungen und Abweichungen vom üblichen Anwendungsmuster liefern mehr Kontext als eine einzelne IP-Adresse.
Schutz muss mehrschichtig organisiert sein: Edge-Filter, WAF, Reputationsdaten, adaptive Rate Limits und robuste Anwendungsarchitektur müssen als Entscheidungskette zusammenspielen.
Management braucht belastbare Kennzahlen: Neben Bandbreite zählen Verfügbarkeit, Latenz, Fehlerrate, Abwehrzeit, Kosten pro Angriff und der Anteil fälschlich blockierter legitimer Nutzer.

Lange Zeit war die Bewertung eines DDoS-Angriffs einfach. Je größer der Angriff, desto größer das Problem. Heute greift diese Sichtweise zu kurz. Viele der wirkungsvollsten Angriffe der vergangenen Jahre waren nicht die größten. Sie waren die glaubwürdigsten.

Entscheidend für den Erfolg moderner Cyberangriffe ist zunehmend ihre Fähigkeit, sich als legitimer Nutzerverkehr zu tarnen. Und das verändert die Anforderungen an moderne DDoS-Abwehr grundlegend.

Aus unserer Sicht wird die Branche an diesem Punkt teilweise noch von den Erfolgen vergangener Abwehrstrategien geprägt. Viele Sicherheitskonzepte wurden entwickelt, um ungewöhnlichen Traffic zu erkennen. Moderne Angreifer versuchen jedoch zunehmend, gerade nicht aufzufallen.

Die eigentliche Herausforderung besteht darin, legitimen Datenverkehr zu erkennen und von Angriffen zu unterscheiden.

Klassische Angriffe auf Netzwerk- und Protokollebene lassen sich meist relativ eindeutig erkennen. SYN-Floods, Reflection-Angriffe oder UDP-Amplification-Attacken erzeugen Verkehrsmuster, die im normalen Betrieb kaum vorkommen. Sie hinterlassen technische Merkmale, die häufig bereits am Netzwerkrand abgewehrt werden können.

Anders sieht es auf Anwendungsebene aus. Dort verwenden Angreifer echte IP-Adressen, gültige HTTP-Anfragen und vollständig regelkonformes Protokollverhalten. Aus technischer Sicht unterscheidet sich eine schädliche Anfrage oft kaum von der eines echten Nutzers.

Damit verschiebt sich die zentrale Frage der DDoS-Abwehr. Sicherheitsteams müssen bewerten, ob das Verhalten hinter einer technisch einwandfreien Anfrage tatsächlich legitim ist.

Diese Herausforderung prägt heute zunehmend die Praxis moderner Internet-Infrastrukturen. Wer ausschließlich auf technische Korrektheit prüft, erkennt oft nicht, ob eine Anfrage von einem echten Nutzer, einem automatisierten Bot oder einer koordinierten Angriffskampagne stammt.

Warum Kapazität allein nicht mehr ausreicht

Viele Unternehmen reagieren auf DDoS-Risiken noch immer mit mehr Kapazität. Mehr Bandbreite. Mehr Server. Mehr Reserven.

Das bleibt wichtig, löst jedoch nur einen Teil des Problems. Zusätzliche Ressourcen helfen bei volumetrischen Angriffen, bei denen die verfügbare Bandbreite das eigentliche Ziel ist. Wesentlich weniger wirksam sind sie gegen Angriffe, die gezielt ressourcenintensive Funktionen einer Anwendung ausnutzen.

Eine Suchanfrage, ein Login-Prozess oder ein Checkout-Vorgang verursacht auf Serverseite häufig deutlich mehr Aufwand als auf Kundenseite. Angreifer müssen lediglich Anfragen erzeugen. Der Betreiber muss jede einzelne Anfrage verarbeiten und beantworten.

Mit der Verlagerung vieler Angriffe auf Layer 7 entsteht dadurch ein wirtschaftliches Ungleichgewicht. Die Kosten einer Anfrage liegen oft stärker auf Seiten des Verteidigers als auf Seiten des Angreifers.

Unsere eigenen Daten unterstreichen diese Entwicklung. Zwischen Januar und Mai 2026 verarbeitete die bunny.net-Infrastruktur mehr als 42,5 Milliarden Requests. Fast 5 Milliarden davon wurden durch Sicherheitsmechanismen blockiert oder einer zusätzlichen Verifizierung unterzogen. Es war anspruchsvoller, verdächtiges Verhalten zuverlässig zu identifizieren, als die technischen Ressourcen für dessen Abwehr bereitzustellen.

Die Geschichte der letzten Jahre zeigt dieselbe Entwicklung

Betrachtet man prägende Angriffe der vergangenen Jahre, wird ein gemeinsames Muster sichtbar.

Slowloris nutzte nahezu keine Bandbreite und legte dennoch Systeme lahm, indem Verbindungen künstlich offen gehalten wurden. Das Mēris-Botnet erzeugte Millionen vollständig gültiger HTTP-Anfragen pro Sekunde von realen Geräten. HTTP/2 Rapid Reset missbrauchte legitime Funktionen des HTTP/2-Protokolls. CONTINUATION-Flood-Angriffe wiederum konnten Serverressourcen erschöpfen, obwohl viele klassische Monitoring-Systeme kaum Auffälligkeiten registrierten.

Diese Angriffe unterscheiden sich technisch erheblich. Ihre gemeinsame Eigenschaft ist jedoch dieselbe: Sie sahen nicht wie Angriffe aus.

Je stärker sich schädlicher Traffic an normales Nutzerverhalten anlehnt, desto schwieriger wird seine zuverlässige Erkennung.

Ein aktuelles Beispiel dafür war ein Layer-7-Angriff, den wir Anfang 2026 beobachtet haben. Der Angriff erreichte 16,5 Millionen Requests pro Sekunde und verteilte sich auf rund 392.000 IP-Adressen. Die große geografische Ausdehnung und die stark verteilte Infrastruktur erschwerten eine zuverlässige Unterscheidung des Datenverkehrs von legitimen Aktivitäten erheblich.

Warum Verhaltensanalyse immer wichtiger wird

Die traditionelle Sicherheitslogik basiert auf Signaturen, Regeln und bekannten Indikatoren. Ein Paket ist fehlerhaft. Eine Anfrage enthält verdächtige Merkmale. Eine IP-Adresse ist bereits aufgefallen.

Diese Ansätze bleiben unverzichtbar, reichen aber immer seltener aus.

Wenn Bots moderne Browser simulieren, legitime TLS-Stacks nutzen und über reale Endgeräte oder Residential-Proxys arbeiten, verliert die einzelne Anfrage zunehmend an Aussagekraft. Entscheidend wird stattdessen das Gesamtbild.

Wie verhält sich ein Client über längere Zeit? Passt sein Zugriffsmuster zu einem realen Nutzer? Entspricht sein Verhalten den typischen Mustern einer Anwendung?

Moderne DDoS-Abwehr entwickelt sich deshalb von einer rein paketorientierten zu einer verhaltensorientierten Disziplin.

Beim Blick auf automatisierten Traffic wird dies besonders deutlich. In unserer Telemetrie entfällt inzwischen etwa jede fünfte Anfrage auf automatisierte Systeme. Die Grenzen zwischen legitimer Automatisierung, Bots, Scraping und Angriffsverkehr werden dadurch zunehmend unscharf.

Aus unserer Sicht ist das der Grund, warum Verhaltensanalyse künftig eine ebenso wichtige Rolle spielen wird wie klassische Signaturen oder Blocklisten.

Die Zukunft gehört mehrschichtigen Schutzkonzepten

Es gibt keine einzelne Technologie, die Layer-7-Angriffe dauerhaft löst. Wirksame Sicherheitsstrategien kombinieren mehrere Ebenen. Netzwerkbasierte Schutzsysteme filtern offensichtliche Angriffe möglichst früh. Reputationssysteme identifizieren bekannte Missbrauchsquellen. Rate Limits schützen besonders ressourcenintensive Endpunkte. Verhaltensanalysen helfen dabei, Muster zu erkennen, die auf Automatisierung oder Missbrauch hindeuten.

Gleichzeitig müssen Anwendungen selbst robuster werden. Ressourcenintensive Funktionen sollten gezielt abgesichert, Protokollgrenzen sauber definiert und ungewöhnliche Nutzungsmuster früh erkannt werden.

Wir betrachten Sicherheit deshalb nicht als einzelne Funktion, sondern als abgestimmte Entscheidungskette. Je früher eine schädliche Anfrage identifiziert werden kann, desto weniger Ressourcen verbraucht sie und desto geringer sind die Auswirkungen auf die eigentliche Anwendung.

Die wirksamste Verteidigung bleibt dabei unverändert: Je früher ein Angriff erkannt wird, desto günstiger und zuverlässiger lässt er sich abwehren.

Wer nur auf Kapazität setzt, verteidigt sich gegen die Angriffe der Vergangenheit

Viele Diskussionen über DDoS-Schutz drehen sich noch immer um Bandbreite und Rekordwerte. Für die Realität moderner Angriffe sind diese Kennzahlen jedoch häufig zweitrangig.

Die eigentliche Herausforderung besteht darin, Angriffe zu erkennen, die technisch völlig legitim erscheinen.

Angesichts von Milliarden täglicher Anfragen über die weltweite Infrastruktur von bunny.net sehen wir immer häufiger Angriffe auf der Anwendungsebene, die sich kaum von legitimen Nutzeraktivitäten unterscheiden lassen.

Gleichzeitig wurden allein in den ersten fünf Monaten des Jahres 2026 mehr als 17,6 Millionen Angreifer-IP-Adressen bereits am Netzwerkrand blockiert oder getrennt. Auch das zeigt, dass moderne DDoS-Abwehr bereits weit vor der eigentlichen Anwendung beginnt. Die große Zahl und die geografische Verteilung dieser Angriffsquellen machen ihre Erkennung zudem deutlich komplexer als bei klassischen volumetrischen Angriffen.

In den kommenden Jahren wird die Fähigkeit, Nutzer von Imitationen zu unterscheiden, für viele Plattformen wichtiger werden als die reine Verarbeitungskapazität ihrer Infrastruktur.

Deshalb glauben wir, dass die entscheidende Sicherheitskennzahl der Zukunft nicht die maximale Bandbreite einer Plattform sein wird. Entscheidend wird sein, wie zuverlässig sie legitime Nutzung von Missbrauch unterscheiden kann. Wer DDoS-Schutz weiterhin primär als Kapazitätsproblem betrachtet, verteidigt sich gegen die Angriffe der Vergangenheit.

Die gefährlichsten Angriffe der Zukunft könnten jene sein, die von normalen Nutzern nicht zu unterscheiden sind.

Dejan Grofelnik Pelzel, Gründer & CEO von bunny.net

Die in diesem Artikel verwendeten Zahlen sind dem Edge Security Report entnommen. https://bunny.net/edge-security-report-2026/

FAQ: Moderne DDoS-Abwehr

Was unterscheidet einen Layer-7-DDoS-Angriff von einem volumetrischen Angriff?
Volumetrische Angriffe zielen vor allem auf verfügbare Bandbreite; Layer-7-Angriffe überlasten konkrete Anwendungen oder Dienste mit HTTP-Anfragen. Weil diese Anfragen technisch gültig sein können, ist ihre Abgrenzung vom legitimen Verkehr besonders anspruchsvoll [1] [2].
Warum können Angriffe wie normale Nutzer aussehen?
Botnetze und automatisierte Werkzeuge senden reguläre GET- oder POST-Anfragen, nutzen echte Geräte oder Proxys und missbrauchen zulässige Anwendungsfunktionen. Das einzelne Request-Merkmal reicht dadurch oft nicht für eine sichere Bewertung aus [1] [5].
Welche Endpunkte sind besonders kritisch?
Login, Suche, Warenkorb, Checkout und öffentliche APIs sind typische Ziele, weil sie Datenbanken, externe Dienste oder komplexe Geschäftslogik anstoßen. Schutzmaßnahmen sollten deshalb pro Endpunkt und dessen Kostenprofil definiert werden [5].
Reicht mehr Bandbreite als Schutz?
Nein. Globale Netzkapazität ist für große volumetrische Angriffe wichtig; gegen Angriffe auf die Anwendungsebene empfehlen Fachquellen zusätzlich Skalierung, WAF-Regeln, anfragebasierte Limits und automatische Erkennung [3] [4].
Welche Rolle spielt Verhaltensanalyse?
Sie bewertet nicht nur eine einzelne Anfrage, sondern Muster über Zeit: Anfragefolge, Frequenz, Sitzungsbezug, Identität, Fehlerquoten und Abweichungen vom üblichen Traffic. Damit ergänzt sie Signaturen, Blocklisten und IP-Reputation [4] [5].
Ist Rate Limiting immer sinnvoll?
Rate Limits sind besonders wirksam, wenn sie an den Endpunkt, eine Nutzer- oder API-Identität und das normale Zugriffsmuster angepasst werden. Starre globale Grenzwerte können legitime Lastspitzen beeinträchtigen; adaptive oder gestufte Reaktionen sind differenzierter [3] [5].
Wie sieht ein mehrschichtiger Schutz aus?
Eine belastbare Architektur kombiniert weltweit verteilte Edge-Kapazität, Netzwerkfilter, CDN, WAF, Bot- und Reputationssignale, anwendungsspezifische Rate Limits sowie eine robuste Origin-Infrastruktur. CISA unterscheidet dafür volumetrische, Protokoll- und Anwendungsangriffe mit jeweils passenden Maßnahmen [2] [3].
Welche Kennzahlen gehören auf ein Management-Dashboard?
Neben Peak-Bandbreite und Requests pro Sekunde sind Dienstverfügbarkeit, Latenz, Fehlerrate, Zeit bis zur Erkennung und Abwehr, Angriffskosten sowie False Positives relevant. So wird sichtbar, ob Schutzmaßnahmen die Anwendung und legitime Nutzer tatsächlich wirksam entlasten.
Was sollte vor einem Angriff vorbereitet sein?
Organisationen sollten Zuständigkeiten, Eskalationswege, Kontaktpunkte zu Providern, Telemetrie, Baselines, Runbooks und Tests festlegen. CISA empfiehlt ausdrücklich vorbereitende Maßnahmen sowie klar definierte Schritte zur Erkennung, Reaktion und Nachbereitung [2].
Wie lassen sich legitime Bots von schädlicher Automatisierung trennen?
Eine pauschale Bot-Sperre ist ungeeignet, weil Suchmaschinen, Monitoring und Barrierefreiheitsdienste legitime Aufgaben erfüllen. Sinnvoll ist eine risikobasierte Bewertung aus Identität, Reputation, Verhaltenssignalen, Zweck des Endpunkts und abgestuften Reaktionen wie Drosselung oder zusätzlicher Verifizierung [5].

Quellen

[1] Cloudflare: HTTP Flood DDoS Attack – https://www.cloudflare.com/learning/ddos/http-flood-ddos-attack/
[2] CISA: Understanding and Responding to Distributed Denial-of-Service Attacks – https://www.cisa.gov/resources-tools/resources/understanding-and-responding-distributed-denial-service-attacks
[3] AWS: Building basic DDoS resilient architectures with Shield Advanced – https://docs.aws.amazon.com/waf/latest/developerguide/ddos-resiliency.html
[4] AWS: Best Practices for DDoS Resiliency – https://docs.aws.amazon.com/whitepapers/latest/aws-best-practices-ddos-resiliency/aws-best-practices-ddos-resiliency.html
[5] OWASP: Bot Management and Anti-Automation Cheat Sheet – https://cheatsheetseries.owasp.org/cheatsheets/Bot_Management_and_Anti-Automation_Cheat_Sheet.html

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

99 Artikel zu „DDoS“

IT-Security | News | Trends 2025 | Trends Security

Zunehmende technische Eskalation bei DDoS-Angriffen in der DACH-Region

4. April 2026

Der neue NETSCOUT DDoS Threat Intelligence Report zeigt eine dramatische Verschärfung der Cyberbedrohungslage durch hacktivistische Aktivitäten und die Nutzung von DDoS-Attacken als präzisionsgelenkte Waffen mit geopolitischem Einfluss: In der zweiten Jahreshälfte 2025 wurden weltweit mehr als acht Millionen DDoS-Angriffe registriert [1]. Besonders auffällig ist der Druck auf kritische Infrastrukturen, ausgelöst durch Hacktivisten, DDoS-for-hire-Dienste und Botnetze.…

Management Summary

Die in diesem Artikel verwendeten Zahlen sind dem Edge Security Report entnommen. https://bunny.net/edge-security-report-2026/

FAQ: Moderne DDoS-Abwehr

Quellen

[1] Cloudflare: HTTP Flood DDoS Attack – https://www.cloudflare.com/learning/ddos/http-flood-ddos-attack/

[2] CISA: Understanding and Responding to Distributed Denial-of-Service Attacks – https://www.cisa.gov/resources-tools/resources/understanding-and-responding-distributed-denial-service-attacks

[3] AWS: Building basic DDoS resilient architectures with Shield Advanced – https://docs.aws.amazon.com/waf/latest/developerguide/ddos-resiliency.html

[4] AWS: Best Practices for DDoS Resiliency – https://docs.aws.amazon.com/whitepapers/latest/aws-best-practices-ddos-resiliency/aws-best-practices-ddos-resiliency.html

[5] OWASP: Bot Management and Anti-Automation Cheat Sheet – https://cheatsheetseries.owasp.org/cheatsheets/Bot_Management_and_Anti-Automation_Cheat_Sheet.html

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

99 Artikel zu „DDoS“