DDoS-Angreifer setzen zunehmend auf kurze, wiederholte Störungen statt auf lang andauernde Attacken. Cloudflare zufolge stoppt das Unternehmen jede Stunde Tausende von Angriffen.
Zwischen Juli und September 2026 entschärfte das Unternehmen 18,2 Millionen DDoS-Angriffe auf Netzwerkebene – ein Anstieg um 208 % gegenüber dem Vorjahreszeitraum, wie aus seinem aktuellen DDoS Threat Report hervorgeht.
Cloudflare blockierte im Quartal außerdem 14,4 Billionen schädliche HTTP-Anfragen im Zusammenhang mit DDoS-Angriffen. Unterdessen dauerten 96 % der Angriffe auf Netzwerkebene weniger als 10 Minuten, sodass Sicherheitsteams nur wenig Zeit für eine manuelle Reaktion hatten.
Das Unternehmen bringt dieses Muster mit DDoS-for-hire-Diensten in Verbindung, die allgemein als Booter bezeichnet werden und es Kunden ermöglichen, Angriffe gegen ausgewählte Ziele zu starten. Die Zahlen deuten darauf hin, dass Angreifer zunehmend auf wiederholte, kurzlebige Störungen setzen, statt sich ausschließlich auf massive Datenverkehrsfluten zu konzentrieren.
Große Botnet-Störungen haben die Bedrohung nicht beseitigt
Während die Zahl kleinerer Angriffe zunahm, sank die Zahl hypervolumetrischer DDoS-Angriffe mit mehr als 1 Terabit pro Sekunde von 805 im zweiten auf 251 im dritten Quartal – ein Rückgang um fast 69 %.
Der Rückgang fällt mit einer im März durchgeführten Ermittlungsoperation zusammen, die sich gegen vier große Botnets des Internets der Dinge richtete: Aisuru, KimWolf, JackSkid und Mossad. Cloudflare stellte jedoch fest, dass neue Varianten wie Dysphoria und Evooo1Bot aufgetaucht sind.
Auch die Aktivität im Zusammenhang mit Mirai blieb erheblich. Der entschärfte Datenverkehr erreichte im August mit 57,23 Petabyte seinen Höchststand und machte 46,5 % aller im Quartal entschärften Bytes auf Netzwerkebene aus. Der längste anhaltende Mirai-Angriff dauerte fast 50 Stunden.
Angreifer setzen auf andere DDoS-Techniken
Cloudflare berichtete außerdem über Veränderungen bei den Methoden, die Angreifer im Quartal nutzten.
Reflection-Angriffe über das verbindungslose Lightweight Directory Access Protocol (CLDAP) gingen gegenüber dem Vorquartal um 99,5 % zurück und machten nur noch 0,05 % der Angriffe auf Netzwerkebene aus. DNS-Amplification-Angriffe nahmen um 215 % zu und machten 3,43 % der Vorfälle aus.
Auch andere UDP-Floods traten häufiger auf; ihr Anteil stieg von 14,06 % auf 31,31 %.
Diese Veränderungen zeigen, wie schnell Angreifer zwischen verfügbaren Angriffsmethoden wechseln können. Die Störung einer Technik oder die Abschaltung eines Botnets beseitigt nicht zwangsläufig die dahinterstehende Infrastruktur oder Nachfrage nach DDoS-Angriffen.
Unternehmen haben ein kürzeres Reaktionsfenster
Das veränderte Angriffsmuster stellt IT- und Sicherheitsteams vor eine praktische Herausforderung. Wenn die meisten Vorfälle innerhalb von 10 Minuten enden, kann die manuelle Untersuchung von Warnungen und Anpassung der Netzwerkschutzmaßnahmen länger dauern als die Angriffe selbst.
Organisationen, die Kundenportale, Online-Transaktionen, Cloud-Anwendungen und andere aus dem Internet erreichbare Dienste betreiben, benötigen eine automatisierte Erkennung und Abwehr, die ohne Verzögerung durch menschliches Eingreifen reagieren kann.
Das unterstreicht auch, wie wichtig es ist, den Schutz über die Bandbreitenkapazität hinaus zu überprüfen. Schutzmaßnahmen müssen neben gelegentlichen Angriffen mit hohem Volumen auch wiederholte kleinere Angriffe berücksichtigen, die Serverressourcen erschöpfen.
So können sich Unternehmen gegen kürzere DDoS-Angriffe schützen
Das veränderte Angriffsmuster stellt IT- und Sicherheitsteams vor eine praktische Herausforderung. Wenn die meisten Vorfälle innerhalb von 10 Minuten enden, kann die manuelle Untersuchung von Warnungen und Anpassung der Schutzmaßnahmen länger dauern als die Angriffe selbst.
Für Kunden können sich die Folgen eher in fehlgeschlagenen Zahlungsvorgängen, Zeitüberschreitungen bei der Anmeldung oder sporadischen Dienstunterbrechungen zeigen als in einem längeren Ausfall. Selbst relativ kleine Angriffe können Dienste beeinträchtigen, die nicht ausreichend geschützt sind.
Unternehmen sollten ihren DDoS-Schutz überprüfen und Hosting- oder Netzwerkanbieter drei Fragen stellen:
- Erfolgen Erkennung und Filterung automatisch, oder muss zuerst ein Mitarbeiter eine Warnung lesen?
- Ist der Schutz immer aktiv?
- Wie geht der Anbieter mit wiederholten kurzen Angriffen um?
Cloudflare zufolge erhält jeder Dienst in seinem Netzwerk kostenlosen, ungemessenen DDoS-Schutz in mehr als 330 Städten und mit einer Kapazität von 500 Tbit/s.
IT-Teams sollten außerdem öffentlich erreichbare DNS-Resolver und Verzeichnisdienste überprüfen, die Angreifer für Reflection- oder Amplification-Angriffe missbrauchen könnten.
Hosting- und Netzwerkanbieter können Bedrohungsdatenfeeds wie den DDoS Botnet Threat Feed von Cloudflare nutzen, um Infrastruktur zu identifizieren, die mit missbräuchlichem Datenverkehr in Verbindung steht.
Die Ergebnisse unterstreichen den Bedarf an automatisiertem Schutz, der schnell auf Angriffe unterschiedlicher Größe reagiert, statt an Schutzmaßnahmen, die nur für lang andauernde Vorfälle mit hohem Datenvolumen ausgelegt sind.
Weitere Nachrichten: Sony Network Communications hat eine Datenschutzverletzung offengelegt, von der in Japan rund 2,59 Millionen Kundendatensätze von So-net und plala sowie die Passwörter von 54.401 E-Mail-Konten betroffen sind.