Am Abend des 11. August war der Schweizer Messenger Threema vier Stunden lang nicht erreichbar. Kein Datenleck, keine Sicherheitslücke, kein Schadcode — nur eine Flut von Anfragen, die den Dienst und seinen Zürcher Hosting-Partner gleichzeitig traf. Für KMU ist dieser Fall gerade deshalb lehrreich, weil hier niemand geschlampt hat.
Was passiert ist
Zwischen 19:30 und 23:30 Uhr war Threema am Dienstag, 11. August, nicht verfügbar. Am Mittwochmorgen folgten mehrere kürzere Unterbrüche, um 12:23 Uhr lief der Dienst wieder regulär. Die Angriffe richteten sich nicht nur gegen den Messenger selbst, sondern auch gegen den Colocation-Partner Nine, einen Hosting- und Cloud-Anbieter aus Zürich. Ob Threema überhaupt das eigentliche Ziel war oder mehrere Kunden derselben Infrastruktur gleichzeitig getroffen wurden, liess sich nicht eindeutig klären.
Ein Detail ist bemerkenswert: Die Angreifer änderten ihr Vorgehen während der Attacken wiederholt, die Abwehr musste laufend nachjustiert werden. Threema selbst beschreibt es als Katz-und-Maus-Spiel. Am 14. August um 18:05 Uhr aktivierte das Unternehmen einen zusätzlichen, spezialisierten Schutz, der Angriffsverkehr filtert, bevor er die eigene Infrastruktur überhaupt erreicht.
Warum das kein Anfängerfehler war
Hier trifft es zwei Parteien, die ihr Handwerk beherrschen: einen Anbieter, der Sicherheit zum Geschäftsmodell gemacht hat, und einen etablierten Schweizer Hoster. Genau das macht den Fall interessant.
Ein DDoS-Angriff braucht keine Sicherheitslücke. Er sucht keinen Weg hinein, sondern überflutet die Leitung, bis für echte Nutzer kein Platz mehr bleibt. Es gibt nichts zu patchen und keinen Schadcode zu entfernen — wie das im Detail funktioniert und was auf Hosting-Ebene tatsächlich hilft, steht in unserem Leitfaden zu DDoS-Schutz. Wer angegriffen wird, entscheiden die Angreifer, nicht die Qualität der eigenen Arbeit.
Drei Dinge, die dieser Fall zeigt
Die Statusseite gehört nicht auf dieselbe Infrastruktur. Threemas Statusseite war zeitweise selbst nicht erreichbar — ausgerechnet die Seite, auf der Kunden erfahren sollen, was los ist. Im Kleinen stellt sich für jedes KMU dieselbe Frage: Über welchen Kanal erreichen Sie Ihre Kunden, wenn die Website weg ist? Wer Website und Mail auf demselben Server betreibt, verliert im Ernstfall beides gleichzeitig. Ein Telefon, ein Konto in einem sozialen Netz oder eine Mailadresse ausserhalb der eigenen Infrastruktur genügen völlig — man muss nur vorher wissen, welche es ist.
Wie weit ein Ausfall reicht, entscheidet die Architektur. Kunden mit Threema OnPrem, also einer Installation im eigenen Haus, merkten von der ganzen Sache nichts. Nicht, weil sie besser geschützt gewesen wären, sondern weil sie woanders liefen. Für ein KMU heisst das nicht «alles selbst betreiben» — sondern schlicht: Das Backup gehört nicht auf dieselbe Maschine wie das, was es sichern soll. Was zusammen ausfällt, muss auch zusammen wiederhergestellt werden können.
Vorgelagerte Filterung ist der Hebel, der zieht. Threema hat am Ende genau das nachgerüstet: einen Dienst, der den Verkehr abfängt, bevor er die eigenen Systeme erreicht. Das ist auch für eine KMU-Website die wirksamste Massnahme — und in brauchbaren Stufen kostenlos zu haben. Ein einzelner Server kann eine verteilte Überlast nicht aus eigener Kraft wegstecken, egal wie gross er ist.
Was das für Ihre Website heisst
Zuerst die Entwarnung: Eine typische KMU-Website ist kein lohnendes Ziel für einen Angriff dieser Grössenordnung. Trotzdem lohnen sich drei Fragen, die nichts kosten.
Erstens: Wie erfahren Sie, dass Ihre Website nicht erreichbar ist — durch den Anruf eines Kunden oder durch eine Überwachung, die es meldet? Der Unterschied sind in der Praxis Stunden. Wir bieten das als Monitoring im SLA an, es gibt aber auch einfache Dienste, die man selbst einrichtet. Hauptsache, irgendetwas schaut hin.
Zweitens: Läuft der Verkehr über einen vorgelagerten Filter oder direkt auf Ihren Server? Wenn Sie es nicht wissen, lautet die Antwort erfahrungsgemäss «direkt».
Drittens: Was hängt sonst noch an derselben Maschine? Mail, Backup, der Webshop, die Kundendatenbank — je mehr davon zusammenliegt, desto grösser ist der Schaden eines einzelnen Ausfalls. Was ein Rechenzentrum an dieser Stelle leisten kann und was nicht, haben wir unter Rechenzentrum-Sicherheit aufgeschrieben.
Was wir dazu ehrlich sagen
Kein Anbieter kann Unangreifbarkeit versprechen — wir auch nicht. Wer es tut, verkauft etwas, das es nicht gibt. Was ein Anbieter versprechen kann, ist etwas anderes: dass er es merkt, dass er erreichbar ist, und dass er sagt, was los ist, solange es noch dauert.
An diesem Massstab gemessen hat Threema die Sache gut gemacht — kommuniziert, während es lief, nachgerüstet, und danach öffentlich erklärt, was passiert ist. Dass es überhaupt vier Stunden gedauert hat, ändert daran wenig. Der Unterschied zwischen einem guten und einem schlechten Ausfall liegt selten in der Technik. Er liegt darin, ob jemand ans Telefon geht.