Ein DDoS-Angriff braucht keine Sicherheitslücke. Er nutzt keine Schwachstelle in Ihrer Software aus, stiehlt keine Daten und hinterlässt keinen Schadcode — er überflutet Ihre Website einfach mit so vielen Anfragen, bis sie unter der Last zusammenbricht und für echte Besucher nicht mehr erreichbar ist. Das klingt nach einem Problem für Grosskonzerne, trifft aber zunehmend auch kleine Firmen. Dieser Leitfaden erklärt, wie solche Angriffe funktionieren, warum ein einzelner Server ihnen wenig entgegensetzen kann und welche Abwehr auf Hosting-Ebene tatsächlich hilft.
Ein Angriff ohne Einbruch
Die meisten Cyberangriffe suchen einen Weg hinein — eine Lücke, ein schwaches Passwort, eine unbedachte Datei. Ein DDoS-Angriff ist anders: Er will gar nicht hinein. Sein einziges Ziel ist, Ihre Website so zu überlasten, dass sie für niemanden mehr erreichbar ist. Man kann es sich vorstellen wie eine Ladentür, vor der sich hunderte Menschen drängen, die gar nichts kaufen wollen — echte Kunden kommen nicht mehr durch. Der Laden ist unversehrt, aber geschäftsunfähig.
Genau das macht DDoS für die Abwehr so unangenehm. Es gibt keine Lücke zu schliessen, keinen Schadcode zu entfernen. Die Anfragen sehen zunächst aus wie normaler Verkehr, nur eben in erdrückender Menge und aus tausenden Quellen gleichzeitig. Man kann nicht einfach eine Adresse sperren, wenn der Angriff von zehntausend gekaperten Geräten weltweit kommt.
Warum ein einzelner Server chancenlos ist
Jeder Server hat Grenzen — an Rechenleistung, an Arbeitsspeicher, vor allem an Netzwerkbandbreite. Ein Angriff, der diese Grenzen übersteigt, legt den Server lahm, ganz gleich wie gut die Website programmiert ist. Es ist eine Frage der schieren Menge, nicht der Qualität. Ein einzelner Server kann einen Angriff, der ein Vielfaches seiner Kapazität an Verkehr erzeugt, nicht «wegrechnen». Deshalb ist Abwehr auf Server-Ebene der falsche Ort. Der Angriff muss gestoppt werden, bevor er den Server erreicht.
Die drei Ebenen der Abwehr
Das Rechenzentrum. Professionelle Rechenzentren filtern grobschlächtige Überlastungsangriffe bereits auf Netzebene heraus, bevor sie einzelne Kundenserver erreichen. Dieser Grundschutz ist bei einem seriösen Hoster eingebaut und einer der Gründe, warum ein Discount-Angebot ohne Rechenzentrums-Infrastruktur riskant ist. Was ein Rechenzentrum darüber hinaus sicher macht, behandeln wir im Leitfaden Was ein Rechenzentrum sicher macht.
Der vorgelagerte Filterdienst. Für gezielte Angriffe ist ein Dienst zwischen Besucher und Server der wirksamste Schutz — ein Content Delivery Network mit DDoS-Filter. Aller Verkehr läuft zuerst durch dessen weltweites Netz, das bösartige Anfragen erkennt und aussortiert, und erst der saubere Rest erreicht Ihr Hosting. Solche Dienste haben Kapazitäten, gegen die selbst grosse Angriffe verpuffen.
Die Website selbst. Eine gut aufgesetzte Website mit Zwischenspeicherung (Caching) hält deutlich mehr Last aus als eine, die jede Anfrage von Grund auf berechnet. Das stoppt keinen ernsten Angriff, verschiebt aber die Schwelle nach oben und hilft gegen kleinere Überlastungen und Besucherspitzen.
Angriff oder Erfolg? Der wichtige Unterschied
Nicht jede überlastete Website ist angegriffen. Ein Bericht in der Presse, ein viraler Beitrag, eine gelungene Kampagne — plötzlicher, echter Besucheransturm sieht auf den ersten Blick aus wie ein Angriff. Der Unterschied liegt im Muster: Echte Besucher kommen aus plausiblen Regionen, verhalten sich unterschiedlich und rufen verschiedene Seiten auf. Angriffsverkehr ist gleichförmig, technisch auffällig und oft auf einen einzigen Punkt gerichtet.
Diesen Unterschied früh zu erkennen, ist der Kern einer guten Reaktion — und einer der Gründe, warum ein Monitoring, das über die reine Erreichbarkeit hinausgeht, sich auszahlt. Wer erst merkt, dass etwas nicht stimmt, wenn Kunden anrufen, verliert wertvolle Zeit.
Was ein KMU praktisch tun sollte
Die gute Nachricht: Für eine typische kleine oder mittlere Website ist solider DDoS-Schutz weder teuer noch kompliziert. Drei Schritte decken das Wesentliche ab.
Ein Hosting mit Rechenzentrums-Grundschutz wählen statt eines nackten Discount-Servers. Der Netzschutz eines professionellen Rechenzentrums fängt bereits einen grossen Teil ab.
Einen vorgelagerten Filterdienst nutzen. Ein CDN mit DDoS-Schutz gibt es in brauchbaren kostenlosen Stufen. Es beschleunigt nebenbei die Website und verbirgt die echte Server-Adresse vor Angreifern.
Überwachung einrichten, die nicht nur meldet, ob die Seite läuft, sondern auch, wie der Verkehr aussieht — damit ein Angriff erkannt wird, bevor er den Betrieb trifft.
Wir richten diese Kombination auf Wunsch ein und betreuen sie laufend. Wie sich Monitoring und schnelle Reaktion im Ernstfall auszahlen, steht in unserem Beitrag zur Wartung und Überwachung. Und wenn ein Angriff mehr war als reine Überlastung — etwa Ablenkung für einen parallelen Einbruchsversuch — hilft die Hack- und Malware-Bereinigung, den Schaden zu prüfen.
Häufige Fragen
-
Was bedeutet DDoS überhaupt?
DDoS steht für «Distributed Denial of Service» — auf Deutsch etwa «verteilte Dienstverweigerung». «Denial of Service» bezeichnet das Ziel: einen Dienst, meist eine Website, für legitime Nutzer unerreichbar zu machen. «Distributed» bedeutet, dass der Angriff nicht von einem einzelnen Computer ausgeht, sondern von tausenden gleichzeitig — oft von einem Botnetz aus gekaperten Geräten, deren Besitzer nichts davon ahnen. Diese Verteilung macht den Angriff so schwer abzuwehren: Man kann nicht einfach eine einzelne Quelle sperren.
-
Warum sollte jemand eine kleine Firmen-Website angreifen?
Die Gründe sind vielfältiger, als man denkt. Erpressung ist einer davon — die Website wird lahmgelegt und gegen Zahlung wieder freigegeben. Konkurrenz spielt eine Rolle, besonders bei Onlineshops zu Stosszeiten. Manchmal ist es politischer oder persönlicher Ärger, manchmal reine Zerstörungslust. Und häufig ist eine kleine Website gar nicht das eigentliche Ziel, sondern liegt zufällig auf demselben Server oder im selben Netz wie das echte Ziel und wird mitgetroffen. Kleine Angriffe sind zudem billig zu mieten — das senkt die Hemmschwelle erheblich.
-
Merke ich einen DDoS-Angriff sofort?
Nicht unbedingt eindeutig. Das erste Symptom ist meist, dass die Website langsam wird oder gar nicht mehr lädt — was auch harmlose Ursachen haben kann, etwa einen unerwarteten Besucheransturm nach einem Medienbericht. Der Unterschied zeigt sich im Muster: Bei einem Angriff kommen die Anfragen auffällig gleichförmig, aus ungewöhnlichen Weltregionen oder in technisch unnatürlicher Form. Ein Monitoring, das nicht nur die Erreichbarkeit, sondern auch das Anfragemuster im Blick hat, erkennt den Unterschied früher als ein Mensch, der sich wundert, warum die Seite hakt.
-
Schützt mich mein normales Webhosting vor DDoS?
Teilweise. Ein professioneller Hoster betreibt seine Server in Rechenzentren, die auf Netzebene bereits einen Grundschutz gegen Überlastungsangriffe haben — grosse Anbieter filtern offensichtlich bösartigen Massenverkehr, bevor er den einzelnen Server überhaupt erreicht. Gegen grosse, gezielte Angriffe reicht das allein aber nicht. Dafür braucht es einen vorgelagerten Schutzdienst, der den Verkehr filtert, bevor er das Hosting erreicht. Wichtig ist zu wissen: Ein billiger Discount-Server ohne jeglichen Netzschutz ist einem Angriff praktisch schutzlos ausgeliefert.
-
Kann ich mich als kleine Firma überhaupt schützen?
Ja, und meist ohne grossen Aufwand. Der wirksamste Schutz für kleine und mittlere Websites ist ein vorgelagerter Filter- und Zwischenspeicher-Dienst (ein sogenanntes CDN mit DDoS-Schutz), der den Angriffsverkehr abfängt, bevor er Ihren Server erreicht. Solche Dienste gibt es in brauchbaren kostenlosen Stufen. In Kombination mit einem Hosting, dessen Rechenzentrum bereits einen Netzschutz mitbringt, ist eine typische KMU-Website gegen die allermeisten Angriffe gut aufgestellt. Wir richten das auf Wunsch ein.
-
Was tue ich, wenn ich gerade angegriffen werde?
Zuerst: nicht in Panik den Server neu starten, das hilft nicht. Melden Sie sich bei Ihrem Hoster — er sieht den Verkehr auf Netzebene und kann einschätzen, ob es ein Angriff ist und welche Massnahmen greifen. Oft lässt sich ein vorgelagerter Schutzdienst innerhalb von Minuten aktivieren, der den Verkehr filtert. Dokumentieren Sie Zeitpunkt und Symptome, das hilft bei der Analyse und einer allfälligen Anzeige. Zahlen Sie bei einer Erpressung nicht — es gibt keine Garantie, dass der Angriff aufhört, und Sie machen sich zum lohnenden Ziel für die nächste Runde.