Ein DDoS-Angriff (Distributed Denial of Service) ist ein koordinierter Überlastungsangriff, bei dem eine Vielzahl von Systemen gleichzeitig Anfragen an einen Server, ein Netzwerk oder einen Dienst sendet, sodass dieser für reguläre Nutzende nicht mehr oder nur stark verzögert erreichbar ist.
Auch genannt: DDoS-Attacke, verteilte Dienstblockade, Distributed Denial of Service
Stell dir vor, tausende Menschen rufen gleichzeitig bei derselben Hotline an, ohne ein echtes Anliegen zu haben. Die Leitungen sind blockiert, und wer wirklich Hilfe braucht, kommt nicht mehr durch. Genau das passiert bei einem DDoS-Angriff im Netz: Der Dienst wird nicht „geknackt“, sondern schlicht überlastet.
Angreifende nutzen meist ein Botnetz: einen Verbund aus zuvor gekaperten Geräten, etwa Computern, Routern oder vernetzten Kameras, die sich aus der Ferne gemeinsam steuern lassen. Auf Kommando senden alle diese Geräte gleichzeitig Anfragen an dasselbe Ziel. Weil die Anfragen von sehr vielen unterschiedlichen Absendern kommen, ist der schädliche Verkehr schwer von legitimen Zugriffen zu unterscheiden. Manche Angriffe zielen auf die schiere Datenmenge und füllen die verfügbare Bandbreite, andere erzeugen aufwendige Anfragen, die den Server rechnerisch erschöpfen. Angreifende fälschen häufig die Absenderadresse, was ihre Rückverfolgung erschwert.
Ein Onlineshop wird kurz vor einer großen Rabattaktion von einem Botnetz mit Millionen gleichzeitiger Seitenaufrufe überflutet. Der Webserver kommt nicht mehr hinterher, Kundinnen und Kunden sehen nur noch Fehlermeldungen oder lange Ladezeiten, und Bestellungen bleiben aus, obwohl keine Daten gestohlen wurden.
DDoS-Angriffe sind ein Angriffsmittel, kein Werkzeug mit legitimem Einsatzzweck. Motive reichen von Erpressung („Zahle, sonst bleibt die Seite offline“) über politischen Protest und Sabotage bis hin zur Ablenkung, während parallel ein anderer Angriff läuft. Für Organisationen ist das Thema deshalb als Teil der Verfügbarkeitsplanung relevant: Typische Gegenmaßnahmen sind das Filtern von Verkehr, das Verteilen der Last auf mehrere Standorte, spezialisierte Abwehrdienste von Netzbetreibern und Notfallpläne für den Ernstfall.
Ein DDoS-Angriff richtet sich gegen die Verfügbarkeit eines Dienstes, nicht gegen die Vertraulichkeit von Daten; Daten werden dabei in der Regel weder gestohlen noch verändert. Er kann aber als Ablenkungsmanöver für andere Angriffe dienen. Auch eine plötzliche Lastspitze durch viele echte Besuchende, etwa nach einem viralen Beitrag, ist kein Angriff, kann aber ähnliche Symptome auslösen. Und eine einzelne Firewall am Netzwerkrand reicht gegen sehr große Angriffe meist nicht aus, weil die Leitung schon vor der Firewall überlastet sein kann.
Nicht zu verwechseln mit Phishing, das Menschen durch Täuschung zur Preisgabe von Daten bringt, und mit Malware, die selbst Schadcode ist: Malware kann jedoch dazu dienen, Geräte in ein Botnetz einzugliedern. Ebenso zu unterscheiden von Ransomware, die Daten verschlüsselt und Lösegeld verlangt, statt einen Dienst zu überlasten. Die Firewall ist ein mögliches Schutzmittel, kein Synonym.