DDoS

Entstehung und Beteiligte

Denial-of-Service-Angriffe sind so alt wie gemeinsam genutzte Computersysteme. Verteilte Angriffe wurden Ende der 1990er-Jahre mit Werkzeugen wie Trinoo und TFN sichtbar. Der Morris-Wurm von 1988 zeigte zuvor, wie schnell unbeabsichtigte Überlastung das Internet treffen konnte.

Welches Problem sollte gelöst werden?

Angreifer wollen Erreichbarkeit zerstören, ohne ein System vollständig übernehmen zu müssen. Viele verteilte Quellen können Bandbreite, Verbindungszustände oder Anwendungsressourcen überlasten.

Technische Hürden und Lösungen

Quelladressen lassen sich fälschen, Botnetze verteilen Verkehr und Reflexionsangriffe verstärken kleine Anfragen. Abwehr benötigt Filter nahe der Quelle, Anycast, Scrubbing, Ratenbegrenzung und ausreichend Kapazität. Legitime Lastspitzen sehen Angriffen oft ähnlich.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

• 2000 trafen große DDoS-Angriffe bekannte Webportale.
• SYN Floods erschöpfen Verbindungszustände.
• DNS, NTP und Memcached wurden für Verstärkung missbraucht.
• BCP 38 empfiehlt Filter gegen gefälschte Quelladressen.

Was ist ein DDoS-Angriff?

Ein Distributed Denial of Service (DDoS) Angriff überschwemmt ein Ziel mit Anfragen aus vielen tausend Quellen gleichzeitig, um es zu überlasten und unzugänglich zu machen. Die Angreifer nutzen dafür Botnets – Netzwerke aus kompromittierten Geräten (PCs, IoT-Geräte, Router).

Moderne DDoS-Angriffe erreichen Terabit-pro-Sekunde-Dimensionen. Der bisher größte dokumentierte Angriff erreichte 3,47 Tbps (Microsoft Azure, 2021).

DDoS-Angriffsvektoren

• Volumetrische Angriffe: Bandbreitenerschöpfung durch UDP Floods, ICMP Floods, Amplification-Angriffe (DNS, NTP, Memcached).
• Protokollangriffe: SYN-Flood erschöpft Verbindungstabellen (TCP Half-Open). Angreifer sendet SYN ohne ACK, Server wartet vergeblich.
• Applikationsangriffe (L7): HTTP Floods, Slowloris (hält Verbindungen offen), GET/POST Floods. Schwer zu erkennen, da legitimer Traffic imitiert wird.
• DNS-Amplification: Kleines Anfrage-Paket mit gefälschter Quell-IP → große Antwort geht ans Opfer (Amplification-Faktor bis 10.000x).

DDoS-Schutzmaßnahmen

Schutz erfolgt auf mehreren Ebenen: CDN/Anti-DDoS-Provider (Cloudflare, Akamai, AWS Shield) absorbieren Angriffs-Traffic am Netzwerkrand, bevor er die eigene Infrastruktur erreicht. BGP-Blackholing/RTBH stoppt Angriffs-Traffic beim ISP.

Anwendungsebene: Rate-Limiting, CAPTCHA, Challenge-Pages, IP-Reputation-Scoring. Netzwerkebene: Ingress/Egress Filtering (BCP38), Anycast-Routing zur Verteilung des Traffics.