06.08.2025

Was steckt hinter DoS und DDoS?
Ein „Denial-of-Service“ (DoS) Angriff ist eine Technik mit dem Ziel, einen Dienst oder einen Server gezielt durch eine Flut von Anfragen zu überlasten. In der einfachsten Form verbindet sich dafür ein Gerät mit einem Server und sendet eine massive Zahl an Anfragen. Analog dazu kann man sich eine Person vorstellen, die im Supermarkt stundenlang eine einzelne Kasse blockiert.

In der zweiten - weiter verbreiteten - Version, wird ein solcher Überlastungsangriff nicht durch einen einzelnen Akteur durchgeführt, sondern durch eine Vielzahl von Angreifern. Man spricht deshalb von einem „Distributed-Denial-of-Service“ (DDoS) Angriff. Um in der Analogie zu bleiben kann man sich vorstellen, dass eine große Menge an Menschen den Supermarkt betritt, die Gänge verstopft und somit legitimen Kunden den Einkauf behindert oder unmöglich macht.

DDoS-Methoden im Detail


Bei DDoS Angriffen nutzen Täter oft Methoden, um mit niedrigem technischem Einsatz schwerwiegende Überlastungen zu erreichen. Man spricht von sogenannten Amplifizierungs-Techniken, von denen wir zwei exemplarisch vorstellen:

Überlastung durch rechenintensive Anfragen
Angreifer senden Anfragen gezielt an frei zugängliche Suchfelder oder Formularbereiche, wie zum Beispiel Anmelde- oder Passwort-vergessen-Seiten. Im Vergleich zu statischen Inhalten muss der Server beim Aufruf dieser Ressourcen komplexere Rechenoperationen ausführen (z.B. um eine Datenbank zu durchsuchen/ändern). Definitionsgemäß kann der Angreifer somit Überlastungen bereits mit weniger Anfragen erreichen.

Angriffe mit Botnetzen und Slowloris-Technik
Eine weitere Technik ist der Einsatz von Botnetzen in Kombination mit der sogenannten Slowloris-Methode. Botnetze – Netzwerke aus vielen infizierten Computern (Bots) – werden genutzt, um viele gleichzeitige Anfragen an einen Server zu schicken. Dabei stellen die Bots gleichzeitig Verbindungen her, senden jedoch keine vollständigen Anfragen und halten die Verbindung somit künstlich offen. Dadurch füllt sich die maximale Verbindungskapazität des Servers langsam, bis er keine neuen Verbindungen mehr annimmt und somit für reguläre Nutzer nicht mehr erreichbar ist.

Empfohlene Maßnahmen zur Risikominimierung

• Einrichtung von CAPTCHA bei Suchfeldern, Kontaktformularen und anderen interaktiven Inhalten, die nicht durch eine Benutzerauthentifizierung geschützt sind.
• Vorübergehende Deaktivierung von Such- und Kommunikationsfeldern während eines Angriffs.
• Definition von Timeouts für alle Anfragen (Vermeidung von Slowloris).
• Einrichtung gängiger Standardmaßnahmen (z. B. Umleitung des Datenverkehrs etc.)
• Einbeziehung eines DDoS-Mitigation-Dienstleisters, basierend auf der Empfehlungsliste des BSI.
• Reines IP-Geo-Blocking hat sich in der Vergangenheit als wenig effizient erwiesen, da täterseitig Botnetze sowie flexible IP-Adressen genutzt werden, falls durch Geoblocking Anfragen verhindert werden (z. B. aus Ländern wie Russland oder China).
• Sensibilisierung von Servicedienstleistern mit dem Vorschlag, kombinierte Schutzmaßnahmen einzurichten.

Eine Strafanzeige kann bei der zuständigen Zentralen Ansprechstelle Cybercrime (ZAC), der örtlichen Polizei oder online erstattet werden. Es wird empfohlen, Geschäftsprozesse regelmäßig auf Sicherheitslücken zu prüfen, Cyberangriffe konsequent anzuzeigen und frühzeitig Kontakt zu den zuständigen Behörden aufzunehmen, um Cyberkriminalität wirksam zu bekämpfen.