DoS-Attacke (Denial-of-Service)

Eine DoS-Attacke (Denial-of-Service-Angriff, zu Deutsch „Angriff auf die Dienstverweigerung“) ist ein cyberkrimineller Angriff, der darauf abzielt, einen bestimmten Netzwerkdienst, einen Server oder eine gesamte Infrastruktur so stark zu überlasten, dass dieser für legitime Nutzer nicht mehr erreichbar oder nutzbar ist. Im Gegensatz zu Einbrüchen, bei denen Daten gestohlen werden sollen, ist das primäre Ziel einer DoS-Attacke die Verfügbarkeit zu zerstören. Der Dienst soll „denial of service“ leisten – also den Dienst verweigern. In der modernen Cyberkriegsführung treten diese Angriffe fast ausschließlich als DDoS-Attacken (Distributed Denial-of-Service) auf, bei denen Tausende von kompromittierten Geräten gleichzeitig auf ein Ziel feuern.

Grundprinzip und Funktionsweise

Das Ziel: Die Überlastung der Ressourcen

Jeder Server und jede Netzwerkleitung hat begrenzte Ressourcen. Dazu gehören:

• Bandbreite: Die maximale Datenmenge, die pro Sekunde übertragen werden kann.
• Rechenleistung (CPU/RAM): Die Kapazität des Servers, Anfragen zu verarbeiten.
• Verbindungsslots: Die maximale Anzahl gleichzeitiger Verbindungen, die ein Server offen halten kann.

Eine DoS-Attacke zielt darauf ab, eine oder mehrere dieser Ressourcen künstlich bis zum Maximum auszuschöpfen. Sobald die Kapazitätsgrenze erreicht ist, kann der Server keine neuen, legitimen Anfragen mehr annehmen. Für den normalen Nutzer sieht dies so aus, als ob die Webseite extrem langsam lädt, Fehlermeldungen (wie „503 Service Unavailable“) anzeigt oder gar nicht mehr erreichbar ist.

Der Unterschied: DoS vs. DDoS

Obwohl die Begriffe oft synonym verwendet werden, gibt es einen technischen Unterschied:

• DoS (Denial-of-Service): Der Angriff geht von einer einzigen Quelle (einem Computer) aus. Diese Angriffe sind heute seltener, da sie leichter zu blockieren sind (man sperrt einfach die IP-Adresse des Angreifers) und die Bandbreite eines einzelnen Rechners oft nicht ausreicht, um große Ziele lahmzulegen.
• DDoS (Distributed Denial-of-Service): Der Angriff erfolgt verteilt von Tausenden oder sogar Millionen von Quellen gleichzeitig. Diese Quellen sind meist infizierte Computer, Server, Kameras oder IoT-Geräte (Internet of Things), die Teil eines sogenannten Botnetzes sind. Ein DDoS-Angriff ist schwerer zu abwehren, da es schwierig ist, die bösartigen Anfragen von normalem Traffic zu unterscheiden, wenn sie von überall auf der Welt kommen.

Die drei Hauptkategorien von Angriffen

DoS-Attacken lassen sich technisch in drei Hauptkategorien einteilen, je nachdem, welche Schicht des Netzwerks angegriffen wird.

1. Volumetrische Angriffe (Layer 3 & 4)

Dies ist die „brachiale“ Methode. Das Ziel ist es, die gesamte verfügbare Bandbreite zwischen dem Opfer und dem Internet zu verstopfen.

• Funktionsweise: Der Angreifer flutet das Ziel mit enormen Datenmengen (gemessen in Bits pro Sekunde, bps, oder Paketen pro Sekunde, pps).
• Beispiel: Ein UDP-Flood, bei dem zufällige Ports auf dem Zielserver mit UDP-Paketen beschossen werden. Der Server antwortet auf jeden Port mit einem „Destination Unreachable“-Paket, was seine eigene Ressourcen erschöpft, während die Leitung durch den eingehenden Traffic verstopft wird.
• Größenordnung: Moderne Angriffe erreichen Spitzenwerte von mehreren Terabit pro Sekunde (Tbps).

2. Protokoll-Angriffe (Layer 3 & 4)

Diese Angriffe zielen nicht primär auf die Bandbreite, sondern auf Schwachstellen in den Netzwerkprotokollen selbst ab, um die Ressourcen der Server-Hardware (Firewalls, Load Balancer) zu erschöpfen.

• Funktionsweise: Sie nutzen Fehler im Aufbau von Protokollen wie TCP oder ICMP aus.
• Beispiel: SYN-Flood. Beim normalen TCP-Handshake (Verbindungsaufbau) sendet der Client ein SYN-Paket, der Server antwortet mit SYN-ACK und wartet auf ein ACK vom Client. Beim SYN-Flood sendet der Angreifer massenhaft SYN-Pakete, antwortet aber nie auf das SYN-ACK. Der Server hält Tausende von halboffenen Verbindungen im Speicher vor, bis der Speicher voll ist und keine neuen Verbindungen mehr annehmen kann.
• Beispiel: Ping of Death. Das Senden von manipulierten oder zu großen ICMP-Paketen, die beim Zusammensetzen den Puffer des Zielsystems überlaufen lassen und zum Absturz führen (heute durch Patches weitgehend behoben).

3. Applikations-Angriffe (Layer 7)

Dies sind die „chirurgischen“ und oft gefährlichsten Angriffe, da sie mit sehr wenig Bandbreite auskommen, aber maximale Wirkung erzielen. Sie zielen auf die Anwendungsschicht ab (z. B. den Webserver, die Datenbank oder die Login-Seite).

• Funktionsweise: Der Angreifer imitiert das Verhalten echter Nutzer, sendet aber Anfragen, die für den Server besonders rechenintensiv sind.
• Beispiel: HTTP-Flood. Tausende Bots rufen gleichzeitig eine komplexe Suchfunktion auf einer Webseite auf oder laden eine riesige Bilddatei immer wieder neu herunter. Jede einzelne Anfrage sieht legitim aus (ein normaler HTTP-GET-Request), aber die Summe der Anfragen bringt die CPU des Webservers oder die Datenbank in die Knie.
• Slowloris: Eine Technik, bei der der Angreifer eine Verbindung zum Server öffnet und Daten extrem langsam sendet, um die Verbindung so lange wie möglich offen zu halten, ohne sie jemals abzuschließen. Damit werden alle verfügbaren Verbindungs-Slots des Servers blockiert.

Die Rolle der Botnetze

Fast alle großen DDoS-Angriffe werden mit Botnetzen durchgeführt. Ein Botnetz ist ein Netzwerk aus ferngesteuerten Computern, die mit einer Schadsoftware (Malware) infiziert sind.

Rekrutierung der „Zombies“

Die Betreiber des Botnetzes (Bot-Herder) infizieren Geräte über Phishing-E-Mails, unsichere Passwörter oder Sicherheitslücken in Software. Besonders beliebt für Botnetze sind heute IoT-Geräte (Smart Home Geräte, Überwachungskameras, Router), da diese oft schlecht gesichert sind und Standardpasswörter nutzen, die nie geändert wurden. Bekannte Malware-Familien wie Mirai haben gezeigt, wie einfach sich Hunderttausende solcher Geräte für Angriffe kapern lassen.

Command-and-Control (C&C)

Die infizierten Geräte („Zombies“) verbinden sich mit einem Command-and-Control-Server. Von hier aus kann der Angreifer mit einem einzigen Befehl alle Geräte gleichzeitig anweisen, ein bestimmtes Ziel mit Traffic zu fluten. Der eigentliche Angreifer bleibt dabei im Verborgenen, während die Spuren zu den infizierten Opfern führen.

DDoS-as-a-Service

Ein erschreckender Trend ist die Kommerzialisierung von DDoS-Angriffen. Im Darknet werden Botnetze oder Angriffsleistungen als Dienstleistung („Booter“ oder „Stresser“) angeboten. Jeder kann für wenige Euro oder in Kryptowährung einen Angriff auf ein Ziel bestellen, ohne selbst technisches Wissen zu besitzen. Dies hat die Hemmschwelle für Angriffe massiv gesenkt.

Motive und Täterprofile

Warum führen Kriminelle DoS-Attacken durch? Die Motive sind vielfältig:

Finanzielle Erpressung (Ransom-DDoS)

Dies ist eines der häufigsten Motive. Angreifer legen eine Seite lahm oder drohen damit, und fordern ein Lösegeld (meist in Bitcoin), um den Angriff zu stoppen oder zukünftige Angriffe zu verhindern. Oft wird erst ein kleiner „Warnschuss“ abgegeben, um die Ernsthaftigkeit zu demonstrieren.

Wettbewerb und Geschäfts sabotage

Konkurrenten nutzen DDoS-Angriffe, um rivalsierende Unternehmen in geschäftskritischen Zeiten (z. B. Black Friday, Produktlaunches, Börsengänge) handlungsunfähig zu machen. Jeder Minute Ausfall kostet das Opfer Umsatz und Reputation, während der Angreifer Marktanteile gewinnen kann.

Hacktivismus und politischer Protest

Gruppen wie „Anonymous“ nutzen DDoS-Angriffe als digitales Mittel des zivilen Ungehorsams („Digital Sit-in“). Ziele sind oft Regierungsseiten, Polizeibehörden oder Unternehmen, die politisch oder ethisch in der Kritik stehen. Ziel ist hier weniger finanzieller Gewinn, sondern maximale öffentliche Aufmerksamkeit und Störung.

Ablenkungsmanöver (Smokescreen)

Oft werden DDoS-Angriffe genutzt, um die IT-Sicherheitsteams eines Unternehmens abzulenken. Während alle Aufmerksamkeit auf die Wiederherstellung der Verfügbarkeit gerichtet ist, schleusen sich Hacker unbemerkt ins Netzwerk ein, um Daten zu stehlen oder Systeme zu manipulieren. Der Lärm des DDoS-Angriffs übertönt den eigentlichen Einbruch.

„Script Kiddies“ und Rache

Manchmal sind es auch frustrierte Gamer, die einen Spieleserver lahmlegen, weil sie gebannt wurden, oder Einzeltäter, die sich an einem ehemaligen Arbeitgeber oder einer Person rächen wollen.

Abwehrmaßnahmen und Schutzstrategien

Die Abwehr von DDoS-Angriffen ist komplex, da man bösartigen Traffic von normalem Traffic unterscheiden muss. Es gibt keine „Wunderwaffe“, sondern nur einen Mix aus Maßnahmen.

On-Premise-Lösungen (Lokal)

Unternehmen können eigene Hardware (Firewalls, Intrusion Prevention Systems - IPS) einsetzen, um bekannte Angriffsmuster zu filtern.

• Vorteil: Schnelle Reaktion auf interne Angriffe.
• Nachteil: Die eigene Internetleitung ist oft der Flaschenhals. Wenn die Leitung durch einen volumetrischen Angriff verstopft ist, nützt die beste Firewall vor Ort nichts, da der Traffic das Gebäude gar nicht mehr erreicht.

Cloud-basierte DDoS-Schutzdienste (Scrubbing Centers)

Dies ist der Industriestandard für effektiven Schutz. Dienste wie Cloudflare, Akamai, AWS Shield oder spezielle Sicherheitsanbieter leiten den gesamten Traffic des Kunden über ihre eigenen, riesigen Netzwerke um.

• Funktionsweise: Der Traffic wird in Rechenzentren des Anbieters („Scrubbing Centers“) analysiert. Bösartige Pakete werden herausgefiltert („gescrubbt“), und nur der saubere, legitime Traffic wird an den Server des Kunden weitergeleitet.
• Vorteil: Diese Anbieter haben eine Bandbreite, die um ein Vielfaches größer ist als jeder denkbare Angriff, und können selbst Terabit-Angriffe absorbieren.

Rate Limiting und Verhaltensanalyse

Auf Anwendungsebene können Server so konfiguriert werden, dass sie die Anzahl der Anfragen pro IP-Adresse begrenzen (Rate Limiting). Moderne Systeme nutzen KI und maschinelles Lernen, um Anomalien im Traffic-Muster zu erkennen (z. B. wenn plötzlich 10.000 Anfragen aus einem Land kommen, aus dem normalerweise keine Nutzer stammen) und diese automatisch zu blockieren.

Anycast-Netzwerke

Anycast ist eine Routing-Methode, bei der dieselbe IP-Adresse von vielen verschiedenen Servern weltweit angekündigt wird. Der Traffic wird automatisch zum geografisch nächsten Knotenpunkt geleitet. Bei einem Angriff wird der Traffic somit auf viele Standorte verteilt („verdünnt“), sodass kein einzelner Standort überlastet wird.

Notfallplan (Incident Response Plan)

Jedes Unternehmen sollte einen Plan für den Ernstfall haben:

• Wer ist im Krisenteam?
• Wie kontaktiert man den ISP (Internet Service Provider) oder den DDoS-Schutzanbieter schnell?
• Welche Systeme haben Priorität (müssen zuerst wieder laufen)?
• Wie kommuniziert man mit Kunden während des Ausfalls?

Rechtliche Situation

DoS- und DDoS-Angriffe sind in fast allen Ländern der Welt strafbar.

Deutschland

In Deutschland fällt eine DoS-Attacke unter den Tatbestand der Computersabotage (§ 303b StGB).

• Strafrahmen: Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. In besonders schweren Fällen (wenn der Angriff eine bedeutende Anlage der Versorgung der Bevölkerung betrifft oder einen großen Vermögensschaden verursacht) liegt die Strafe zwischen sechs Monaten und zehn Jahren Freiheitsentzug.
• Beihilfe: Auch das Bereitstellen von Botnetzen oder das Anbieten von DDoS-Diensten ist strafbar. Selbst die Teilnahme an einem Angriff (z. B. durch das Herunterladen einer „Stresser“-App und das Starten gegen ein Ziel) macht sich strafbar.

International

Auch in den USA (Computer Fraud and Abuse Act), Großbritannien (Computer Misuse Act) und der EU (Richtlinie über Angriffe auf Informationssysteme) sind solche Angriffe schwere Straftaten, die mit hohen Haftstrafen geahndet werden.

Berühmte Beispiele der Geschichte

Der Angriff auf Dyn (2016)

Einer der größten Angriffe der Geschichte traf im Oktober 2016 den DNS-Provider Dyn. Das Botnetz „Mirai“, bestehend aus hunderttausenden infizierten IoT-Geräten (Kameras, Router), flutete Dyn mit Traffic. Die Folge: Große Teile des Internets waren in den USA und Europa zeitweise nicht erreichbar, darunter Twitter, Netflix, Reddit, Spotify und Amazon. Dieser Angriff zeigte die Verwundbarkeit des „Internet der Dinge“.

GitHub (2018)

Die Entwickler-Plattform GitHub wurde mit einem rekordverdächtigen Traffic von 1,35 Terabit pro Sekunde angegriffen. Besonders an diesem Angriff war die Methode: Es wurde kein Botnetz genutzt, sondern ein Missbrauch von öffentlichen „Memcached“-Servern (Datenbanksysteme), die ungesichert im Internet standen und winzige Anfragen mit riesigen Antworten quittierten (Amplification-Angriff). GitHub konnte den Angriff dank schneller Reaktion und Schutzdiensten innerhalb weniger Minuten abwehren.

Die Angriffe auf die Ukraine (seit 2022)

Im Kontext des russischen Angriffskrieges gegen die Ukraine wurden massive, koordinierte DDoS-Angriffe auf ukrainische Regierungsseiten, Banken und kritische Infrastrukturen gefahren. Diese Angriffe dienten oft als Auftakt für weitere militärische oder cyber-spionische Operationen und zeigten die Rolle von DDoS als Werkzeug der hybriden Kriegsführung.

Fazit

DoS- und DDoS-Attacken bleiben eine der größten Bedrohungen für die Stabilität des Internets. Während die technischen Methoden immer raffinierter werden (künstliche Intelligenz zur Umgehung von Filtern, Angriffe auf 5G-Netze), entwickeln sich auch die Abwehrmechanismen weiter. Für Unternehmen ist ein passiver Schutz heute nicht mehr ausreichend; eine proaktive Strategie mit Cloud-basiertem Schutz, regelmäßigen Tests der Resilienz und einem klaren Notfallplan ist unverzichtbar. Für den einzelnen Nutzer gilt: Geräte sicher konfigurieren, Passwörter ändern und keine verdächtige Software nutzen, um nicht selbst Teil eines Botnetzes zu werden.