Aus dem Weg, DDoS: Jetzt ist das Zeitalter von Distributed Denial of Defense (DDoD)

In den letzten Jahren hat sich die Anzahl der großvolumigen Angriffe, die von Natur aus sehr ausgeklügelt sind, deutlich erhöht.

Tatsächlich fanden in den letzten 36 Monaten neun der größten volumetrischen DDoS-Angriffe statt, die durch die DDoS-Schutzplattform von Akamai Prolexic abgewehrt wurden. Bei diesen Angriffen handelte es sich häufig um Angriffe mit mehreren Vektoren und mehreren Zielen, die viele rudimentäre, autonome oder On-Premises-DDoS-Lösungen auf dem Markt überfordern können.

Wenn wir uns die von Akamai gesammelte DDoS-Threat-Intelligence näher ansehen, waren mehr als 30 % der in Q2 2025 von Prolexic abgewehrten DDoS-Angriffe ausgeklügelt und horizontal (Abbildung 1).

Solche ausgeklügelten DDoS-Angriffe erfordern einen ausgeklügelten Verteidigungsansatz, der die Leistungsfähigkeit moderner Automatisierung, menschliches Know-how und die Zusammenarbeit zwischen den Sicherheitsteams eines Unternehmens und dem Lösungsanbieter kombiniert. Hier bietet das Framework „Plattform, Mitarbeiter, Prozesse“ von Akamai eine solide Netzwerksicherheit. 

Simple, einfach abzuwehrende Vektoren wie UDP Floods können leicht von einer rudimentären DDoS-Schutzlösung blockiert werden. Unabhängig davon, wie viele Terabit pro Sekunde (Tbit/s) an Angriffsdatenverkehr von einem Angreifer generiert werden. In vielen Fällen kann sogar eine einfache Zugriffssteuerungsliste (Access Control Lists, ACLs) die Aufgabe erledigen. Diese einfachen Taktiken, Techniken und Verfahren (Tactics, Techniques and Procedures, TTPs) sind für Netzwerksicherheitsexperten kaum neu oder bemerkenswert.

Eine ganz andere Geschichte sind KI-gestützte, ausgeklügelte DDoS-Angriffe, die Ihre Abwehrmechanismen intelligent sondieren, Schwachpunkte in Ihrer Sicherheit identifizieren und dann einen mittelgroßen, aber komplexen Mix aus verschiedenen Angriffsvektoren starten. Diese Angriffe schalten Ihre DDoS-Abwehrmechanismen aus und setzen Ihr Netzwerk dann offline.

Wir heben diesen wichtigen Prozess besonders hervor, da DDoS kein Zufallsereignis ist. Die meisten DDoS-Angriffe treten auf, wenn jemand versucht, Ihr Netzwerk bewusst mit schädlichem Traffic zu fluten, der die Kapazität Ihres Ursprungs überlastet und legitime Nutzer daran hindert, auf Ihre Services zuzugreifen.

In einigen Fällen kann es aufgrund einer Fehlkonfiguration, einer Netzwerkprüfung oder einer aggressiven Schwachstellensuche zu Denial of Service (DoS) kommen. Mit KI-fähigen und -gestützten Tools können Cyberkriminelle Ihr Netzwerk sondieren, um zu erkennen, welcher Teil relativ anfällig ist, und dann den Angriff entsprechend konzentrieren.

Ausgeklügelte DDoS-Angriffe haben fast nie ein hohes Volumen. Grund dafür ist, dass der Angreifer nicht viel Traffic generieren muss, wenn er Ihre Abwehrmechanismen mit einer relativ geringen Menge sorgfältig verarbeiteten schädlichen Datenverkehrs überfordern kann.

Betrachten Sie es mal so: Wenn jemand versucht, in Ihr Haus einzubrechen, kann er entweder rohe Gewalt (Brute Force) anwenden: Er bricht durch die Vordertür, löst damit das Heim-Alarmsystem aus und ist bereit für eine Konfrontation mit der Polizei. Oder er könnte herausfinden, wie er Ihr Sicherheitssystem deaktivieren kann, und dann mit moderatem Aufwand einbrechen.

Einige der modernen DDoS-Angriffe bringen die zweite Technik zum Einsatz: Sie deaktivieren Ihr Sicherheitssystem und brechen dann in Ihr Netzwerk ein.

In Kundennetzwerken sind oft unterschiedliche Ebenen redundanter Kapazität oder Technologie integriert, um den ersten Schlag eines Angriffs zu absorbieren oder abzuwehren. Leider reicht das nicht aus.

Kontrollen oder Geräte, wie beispielsweise zustandslose Firewalls, können anfänglich helfen, haben aber oft nur begrenzte Kapazitäten, um Protokollmissbrauch zu absorbieren und/oder die Last gleichmäßig zu verteilen, während sie sich gleichzeitig auf die Unterstützung legitimer Hosts oder Nutzer konzentrieren. Manchmal benötigt ein Angreifer nur genug Angriffskapazität, um die Infrastruktur in die Knie zu zwingen und automatisierte Kontrollen zu umgehen.

Ein Bericht von FS-ISAC und Akamai aus dem Juni 2025, Von lästigem Ärgernis zu strategischer Bedrohung: DDoS-Angriffe auf den Finanzsektor, hebt diesen Trend detailliert hervor.

Der Bericht sagt: „Tatsächlich zeichneten sich die effektivsten DDoS-Kampagnen im Jahr 2024 eher durch strategische Aufklärung und agile Ausführung als durch einfaches Volumen aus.

Im Jahr 2024 setzten Angreifer zunehmend fortschrittliche Multi-Vektor-DDoS-Strategien ein, die systematische Sondierungen und adaptive Taktiken umfassten. Dies zeigt die Fähigkeit, Abwehrmechanismen in Echtzeit zu analysieren und Methoden dynamisch anzupassen, um automatisierte Schutzmaßnahmen zu umgehen. Dies markiert eine deutliche Weiterentwicklung der Fähigkeiten, Ressourcen und Absichten von Angreifern und erhöht die Gefahr von DDoS-Angriffen auf den Finanzdienstleistungssektor.“

In den letzten drei Monaten des Jahres 2024 waren mehr als 20 einzelne Finanzinstitute im asiatisch-pazifischen Raum von einer beispiellosen und hochentwickelten DDoS-Angriffskampagne betroffen. Cyberkriminelle nutzten eine Vielzahl von Vektoren mit relativ geringem Volumen, um die tatsächliche Stärke der DDoS-Abwehrmaßnahmen dieser Institutionen geschickt zu sondieren und auszutesten.

Trotz des moderaten Volumens des Angriffstraffics führte die komplexe Mischung aus Vektoren und Ziel-IPs zum Ausfall mehrerer rein autonomer und lokaler DDoS-Schutzdienste, was tagelang erhebliche und kostspielige Auswirkungen auf Endnutzer hatte.

Dabei ist zu beachten, dass das Angriffsdatenvolumen deutlich unter den angegebenen Kapazitätsgrenzen der meisten DDoS-Abwehrlösungen lag. Nachdem die vollständig autonomen und selbstverwalteten DDoS-Abwehrplattformen überlastet waren, konnten sich die Kunden nicht einmal mehr bei diesen Plattformen anmelden, um Maßnahmen zu ergreifen. Kein Mitarbeiter für Netzwerksicherheit möchte sich jemals so angreifbar und hilflos fühlen.

In den letzten Jahren hat Akamai diesen neuen Trend genau beobachtet, bei dem Cyberkriminelle vom alten Spiel des Distributed Denial of Service zum neuen Sport des Distributed Denial of Defense übergegangen sind. Die Angriffe in der asiatisch-pazifischen Region haben diesen Wandel bestätigt.

Sobald Ihr automatisiertes DDoS-Abwehrsystem ausgefallen ist, benötigt der Angreifer keine große Menge an schädlichem Traffic, um Ihr Netzwerk zu stören.

Im Beispiel Asien-Pazifik ermöglichte dieser Ansatz dem Angreifer, mehrere Unternehmen gleichzeitig und über Wochen hinweg erfolgreich anzugreifen und zu stören. Sie nutzten die „Feuerkraft“ ihrer Botnets auf wirtschaftlich effiziente Weise, anstatt ihre Ressourcen mit herkömmlichen massiven Angriffen zu erschöpfen.

Akamai Prolexic, unsere DDoS-Abwehrplattform, schützte Kunden bequem vor diesen Angriffen. Ein wichtiger Grund dafür ist, dass wir in unserem Design davon ausgehen, dass eine „reine Automatisierung“ versagen wird – es gibt immer ein globales Team von Experten des Security Operations Command Center (SOCC), das Angriffe überwacht und direkt mit dem Kunden zusammenarbeitet.

Unsere Experten sind Menschen, die jeden Tag DDoS-Angriffe abwehren und über eine Fülle von Tools verfügen, die bereitgestellt werden können, falls ein Angriff Teile der automatisierten Abwehrmechanismen überwindet.

Tatsächlich erhält Akamai regelmäßig externe Anfragen für Notfall-DDoS-Schutz von Unternehmen, deren vollständig autonome DDoS-Abwehrsysteme von einem Angreifer ausgetrickst wurden. In den meisten Fällen bieten Anbieter, die auf vollständig autonome Abwehrsysteme angewiesen sind, weder einen Backup-Plan noch Zugang zu menschlicher Intervention, Notfallberatung oder Supportressourcen.

Ein Sicherheitssystem ist nur so gut wie seine Fähigkeit, Ihr Netzwerk zum Zeitpunkt eines Angriffs zu schützen. Jedes System, das regelmäßig Ausfälle erleidet, offline geht oder durch einen ausgeklügelten Angriff leicht überfordert werden kann, ist völlig sinnlos – unabhängig davon, wie groß seine „vermarktete“ Verteidigungskapazität ist.

In der modernen Ära ausgeklügelter DDoS-Angriffe ist es relativ einfach, rein autonome DDoS-Abwehrplattformen zu überlasten oder vollständig zu deaktivieren. Das gilt insbesondere dann, wenn die DDoS-Abwehrkapazität einer solchen Plattform auch von anderen Diensten unterstützt wird, darunter beispielsweise Netzwerke zur Inhaltsbereitstellung (Content Delivery Networks, CDNs).

Eine Strategie, die Akamai-Kunden inzwischen angenommen haben, ist diese Idee der Diversifizierung. Mit speziell entwickelten Multi-Cloud-Architekturen können Netzwerksicherheitsteams ihre DDoS-Abwehr diversifizieren und das Risiko systemischer Probleme auf einer einzigen Plattform vermeiden.

Viele Unternehmen und Institutionen in einigen streng regulierten Branchen benötigen eine Zwei-Anbieter-DDoS-Strategie.

Tatsächlich wählen viele Unternehmenskunden einen „ausreichend guten“ zweiten Anbieter, um die Anforderungen an die Vielfalt zu erfüllen, verwenden jedoch eine bewährte und ausgereifte Lösung, um ihre kritischen Ressourcen zu schützen. Die anderen Ressourcen, zu denen häufig Vanity-Domains, Q&A-Umgebungen und andere nicht-kritische Funktionen gehören, sind für die kostengünstigere Lösung vorgesehen.

Wir wissen, dass jede technologiebasierte Lösung unbeabsichtigte Ausfälle haben kann, die sich auf die Kunden auswirken. Auch wir haben in der Vergangenheit Ausfälle erlebt. Aber inwieweit sind Sie bereit, wichtige oder kritische Netzwerkressourcen hinter einer DDoS-Lösung zu platzieren, die möglicherweise nicht verfügbar ist, wenn Sie einen Angriff erleben?

Wenn 40 % Ihrer Endnutzer nicht auf Ihre Dienste zugreifen können, der DDoS-Abwehr-Anbieter jedoch behauptet, dass der internetbasierte Dienst verfügbar ist, ist das dann ein akzeptables Ergebnis? Die Antwort ist ein klares Nein.

Kontaktieren Sie noch heute einen Akamai-Experten, um mehr über unsere umfassenden Sicherheitslösungen zu erfahren.