DDoS-Attacken im Überblick: Layer 3, Layer 4, Layer 7, Amplification und weitere
Das Wichtigste auf einen Blick
- DDoS-Angriffe lassen sich in drei Ebenen einteilen: Volumetrisch (L3), Protokoll (L4)und Anwendungsebene (L7) - jede greift verschiedene Infrastrukturen an.
- Amplifikationsangriffe nutzen öffentliche Server, um Datenverkehr um das 28- bis 51.000-fache zu vervielfachen und kleine Bandbreiten in katastrophale Fluten zu verwandeln.
- Angriffe auf der Anwendungsebene (L7) sind am schwierigsten zu stoppen, da jede Anfrage legitim wirkt und spezialisierte Bot-Erkennung sowie Verhaltensanalyse erforderlich sind.
- Aktuelle Angriffe sind mehrvektoriell: Sie kombinieren volumetrische Überforderung mit Protokoll-Erschöpfung und L7-Attacken gleichzeitig.
- Jede Angriffsart erfordert spezifische Gegenmaßnahmen: Anycast-Netzwerke absorbieren das Volumen, Stateful Firewalls blockieren Protokoll-Angriffe, und Bot-Management + WAF behandeln die L7-Ebene.
Inhaltsverzeichnis
Wer die verschiedenen DDoS-Angriffsarten kennt, kann wirksame Gegenmaßnahmen entwickeln. Jeder Angriffstyp nutzt andere Schwachstellen, zielt auf unterschiedliche Infrastruktur-Ebenen ab und erfordert eigene Abwehrstrategien. Ein Angriff, der die Bandbreite zum Zusammenbruch bringt, braucht eine völlig andere Reaktion als einer, der den Verbindungsspeicher des Webservers erschöpft.
Dieser Leitfaden behandelt alle wichtigen DDoS-Kategorien im Detail, zeigt die Funktionsweise und ordnet jeder Angriffsform die passenden Schutzmaßnahmen zu.
Übersicht der DDoS-Angriffstypen
| Kategorie | OSI-Schicht | Ziel | Beispiele | Größe |
|---|---|---|---|---|
| Volumetrisch | Schicht 3 | Netzwerk-Bandbreite | UDP-Flood, ICMP-Flood | 100 Gbps bis 5+ Tbps |
| Verstärkung | Schicht 3/4 | Bandbreite über Spiegelung | DNS-, NTP-, Memcached-Verstärkung | 50 Gbps bis 3+ Tbps |
| Protokoll | Schicht 4 | Server- und Firewall-Ressourcen | SYN-Flood, ACK-Flood | Millionen Pakete pro Sekunde |
| Anwendungsebene | Layer 7 | Webserver und Applikation | HTTP-Flood, Slowloris | Tausende Anfragen pro Sekunde |
Volumetrische Angriffe (Layer 3)
Volumetrische Angriffe versuchen, die gesamte verfügbare Bandbreite zwischen Ziel und Internet aufzubrauchen. Sie erzeugen massive Datenmengen im Bereich von Gbps (Gigabit pro Sekunde) oder Tbps (Terabit pro Sekunde).
UDP-Flood
Sendet eine riesige Menge UDP-Pakete auf zufällige Ports des Ziels. Der Server muss auf jedem Port nach lauschenden Anwendungen suchen und mit ICMP-Meldungen „Ziel erreichbar" antworten, was Bandbreite und Verarbeitungsressourcen verbraucht. Da UDP verbindungslos ist, lassen sich Quell-IP-Adressen leicht fälschen und Pakete schwer filtern.
ICMP-(Ping-)Flood
Sendet eine enorme Anzahl von ICMP-Echoanfragen (Ping-Pakete). Das Ziel muss jede Anfrage verarbeiten und Echoantworten senden, was Bandbreite und CPU-Ressourcen belastet. Im Fall von übergroßen Paketen wird dies auch als „Ping of Death" bezeichnet.
IP-Fragmentierungsflut
Sendet fragmentierte IP-Pakete, die das Ziel wieder zusammensetzen muss. Der Reassembly-Prozess verbraucht Speicher und CPU-Ressourcen. Überlappende Fragmente können anfällige Systeme zum Absturz bringen. Besonders wirkungsvoll gegen Firewalls, die Pakete zur Überprüfung zusammensetzen müssen.
Verstärkungsangriffe
Verstärkungsangriffe nutzen Drittanbieter-Server aus, um Angriffsdatenverkehr zu vervielfachen. Der Angreifer sendet kleine Anfragen mit einer gefälschten Quell-IP (der IP des Opfers) an anfällige Server. Diese Server antworten mit deutlich größeren Antworten, die auf das Opfer gerichtet sind.
| Vektor | Verstärkungsfaktor | Protokoll | Funktionsweise |
|---|---|---|---|
| Memcached | 10.000 bis 51.000fach | UDP 11211 | Missonfigurierte Memcached-Server ausnutzen; „stats"-Befehl gibt riesige Datenmengen zurück |
| NTP | 556x | UDP 123 | Der Befehl „monlist" gibt eine Liste der letzten 600 verbundenen Clients zurück |
| DNS | 28-54x | UDP 53 | „ANY"-Abfragen gegen Domains mit großen DNS-Einträgen |
| SSDP | 30x | UDP 1900 | Ausnutzung von Universal Plug and Play (UPnP)-Geräten im Internet |
| CLDAP | 56-70x | UDP 389 | Ausnutzung öffentlich zugänglicher LDAP-Server |
| CharGEN | 358x | UDP 19 | Veraltetes Zeichenerzeugungsprotokoll, das zufällige Zeichen sendet |
| SNMP | 6.3x | UDP 161 | Ausnutzung öffentlich zugänglicher SNMP-Agenten |
Protokollangriffe (Schicht 4)
Protokollangriffe nutzen Schwachstellen in Netzwerkprotokollimplementierungen, um Serverressourcen zu erschöpfen, etwa Verbindungstabellen, Firewalls, Load Balancer und Session-State-Verwaltung.
SYN-Flood
Der häufigste Protokollangriff nutzt den TCP-Drei-Wege-Handshake aus: Der Angreifer sendet Millionen von SYN-Paketen mit gefälschten Quell-IPs. Der Server antwortet mit SYN-ACK und wartet auf das finale ACK, das nie kommt. Jede halb offene Verbindung belegt Speicher in der Verbindungstabelle des Servers, bis diese voll ist und legitime Verbindungen blockiert werden.
ACK-Flood
Verschickt riesige Mengen von TCP-ACK-Paketen. Der Server kann zwar schnell feststellen, dass diese ACK-Pakete zu keiner aktiven Verbindung gehoeren, doch die Verarbeitung kostet CPU-Ressourcen. Besonders wirksam gegen Stateful Firewalls, die jedes Paket gegen ihre Verbindungstabellen pruefen muessen.
RST-Flood
Sendet gefaelschte TCP-RST-(Reset)-Pakete, um aktive Verbindungen zwischen dem Ziel und seinen legitimen Benutzern zu unterbrechen. Wenn der Angreifer aktive Verbindungsparameter erraten kann, kann er echte Benutzer disconnecten.
TCP-Verbindungsflut
Schliesst vollstaendige TCP-Handshakes ab und etabliert tausende Verbindungen, die niemals genutzt werden. Anders als SYN-Floods sind dies vollstaendige Verbindungen, die SYN-Cookie-Abwehren ueberstehen. Jede Verbindung verbraucht Serverspeicher und File-Deskriptoren, bis die Grenzen erreicht sind.
Anwendungsschicht-Attacken (Layer 7)
Anwendungsschicht-Attacken sind die raffiniertesten und schwierigsten zu bekaempfen, weil jede Anfrage legitim wirkt.
HTTP-GET-Flood
Verschickt enorme Mengen von HTTP-GET-Anfragen an die Ziel-Website. Jede Anfrage ist valides HTTP, was eine Unterscheidung von echtem Traffic erschwert. Angreifer zielt auf ressourcenintensive Seiten ab: Suchseiten, Produktlisten, dynamische Inhalte, die Datenbankabfragen erfordern.
HTTP-POST-Flood
Aehnlich wie GET-Floods, nutzt aber POST-Anfragen - typischerweise gegen Login-Formulare, Registrierungsendpunkte, Kontaktformulare oder APIs. POST-Verarbeitung ist generell ressourcenintensiver als GET und damit pro Anfrage effizienter fuer den Angreifer.
Slowloris
Oeffnet viele Verbindungen zum Ziel und sendet unvollstaendige HTTP-Anfragen aeusserst langsam, ohne sie abzuschliessen. Jede Verbindung haelt unbegrenzt einen Server-Thread offen. Mit genuegend langsamen Verbindungen ermaettet der Server seinen Connection-Pool und kann neue Anfragen nicht bearbeiten. Verheeerend wirksam gegen Apache-Server.
Slow POST (R.U.D.Y.)
„R U Dead Yet" - sendet HTTP-POST-Anfragen mit vollstaendigem Content-Length-Header, uebermittelt aber den Body-Inhalt satzweise, ueberaus langsam. Der Server haelt die Verbindung offen und wartet auf den kompletten Body, wodurch ein Thread/Worker fuer jede langsame Anfrage gebunden wird.
HTTP/2 Rapid Reset
Ein neuerer Angriff, der HTTP/2s Stream-Multiplexing ausnutzt. Der Angreifer oeffnet Streams in hohem Tempo und setzt sie sofort zurueck, was den Server zwingt, jeden Stream-Aufbau und Abbau zu verarbeiten. Entdeckt im Oktober 2023, generierte er damals die groesste DDoS-Attacke mit 398 Millionen Anfragen pro Sekunde.
WordPress XML-RPC
Nutzt die Pingback-Funktion von WordPress zur Verstaerkung von Layer-7-Attacken. Angreifer senden Pingback-Anfragen von tausenden WordPress-Sites zum Ziel und erzeugen so eine verteilte Layer-7-Flut, die von legitimen WordPress-Installationen zu stammen scheint.
Unter DDoS-Attacke? Sofortschutz aktivieren
Unled Network bietet Emergency-DDoS-Mitigation mit bis zu 10 Tbps Kapazitaet. Layer-3/4/7-Schutz, Bot-Management und 24/7-Incident-Response fuer angegriffene Unternehmen.
Notfall-Support erhalten →Multi-Vektor-Attacken
Moderne DDoS-Attacken nutzen selten nur einen Angriffsvektor. Versierte Angreifer kombinieren mehrere Attacktypen gleichzeitig:
- Volumetrisch + Layer 7: DNS-Amplifikation zur Bandbreiten-Ueberflutung plus gleichzeitiges HTTP-Flooding des Webservers
- SYN-Flood + Slowloris: Verbindungstabellen erschöpfen, während restliche Verbindungen offen gehalten werden
- Flächendeckende Angriffe: Ganze IP-Bereiche mit verschiedenen Angriffsmustern attackieren, um die Schwellwerte pro IP zu umgehen
- Pulsangriffe: Kurze, intensive Stoßangriffe, die Abwehrmechanismen wiederholt auslösen und wieder freigeben und so Instabilität verursachen
DDoS mit Erpressung (RDoS)
RDoS verbindet DDoS-Angriffe mit Erpressung. Angreifer stellen eine Lösegeldforderung (meist in Kryptowährung) und drohen mit anhaltenden DDoS-Attacken, falls nicht bezahlt wird. Einige Gruppen demonstrieren ihre Fähigkeiten vorher mit einem kurzen Angriff.
Abwehr nach Angriffstyp
| Angriffstyp | Primäre Abwehr | Sekundäre Abwehr |
|---|---|---|
| Volumetrisch (UDP, ICMP) | Anycast-Netzwerk / CDN mit enormer Bandbreitenbasis | BGP-Blackholing (Notfalllösung) |
| Amplifikation (DNS, NTP) | Upstream-Filterung, Scrubbing-Center | Gefälschten Traffic blocken (BCP38) |
| SYN-Flood | SYN-Cookies, hardwaregestützte Abwehr | Backlog erhöhen, Kernel-Parameter anpassen |
| Connection-Flood | Verbindungslimits pro IP, Timeouts | Load Balancer mit Verbindungsverwaltung |
| HTTP-Flood | Bot-Management, JavaScript-Herausforderungen | Rate Limiting, WAF-Regeln |
| Slowloris / Slow POST | Reverse-Proxy (nginx), Verbindungs-Timeouts | Gleichzeitige Verbindungen pro IP-Adresse beschränken |
| HTTP/2 Rapid Reset | Aktualisierte HTTP/2-Implementierungen | Stream-Erstellung drosseln |
Angriffe aus der Praxis
| Datum | Ziel/Größe | Angriffstyp | Besonderheit |
|---|---|---|---|
| Okt 2024 | 5,6 Tbps (Cloudflare) | UDP-Amplifikation | Größter dokumentierter DDoS-Angriff |
| Okt 2023 | 398M rps (Google/Cloudflare/AWS) | HTTP/2 Rapid Reset | Entdeckung neuer L7-Angriffsvektor |
| Jun 2022 | 26M rps (Cloudflare) | HTTPS-Flood (Botnet) | 5.067 Geräte mit 212M rps Kapazität |
| Feb 2020 | 2,3 Tbps (AWS) | CLDAP-Reflexion | Stärkster Angriff seiner Zeit |
| Mär 2018 | 1,7 Tbps (Arbor) | Memcached-Amplifikation | Erster großer Memcached-DDoS-Angriff |
| Oktober 2016 | 1,2 Tbps (Dyn DNS) | Mirai-Botnet | IoT-Botnet legte DNS großer Websites lahm |
Umfassende Sicherheit aufbauen
Eine einzelne Lösung kann nicht alle DDoS-Angriffsarten abwehren. Mehrschichtiger Schutz ist erforderlich:
- Netzwerk-Ebene: DDoS-geschütztes Hosting mit Anycast-Netzwerk und Scrubbing-Centern gegen volumetrische und Protokoll-Angriffe
- CDN/Proxy-Ebene: Cloudflare, Akamai oder AWS Shield filtern und absorbieren weltweit Datenverkehr
- Anwendungs-Ebene: WAF Regeln zur Erkennung und Blockade von L7-Angriffsmustern
- Bot-Erkennung: Bot-Management mit Fingerprinting gegen komplexe L7-Angriffe
- Rate-Limiting: Intelligente Pro-IP- und Pro-Endpoint-Drosselung
- Überwachung: Echtzeit-Datenverkehranalyse mit automatischer Benachrichtigungseskalation
DDoS-Schutz für Unternehmen gegen jeden Angriffstyp
Unsere Infrastruktur wehrt volumetrische, Protokoll- und Anwendungsebenen-Angriffe mit einer Kapazität von bis zu 10 Tbps ab. Permanenter Schutz, rund um die Uhr Überwachung und fachkundige Incident-Reaktion gehören dazu.
Telegram: @unlednetwork → Schreib uns auf WhatsApp →
Kommentare
Haben Sie eine Frage oder eigene Erfahrung? Diskutieren Sie mit. Ihre E-Mail wird nie gezeigt oder weitergegeben.
Really helpful breakdown. Been looking for clear info on this topic.
Great question! This is something we see frequently with our clients. The key is consistency rather than a one-time fix.