DDoS-Angriffe auf kleine Websites: erkennen, einordnen, abwehren
„Wer greift schon eine Tischlerei in Niederösterreich an?" – das ist die häufigste Reaktion, wenn wir das Thema ansprechen. Sie beruht auf einem Missverständnis: Die meiste Überlast, die kleine Websites lahmlegt, ist gar nicht persönlich gemeint. Sie stammt aus automatisierten Netzen, die reihenweise IP-Adressen abklappern und dabei nicht unterscheiden, ob dahinter ein Konzern oder ein Zwei-Personen-Betrieb steht.
Dieser Beitrag erklärt, was bei einem DDoS-Angriff tatsächlich passiert, woran Sie ihn erkennen, was viel häufiger fälschlich dafür gehalten wird – und was bei einem Kleinbetrieb wirklich schützt.
Was ein DDoS-Angriff ist
DDoS steht für Distributed Denial of Service: verteilte Dienstverweigerung. Ihr Server wird nicht gehackt, es werden keine Daten gestohlen – er wird schlicht mit Anfragen überhäuft, bis er für echte Besucher nicht mehr erreichbar ist. „Verteilt" heißt, dass die Anfragen aus vielen Quellen gleichzeitig kommen, meist aus Botnetzen infizierter Geräte. Deshalb hilft es auch nicht, einfach eine IP-Adresse zu sperren.
Der Schaden ist keine Datenpanne, sondern Ausfallzeit: Ihr Shop nimmt keine Bestellungen an, Ihr Kontaktformular ist tot, Ihr Kundenportal antwortet nicht.
Die vier Angriffsarten – und woran man sie unterscheidet
Die Unterscheidung ist keine Theorie: Jede Art braucht eine andere Gegenmaßnahme, und eine davon lässt sich auf dem Server überhaupt nicht abwehren.
1. SYN-Flood
Der Angreifer beginnt tausende Verbindungen und schließt keine davon ab. Jede halboffene Verbindung belegt Ressourcen, bis keine neuen mehr angenommen werden können.
Erkennungsmerkmal: Die Zahl halboffener Verbindungen schnellt hoch, während Datenmenge und Seitenaufrufe fast normal bleiben. Im Normalbetrieb entstehen solche Zustände praktisch nie – deshalb ist das der eindeutigste Einzelindikator überhaupt.
2. Layer-7-Flood (Anfrageflut)
Statt der Netzwerkebene wird die Anwendung selbst angegriffen: massenhaft echte Seitenaufrufe, gern auf teure Seiten wie die Suche. Der Server ist netzwerkseitig unauffällig und geht trotzdem in die Knie.
Erkennungsmerkmal: Aufrufe pro Sekunde weit über dem Üblichen, CPU-Last hoch, Antwortzeiten steigen. Zwei Spielarten: wenige IP-Adressen mit sehr vielen Anfragen – oder hunderte IPs, jede für sich harmlos, aber alle mit demselben Browser-Kennzeichen. Letzteres ist das Fingerabdruckmerkmal eines Botnetzes.
3. Slowloris
Der leiseste Angriff: Verbindungen werden geöffnet und absichtlich offen gehalten, ohne etwas zu senden, bis der Webserver keine weitere annehmen kann.
Erkennungsmerkmal: sehr viele offene Verbindungen bei niedrigem Datenverkehr und kaum Seitenaufrufen. Wer nur die Bandbreite überwacht, sieht davon nichts – und genau das ist der Punkt.
4. Volumetrischer Angriff
Die Brechstange: Die Leitung wird schlicht mit Datenmenge zugeschüttet.
Wichtig und oft verschwiegen: Diesen Angriff können Sie auf Ihrem Server nicht abwehren. Wenn die Leitung voll ist, ist sie voll – die Daten sind bereits angekommen und haben die Bandbreite verbraucht. Dagegen hilft nur Filterung beim Rechenzentrum oder ein vorgelagerter Schutzdienst. Jeder Anbieter, der Ihnen etwas anderes erzählt, verkauft Ihnen ein falsches Sicherheitsgefühl.
| Angriffsart | Verbindungen | Aufrufe | Datenmenge | Abwehr am Server? |
|---|---|---|---|---|
| SYN-Flood | viele halboffen | normal | normal | ja |
| Layer-7-Flood | normal bis hoch | sehr hoch | mittel | ja |
| Slowloris | sehr hoch, offen | fast null | sehr niedrig | ja |
| Volumetrisch | egal | egal | am Anschlag | nein – nur beim Provider |
Was viel öfter passiert: Fehlalarme
In der Praxis sehen Sie diese vier Fälle deutlich häufiger als einen echten Angriff. Sie zu kennen erspart hektische Nachtschichten:
- Schwachstellen-Scanner. Sehr hohe Fehlerquote (Aufrufe von
/wp-login.php,/.envund ähnlichem), aber eine niedrige Anfragerate. Ein Scanner will Lücken finden, nicht den Server umwerfen. Solange nichts davon eine gültige Antwort bekommt, sucht er vergeblich. Wir haben so einen Scan zuletzt 67 Minuten lang mit über 6.700 Anfragen beobachtet – der Server hat es nicht einmal bemerkt. - Suchmaschinen-Crawler. Erhöhte Rate, sauberes Verhalten, normale Antwortzeiten. Google und Bing lassen sich über eine Rückwärtsauflösung ihrer Adressen zweifelsfrei verifizieren.
- Backups und Windows-Updates. Hoher Datendurchsatz, aber keinerlei Auffälligkeit bei Verbindungen oder Seitenaufrufen. Feste Backup-Zeitfenster gehören deshalb in jede Überwachung eingetragen.
- Ihre eigene Werbekampagne. Der Newsletter ist raus, alle klicken gleichzeitig. Kein Angriff – aber unter Umständen dieselbe Wirkung, wenn das Hosting zu knapp dimensioniert ist.
Was ein Kleinbetrieb konkret tun sollte
- Normalzustand kennen. Ohne Vergleichsmaßstab ist jeder Messwert bedeutungslos. Wer weiß, dass die eigene Website üblicherweise unter 50 gleichzeitige Verbindungen hat, erkennt das Zehnfache sofort.
- Automatisch überwachen lassen. Ein Angriff um drei Uhr früh nützt Ihnen als Erkenntnis am nächsten Vormittag wenig. Die Überwachung muss selbst Alarm schlagen.
- Wissen, wen Sie anrufen. Bei einem volumetrischen Angriff entscheidet allein, wie schnell im Rechenzentrum gefiltert wird. Klären Sie den Weg dorthin, bevor Sie ihn brauchen.
- Aktuelle Software. Die meisten erfolgreichen Überlastungen kleiner Websites treffen veraltete CMS-Installationen, die schon bei geringer Last zusammenbrechen.
- Backups, die wirklich funktionieren. Ein DDoS-Angriff zerstört keine Daten – aber die Panik danach hat schon manches getan. Ein geprüftes Backup nimmt der Situation die Schärfe.
Unser DDoS-Schutz beim Webhosting
Alles, was oben steht, setzen wir auf unseren eigenen Servern um – mit einer selbst entwickelten Überwachung, die genau diese Unterscheidung leistet:
- Mehrere Kennzahlen gleichzeitig statt einer einzelnen Schwelle: halboffene und offene Verbindungen, Aufrufe pro Sekunde, Datendurchsatz, CPU-Last, Fehlerquote und die Verteilung über die Herkunftsadressen.
- Ein individueller Normalzustand pro Server, aus dem tatsächlichen Verlauf gelernt statt aus Herstellervorgaben. Backup-Fenster und verifizierte Suchmaschinen-Crawler sind ausgenommen.
- Eine Einstufung von „normal" bis „Angriff" mit klarer Handlungsempfehlung – inklusive der Angabe, welcher Indikator ausgeschlagen hat, damit die richtige Gegenmaßnahme gewählt wird.
- Automatische Sperre auffälliger Adressen bei Verbindungs- und Anfragefluten, mit zeitlicher Begrenzung, damit nicht dauerhaft Unbeteiligte ausgesperrt bleiben.
- Alarmierung rund um die Uhr – und im Ernstfall ein Ansprechpartner aus Grafenwörth statt eines Ticketsystems.
Und der ehrliche Teil: Gegen einen wirklich großen volumetrischen Angriff schützt keine Software auf dem Server – hier zählt, dass die Filterung im Rechenzentrum greift und wir den Weg dorthin kennen. Wir sagen Ihnen lieber vorher, wo die Grenze liegt, als hinterher.
Fazit
Kleine Websites werden nicht gezielt gejagt, sie geraten in die Schleppnetze. Die gute Nachricht: Genau diese ungezielte Überlast lässt sich mit einer sauber eingestellten Überwachung und automatischen Sperren zuverlässig abfangen. Voraussetzung ist, dass jemand den Normalzustand Ihres Servers kennt und die Fehlalarme von den echten Fällen unterscheiden kann – das ist die eigentliche Arbeit, nicht das Blockieren selbst.