DDoS-Anzeige erstatten: Polizei, ZAC und BSI-Meldung

Die meisten Betroffenen zeigen einen DDoS-Angriff nicht an. Die Seite läuft wieder, der Täter sitzt vermutlich im Ausland, und die Polizei wird ja doch nichts finden. Das ist verständlich, aber oft falsch gedacht. Angriffswellen treffen selten nur ein Ziel, und erst die Summe der Anzeigen gibt Ermittlern etwas in die Hand. Dazu kommt ein praktischer Grund: Versicherer, Banken und Großkunden fragen nach einem Aktenzeichen.

Ist DDoS strafbar? § 303b StGB in Kürze

Ein DDoS-Angriff erfüllt in aller Regel den Tatbestand der Computersabotage nach § 303b StGB. Abs. 1 Nr. 2 erfasst ausdrücklich, wer Daten „in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt“ und dadurch eine Datenverarbeitung von wesentlicher Bedeutung erheblich stört. Genau das passiert bei einer Flut von Anfragen.

Wichtig für dich als Opfer ist § 303c StGB. Danach wird Computersabotage nach den Absätzen 1 bis 3 nur auf Antrag verfolgt, außer die Staatsanwaltschaft sieht ein besonderes öffentliches Interesse. Eine Anzeige allein ist also nicht automatisch ein Strafantrag. Sag oder schreib ausdrücklich: „Ich stelle Strafantrag wegen aller in Betracht kommenden Delikte.“ Die Antragsfrist beträgt nach § 77b StGB drei Monate ab dem Zeitpunkt, an dem du von Tat und Täter weißt.

Kommt eine Erpressung dazu („Zahle in Bitcoin, sonst geht es weiter“), stehen weitere Delikte im Raum. Die Einordnung überlässt du der Polizei. Bei hohen Schäden oder zivilrechtlichen Forderungen lohnt ein kurzer Termin bei einer Anwältin oder einem Anwalt für IT-Recht.

Beweise sichern, bevor die Logs rotieren

Logrotation ist der größte Feind einer Anzeige. Auf vielen Servern löscht logrotate nach sieben oder vierzehn Tagen, und bei hoher Last werden Logs noch schneller voll. Sichere deshalb während oder direkt nach dem Angriff.

Checkliste:

• Webserver-Logs (Access und Error) für den gesamten Angriffszeitraum plus eine Stunde davor
• Firewall- und fail2ban-Logs
• Exporte aus CDN oder WAF (bei Cloudflare: Security Events und Analytics als Screenshot oder CSV)
• Traffic-Grafiken des Hosters oder aus dem eigenen Monitoring
• Ticketnummern und Mails deines Hosters oder Upstream-Providers
• Erpressernachrichten mit vollständigem Header, unverändert
• Liste der Ausfallzeiten mit Uhrzeit und Zeitzone
• Erste Schadensschätzung (siehe unten)

Damit später niemand an der Echtheit zweifelt, packst du die Dateien zusammen und bildest Prüfsummen:

mkdir -p ~/beweise-ddos-2026-10-18
cp /var/log/nginx/access.log* /var/log/nginx/error.log* ~/beweise-ddos-2026-10-18/
journalctl --since "2026-10-18 09:00" --until "2026-10-18 14:00" > ~/beweise-ddos-2026-10-18/journal.txt
cd ~/beweise-ddos-2026-10-18 && sha256sum * > SHA256SUMS

Notiere, ob die Server-Uhr in UTC oder Europe/Berlin läuft. Ein Versatz von einer oder zwei Stunden zwischen deinen Logs und denen des Providers sorgt sonst für unnötige Rückfragen.

Erpressermails exportierst du in deinem Mailprogramm als .eml-Datei. Weiterleiten reicht nicht, weil dabei die ursprünglichen Header verloren gehen. Antworte nicht, auch nicht zum Hinhalten.

Wo du einen DDoS anzeigst: Polizei, Online-Wache, ZAC

Für Unternehmen gibt es in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC), angesiedelt beim Landeskriminalamt. Die ZAC ist der direkte Draht zu Ermittlern, die solche Fälle kennen. Kontaktdaten findest du auf der Seite deines LKA. Ein Anruf vorab klärt, welche Unterlagen sie brauchen und in welchem Format.

Privatpersonen und kleine Betriebe können die Online-Wache ihres Bundeslandes nutzen oder zur örtlichen Dienststelle gehen. Bei laufender Erpressung mit Frist ist der Notruf nicht falsch, im Normalfall reicht die Online-Anzeige.

In die Anzeige gehören:

1. Zeitraum des Angriffs mit Zeitzone
2. Betroffene Domains, IP-Adressen und Dienste
3. Art der Auswirkung (Seite nicht erreichbar, Shop ohne Bestellungen, Mail ausgefallen)
4. Was du über Quellen weißt (Top-IPs, ASNs, Länder aus den Logs)
5. Erpressernachrichten, falls vorhanden
6. Geschätzter Schaden
7. Der ausdrückliche Strafantrag

Erwarte keine schnelle Täterermittlung. Rechne aber damit, dass du für Rückfragen erreichbar sein musst und dass die Polizei Logs im Original sehen will.

BSI-Meldung: Pflicht für wichtige Einrichtungen

Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 regelt § 32 BSIG die Meldepflichten. Sie gelten für besonders wichtige und wichtige Einrichtungen, wenn ein erheblicher Sicherheitsvorfall vorliegt. Gemeldet wird an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Betreiber kritischer Anlagen müssen zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung machen. Ob dein Unternehmen betroffen ist, hängt von Sektor und Größe ab. Das solltest du vor dem Ernstfall geklärt haben, nicht in der 23. Stunde.

Für alle anderen gilt: Eine freiwillige Meldung an das BSI ist möglich und hilft dem Lagebild. Sie ersetzt keine Anzeige bei der Polizei. Das sind zwei getrennte Wege.

DDoS-Erpressung: nicht zahlen, dokumentieren

Erpresserische DDoS-Kampagnen folgen oft einem Muster: kurzer Demonstrationsangriff, dann eine Mail mit Frist und Wallet-Adresse. Manchmal kommt nach der Frist gar nichts mehr, weil der Absender nur Angst verkaufen wollte.

Zahle nicht. Wer zahlt, finanziert die nächste Kampagne und landet auf Listen zahlungswilliger Ziele. Nutze die Frist stattdessen, um Schutz vor die Seite zu bringen, etwa DDoS-Schutz mit Cloudflare oder die Filterung deines Hosters. Die technische Reihenfolge der Sofortmaßnahmen steht unter DDoS-Attacke: was tun.

Den Schaden für Anzeige und Versicherung beziffern

Die Polizei fragt nach dem Schaden, Versicherer sowieso. Eine nachvollziehbare Rechnung aus entgangenem Umsatz, Personalstunden und Zusatzkosten wirkt glaubwürdiger als eine runde Summe. Wie du sie aufstellst, zeigt der Artikel DDoS-Schaden und Kosten. Für die technische Beschreibung hilft dir die Einordnung aus DDoS-Attacke erkennen.

Nach der Anzeige: Domain und DNS absichern

Wer einmal Ziel war, wird oft wieder angegriffen. Prüfe nach dem Vorfall nicht nur den Webserver, sondern auch die Domain: Ist der Registrar-Lock aktiv, ist DNSSEC eingerichtet, haben nur die richtigen Personen Zugang zum Registrar-Konto? Die Ratgeber von betadomain zur Domain-Sicherheit gehen diese Punkte durch. Bei betadomain kannst du eine .de-Domain mit DNSSEC verwalten, die Nameserver selbst setzen und zum festen Jahrespreis verlängern, die Konditionen stehen in der Preisübersicht.

Schritt für Schritt

1. Beweise während des Angriffs sichernAccess- und Error-Logs, Firewall-Logs, Traffic-Grafiken und Provider-Meldungen mit Zeitstempel und Zeitzone kopieren und Prüfsummen bilden.
2. Erpressernachrichten unverändert aufbewahrenMails mit vollständigem Header als .eml exportieren, Chat-Nachrichten mit Screenshot und Export sichern, nicht antworten.
3. Zuständige Stelle wählenAls Unternehmen die ZAC des Landeskriminalamts kontaktieren, als Privatperson die Online-Wache deines Bundeslands oder die örtliche Dienststelle.
4. Anzeige und Strafantrag stellenDen Sachverhalt mit Zeitraum, betroffenen Systemen und Schaden schildern und ausdrücklich Strafantrag stellen, Aktenzeichen notieren.
5. Meldepflicht prüfenKlären, ob dein Unternehmen unter das BSIG fällt. Wenn ja: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat.