DDoS-Schaden und Kosten: so rechnest du den Ausfall

Wer nach den Kosten einer DDoS-Attacke sucht, findet schnell beeindruckende Durchschnittswerte aus Branchenstudien. Für deine Entscheidung taugen sie wenig. Ein Durchschnitt über Banken, Spieleplattformen und Handwerksbetriebe sagt dir nicht, was eine Stunde Ausfall bei dir kostet. Das kannst du nur selbst ausrechnen, und es dauert eine halbe Stunde.

Woraus sich der Schaden einer DDoS-Attacke zusammensetzt

Ein Ausfall kostet in mehreren Töpfen gleichzeitig. Manche siehst du sofort auf dem Konto, andere erst Wochen später.

Die ersten fünf Zeilen lassen sich belegen. Die letzten sind Schätzungen, und genau so solltest du sie in einer Anzeige oder gegenüber einer Versicherung auch kennzeichnen.

Ausfallkosten berechnen: die Grundformel

Schaden = (Umsatz pro Stunde × Ausfallstunden × Verlustquote)
        + (Personalstunden × Stundensatz)
        + Zusatzkosten (Traffic, Dienstleister, Schutz)
        + SLA-Gutschriften
        + Folgekosten

Zwei Stellen verdienen einen zweiten Blick.

Umsatz pro Stunde ist selten der Jahresumsatz geteilt durch 8.760 Stunden. Die meisten Shops machen den Großteil ihres Umsatzes in wenigen Abendstunden und am Wochenende. Nimm die Stunden, in denen der Angriff tatsächlich lief, und schau in deiner Statistik nach, was in genau diesen Stunden an vergleichbaren Tagen umgesetzt wurde.

Die Verlustquote beschreibt, wie viel davon wirklich weg ist. Stammkunden kommen am nächsten Tag wieder und bestellen dann. Wer über eine Anzeige kam, bestellt beim Mitbewerber. Ein B2B-Portal mit festen Kunden verliert weniger als ein Shop mit Impulskäufen.

Beispielrechnung für einen kleinen Onlineshop

Die folgenden Werte sind ein erfundenes Beispiel zur Veranschaulichung, keine Durchschnittswerte.

Ausgangslage: Ein Shop setzt an einem normalen Dienstag zwischen 18 und 22 Uhr rund 1.600 € um, also 400 € pro Stunde. Genau in diesem Fenster ist er vier Stunden lang nicht erreichbar.

Dabei ist noch kein Cent für dauerhaften Schutz enthalten. Und ein Angriff in der Woche vor Weihnachten kann bei derselben Formel ein Vielfaches ergeben, weil der Umsatz pro Stunde dann höher ist.

Versteckte DDoS-Kosten: Traffic, Cloud und SLAs

Bei klassischem Webhosting mit Flatrate fällt Traffic kaum ins Gewicht. Anders bei Cloud-Infrastruktur: Wird ausgehender Traffic pro Gigabyte abgerechnet oder skaliert die Plattform automatisch, kann ein Angriff die Monatsrechnung sprengen, ohne dass die Seite überhaupt ausfällt. Prüfe deshalb vorher:

• Rechnet dein Anbieter Egress-Traffic nach Volumen ab?
• Gibt es ein Limit für Autoscaling oder ein Budget-Alarm?
• Werden CDN-Anfragen pro Request berechnet?
• Bietet der Anbieter Gutschriften für Angriffs-Traffic, und unter welchen Bedingungen?

Wenn du selbst Kunden ein SLA zusagst, etwa 99,9 % Verfügbarkeit im Monat, rechne nach: 99,9 % erlauben rund 43 Minuten Ausfall in einem Monat mit 30 Tagen. Ein einziger Vormittag mit DDoS reißt das Ziel, und die vereinbarten Gutschriften werden fällig.

Was DDoS-Schutz kostet und wann er sich rechnet

Der Basis-Schutz von Cloudflare kostet im Free-Plan nichts und filtert laut Anbieter Angriffe auf Netzwerk- und Anwendungsebene ohne Mengenbegrenzung. Was er abdeckt und wo seine Grenzen liegen, steht im Artikel zum DDoS-Schutz mit Cloudflare. Bezahlpläne, Schutzoptionen von Hostern und spezialisierte Scrubbing-Dienste rechnen sehr unterschiedlich ab, die aktuellen Konditionen findest du nur beim jeweiligen Anbieter.

Die Entscheidung wird einfach, wenn du deine eigene Zahl kennst:

Lohnt sich Schutz?  →  Kosten pro Ausfallstunde × erwartete Ausfallstunden pro Jahr
                       > Jahreskosten des Schutzes

Liegt deine Ausfallstunde bei 500 €, ist ein Schutz für 20 € im Monat schon nach einer halben Stunde vermiedenen Ausfalls im Jahr bezahlt. Bei einem privaten Blog ohne Einnahmen reicht dagegen der kostenlose Schutz plus sauberes Rate Limiting auf dem Server.

Ein oft übersehener Kostenpunkt ist DNS. Fallen deine Nameserver aus, ist nicht nur die Website weg, sondern auch Mail und jede API. Mit einem zweiten Anbieter für Secondary DNS verringerst du dieses Risiko für wenig Geld.

Schadensersatz, Anzeige und Versicherung

Wird der Täter ermittelt, kommt zivilrechtlich Schadensersatz in Betracht, etwa nach § 823 BGB. Realistisch ist das selten, weil Angreifer oft unbekannt bleiben. Trotzdem ist deine Schadensrechnung wichtig: Polizei, Staatsanwaltschaft und Versicherer arbeiten mit ihr. Wie du Anzeige erstattest und welche Beweise du sicherst, beschreibt DDoS-Anzeige erstatten. Bei größeren Summen hilft eine kurze anwaltliche Einschätzung.

Für die Versicherung zählen vor allem die Belege: Logs, Traffic-Grafiken, Ausfallchronik mit Uhrzeiten. Wie du solche Daten schon während des Angriffs sammelst, zeigt DDoS-Attacke erkennen.

Vorlage: deine eigene Zahl in 30 Minuten

1. Umsatz der letzten acht gleichen Wochentage nach Stunde exportieren.
2. Den Durchschnitt pro Stunde für die Spitzenzeiten bilden.
3. Eine realistische Verlustquote festlegen (Stammkunden vs. Neukunden).
4. Interne Stundensätze für alle, die bei einem Ausfall mitarbeiten, notieren.
5. Vertragliche SLA-Gutschriften und Werbebudget pro Stunde ergänzen.
6. Ergebnis: Kosten pro Ausfallstunde. Diese Zahl gehört in dein Notfallhandbuch.

Mit der Zahl kannst du Schutz einkaufen, statt im Ernstfall zu raten. Fang bei der Domain an: Bei betadomain bekommst du eine .de-Domain mit DNSSEC und freier Nameserver-Wahl, die Preise ohne Lockangebot gelten auch für jede Verlängerung, und die Ratgeber zur Domain-Sicherheit zeigen, was du zusätzlich absichern solltest.