DDoS-Arten: volumetrisch, Protokoll und Layer 7 erklärt

Wer nach einem Ausfall mit dem Hoster telefoniert, hört schnell Fragen wie „Wie viele Gigabit?“ oder „Wie viele Pakete pro Sekunde?“. Wer darauf nur „Die Seite ist weg“ antworten kann, verliert Zeit. Die Einteilung in DDoS-Arten ist keine Theorie für Lehrbücher. Sie entscheidet, wer dir helfen kann und welche Maßnahme überhaupt wirkt.

Die drei DDoS-Arten im Überblick

Die übliche Einteilung folgt den Schichten des Netzwerkmodells. Jede Art hat ihre eigene Maßeinheit, und an der Einheit erkennst du oft schon, womit du es zu tun hast.

Daneben gibt es Angriffe auf das DNS, die je nach Ausprägung in die erste oder dritte Kategorie fallen. Sie haben einen eigenen Artikel: DNS-DDoS.

Volumetrische Angriffe: wenn die Leitung voll ist

Ein volumetrischer Angriff schickt einfach mehr Daten, als die Anbindung transportieren kann. Hat dein Server einen 1-Gbit/s-Port, reicht ein Angriff mit wenigen Gigabit, um ihn unerreichbar zu machen. Dein Server ist dabei oft völlig gelangweilt: Die CPU läuft bei fünf Prozent, weil die Pakete schon auf dem Weg dorthin hängen bleiben.

UDP-Flood

UDP kennt keinen Verbindungsaufbau. Ein Angreifer kann also Pakete an beliebige Ports schicken, und die Leitung muss sie trotzdem transportieren. Wenn auf dem Ziel kein Dienst lauscht, antwortet der Kernel eventuell sogar noch mit ICMP-Meldungen.

Reflexion und Amplification

Bei dieser Variante schicken die Bots ihre Anfragen nicht an dich, sondern an fremde, offen erreichbare Dienste wie DNS-Resolver oder NTP-Server. Als Absender tragen sie deine IP ein. Die Antworten gehen an dich, und weil sie größer sind als die Anfrage, wird der Verkehr verstärkt. Die US-Behörde CISA nennt in ihrem Hinweis TA14-017A Verstärkungsfaktoren von 28 bis 54 für DNS und 556,9 für NTP. Das Prinzip und die Gegenmaßnahmen stehen im Artikel zur DNS Amplification.

Erkennbar ist Reflexion an Quellports: massenhaft UDP von Port 53 (DNS), 123 (NTP) oder 1900 (SSDP), obwohl du nichts dergleichen angefragt hast.

Gegen volumetrische Angriffe kannst du auf dem eigenen Server nichts ausrichten. Hilfe kommt vom Hoster, der den Verkehr in seinem Netz filtert, von einem Scrubbing-Dienst, der deinen Traffic umleitet und gereinigt zurückschickt, oder von einem CDN mit Anycast-Netz, das die Last auf viele Standorte verteilt.

Protokollangriffe: SYN-Flood und Co.

Hier geht es nicht um Bandbreite, sondern um Zustand. Jede TCP-Verbindung beginnt mit einem Handshake: SYN, SYN-ACK, ACK. Bei einem SYN-Flood schicken die Angreifer nur das erste Paket, oft mit gefälschter Absenderadresse. Der Server legt für jede halboffene Verbindung einen Eintrag an und wartet. Ist die Warteschlange voll, kommen echte Besucher nicht mehr durch.

Ähnlich wirken Angriffe auf Firewalls und Load Balancer, die jede Verbindung in einer Tabelle verfolgen. Auf Linux heißt das Symptom im Kernel-Log nf_conntrack: table full, dropping packet.

Erkennen lässt sich ein SYN-Flood mit:

ss -tan state syn-recv | wc -l
sysctl net.ipv4.tcp_syncookies

Tausende halboffene Verbindungen sind ein deutliches Zeichen. SYN-Cookies (Wert 1) erlauben dem Kernel, ohne Eintrag in der Warteschlange zu antworten, und sind auf aktuellen Distributionen meist schon aktiv. Gegen sehr hohe Paketraten hilft das allein nicht, dann muss wieder der Provider ran.

Layer-7-DDoS: HTTP-Floods auf die Anwendung

Für Betreiber von Shops, Blogs und Web-Apps ist das die wichtigste Kategorie. Die Angreifer schicken vollständige, technisch korrekte HTTP-Requests. Jeder einzelne sieht aus wie ein Besucher. Das Problem ist die Menge und das Ziel.

Typische Varianten:

• HTTP-Flood auf teure Seiten. Suche, Login, Warenkorb oder Filterseiten lösen Datenbankabfragen aus. Ein WordPress-Shop ohne Seiten-Cache schafft je nach Server oft nur ein paar Dutzend bis wenige Hundert solcher Requests pro Sekunde.
• Cache-Busting. Zufällige Query-Strings wie /?r=8k2j sorgen dafür, dass jeder Request am Cache vorbei zum Server geht.
• Langsame Requests. Statt viele Anfragen zu senden, halten die Clients Verbindungen künstlich lange offen, indem sie Header oder Body extrem langsam übertragen. So werden die Worker-Slots des Webservers belegt.
• API-Missbrauch. Endpunkte ohne Limit, etwa für Passwort-Reset oder Gutscheinprüfung, werden in hoher Frequenz aufgerufen.

Die Leitung ist dabei frei, die CPU dagegen am Anschlag. Hier kannst du selbst viel tun: Caching, Rate Limiting mit nginx limit_req, Timeouts wie client_header_timeout und client_body_timeout gegen langsame Verbindungen und eine WAF davor. Wie das mit einem CDN konkret aussieht, beschreibt der Artikel DDoS-Schutz mit Cloudflare.

Welche DDoS-Art trifft dich gerade?

Die schnelle Zuordnung anhand der Symptome:

Die Befehle für die Diagnose stehen im Artikel DDoS-Attacke erkennen. Bist du dir nicht sicher, ob überhaupt ein Angriff vorliegt, hilft der Vergleich DDoS oder Traffic-Spitze.

Was die Einordnung für die Abwehr bedeutet

Meine Faustregel: Alles unterhalb von Layer 7 gehört zum Provider, alles auf Layer 7 zu dir oder deinem CDN. Wenn du beim Hoster anrufst, nenn ihm die Einheit, die zur Art passt. „Wir sehen 40.000 SYN-RECV und volle Conntrack-Tabellen seit 14:02 Uhr“ führt schneller zu einer Filterregel als „Die Seite ist kaputt“.

Ein Punkt wird bei der Planung oft vergessen: Auch das beste CDN hilft nicht, wenn die Nameserver ausfallen und niemand mehr die Adresse auflösen kann. Ein Registrar, bei dem du Nameserver selbst setzen und DNSSEC aktivieren kannst, gehört deshalb zur Grundausstattung. Bei betadomain findest du dafür die Nameserver-Einstellungen und Ratgeber zur Domain-Sicherheit, kannst einen neuen Projektnamen direkt im Domain-Check suchen und siehst alle Endungen mit festem Jahrespreis auf der Preisliste. Als Nächstes lohnt sich die Checkliste mit den Sofortmaßnahmen bei einer DDoS-Attacke, damit du sie hast, bevor du sie brauchst.