# DDoS-Attacke

> Ratgeber zu DDoS-Angriffen: Anzeichen erkennen, Sofortmaßnahmen, DNS- und CDN-Schutz, DNSSEC, Anycast-DNS und was Angriffe kosten.

DDoS-Attacke ist ein zweisprachiger Ratgeber (Deutsch/Englisch) der OnlineBuilders LLC. Domain-Preise auf dieser Website stammen aus dem Live-Preis-Feed des Registrars betadomain.de (https://betadomain.de/preise/), der ebenfalls zu OnlineBuilders gehört. Alle Preise sind Jahrespreise inklusive Verlängerung, ohne Lockangebote.

## Erkennen / Detection

- [DDoS-Arten: volumetrisch, Protokoll und Layer 7 erklärt](https://ddos-attacke.de/erkennen/ddos-arten/): Man unterscheidet drei DDoS-Arten. Volumetrische Angriffe verstopfen die Leitung mit Masse, oft per Reflexion über fremde Server, gemessen in Bit pro Sekunde. Protokollangriffe wie SYN-Floods erschöpfen Verbindungstabellen von Server und Firewall, gemessen in Paketen pro Sekunde. Layer-7-Angriffe überlasten die Anwendung mit scheinbar normalen HTTP-Requests, gemessen in Requests pro Sekunde.
- [DDoS-Attacke erkennen: Anzeichen in Logs und Metriken](https://ddos-attacke.de/erkennen/ddos-attacke-erkennen/): Eine DDoS-Attacke erkennst du an Metriken, die plötzlich und ohne Anlass aus dem Normalbereich springen: Requests pro Sekunde, halboffene TCP-Verbindungen, eingehende Bandbreite oder volle Conntrack-Tabellen. Typisch ist, dass viele Quellen dieselben Pfade aufrufen, kaum Referer mitschicken und nichts kaufen. Prüfen lässt sich das mit nginx-Logs, ss, iftop und den Analytics deines CDN.
- [DDoS oder Traffic-Spike? So unterscheidest du beides](https://ddos-attacke.de/erkennen/ddos-oder-traffic-spitze/): Ob DDoS oder Traffic-Spike, zeigt das Verhalten der Besucher. Echte Spitzen haben einen Auslöser wie Newsletter, TV-Beitrag oder Social-Media-Post, kommen mit Referer, verteilen sich auf viele Seiten und erzeugen Bestellungen. Ein Angriff beginnt abrupt, trifft wenige teure Pfade, kommt gebündelt aus Rechenzentren und führt zu keiner einzigen Conversion.
- [DDoS or Traffic Spike? How to Tell Them Apart Fast](https://ddos-attacke.de/en/detection/ddos-or-traffic-spike/): To tell a DDoS from a traffic spike, look at behaviour rather than volume. A real spike has a cause you can name, arrives with referrers, spreads across many pages, loads images and scripts, and produces sign-ups or orders. An attack starts abruptly, hammers a few expensive URLs, clusters in data-centre networks and converts nothing.
- [Detect a DDoS Attack: Signs in Logs, Metrics and Traffic](https://ddos-attacke.de/en/detection/detect-ddos-attack/): You detect a DDoS attack by watching for several metrics jumping at once with no business reason: requests per second, half-open TCP connections, inbound bandwidth and a full connection-tracking table. Attack traffic usually hits the same few paths, sends no referrer and never converts. nginx access logs, ss, iftop and your CDN's analytics show all of this within minutes.
- [Types of DDoS Attacks: Volumetric, Protocol and Layer 7](https://ddos-attacke.de/en/detection/types-of-ddos/): There are three main types of DDoS attacks. Volumetric attacks fill your network link with raw traffic, often reflected off third-party servers, and are measured in bits per second. Protocol attacks such as SYN floods exhaust connection tables, measured in packets per second. Application-layer (layer 7) attacks overload your app with valid-looking HTTP requests, measured in requests per second.

## Abwehr / Mitigation

- [DDoS-Anzeige erstatten: Polizei, ZAC und BSI-Meldung](https://ddos-attacke.de/abwehr/ddos-anzeigen/): Eine DDoS-Attacke zeigst du bei der Polizei an, als Unternehmen am besten über die Zentrale Ansprechstelle Cybercrime (ZAC) deines Landeskriminalamts, privat auch über die Online-Wache. Der Angriff ist meist Computersabotage nach § 303b StGB. Stelle zusätzlich ausdrücklich Strafantrag. Wichtige und besonders wichtige Einrichtungen müssen erhebliche Vorfälle außerdem binnen 24 Stunden beim BSI melden.
- [DDoS-Schaden und Kosten: so rechnest du den Ausfall](https://ddos-attacke.de/abwehr/ddos-kosten/): Den Schaden einer DDoS-Attacke berechnest du am besten selbst: entgangener Umsatz pro Stunde mal Ausfallstunden, plus Personalstunden mal Stundensatz, plus Zusatzkosten für Traffic, Schutzdienste und SLA-Gutschriften. Dazu kommen Folgekosten wie weiterlaufende Werbung auf eine tote Seite. Allgemeine Durchschnittswerte aus Studien sagen über deinen Fall wenig.
- [DDoS-Schutz mit Cloudflare: Einrichtung und Grenzen](https://ddos-attacke.de/abwehr/ddos-schutz-cloudflare/): Cloudflare filtert DDoS-Angriffe auf Netzwerk- und Anwendungsebene in allen Plänen, auch im kostenlosen, ohne Volumengrenze. Dafür stellst du die Nameserver deiner Domain auf Cloudflare um und schaltest die Einträge auf Proxy. Wirksam ist der Schutz erst, wenn deine Server-IP geheim bleibt und die Firewall nur Cloudflare-Adressen durchlässt.
- [DDoS-Attacke: Was tun? Sofortmaßnahmen in 8 Schritten](https://ddos-attacke.de/abwehr/ddos-was-tun/): Bei einer DDoS-Attacke prüfst du zuerst, auf welcher Ebene sie läuft, und informierst sofort Hoster oder Upstream-Provider, weil nur sie volle Leitungen filtern können. Parallel schaltest du CDN-Schutz wie den Under Attack Mode ein, drosselst teure Pfade per Rate Limiting, sicherst Logs als Beweis und erstattest Anzeige bei der Polizei. Lösegeld zahlst du nicht.
- [Rate Limiting mit nginx, fail2ban und Cloudflare](https://ddos-attacke.de/abwehr/rate-limiting/): Rate Limiting begrenzt, wie viele Anfragen ein Client in einem Zeitraum stellen darf, und weist den Rest mit HTTP 429 ab. Auf eigenen Servern übernimmt das nginx mit limit_req, fail2ban sperrt Dauerverursacher per Firewall, vor dem Server erledigen Dienste wie Cloudflare dasselbe am Rand des Netzes. Gegen große volumetrische Angriffe reicht es allein nicht.
- [Cost of a DDoS Attack: How to Calculate Your Own](https://ddos-attacke.de/en/mitigation/ddos-cost/): The cost of a DDoS attack is best calculated for your own business: revenue per hour multiplied by hours down and the share of sales that never come back, plus staff hours, extra infrastructure and protection spend, and any SLA credits you owe. Add follow-on costs such as ad spend wasted on an unreachable site. Industry averages say little about your case.
- [Cloudflare DDoS Protection: Setup, Limits, Origin Lockdown](https://ddos-attacke.de/en/mitigation/ddos-protection-cloudflare/): Cloudflare DDoS protection is unmetered and included on every plan, including Free, for network-layer and HTTP attacks. You get it by pointing your domain's nameservers to Cloudflare and proxying your web records. It only works if your origin server's IP stays private and the server accepts web traffic from Cloudflare's IP ranges alone.
- [DDoS Attack: What to Do in the First Hour (8 Steps)](https://ddos-attacke.de/en/mitigation/ddos-what-to-do/): During a DDoS attack, first work out which layer is under pressure, then contact your hosting or upstream provider straight away, because only they can filter a saturated link. At the same time tighten CDN protection, rate-limit the expensive endpoints, lock the origin to CDN addresses, save logs as evidence and report the attack. Do not pay a ransom.
- [Rate Limiting: nginx limit_req, fail2ban, Cloudflare Rules](https://ddos-attacke.de/en/mitigation/rate-limiting/): Rate limiting restricts how many requests a client may send in a given time and rejects the excess, ideally with HTTP 429. On your own server, nginx's limit_req module does the counting and fail2ban can firewall repeat offenders. A CDN such as Cloudflare does the same before traffic reaches you. It stops floods from few sources, not saturated links.
- [Report a DDoS Attack: Police, CERTs and Your Provider](https://ddos-attacke.de/en/mitigation/report-ddos-attack/): To report a DDoS attack, preserve logs and any extortion messages first, then file a report with your local police or national cybercrime unit and notify your national CERT or CSIRT. Tell your hosting or upstream provider through their abuse or NOC contact. Organisations covered by NIS2 or sector rules may have formal deadlines, starting with an early warning within 24 hours.

## DNS-Sicherheit / DNS security

- [Anycast DNS: Wie verteilte Nameserver DDoS abfangen](https://ddos-attacke.de/dns-sicherheit/anycast-dns/): Anycast DNS bedeutet, dass dieselbe Nameserver-IP-Adresse gleichzeitig von vielen Rechenzentren per BGP angekündigt wird. Jede Anfrage landet beim netztopologisch nächsten Standort. Das verkürzt Antwortzeiten und verteilt DDoS-Verkehr auf viele Orte, sodass ein Angriff nicht einen einzelnen Server überlastet. Ein Standort kann trotzdem lokal überlaufen.
- [DNS Amplification: Prinzip, Erkennung und Schutz](https://ddos-attacke.de/dns-sicherheit/dns-amplification/): DNS Amplification ist ein Reflexionsangriff: Angreifer schicken kleine DNS-Anfragen mit gefälschter Absenderadresse an offene Resolver, die große Antworten an das Opfer zurücksenden. Laut CISA vervielfacht DNS den Verkehr so um den Faktor 28 bis 54. Schutz bieten geschlossene Resolver, Response Rate Limiting und Ingress-Filtering nach BCP 38.
- [DNS-DDoS: Wenn der Nameserver zum Engpass wird](https://ddos-attacke.de/dns-sicherheit/dns-ddos/): Bei einem DNS-DDoS wird nicht deine Website angegriffen, sondern die Nameserver, die ihren Namen in eine IP-Adresse übersetzen. Fallen sie aus, ist die Domain für neue Besucher unerreichbar, obwohl der Webserver läuft. Schutz bieten Anycast-Nameserver, ein zweiter unabhängiger DNS-Anbieter und TTLs, die Resolvern Puffer geben.
- [Secondary DNS einrichten: Zonentransfer mit TSIG](https://ddos-attacke.de/dns-sicherheit/secondary-dns/): Secondary DNS ist ein zweiter autoritativer Nameserver, der eine Kopie deiner Zone vom Primary per Zonentransfer (AXFR oder IXFR) bezieht und Anfragen eigenständig beantwortet. Liegt er bei einem unabhängigen Anbieter in einem anderen Netz, bleibt deine Domain erreichbar, wenn der erste Anbieter durch DDoS oder Störung ausfällt.
- [Anycast DNS Explained: One IP, Many Locations](https://ddos-attacke.de/en/dns-security/anycast-dns/): Anycast DNS means the same nameserver IP address is announced over BGP from many data centres at once. Each query is routed to the topologically closest site. That cuts latency and spreads DDoS traffic across many locations instead of piling it onto one server, although an individual site can still be overwhelmed locally.
- [DNS Amplification Attack: How It Works, How to Stop It](https://ddos-attacke.de/en/dns-security/dns-amplification/): A DNS amplification attack is a reflection attack. Small DNS queries with a forged source address go to open resolvers, which send much larger answers to the victim. CISA puts the bandwidth amplification for DNS at 28 to 54 times. The defences are closing open resolvers, response rate limiting and source address validation under BCP 38.
- [DNS DDoS Attack: When Your Nameservers Go Down](https://ddos-attacke.de/en/dns-security/dns-ddos-attack/): A DNS DDoS attack targets the authoritative nameservers that turn your domain name into an IP address. If they stop answering, new visitors cannot find your site even though your web server is healthy. The main defences are anycast nameservers, a second independent DNS provider and TTLs long enough to keep answers cached.
- [Secondary DNS: Set Up a Second Provider with TSIG](https://ddos-attacke.de/en/dns-security/secondary-dns/): Secondary DNS is an additional authoritative nameserver that copies your zone from the primary through zone transfers (AXFR or IXFR) and answers queries on its own. Hosted by an independent provider on a different network, it keeps your domain resolving when the first provider is knocked out by a DDoS attack or an outage.

## Optional

- [Full text](https://ddos-attacke.de/llms-full.txt): Alle Artikel als Klartext
- [Sitemap](https://ddos-attacke.de/sitemap.xml)
- [betadomain.de](https://betadomain.de/llms.txt): Registrar mit Domain-API und MCP-Server