DDoS-Angriffe: Warum Verfügbarkeit zum Wirtschaftsrisiko wird

Eine Webseite, die nicht mehr lädt. Ein Onlineshop, der keine Bestellungen mehr annimmt. Ein Kundenportal, das ausgerechnet am Monatsende aussetzt. Dahinter steckt oft kein Serverfehler, sondern ein DDoS-Angriff. Und die Zahlen zeigen: Das Risiko wächst.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) misst DDoS-Angriffe in Deutschland monatlich. Zwischen Juli 2024 und Juni 2025 zählte die Behörde im Schnitt knapp 40 Prozent mehr Angriffe als im Vergleichsjahr 2021 – der längste Zeitraum erhöhter Werte seit Beginn der Messung. Im Februar 2025 stieg der Wert sogar auf 52 Prozent über den langjährigen Durchschnitt. Zeitgleich damit, so das BSI: Bundestagswahl und Münchner Sicherheitskonferenz fielen in denselben Monat.

Die wirtschaftlichen Folgen beziffert der Digitalverband Bitkom für 2025 auf 289,2 Milliarden Euro Gesamtschaden durch Diebstahl, Spionage und Sabotage in der deutschen Wirtschaft – rechnerisch rund 3.400 Euro pro Einwohner. 202,4 Milliarden Euro davon gehen auf Cyberangriffe zurück. Innerhalb dieser Cyberangriffe nennen 25 Prozent der befragten Unternehmen DDoS als Schadensursache der vergangenen zwölf Monate, nach Ransomware die zweithäufigste.

DDoS steht für Distributed Denial of Service, zu Deutsch: verteilte Diensteverweigerung. Angreifer bombardieren ein Zielsystem mit so vielen Anfragen aus so vielen Quellen, dass es unter der Last zusammenbricht. Echte Nutzer kommen nicht mehr durch, das angegriffene System wird lahmgelegt. Anders als bei Ransomware geht es nicht um gestohlene oder verschlüsselte Daten, sondern allein um Erreichbarkeit. Ist beispielsweise ein Webshop über Stunden oder Tage nicht erreichbar, entgehen dem Unternehmen massiv Umsätze. Vom Reputationsschaden mal ganz abgesehen.

Meist steuern die Angreifer Botnetze: Netzwerke aus tausenden gekaperten Geräten, deren Besitzer vom Missbrauch nichts wissen. Drei Angriffsarten kommen dabei vor: Volumetrische Angriffe fluten die Internetleitung mit Datenverkehr. Protokollangriffe nutzen Schwächen im Verbindungsaufbau aus, etwa den vom BSI beschriebenen SYN-Flood, bei dem gefälschte Verbindungsanfragen das Zielsystem in eine endlose Warteschleife zwingen, bis keine Kapazität mehr für echte Nutzer bleibt. Angriffe auf Anwendungsebene zielen gezielt auf Schwachstellen einzelner Webanwendungen. In der Praxis kombinieren Angreifer diese Methoden häufig.

Hinter vielen Angriffen steckt schlichtes Geschäft: Erpressung, Sabotage eines Konkurrenten, manchmal Auftragsarbeit gegen Geld im Darknet. Der zeitliche Zusammenhang zwischen dem Spitzenwert im Februar 2025 und Bundestagswahl sowie Sicherheitskonferenz zeigt aber ein zweites Motiv: politischen Hacktivismus. Diese Angriffe wollen keinen finanziellen Schaden anrichten. Sie wollen den Zugang zu Informationen einschränken, Vertrauen in Behörden und Medien untergraben und die Bevölkerung verunsichern. Kurz vor der Sicherheitskonferenz 2025 traf es die Webseiten der bayerischen Staatskanzlei und des Digitalministeriums, mutmaßlich aus dem Umfeld prorussischer Hacktivisten. Auch Ablenkung kann ein Motiv sein: Die europäische Cybersicherheitsagentur ENISA berichtet von Fällen, in denen ein DDoS-Angriff als Nebelkerze diente, während Angreifer im Hintergrund Daten stahlen oder weitere Systeme kompromittierten.

Das BSI empfiehlt Unternehmen zuerst, die eigenen Angriffsflächen zu kennen: Welche Webseiten, Mailserver, VPN-Zugänge und Cloud-Dienste sind aus dem Internet erreichbar, und wie teuer wäre ein Ausfall? Zweitens braucht es klare Zuständigkeiten, bevor etwas passiert: Wer meldet sich, wer entscheidet, wer spricht mit dem Provider? Netzwerke lassen sich zusätzlich in getrennte Segmente aufteilen, damit ein Angriff nicht gleich die gesamte IT lahmlegt. Ein Notfallplan hält fest, wie die Kommunikation im Ernstfall läuft, intern wie mit dem eigenen Internetanbieter. Für Betreiber kritischer Anlagen verlangt die NIS-2-Richtlinie angemessene Risikomanagementmaßnahmen zum Schutz der Verfügbarkeit. Ein zertifizierter DDoS-Schutz-Dienstleister ist eine gängige Art, diese Pflicht zu erfüllen – vorgeschrieben ist er nicht namentlich.

Ein Teil dieser Verteidigung sitzt beim Netzbetreiber selbst, noch bevor der Angriff das Kundennetz erreicht. Plusnet betreibt eine DDoS-Schutzlösung, die Angriffe automatisiert und in Echtzeit am Netzeingang erkennt und abwehrt. Sie zählt zu jeder Plusnet-Internetanbindung und schützt damit die eigene Infrastruktur ebenso wie die darüber geführten Kundennetze. Im laufenden Betrieb hat sich die Lösung bei großvolumigen Angriffen bewährt, ohne Infrastruktur oder Services zu beeinträchtigen.

Technisch funktioniert das so: Die Lösung filtert schädlichen Datenverkehr direkt am Netzeingang heraus, so nah wie möglich an der Angriffsquelle. Großflächige Angriffe erkennt und blockiert sie automatisiert, meist innerhalb weniger Sekunden. Auch die eigene Anbindung bleibt in diesem Szenario nicht weiter belastet. Im Einsatz ist die Lösung bei Plusnet seit 2021.

Der netzseitige Grundschutz ersetzt aber keinen eigenen Schutz. Verschlüsselte Angriffe oder solche mit sehr geringem Datenvolumen stehen nicht in jedem Fall im Fokus der Erkennung. Wer besonders schützenswerte Dienste betreibt, kombiniert den Grundschutz deshalb am besten mit den oben genannten organisatorischen Maßnahmen und im Zweifel mit zusätzlichen Firewalls, wie sie auch von Plusnet angeboten werden.

DDoS-Angriffe kosten heute reale Umsätze, nicht nur Nerven. Wer seine kritischen Systeme kennt, einen Notfallplan hat und sich auf einen netzseitigen Grundschutz verlassen kann, steht beim nächsten Angriff deutlich besser da.