Was ist ein Denial-of-Service-Angriff (DoS)?
Einblick in die Geschichte, Entwicklung und Schwere von Denial-of-Service-Angriffen
Teilen
Denial-of-Service (DoS) ist eine der ältesten und hartnäckigsten Formen von Cyberangriffen. Sein Ziel ist einfach: die Verfügbarkeit eines legitimen Dienstes zu verweigern.
Formen von Denial-of-Service-Angriffen
DoS-Angriffe erfolgen hauptsächlich durch die folgenden Techniken:
- Flooding: Ein koordinierter Angriff überlastet die für den Dienst zuständigen Server mit mehr Datenverkehr, als sie bewältigen können
- Ausnutzen einer Sicherheitslücke: Bestimmte Nachrichten – sogenannte Exploits – machen den Dienst unzugänglich, indem sie dessen Rechenressourcen erschöpfen, sei es durch Auslösen einer Endlosschleife, Verlangsamung, Absturz, Einfrieren oder Neustart der Anwendung.
So nutzen Angreifer Schwachstellen aus oder überlasten Ressourcen wie Netzwerkbandbreite, CPU und Arbeitsspeicher, bis das Ziel seine Kunden nicht mehr bedienen kann.
Eine der wirksamsten Formen dieses Angriffs ist die verteilte Variante – Distributed Denial of Service (DDoS) –, bei der ein Angreifer in mehrere Rechner eindringt und diese kontrolliert, um anschließend einen Angriff auf das Opfer zu orchestrieren. In der Regel handelt es sich bei Angriffen, die die oben genannte Flooding-Methode nutzen, um DDoS-Angriffe.
Da sie schwer nachzuverfolgen sind und aggressive Auswirkungen haben, sind DoS- und DDoS-Angriffe so alt wie das kommerzielle Internet und entwickeln sich ständig zu moderneren und effektiveren Methoden des Denial-of-Service weiter, wie beispielsweise die jüngste Einführung von künstlicher Intelligenz und Cloud-Technologie bei der Orchestrierung dieser Angriffe.
Wie beginnt also ein DoS-Angriff?
Wie Geräte rekrutiert, gehackt und ausgenutzt werden
Vielleicht haben Sie schon von Botnets und den Risiken kostenloser VPNs gehört. Das Herunterladen von Schadprogrammen, die sich unter legitimen Diensten verstecken, ist eine der häufigsten Methoden, mit denen Geräte gehackt werden – was uns an die philosophische Maxime aus den Reddit-Foren erinnert: Wenn der Dienst kostenlos ist, bist du das Produkt.
Die Grundidee hinter einem DDoS-Angriff – d. h. der verteilten Form eines DoS-Angriffs, die derzeit die gängigste Form darstellt – besteht in erster Linie darin, genügend Rechenleistung zu mobilisieren, um den Dienst des Opfers zu überlasten. Dies geschieht durch das Kapern anfälliger Geräte und die Installation von Schadsoftware darauf, wodurch der Drahtzieher des Angriffs das Gerät fernsteuern kann.
Die Gesamtheit der gekaperten Computer, Server und IoT-Geräte wird als Botnetz bezeichnet und stellt die Rechenarmee der Cyberkriminellen dar. Zweitens dient die Invasion dieser Nation von Computern dazu, die Quelle des Angriffs zu verschleiern, was bedeutet, dass die Verantwortlichen für DDoS-Angriffe selten für ihre Verbrechen zur Rechenschaft gezogen werden.
Bedenken Sie daher vor dem Herunterladen eines „kostenlosen“ VPNs oder Webdienstes, dass Ihr Rechner möglicherweise in ein kriminelles Botnetz eingezogen wird und dass ohne Ihr Wissen verschiedene illegale Aktivitäten – insbesondere DDoS-Angriffe – mit Ihrer IP-Adresse in Verbindung gebracht werden könnten.
Architektur eines DoS-Angriffs
Im Folgenden finden Sie ein Beispiel für eine verteilte Architektur, bei der ein Angreifer über Handler mehrere Rechner kompromittiert, dabei seine Identität anonym hält und die Besitzer der für das Botnetz rekrutierten Rechner belastet.
Abbildung 1.1 – Handler-/Agent-Architektur.
Die zentrale Idee hinter Handlern, bei denen es sich um Zwischenserver zwischen dem Angreifer und den infizierten Rechnern handelt, besteht darin, die Rückverfolgung des für den Angriff verantwortlichen Hackers oder der verantwortlichen Gruppe zu erschweren. So reagieren Agent-Maschinen – die Soldaten an vorderster Front – direkt auf die Handler-Server und führen einen DoS- oder DDoS-Angriff auf das Opfer durch, entweder mittels Exploits oder Flooding. Handler werden natürlich vom Angreifer kontrolliert.
Was haben Agenten und Handler gemeinsam? In der Regel mangelhafte Cybersicherheitsrichtlinien, wie zum Beispiel:
- Schwache oder Standard-Passwörter
- Falsch konfigurierte Firewalls
- Veraltete Systeme ohne Sicherheitspatches.
Auch Social Engineering, bei dem Kriminelle regelmäßig interne Unternehmenskommunikation fälschen, um die Installation von Schadsoftware zu veranlassen, Mitarbeiter dazu zu manipulieren, privilegierten Zugriff auf das Unternehmenssystem zu gewähren, oder einfach bösartige Links per E-Mail zu versenden, ist eine der effektivsten Methoden, um in Geräte einzudringen und diese zu kontrollieren.
Cloud, KI und die Revolution des DoS-Marktes
Risiko in den Wolken
Niemand möchte sich an die Jahre der COVID-19-Pandemie erinnern: Lockdowns, Wirtschaftskrise, überlastete öffentliche Gesundheitsdienste und Todesfälle... Es waren in der Tat qualvolle Jahre. Eine dauerhafte Auswirkung – für manche vielleicht positiv – war jedoch die Beschleunigung und Verbreitung der Heimarbeit.
Allerdings bedeutet die Arbeit von zu Hause aus in fast allen möglichen Szenarien, dass man aus der Ferne auf das System des Unternehmens zugreift. Dies setzt wiederum die Verfügbarkeit von Diensten in Clouds voraus.
Grob gesagt lassen sich Clouds als sehr leistungsstarke Maschinen zusammenfassen, die sich in riesigen Rechenzentren auf der ganzen Welt befinden und kommerzielle Dienste hosten und bereitstellen. Mit anderen Worten: Anstatt auf Ihrem Rechner oder dem Server Ihres Unternehmens zu laufen, wird der Dienst auf den Servern von Cloud-Anbietern wie AWS, Microsoft Azure und Google Cloud ausgeführt.
Häufig beauftragt ein Unternehmen zwei, drei oder mehr Cloud-Anbieter mit dem Hosting seiner Dienste. Allerdings weist jede Cloud unterschiedliche Einstellungen, Berechtigungen und Protokolle auf. Diese Fragmentierung kann zu Sicherheitsinkonsistenzen führen. Noch wichtiger ist, dass die massive Verbreitung von Cloud-Diensten die potenzielle Angriffsfläche vergrößert.
Somit lässt sich feststellen, dass sich DoS-Angriffsmethoden entsprechend dem jeweiligen Stand der Technik zu einem bestimmten Zeitpunkt in der Geschichte weiterentwickeln.
Heim-PCs
In den 1990er- und 2000er-Jahren führte die Verbreitung von Heim-PCs zur Entstehung selbstreplizierender Würmer und anderer Schadsoftware wie Phatbot, die in Windows-Systeme eindrangen und in Botnetzen eingesetzt wurden.
Das Internet der Dinge
In den Jahren 2010–2015 hat die Revolution der IoT-Geräte (Internet der Dinge) die Anzahl der anfälligen Maschinen erheblich vervielfacht und zu symbolträchtigen Fällen wie Mirai geführt.
Cloud-Dienste
Nach 2020 brachte die breite Einführung von Cloud-Diensten sowohl neue Möglichkeiten als auch neue Risiken mit sich. Nun können volumetrische Angriffe gegen kritische Cloud-Dienste gerichtet werden, indem deren Elastizität ausgenutzt wird und DDoS zu einem wirtschaftlichen Angriff wird: Die Cloud unterstützt den Datenverkehr, berechnet jedoch Gebühren für jede Anfrage.
AI-beschleunigte Risiken
Gleichzeitig spielt künstliche Intelligenz bei diesen Angriffen mittlerweile eine zentrale Rolle. Früher waren Angriffe auf die manuelle Koordination durch Hacker oder Gruppen angewiesen, heute werden sie durch Algorithmen des maschinellen Lernens automatisiert. Diese Systeme analysieren Abwehrmaßnahmen in Echtzeit und passen den Angriff innerhalb von Sekunden an, wodurch er widerstandsfähiger wird. Darüber hinaus hat die Demokratisierung durch Modelle wie FraudGPT und WormGPT dazu geführt, dass selbst Anfänger Zugriff auf Angriffstools haben. Script-Kiddies betreiben mittlerweile Paarprogrammierung mit großen Sprachmodellen (LLMs) und verstärken so ihre Wirkungsfähigkeit, selbst bei geringer technischer Ausbildung.
KI revolutioniert den Markt
Daher hat die Kombination aus Cloud und KI den DDoS-Markt revolutioniert: Die Cloud hat für Skalierbarkeit und wirtschaftliche Effizienz gesorgt, während KI für Anpassungsfähigkeit und Zugänglichkeit gesorgt hat.
Zu guter Letzt geht es um einen DDoS-Markt: Genauso wie man monatliche Streaming- und Cloud-Speicherdienste mieten kann, gibt es auch kriminelle Märkte für DDoS-Angriffe auf Abruf auf Telegram-Kanälen.
Tatsächlich war es noch nie so einfach, deinen Konkurrenten am Black Friday anzugreifen oder sogar deinen Lieblingsfeinden Millionen von HTTP-Anfragen pro Sekunde zu schenken.
Chronologie von DoS-Angriffen
Datum | Description | Tech Stack | Responsible(s) |
|---|---|---|---|
2003-2004 | Emergence of the Phatbot [1] worm, which exploited vulnerabilities in Windows systems to control millions of machines, used for spam, credential theft, and massive DDoS attacks. | Exploiting vulnerabilities in Windows + self-replicating worms | No clear central authorship |
2016 | The Mirai [2] botnet, made up of millions of insecure IoT devices (cameras, routers, DVRs), was used in an attack against DynDNS, which resulted in the shutdown of global services such as Netflix & Amazon. | Exploitation of default passwords on IoT devices, creation of a massive botnet, and distributed volumetric attack | In 2017, Paras Jha, Josiah White, and Dalton Norman pleaded guilty to crimes related to the Mirai botnet. [45] By assisting the government in other investigations, they were sentenced to probation and community service without |
2016 | Exploitation of the TR-069 protocol, used by modems for remote management. Malicious files sent caused a mass reboot of millions of devices in Europe | Exploitation of the TR-069 (CWMP) protocol, sending malicious SOAP payloads [2]. | Daniel Kaye (“SpiderMan”), British hacker hired to attack a Liberian telecom company. He ended up shutting down the entire internet in Liberia. |
2018 | GitHub suffered one of the largest DDoS attacks in history at the time, with peaks of 1.3 Tbps, exploiting open memcached servers on the internet. | Memcached amplification [3] (reflection and amplification via UDP) | Not attributed to a specific group; likely operators of rented botnets (DDoS-for-hire) |
2022 | During the Russia–Ukraine war, Telegram channels coordinated DDoS attacks against government websites, banks, and private companies in both countries | Distributed botnets + coordination via Telegram bots | Killnet (pro-Russia) and the IT Army of Ukraine (pro-Ukraine) |
2022 | During the Russia–Ukraine war, Telegram channels coordinated DDoS attacks against government websites, banks, and private companies in both countries | Distributed botnets + coordination via Telegram bots | Killnet (pro-Russia) and the IT Army of Ukraine (pro-Ukraine) |
2023 | Discovery and exploitation of the HTTP/2 Rapid Reset Attack [4], in which multiple connections are opened and quickly canceled, overloading modern web servers | HTTP/2 protocol, exploitation of the pipelining mechanism and stream reset | The attack was claimed by the pro-Russia hacker activist group NoName05617 |
2025 | The social network X (formerly Twitter) was the target of a massive DDoS attack, which sought to draw political attention and cause media chaos | Botnets distributed across cloud servers + coordination on Telegram, using modern L3/L4/L7 flooding [5] techniques | Dark Storm Team, a pro-Palestinian hacker activist group. |
Hinweis: Verantwortungsbekundungen für Angriffe durch Hacker-Aktivistengruppen reichen nicht aus, um deren Urheberschaft zu beweisen. Es ist wichtig, sich vor Augen zu halten, dass es einen Markt für DDoS-for-Hire gibt und dass verschiedene Gruppen – mit oder ohne politische Motive – um Medienaufmerksamkeit, Unterstützer und Geld konkurrieren.
Warum DoS schwer zu bekämpfen ist
Die Bekämpfung von DoS- und DDoS-Angriffen ist eine der größten Herausforderungen der modernen digitalen Sicherheit. Die Gründe reichen von technischen Einschränkungen bis hin zu wirtschaftlichen und sozialen Faktoren. Zu den größten Schwierigkeiten gehören:
Skalierbarkeit des Angriffs
Cloud-Anbieter können Millionen gleichzeitiger Verbindungen bewältigen, ohne dass ihre Dienste ausfallen. Jede zusätzlich verarbeitete Anfrage verursacht jedoch Kosten – und diese Kosten werden an das Zielunternehmen weitergegeben. Somit kann ein volumetrischer Angriff nicht nur Dienste lahmlegen, sondern auch massive wirtschaftliche Verluste verursachen, wodurch DDoS zu einer finanziellen Waffe wird.
Eingeschränkte Nachverfolgung
Eine klassische Technik, die bei Angriffen zum Einsatz kommt, ist IP-Spoofing. Bei dieser Technik fälscht der Angreifer die Quell-IP-Adresse in den gesendeten Paketen, sodass diese scheinbar von einem anderen Ort stammen. In Kombination mit dem Einsatz von Handlern (Zwischenservern) und verteilten Netzwerken erschwert dies die Identifizierung des tatsächlichen Urhebers des Angriffs. Das Ergebnis ist, dass die Ermittlungen oft nur die Agent-Rechner verfolgen – jene, die gekapert wurden, um das Botnetz zu bilden – und nicht den Angreifer, der den DDoS-Angriff orchestriert.
Ähnlichkeit zwischen legitimem und illegitimem Traffic
Die Unterscheidung zwischen echten Nutzern und Bots ist einer der komplexesten Aspekte der DDoS-Abwehr. Der Grund dafür ist, dass Angreifer keine „seltsamen“ oder leicht identifizierbaren Pakete senden, sondern vollkommen gültige Anfragen simulieren, wobei sie dieselben Protokolle (HTTP/HTTPS, DNS), Ports und Datenformate wie bei legitimen Zugriffen verwenden. Häufig weisen die Pakete korrekte Header und gültige Tokens auf und folgen sogar den typischen Surfgewohnheiten menschlicher Nutzer.
Bei Layer-7-Angriffen beispielsweise ist eine einfache GET- oder POST-Anfrage, die von einem Bot gestellt wird, identisch mit einer von einer Person gestellten Anfrage. Darüber hinaus wenden einige Gruppen Maschinell-Lern-Verfahren an, die den tatsächlichen Datenverkehr analysieren und Muster generieren, die diesen nachahmen – dabei werden Zugriffsrhythmen, Spitzenzeiten und sogar API-Interaktionen reproduziert. Daher ist krimineller Datenverkehr im Wesentlichen oft nicht von legitimem Datenverkehr zu unterscheiden: Er stammt aus verschiedenen Quellen und weist ähnliche Muster wie der Datenverkehr legitimer Nutzer auf, wobei sich die beiden lediglich deutlich im Ausmaß unterscheiden – d. h. in der Anzahl der Anfragen pro Sekunde.
Erweiterte Angriffsfläche
Im aktuellen Szenario führen die Abhängigkeit von mehreren Cloud-Anbietern, die zunehmende Verbreitung von IoT-Geräten ohne Sicherheitspatches und die explosionsartige Zunahme von APIs von Drittanbietern zu noch mehr Schwachstellen. Bei APIs ist die Situation besonders kritisch: Da die Kommunikation von Maschine zu Maschine erfolgt, ist es besonders schwierig, legitimen Datenverkehr von böswilligem Datenverkehr zu unterscheiden. Ein Angreifer kann korrekte Anfragen mit gültigen Variablen und Tokens simulieren und diese dennoch in großem Umfang nutzen, um die Systemressourcen zu erschöpfen.
Wettbewerb unter Hackern
Die Urheberschaft bei DDoS-Angriffen ist selten eindeutig. Gruppen können die Verantwortung für Angriffe übernehmen, ohne diese tatsächlich durchgeführt zu haben, nur um an Bekanntheit zu gewinnen. Da Angriffe anonym koordiniert werden, oft über Kanäle wie Telegram, ist „Urheberschaft“ nicht gleichbedeutend mit „Wahrheit“. Da Botnetze zudem die Besitzer der als Agenten fungierenden Rechner belasten, wird es noch ungewisser, den Angriff korrekt dem verantwortlichen Hacker oder der verantwortlichen Gruppe zuzuordnen.
Fazit
DoS- und DDoS-Angriffe haben sich parallel zum Internet selbst weiterentwickelt. Während sie ursprünglich als rudimentäre DDoS-Angriffe begannen, vereinen sie heute globale Reichweite, Automatisierung und künstliche Intelligenz und werden dadurch immer ausgefeilter und widerstandsfähiger.
Die Demokratisierung der Cyberkriminalität, die heute offen auf Telegram-Kanälen vermarktet wird – mit DDoS-as-a-Service-Angeboten, Krypto-Zahlungen und sogar auf die Erstellung von Malware trainierten LLMs wie FraudGPT und WormGPT –, senkt die Einstiegshürde für DDoS-Angriffe.
Wie der Radware Threat Report zeigt [7], stiegen Web-DDoS-Angriffe von 2023 bis 2024 um 550 %, während Netzwerk-DDoS-Angriffe um 120 % zunahmen. Mit der Expansion des Cloud-Marktes erleben wir zudem eine Ausweitung der Angriffsfläche, und die Zukunftsaussichten bleiben dieselben wie vor 30 Jahren: mit neuen Funktionen entstehen neue Schwachstellen, die ausgenutzt, dann behoben und erneut ausgenutzt werden – in diesem ewigen Katz-und-Maus-Spiel, das die digitale Sicherheit antreibt.
Letztendlich ist DDoS nicht nur ein technisches Problem – es ist ein Spiegelbild des Internets selbst: offen, mächtig und zerbrechlich, und es erinnert uns daran, dass sich die Widerstandsfähigkeit genauso schnell weiterentwickeln muss wie die Bedrohungen.
Verweise
-
Phatbot – Science Direct
-
Was war das Mirai-Botnetz? – Malwarebytes
-
So funktioniert TR-069 – Made4it
-
Die 7 häufigsten SOAP-Sicherheitslücken – Brightsec
-
Memcached-DDoS-Angriffe – Cloudflare
-
Rapid-Reset-DDoS-Angriffe – Cloudflare
-
Was sind die Schichten 3, 4 und 7? - Prophaze
DDoS: FAQs
Ein DoS-Angriff überflutet einen Server oder ein Netzwerk mit übermäßigem Datenverkehr, um dessen Ressourcen zu überlasten. Das Ziel besteht darin, eine Website, einen Dienst oder eine App für echte Nutzer vorübergehend unzugänglich zu machen, indem die Bandbreite oder die Systemkapazität ausgeschöpft wird.
Ein DoS-Angriff stammt aus einer einzigen Quelle, während bei einem DDoS-Angriff (Distributed Denial-of-Service) Hunderte oder Tausende infizierter Geräte weltweit zum Einsatz kommen. DDoS-Angriffe sind schwerer nachzuverfolgen und abzuwehren, da sie als legitimer Datenverkehr von vielen Endpunkten erscheinen.
Ein VPN verbirgt Ihre echte IP-Adresse und erschwert es Angreifern, Ihr Gerät direkt ins Visier zu nehmen. Dezentrale VPNs wie NymVPN bieten einen stärkeren Schutz, indem sie Daten über Mixnets leiten, sodass Angreifer die Quelle Ihrer Verbindung nicht einmal identifizieren oder zurückverfolgen können.
Trennen Sie sofort die Verbindung, starten Sie Ihren Router neu und wenden Sie sich an Ihren Internetanbieter oder Hosting-Anbieter. Das Wechseln des Netzwerks oder die Verwendung eines VPNs kann dabei helfen, Ihre neue IP-Adresse zu verschleiern. Für Unternehmen können der Einsatz von Anti-DDoS-Tools und dezentrales Routing zukünftige Angriffe abmildern.
Über die Autoren
Pedro Sydenstricker
Community-AutorCasey Ford. PhD
Technische PrüfungInhaltsverzeichnis
Weiter lesen...
Was sind Cookies? Die versteckten Bots, die deine Aktivitäten verfolgen
Website-Cookies und Risiken für den Datenschutz im Internet verstehen
Schützen VPNs Sie vor Hackern? Antwort eines Experten
VPNs können leistungsstarke Werkzeuge sein, um uns vor Hackern zu schützen, jedoch nicht vor allen Cyberangriffen. dVPNs sind sogar noch effektiver.