DDoS-aanval op uw website: herkennen en afwehren

Ihre Website lädt plötzlich langsam, zeigt eine 503-Fehlermeldung oder ist gar nicht mehr erreichbar. Sie haben nichts geändert, es gab kein Update, und doch sehen Ihre Kunden einen leeren Bildschirm. Ein DDoS-Angriff auf Ihre Website kann dann eine der Ursachen sein.

Bei einem DDoS-Angriff (Distributed Denial of Service) überlastet eine große Gruppe von Computern Ihre Website gleichzeitig, sodass der Server nicht mehr mitkommt. Das ist kein Einbruch. Es wird nichts gestohlen, die Tür wird einfach von Tausenden Menschen gleichzeitig blockiert. Unten lesen Sie, wie Sie es erkennen, was Sie in der ersten Stunde tun und was dafür sorgt, dass es Sie beim nächsten Mal nicht mehr trifft.

Wie erkennen Sie einen DDoS-Angriff auf Ihre Website?

Ein einzelnes Signal sagt wenig. Eine langsame Website kann auch an einem schweren Plugin liegen. Wenn aber mehrere Dinge gleichzeitig passieren, besonders wenn sie plötzlich beginnen, wird es verdächtig. Achten Sie auf diese Signale:

• Ihre Website ist plötzlich langsam oder nicht erreichbar, auch auf Seiten, die normalerweise blitzschnell laden, etwa Ihre Kontaktseite.
• 503-Fehler (Service Unavailable) oder Timeouts. Der Server meldet, dass er es gerade nicht schafft.
• Ein Anstieg Ihres Traffics ohne erkennbaren Grund. Kein Newsletter, keine Anzeige, keine Erwähnung irgendwo.
• Besucher, die alle dasselbe tun: Tausende Anfragen auf dieselbe Seite oder auf Ihre Anmeldeseite, Suchfunktion oder Ihren Warenkorb.
• Traffic aus Ländern, in denen Sie keine Kunden haben, oder ein Strom von Besuchern mit nahezu identischen Browserdaten.
• Auch Ihre E-Mail oder andere Dienste auf demselben Server stocken.
• Eine Meldung Ihres Hosters, dass ungewöhnlich viel Traffic eingeht oder Ihr Server überlastet ist.

Das sehen Sie in den Statistiken oder Logdateien Ihres Hostings. Wenn Sie nicht wissen, wo Sie nachsehen sollen, fragen Sie Ihren Hoster. Er sieht meist innerhalb weniger Minuten, ob es sich um einen Angriff handelt.

DDoS oder einfach viel Betrieb? So unterscheiden Sie es

Nicht jeder Anstieg ist ein Angriff. Eine erfolgreiche Aktion oder eine Erwähnung im Fernsehen bringt ebenfalls plötzlich viele Besucher. Der Unterschied liegt im Muster.

Eine kleine Anmerkung: Auch ein defektes Plugin, ein Skript, das in einer Schleife hängt, oder ein übereifriger Suchmaschinen-Bot kann Ihren Server lahmlegen. Das sieht dann wie ein Angriff aus, ist aber selbst verursacht. Deshalb schauen Sie als Erstes immer, was eingeht.

Was tun Sie sofort bei einem DDoS-Angriff?

Sie müssen kein Techniker sein, um die ersten Schritte zu gehen. Diese Reihenfolge funktioniert:

1. Rufen Sie Ihren Hoster an oder schreiben Sie ihm. Teilen Sie mit, dass Sie einen Angriff vermuten, seit wann er läuft und welche Seiten betroffen sind. Ein guter Hoster kann Traffic auf Netzwerkebene filtern, das können Sie selbst nicht.
2. Schalten Sie nicht blind alles aus und wieder ein. Ein Neustart des Servers verschafft höchstens kurz Luft. Der Angriff geht einfach weiter.
3. Prüfen Sie, ob es wirklich ein Angriff ist. Sehen Sie nach, ob sich kürzlich etwas geändert hat: ein neues Plugin, ein Update, eine Kampagne. So schließen Sie selbst verursachte Probleme aus.
4. Setzen Sie Grenzen pro Besucher. Mit Rate Limiting legen Sie fest, wie viele Anfragen eine Adresse pro Minute stellen darf. Wie das funktioniert, lesen Sie in unserem Beitrag über Rate Limiting und eigene Grenzen pro Adresse.
5. Sperren Sie verdächtige Adressen, aber erwarten Sie davon wenig. Bei einem echten DDoS-Angriff kommen die Anfragen von so vielen verschiedenen Adressen, dass manuelles Sperren ein Kampf gegen Windmühlen ist.
6. Informieren Sie Ihre Kunden. Eine kurze Meldung in den sozialen Medien oder per E-Mail („Unsere Website hat derzeit eine Störung, wir arbeiten daran“) spart Anrufe und erhält das Vertrauen.
7. Sichern Sie Beweise. Machen Sie Screenshots der Statistiken und bewahren Sie Logdateien auf. Das brauchen Sie, wenn Sie Anzeige erstatten möchten oder eine Versicherung es sehen will.

Was ist, wenn Geld verlangt wird?

Manchmal kommt während oder kurz nach einem Angriff eine Nachricht, dass er endet, wenn Sie zahlen. Zahlen Sie nicht. Es gibt keine Garantie, dass der Angriff aufhört, und Sie zeigen, dass Sie zahlen. Bewahren Sie die Nachricht auf, melden Sie sie Ihrem Hoster und erwägen Sie eine Anzeige.

Was ein DDoS-Angriff mit Ihrem Unternehmen macht

Der Schaden liegt selten im Angriff selbst, sondern in dem, was während der Störung nicht passiert. Ein Webshop, der einen Nachmittag offline ist, verliert Bestellungen. Ein Dienstleister mit unerreichbarer Website verpasst Anfragen. Auch Suchmaschinen bemerken es: Ist Ihre Website oft nicht erreichbar, hilft das Ihrer Auffindbarkeit nicht.

Außerdem nutzen manche Angreifer das Chaos als Nebelwand. Während alle auf die langsame Website schauen, wird anderswo etwas versucht, zum Beispiel die Anmeldung mit gestohlenen Passwörtern. Prüfen Sie nach einem Angriff daher auch, ob sich auf Ihrer Website nichts verändert hat. Sieht Ihre WordPress-Website merkwürdig aus, hilft unser Beitrag Website gehackt: Was tun in den ersten 24 Stunden.

Welcher Schutz verhindert einen DDoS-Angriff?

Einen Angriff können Sie nicht abwehren, indem Sie Ihren eigenen Server stärker machen. Ein Angriff kann immer größer sein als Ihr Server. Was funktioniert, ist den Traffic aufzufangen und zu filtern, bevor er Ihren Server erreicht. Das geschieht in mehreren Schichten:

• Filterung auf Netzwerkebene. Störender Traffic wird entfernt, bevor er Ihre Website trifft. Bei einem guten Hoster ist das standardmäßig im Paket enthalten. Bei Netslim gehört Anti-DDoS-Schutz standardmäßig zu Ihrem Hosting, auf Servern in ISO-27001-Rechenzentren in Deutschland.
• Schutz am Rand Ihrer Website. Eine Schicht zwischen Besucher und Server erkennt Bots und unnatürliches Verhalten und lässt echte Besucher durch.
• Rate Limiting. Ein Besucher, der in wenigen Sekunden Hunderte Seiten abruft, ist kein Besucher. Den bremsen Sie aus.
• Caching. Seiten, die bereits bereitliegen, müssen nicht bei jeder Anfrage neu aufgebaut werden. Das senkt die Last deutlich, auch an ganz normalen, stark besuchten Tagen.
• Überwachen Sie Ihre Website. Je früher Sie merken, dass etwas nicht stimmt, desto schneller können Sie handeln. Eine Meldung per E-Mail oder SMS bei einer Störung, etwa mit Serverwacht, erspart Ihnen Stunden der Ungewissheit.

Ein eigener Server oder VPS ohne Filterung ist am verwundbarsten. Dort tragen Sie die gesamte Last selbst, und ein relativ kleiner Angriff kann genügen, um Sie offline zu nehmen.

Was Sie jetzt konkret tun

Ist Ihre Website gerade nicht erreichbar, beginnen Sie bei Schritt 1 oben und kontaktieren Sie Ihren Hoster. Ist es ruhig, nutzen Sie diese Ruhe:

1. Führen Sie den kostenlosen Website-Check durch. Sie sehen, wie schnell Ihre Website ist und ob Ihre Sicherheits-Header stimmen, damit Sie wissen, wo Sie stehen, bevor etwas passiert.
2. Fragen Sie Ihren Hoster, welcher DDoS-Schutz standardmäßig enthalten ist und ab welchem Punkt er eingreift. Bekommen Sie keine klare Antwort, ist das auch eine Antwort.
3. Richten Sie eine Uptime-Meldung ein, damit Sie es als Erster erfahren und nicht Ihr Kunde.
4. Überlegen Sie vorab, wer was tut, wenn die Website ausfällt: Wer ruft den Hoster an, wer informiert die Kunden. Das kostet eine Viertelstunde und erspart Panik.

Möchten Sie, dass der Schutz einfach geregelt ist, ist er bei unserem Webhosting standardmäßig enthalten. Dann müssen Sie sich nicht selbst darum kümmern, und bei einem Angriff schaut jemand mit, der das täglich macht.

Häufige Fragen

Wie lange dauert ein DDoS-Angriff in der Regel?

Das ist sehr unterschiedlich. Manche Angriffe dauern nur wenige Minuten, andere gehen Stunden oder Tage weiter, manchmal mit Pausen dazwischen. Die Dauer lässt sich nicht vorhersagen, daher ist es sinnvoll, Schutz zu haben, bevor es beginnt.

Ist ein DDoS-Angriff strafbar?

Ja, die absichtliche Lahmlegung der Website eines anderen ist strafbar. Sie können Anzeige erstatten. Bewahren Sie dafür Screenshots und Logdateien vom Zeitpunkt des Angriffs auf.

Können Hacker über einen DDoS-Angriff Daten stehlen?

Damit selbst stehlen sie nichts, denn der Angriff überlastet nur Ihren Server. Manchmal dient er aber als Ablenkung, während anderswo etwas versucht wird. Prüfen Sie nach einem Angriff daher auch Ihre Verwaltungskonten und Dateien.

Warum sollte jemand meine kleine Website angreifen?

Oft ist es nicht persönlich. Die Gründe reichen von einem Konflikt oder einem Erpressungsversuch über einen Konkurrenten und einen Gamer mit Groll bis zu einem Angreifer, der übt. Auch kleine Websites werden getroffen, weil sie weniger geschützt sind.