Wie DDoS-Schutz wirklich funktioniert

DMCA & resilience · 8 Min. Lesezeit

Kurzantwort: DDoS-Schutz funktioniert, indem er sich zwischen das Internet und Ihren Server schaltet und schädlichen Traffic absorbiert und filtert, sodass nur legitime Anfragen Ihre Anwendung erreichen. In der Praxis bedeutet das genug vorgelagerte Netzwerkkapazität, um eine volumetrische Flut zu absorbieren, automatisierte Erkennung, die Angriffs-Traffic innerhalb von Sekunden von echten Nutzern unterscheidet, sowie Scrubbing, das den schädlichen Traffic verwirft oder ratenbegrenzt, während Ihr Dienst erreichbar bleibt.

Was ein DDoS-Angriff tatsächlich bewirkt

Ein Distributed-Denial-of-Service-Angriff versucht, einen Dienst nicht durch Einbrechen, sondern durch Überlastung einer Ressource, von der er abhängt, unerreichbar zu machen. Diese Ressource kann rohe Netzwerkbandbreite sein (ein volumetrischer Angriff, gemessen in Gbps), die Verbindungsverwaltungskapazität von Routern und Firewalls (ein Protokollangriff, gemessen in Paketen pro Sekunde) oder die Anwendungsschicht selbst (eine HTTP-Flut, die wie echter Traffic aussieht, aber in einem Volumen ankommt, das die App nicht verarbeiten kann). Jede Kategorie braucht eine andere Verteidigung, weshalb 'DDoS-Schutz' eigentlich ein Bündel mehrerer verschiedener Techniken ist, kein einzelner Schalter, den man umlegt.

Das 'Distributed' ist entscheidend: Angriffs-Traffic stammt typischerweise gleichzeitig aus Tausenden verschiedenen Quell-IPs, oft einem Botnetz kompromittierter Geräte, weshalb das simple Sperren einer einzelnen IP-Adresse selten hilft. Ein gut betriebenes Anti-DDoS-Hosting-Setup muss davon ausgehen, dass der Angriffs-Traffic aussieht, als käme er von überall, und darum herum konzipiert sein, statt sich auf eine manuell gepflegte Sperrliste zu verlassen.

Die drei Ebenen, auf denen DDoS-Schutz tatsächlich ansetzt

Volumetrische Angriffe zielen darauf ab, die Netzwerkverbindung selbst zu sättigen, häufige Vektoren sind UDP-Fluten, DNS-Amplifikation und NTP-Amplifikation, bei denen ein Angreifer Ihre IP fälscht und Drittserver dazu bringt, Sie mit Antworten auf eine kleine Anfrage zu überfluten. Die Verteidigung auf dieser Ebene dreht sich vor allem um Kapazität und vorgelagerte Filterung: Wenn das Netzwerk Ihres Anbieters weit mehr eingehenden Traffic absorbieren kann, als Ihre eigentliche Verbindung braucht, und diese Filterung erfolgt, bevor Traffic die lokale Verbindung Ihres Servers erreicht, wird eine volumetrische Flut vorgelagert abgefangen, statt Ihren VPS zu ersticken.

Protokollangriffe zielen auf die Verbindungszustandsmaschinerie von Routern, Loadbalancern und Firewalls statt auf rohe Bandbreite, ein klassisches Beispiel ist eine SYN-Flut, die riesige Mengen halbfertiger TCP-Handshakes öffnet, um Verbindungstabellen zu erschöpfen. Die Abwehr stützt sich hier auf Techniken wie SYN-Cookies, Verbindungsratenbegrenzung und zustandslose Paketvalidierung am Netzwerkrand, ausgeführt von dafür gebauter Hardware oder Software, bevor die Flut überhaupt das Betriebssystem erreicht, das Ihre Anwendung ausführt.

Angriffe auf der Anwendungsschicht sind am schwersten zu erkennen, weil die einzelnen Anfragen oft technisch gültig sind, eine HTTP-Flut, die einen Such-Endpunkt oder eine Login-Seite mit echt aussehenden Anfragen bombardiert, kann einen Dienst lahmlegen, ohne jemals als ungewöhnliche Bandbreite aufzufallen. Diese Ebene braucht Verhaltensanalyse: Ratenbegrenzung pro Quelle, Challenge-Response-Mechanismen und Mustererkennung, die einen Schub echten Interesses von einer koordinierten Flut unterscheiden kann, denn Blockieren allein aufgrund von Traffic-Volumen übersieht entweder den Angriff oder blockiert echte Nutzer.

Volumetrisch (Netzwerk-/Transportschicht): UDP-Fluten, DNS-/NTP-Amplifikation, gemessen in Gbps
Protokoll-/Zustandserschöpfung: SYN-Fluten, fehlerhafte Paketfluten, gemessen in Paketen pro Sekunde
Anwendungsschicht: HTTP-Fluten, Slow-Request-Angriffe, gemessen in Anfragen pro Sekunde und deutlich schwerer von echtem Traffic zu unterscheiden

Wie die Abwehr tatsächlich in Echtzeit abläuft

Effektives Anti-DDoS-Hosting leitet eingehenden Traffic durch Scrubbing-Infrastruktur, bevor er den Ursprungsserver erreicht, sodass die Abwehr vorgelagert stattfindet statt auf der angegriffenen Maschine selbst. Überschreitet der Traffic zu einer IP eine Erkennungsschwelle, sei es eine feste Baseline oder ein Anomalie-Erkennungsmodell, das aktuellen Traffic mit normalen Mustern vergleicht, leitet das System diesen Traffic durch Filterknoten, die schädliche Pakete verwerfen und sauberen Traffic weiterleiten, bei einem gut abgestimmten Setup typischerweise innerhalb von Sekunden, wobei das genaue Erkennungsfenster vom Angriffstyp und davon abhängt, wie konservativ die Schwellenwerte gesetzt sind.

Anycast-Routing ist ein verbreiteter architektonischer Baustein dabei: Dieselbe IP-Adresse wird von mehreren Netzwerkstandorten aus angekündigt, sodass eingehender Traffic (einschließlich Angriffs-Traffic) sich natürlich über mehrere Points of Presence verteilt, statt sich auf eine einzige Verbindung zu konzentrieren, was die effektive Absorptionskapazität deutlich über das hinaushebt, was ein einzelnes Rechenzentrum allein bewältigen könnte.

Nichts davon macht gutes Anwendungsdesign überflüssig. Ratenbegrenzung auf App-Ebene, Caching zur Lastreduzierung pro Anfrage und das Fernhalten unnötiger Dienste von öffentlich erreichbaren Ports reduzieren allesamt, wie viel Schaden eine Anwendungsschicht-Flut tatsächlich anrichten kann, selbst bei starkem vorgelagertem Schutz.

Worauf Sie bei den Anti-DDoS-Behauptungen eines Anbieters tatsächlich achten sollten

Schlagzeilen-Zahlen wie 'bis zu 10 Gbps' oder '100 Gbps Mitigation' beschreiben vorgelagerte Netzwerkkapazität, keine Garantie gegen jeden möglichen Angriff; ein ausgeklügelter, gut verteilter Angriff auf der Anwendungsschicht kann weiterhin Probleme verursachen, weit unterhalb dieser Obergrenze, wenn die Filterlogik selbst schwach ist. Fragen Sie, welche Ebenen tatsächlich abgedeckt sind (nur volumetrisch, oder auch Protokoll und Anwendung), ob die Abwehr permanent aktiv ist oder erst reaktiv einsetzt, nachdem ein Angriff den Dienst bereits beeinträchtigt, und ob es eine belastbare SLA gibt oder nur eine Marketing-Behauptung.

Speziell für einen VPS sind die praktischen Fragen enger gefasst als bei Enterprise-Infrastruktur: Filtert das Netzwerk des Anbieters Traffic, bevor er die Schnittstelle Ihrer virtuellen Maschine erreicht, ist die Abwehr im Grundpreis enthalten oder ein kostenpflichtiges Add-on, und gibt es eine harte Obergrenze für geschützte Bandbreite, oberhalb derer der Anbieter Ihre IP nullroutet (blackholt), statt weiter zu filtern. Letzterer Punkt ist wichtiger, als man denkt, manche Budget-Hoster bewerben DDoS-Schutz, der eigentlich nur ein schneller Trigger ist, Ihren Server während eines Angriffs per Null-Routing vom Netz zu nehmen, was zwar verhindert, dass der Angriff andere Kunden im Netzwerk trifft, aber Ihren Dienst vollständig offline nimmt.

Welche Ebenen abgedeckt sind: nur volumetrisch vs. volumetrisch + Protokoll + Anwendung
Permanente Filterung vs. reaktive Abwehr, die erst nach sichtbarer Beeinträchtigung greift
Ob die angegebene Gbps-Zahl vorgelagerte Netzwerkkapazität oder eine Pro-VPS-Garantie ist
Was oberhalb der Mitigation-Obergrenze passiert: weitere Filterung vs. Null-Routing der IP

Wo DDoS-Schutz in eine breitere Resilienz-Strategie passt

DDoS-Mitigation ist eine Ebene einer Resilienz-Strategie, nicht das Ganze. Ein VPS auf verschlüsseltem NVMe-Storage mit dedizierten KVM-Kernen und aktuellen Snapshots erholt sich von jeder Störung, DDoS-bedingt oder nicht, schneller als einer ohne diese Grundlagen, und IPv4 plus IPv6 gibt Ihnen mehr Routing-Flexibilität, falls Sie je Traffic umleiten müssen. Nichts davon ersetzt Filterung auf Netzwerkebene, aber ein resilientes Setup behandelt DDoS-Schutz als einen Baustein neben soliden Infrastruktur-Grundlagen, nicht als deren Ersatz.

VPS GOAT bietet über seine gesamte KVM-VPS-Reihe hinweg bis zu 10 Gbps Anti-DDoS-Schutz als Teil der Basisinfrastruktur, auf verschlüsseltem NVMe mit dedizierten Kernen, Snapshots und vollem API-Zugriff, ausgerollt in rund 55 Sekunden über die aktiven Jurisdiktionen hinweg. Wie viel Mitigation-Kapazität ein Projekt tatsächlich braucht, hängt stark von seinem Bedrohungsprofil ab, ein kleines privates Projekt und ein öffentlich zugänglicher Dienst, der schon einmal angegriffen wurde, haben sehr unterschiedliche Anforderungen, und es lohnt sich, das ehrlich zu bemessen, statt anzunehmen, dass irgendeine flache Zahl für jede Situation reicht.

DDoS-Angriffstypen und wie Mitigation jeden davon adressiert
Angriffsebene	Beispielvektoren	Was tatsächlich hilft	Typische Maßeinheit
Volumetrisch	UDP-Flut, DNS-Amplifikation, NTP-Amplifikation	Vorgelagerte Netzwerkkapazität und Scrubbing, bevor Traffic den Ursprung erreicht	Gbps
Protokoll / Zustandserschöpfung	SYN-Flut, fehlerhafte Paketflut	SYN-Cookies, Verbindungsratenbegrenzung, zustandslose Edge-Validierung	Pakete pro Sekunde
Anwendungsschicht	HTTP-Flut, Slow-Request-Angriffe (Slowloris-artig)	Verhaltenserkennung, Ratenbegrenzung pro Quelle, Challenge-Response	Anfragen pro Sekunde
Absorption auf Routing-Ebene	Jede Ebene, im großen Maßstab	Anycast-Verteilung über mehrere Points of Presence	Aggregierte Netzwerkkapazität

FAQ

Wie funktioniert DDoS-Schutz, ohne echte Besucher zu blockieren?+

Er stützt sich auf Verhaltensanalyse statt pauschales Blockieren: Vergleich des aktuellen Traffics mit normalen Baselines, Ratenbegrenzung einzelner Quellen und Challenge-Response-Prüfungen, sodass die Filterung das anomale Muster trifft, nicht einen ganzen IP-Bereich. Kein System ist perfekt, aber gut abgestimmte Abwehr hält False Positives niedrig, indem sie auf Traffic-Verhalten schaut, nicht nur auf Volumen.

Was bedeutet 'bis zu 10 Gbps Anti-DDoS' für einen VPS eigentlich?+

Es beschreibt die vorgelagerte Netzwerkkapazität, die zur Verfügung steht, um Angriffs-Traffic zu absorbieren und zu filtern, bevor er Ihren virtuellen Server erreicht, nicht eine Bandbreitenzuteilung pro Kunde. Es ist ein nützlicher Wert, um die Widerstandsfähigkeit gegen volumetrische Fluten einzuschätzen, aber Angriffe auf der Anwendungsschicht werden separat abgewehrt und sind durch diese eine Zahl nicht vollständig erfasst.

Kann ein VPS ohne besondere Konfiguration vor DDoS-Angriffen geschützt werden?+

Schutz auf Netzwerkebene, also Filterung am Rand des Anbieters, funktioniert ohne Konfiguration auf Ihrer Seite, aber Resilienz auf Anwendungsebene profitiert von grundlegendem Hardening: Ratenbegrenzung in Ihrer App oder Ihrem Webserver, Caching und das Schließen ungenutzter Ports. Sich allein auf vorgelagerten Schutz zu verlassen und die Grundlagen der Anwendungsebene zu ignorieren, hinterlässt eine echte Lücke.

Was ist der Unterschied zwischen DDoS-Mitigation und dem bloßen Null-Routing einer angegriffenen IP?+

Mitigation filtert schädlichen Traffic heraus und lässt legitime Anfragen weiterhin durch, wodurch der Dienst online bleibt. Null-Routing (Blackholing) verwirft schlicht sämtlichen Traffic zur Ziel-IP, was den Rest des Netzwerks schützt, den angegriffenen Dienst aber vollständig offline nimmt, weshalb es eine deutlich schwächere Schutzform ist, auch wenn es manchmal als DDoS-Abwehr vermarktet wird.

Brauche ich für einen kleinen privaten VPS Anti-DDoS-Schutz?+

Das hängt mehr von der Exponierung als von der Größe ab: Ein Projekt mit wenig Traffic ist ein weniger wahrscheinliches Ziel, aber jede öffentlich erreichbare IP kann von opportunistischen oder automatisierten Angriffen getroffen werden, und schon ein kurzer Ausfall ist störend. Ein im Hosting enthaltener Basis-Netzwerkschutz statt eines teuren Add-ons ist für die meisten VPS-Anwendungsfälle eine vernünftige Standardausstattung.

Bereit für Offshore?

Kein KYC, keine E-Mail – nur ein anonymer Schlüssel und Krypto. Bereitgestellt in ~55 Sekunden.

VPS konfigurieren →