DDoS-Schutz: Wie Hosting-Provider Angriffe abwehren

1. Was ist ein DDoS-Angriff?

DDoS steht fuer Distributed Denial of Service – auf Deutsch: verteilte Dienstverweigerung. Das Ziel eines solchen Angriffs ist denkbar simpel: Eine Website, ein Onlineshop oder ein Webserver soll durch eine massive Flut an Anfragen zum Absturz gebracht werden, sodass legitime Nutzer keinen Zugang mehr erhalten.

Im Gegensatz zu einem einfachen DoS-Angriff (Denial of Service), der von einem einzelnen Computer ausgeht, nutzen DDoS-Angreifer hunderte oder sogar Millionen von Computern weltweit gleichzeitig. Diese Rechner wurden haeufig ohne Wissen ihrer Besitzer mit Schadsoftware infiziert und bilden ein sogenanntes Botnetz. Die Koordination erfolgt ueber Command-and-Control-Server, die der Angreifer kontrolliert.

Die drei Haupttypen von DDoS-Angriffen

Sicherheitsexperten unterscheiden grundsaetzlich drei Kategorien von DDoS-Angriffen, die sich in ihrer Methode und dem Angriffsziel unterscheiden:

Volumetrische Angriffe

Volumetrische Angriffe sind die roheste Form und messen sich in Gigabit oder sogar Terabit pro Sekunde. Sie fluten schlicht die gesamte Netzwerkbandbreite des Opfers. Ein moderner Angriff dieser Art kann problemlos 1 Tbit/s erreichen – eine Groessenordnung, die selbst gut ausgestattete Rechenzentren in die Knie zwingt. Bei DNS-Amplification wird ein oeffentlicher DNS-Server missbraucht: Eine kleine Anfrage mit gefaelschter Absenderadresse (IP des Opfers) loest eine viel groessere Antwort aus, die das Opfer trifft.

Protokoll-Angriffe

Protokoll-Angriffe nutzen Schwaechen in den Netzwerkprotokollen selbst aus. Der bekannteste Vertreter ist der SYN-Flood: Dabei schickt der Angreifer massenhaft TCP-Verbindungsanfragen (SYN-Pakete), antwortet aber nie auf die Bestaetigung des Servers (SYN-ACK). Der Server haelt die halboffenen Verbindungen offen, bis seine Verbindungstabelle voll ist und keine neuen Verbindungen mehr moeglich sind – selbst von echten Nutzern.

Application Layer Angriffe (Layer 7)

Layer-7-Angriffe sind die raffiniertesten, da sie legitimen Traffic imitieren und daher schwerer zu erkennen sind. Ein HTTP-Flood sendet scheinbar normale Browser-Anfragen in solcher Menge, dass der Webserver zusammenbricht. Slowloris haelt viele gleichzeitige Verbindungen offen, indem HTTP-Anfragen absichtlich sehr langsam uebertragen werden – der Server wartet auf den Abschluss und blockiert dabei seine Verbindungskapazitaet.

2. Wie DDoS-Angriffe Websites lahmlegen

Um zu verstehen, wie DDoS-Angriffe wirken, muss man den Weg einer normalen Webanfrage kennen: Ein Nutzer tippt eine URL ein, sein Browser schickt eine Anfrage an den Server, der Server verarbeitet sie und schickt die Webseite zurueck. Dieser Prozess dauert wenige Millisekunden und benoetigt Rechenkapazitaet, Arbeitsspeicher und Netzwerkbandbreite.

Bei einem DDoS-Angriff werden genau diese Ressourcen gleichzeitig von Hunderttausenden oder Millionen von Anfragen beansprucht – bis eine oder mehrere davon erschoepft sind und der Server zusammenbricht oder schlicht keine weiteren Anfragen mehr annehmen kann.

Das Botnetz als Angriffswerkzeug

Moderne DDoS-Angriffe basieren auf Botnetzen – Netzwerken aus infizierten Computern, Smartphones, Netzwerkdruckern und IoT-Geraeten (Webcams, Router, Smart-TVs, smarte Haushaltsgeraete), die alle unter der Kontrolle eines Angreifers stehen. Die Besitzer dieser Geraete ahnen davon in der Regel nichts. Solche Botnetze koennen im Darknet schon fuer wenige hundert Euro gemietet werden.

Amplification-Angriffe: Kleiner Aufwand, grosser Schaden

Besonders effizient fuer Angreifer sind sogenannte Amplification-Angriffe. Dabei missbrauchen sie oeffentlich zugaengliche Server (z.B. DNS-, NTP- oder Memcached-Server), um den Datenverkehr zu vervielfachen. Mit einer kleinen Anfrage, die eine gefaelschte Absenderadresse – die IP-Adresse des Opfers – enthaelt, erzwingt der Angreifer eine viel groessere Antwort, die das Opfer trifft. DNS-Amplification kann einen Verstaerkungsfaktor von 70x erreichen, NTP-Amplification sogar bis zu 556x.

Warum auch kleine Websites betroffen sind

Ein verbreiteter Irrtum: "Meine kleine Website ist fuer Angreifer uninteressant." Das stimmt nicht mehr. Viele Angriffe sind vollautomatisiert und scannen das gesamte Internet nach Zielen. Gruende fuer Angriffe auf kleine Seiten:

• Erpressung: DDoS wird angedroht, wenn kein Loesegeld gezahlt wird
• Konkurrenz: Wettbewerber schalten Konkurrenten offline (selten, aber real)
• Hacktivismus: Politisch motivierte Angriffe auf bestimmte Inhalte
• Vandalismus: Einfach aus dem Wunsch heraus, etwas zu zerstoeren
• Ablenkung: DDoS als Ablenkungsmanoeuvre waehrend eines Einbruchs

3. DDoS-Schutz im Hosting-Paket

Die gute Nachricht: Viele Hosting-Anbieter haben grundlegenden DDoS-Schutz in ihre Infrastruktur integriert. Die schlechte Nachricht: Die Qualitaet und der Umfang dieses Schutzes variieren erheblich – und nicht jeder Anbieter kommuniziert transparent, was genau geboten wird.

Was Standard-Hosting-Anbieter typischerweise bieten

Die meisten seriosen Hosting-Anbieter schuetzen ihre Netzwerkinfrastruktur vor volumetrischen Angriffen auf Netzwerkebene (Layer 3/4). Das bedeutet konkret:

• Traffic-Filterung am Netzwerk-Eingang (Border-Router) anhand bekannter Angriffssignaturen
• Rate Limiting auf Netzwerkebene fuer bekannte Angriffsmuster
• IP-Blacklisting bekannter Angreifer-IP-Adressen und ganzer Botnetz-Ranges
• BGP-Blackholing / Nullrouting bei sehr grossen Angriffen, die das Netz gefaehrden
• Traffic Scrubbing in spezialisierten Rechenzentren, die schaedlichen Traffic herausfiltern
• Automatische Erkennung von Angriffs-Signaturen in Echtzeit

Was Standard-Hosting-Schutz oft nicht abdeckt

Der groesste blinde Fleck im Standard-Hosting-Schutz ist der Layer-7-Schutz (Application Layer). Da HTTP-Anfragen auf dieser Ebene wie legitimer Nutzer-Traffic aussehen, koennen einfache Netzwerkfilter sie nicht zuverlaessig blockieren. Hierfuer sind spezialisierte Web Application Firewalls (WAF) und intelligente Traffic-Analyse notwendig – Technologien, die meist nur in hoeherwertigen Paketen oder ueber spezialisierte externe Dienste wie Cloudflare verfuegbar sind.

4. Cloudflare als DDoS-Schutzschild

Wenn es um DDoS-Schutz geht, ist Cloudflare das Stichwort, das immer faellt – und das aus gutem Grund. Mit einem globalen Netzwerk von ueber 310 Rechenzentren in mehr als 100 Laendern und einer Netzwerkkapazitaet von ueber 210 Tbit/s ist Cloudflare einer der fuehrenden DDoS-Mitigations-Dienste weltweit.

Wie Cloudflare DDoS-Angriffe technisch abwehrt

Cloudflare sitzt als Reverse-Proxy zwischen deiner Website und dem Internet. Das bedeutet: Jede Anfrage an deine Website geht zuerst durch Cloudflares Netzwerk, bevor sie deinen Server erreicht. Schaedliche Anfragen werden gefiltert, legitimer Traffic wird durchgelassen. Die wichtigsten Mechanismen:

• Anycast-Routing: Traffic wird automatisch zum naechstgelegenen Cloudflare-Rechenzentrum geleitet. Angriffstraffic wird auf das gesamte Netzwerk verteilt und absorbiert, bevor er deinen Server erreicht.
• Machine-Learning-Erkennung: Neue Angriffsmuster werden in Echtzeit erkannt und blockiert – basierend auf Daten aus dem gesamten globalen Cloudflare-Netzwerk.
• Challenge-Seiten: Verdaechtige Besucher werden mit einer CAPTCHA- oder JavaScript-Challenge konfrontiert, die echte Browser loesen koennen, automatisierte Bots aber nicht.
• Browser-Fingerprinting: Bot-Signaturen werden anhand von TLS-Fingerprints, HTTP-Header-Reihenfolge und Browser-Verhalten erkannt und geblockt, ohne legitime Nutzer zu beeintraechtigen.
• IP-Reputation-Datenbank: Bekannte Angreifer-IPs und Botnetze werden automatisch blockiert, lange bevor der erste Angriffspacket deinen Server erreicht.

Cloudflare Magic Transit fuer Server-Betreiber

Fuer ganze IP-Adressen und Subnetze (nicht nur einzelne Domains) bietet Cloudflare Magic Transit an. Das ist vor allem fuer VPS- und Dedicated-Server-Betreiber interessant, die den gesamten Netzwerktraffic schützen moechten. Magic Transit routet allen eingehenden Traffic ueber Cloudflares Infrastruktur – allerdings ist das ein Enterprise-Produkt mit entsprechendem Preis.

Cloudflare-Plaene im Ueberblick

5. Deutsche Hosting-Anbieter mit DDoS-Schutz im Vergleich

Nicht jeder moechte oder kann auf einen externen Dienst wie Cloudflare setzen. Viele Websitebesitzer wuenschen sich, dass ihr Hosting-Anbieter den DDoS-Schutz direkt mitliefert – ohne zusaetzlichen Dienst, ohne DNS-Umstellung. Hier ist ein Ueberblick ueber bekannte Anbieter auf dem deutschen Markt:

Hinweis: Angaben basieren auf veroeffentlichten Produktseiten der Anbieter (Stand Mai 2026). Aktuelle Konditionen bitte direkt beim jeweiligen Anbieter pruefen.

Hetzner: Bestes Preis-Leistungs-Verhaeltnis fuer Server

Hetzner schuetzt alle seine Server – vom kleinsten Cloud-Server bis zum dedizierten Rootserver – kostenlos mit einem netzwerkseitigen DDoS-Schutz. Angriffe werden am Netzwerkrand erkannt und gefiltert, bevor sie den eigentlichen Server erreichen. Bei sehr grossen Angriffen wird Traffic automatisch an spezialisierte Scrubbing-Center umgeleitet. Fuer das Preis-Leistungs-Verhaeltnis ist Hetzner schwer zu schlagen.

IONOS: Grosser Name, wenig Transparenz bei Details

IONOS bietet DDoS-Schutz fuer seine gesamte Infrastruktur, kommuniziert aber kaum konkrete Abwehrleistungen oder technische Details auf seinen Produktseiten. Fuer kleine Webseiten auf Shared-Hosting-Paketen ist das meist ausreichend; fuer Hochsicherheitsanwendungen empfiehlt sich eine direkte Nachfrage beim Support oder der zusaetzliche Einsatz von Cloudflare.

Hostinger: Starker Schutz mit Cloudflare-Integration

Hostinger setzt bei seinen Hosting-Paketen auf eine eigene DDoS-Mitigation in Kombination mit einer optionalen Cloudflare-Integration. Das ergibt eine zweistufige Schutzloesung: Cloudflares globale Abwehr auf Layer 3-7 plus hostingseitiger Netzwerkschutz. Fuer den Preis eines der besten Angebote auf dem deutschen Markt.

netcup: Transparenz und eigene Rechenzentren in Deutschland

Das Karlsruher Unternehmen netcup betreibt eigene Rechenzentren in Deutschland und kommuniziert vergleichsweise transparent ueber seinen DDoS-Schutz. Alle Produkte – vom Webhosting bis zum dedizierten Server – profitieren vom integrierten Schutz mit einer deklarierten Abwehrkapazitaet von bis zu 480 Gbit/s. Fuer DSGVO-bewusste Nutzer mit Datenschutz-Fokus eine empfehlenswerte Wahl.

6. Selbst aktiv werden: Zusaetzliche Schutzmassnahmen

Auch wenn dein Hosting-Anbieter DDoS-Schutz bietet – es gibt einiges, was du selbst tun kannst, um deine Website widerstandsfaehiger zu machen. Diese Massnahmen ergaenzen den Schutz des Anbieters und helfen besonders gegen Layer-7-Angriffe, die Standard-Hosting-Schutz oft nicht vollstaendig abdeckt.

1. Rate Limiting einfuehren

Rate Limiting begrenzt, wie viele Anfragen eine einzelne IP-Adresse in einem bestimmten Zeitraum stellen darf. So kannst du aggressive Bots abbremsen, ohne legitime Nutzer zu belaestigen. Webserver wie nginx und Apache bieten eingebaute Rate-Limiting-Funktionen. Auch viele CMS-Plugins (z.B. fuer WordPress: WP Cerber, Wordfence) bieten diese Funktion.

2. Web Application Firewall (WAF) einsetzen

Eine WAF analysiert den HTTP-Traffic und blockiert schaedliche Anfragen basierend auf konfigurierbaren Regelwerken. Loesungen wie ModSecurity (OpenSource, fuer Apache und nginx), Cloudflare WAF oder AWS WAF schuetzen vor OWASP-Top-10-Angriffen, SQL-Injection, Cross-Site-Scripting (XSS) – und auch vor Application-Layer-DDoS-Angriffen, bei denen normale Netzwerkfilter versagen.

3. Content Delivery Network (CDN) nutzen

Ein CDN stellt statische Inhalte (Bilder, CSS, JavaScript) von vielen verteilten Servern weltweit bereit. Das hat doppelten Vorteil: Deine Website wird schneller, weil Inhalte vom naechstgelegenen Server ausgeliefert werden – und Angriffe treffen zuerst das CDN-Netz mit seinen enormen Kapazitaeten statt deinen eigentlichen Server. Grosse CDN-Anbieter wie Cloudflare, Fastly oder BunnyCDN koennen DDoS-Angriffe oft einfach absorbieren.

4. IP-Blocking und Geoblocking

Wenn deine Zielgruppe ausschliesslich in Deutschland oder Europa sitzt, kannst du Traffic aus bestimmten Regionen blockieren, aus denen du viel schaedlichen Traffic erhaeltst. Diese Massnahme ist allerdings zweischneidig: Sie trifft auch legitime internationale Besucher, VPN-Nutzer und gelegentlich auch Suchmaschinen-Crawler. Setze Geoblocking daher nur ein, wenn du eine klare regionale Ausrichtung hast und den Verlust internationaler Besucher bewusst in Kauf nehmen kannst.

5. Monitoring und Alerting einrichten

Du kannst nur auf das reagieren, was du siehst. Richte automatisches Alerting ein fuer:

• Ungewoehnliche Traffic-Spitzen (mehr als ein definierter Prozentsatz ueber dem Durchschnitt)
• Erhoehte Server-CPU-Auslastung oder steigenden Speicherverbrauch
• Gehaeufte HTTP-5xx-Fehler (Server-seitige Fehler, die auf Ueberlastung hindeuten)
• Einstroemenden Traffic aus ungewoehnlichen geografischen Regionen
• Vollstaendige Nichterreichbarkeit des Dienstes (Uptime-Monitoring von extern)
• Veraenderungen in der User-Agent-Verteilung (viele identische Bot-Anfragen)

6. Backup-DNS und Failover vorbereiten

Falls deine primaere Server-IP unter Beschuss ist, kann ein vorbereitetes Failover auf eine andere IP oder einen anderen Server die Ausfallzeit drastisch reduzieren. Konfiguriere im Voraus:

• Niedrige TTL-Werte fuer DNS-Records (z.B. 300 Sekunden statt 86400), damit Aenderungen schnell propagieren
• Einen Backup-Server oder zumindest eine statische Informationsseite fuer Notfaelle
• Alternative IP-Adressen oder Cloud-Instanzen, auf die du schnell umschalten kannst
• Automatisiertes Failover per Load Balancer oder DNS-Failover-Dienst

7. Was tun waehrend eines DDoS-Angriffs? Der Notfallplan

Deine Website ist nicht erreichbar, die Server-Last schiesst durch die Decke und dein Monitoring schlaegt Alarm. Was jetzt? Ein klarer Notfallplan spart kostbare Minuten und begrenzt den Schaden erheblich. Arbeite diese Schritte in der angegebenen Reihenfolge ab:

1. 1
   Angriff zuerst bestaetigen Pruefe Server-Logs, Traffic-Statistiken und Monitoring-Dashboard. Ist es wirklich ein DDoS-Angriff oder ein technisches Problem (Server-Absturz, fehlerhaftes Deployment, Datenbankfehler)? Achte auf ungewoehnlich hohe Anfragezahlen, viele identische IP-Adressen und auffaellige User-Agents in den Logs.
2. 2
   Hosting-Support sofort kontaktieren Ruf umgehend bei deinem Hosting-Anbieter an oder oeffne ein Priority-Support-Ticket. Viele Anbieter koennen auf Netzwerkebene eingreifen und Massnahmen einleiten, die du selbst nicht einleiten kannst. Halte deine Kundennummer, angegriffene IP-Adressen und Beispiel-Logeintraege mit Zeitstempeln bereit.
3. 3
   Traffic auf Cloudflare umleiten oder "Under Attack Mode" aktivieren Falls du Cloudflare noch nicht nutzt: Wechsle jetzt die DNS-Nameserver (beachte: bei hohen TTL-Werten kann die Propagierung bis zu 24 Stunden dauern). Falls Cloudflare bereits aktiv ist: Aktiviere den "Under Attack Mode" im Dashboard unter Sicherheit > Einstellungen. Dieser stellt jeden Besucher vor eine JavaScript-Challenge.
4. 4
   Offensichtlich schaedliche IPs und Ranges blockieren Analysiere Logs und blockiere offensichtliche Angreifer-IPs oder ganze Subnetze per .htaccess, nginx deny-Direktive oder direkt ueber die Server-Firewall (iptables, ufw). Bei koordinierten Angriffen aus vielen verschiedenen IPs hilft das nur begrenzt, aber jede blockierte Angriffs-Quelle reduziert die Server-Last.
5. 5
   Nicht-kritische Dienste temporaer abschalten Reduziere die Last auf dem Server, indem du zeitweise ressourcenintensive Teile deiner Website deaktivierst: API-Endpunkte, Kommentarfunktionen, Live-Suche, komplexe Berechnungen. Halte nur das absolut Notwendige am Laufen, um kritische Funktionen aufrechtzuerhalten.
6. 6
   Nutzer proaktiv informieren und Statusseite schalten Kommuniziere auf Social Media, per E-Mail oder ueber eine externe Statusseite (z.B. statuspage.io, BetterUptime). Transparente Kommunikation reduziert Frustrationen und zeigt, dass du die Situation aktiv managen. Teile geschaetzte Wiederherstellungszeiten mit, auch wenn diese noch unsicher sind.
7. 7
   Nachbereitung, Analyse und Haertung des Systems Wenn der Angriff vorbei ist: Analysiere ausfuehrlich, was passiert ist. Welche Angriffsvektoren wurden genutzt? Welche Schutzmechanismen haben versagt? Implementiere Rate Limiting, WAF-Regeln und verbessertes Monitoring, damit der naechste Angriff weniger Schaden anrichtet.

Anzeige erstatten: Wo und wie

DDoS-Angriffe sind in Deutschland nach § 303b StGB (Computersabotage) strafbar und koennen mit Freiheitsstrafe bis zu drei Jahren (bei schweren Faellen bis zu zehn Jahren) geahndet werden. So gehst du vor:

• Lokale Polizei oder Landeskriminalamt (LKA) – Alle Bundeslaender haben spezialisierte Cyberkriminalitaet-Einheiten
• BSI (Bundesamt fuer Sicherheit in der Informationstechnik) – bsi.bund.de, bietet Beratung und aktuelle Warnmeldungen
• CERT-Bund – Fuer Betreiber kritischer Infrastrukturen (Energie, Wasser, Gesundheit)
• Zentrale Ansprechstellen Cybercrime (ZAC) – Spezialisierte Ansprechpartner in jedem Bundesland

Sichere vor der Anzeige alle verfuegbaren Logs als Beweismittel: Server-Logs, Firewall-Logs, Traffic-Statistiken, Screenshots aus dem Monitoring. Zeitstempel, Quell-IP-Adressen und Traffic-Muster sind fuer Ermittlungen entscheidend. Losche keine Logs, auch wenn Speicherplatz knapp wird.

8. Fazit: Waehle einen Anbieter mit integriertem DDoS-Schutz

DDoS-Angriffe sind keine Seltenheit mehr – sie sind ein alltaegliches Risiko fuer jede Website, unabhaengig von Groesse oder Branche. Die entscheidende Frage ist nicht, ob ein Angriff kommen wird, sondern wie gut du und dein Hosting-Anbieter darauf vorbereitet sind.

Die gute Nachricht: Effektiver Grundschutz ist kostenlos oder guenstig zu haben. Die Kombination aus einem qualitaetsbewussten Hosting-Anbieter (Hetzner, Hostinger, netcup) und dem kostenlosen Cloudflare-Plan deckt bereits Layer 3 bis Layer 7 ab – und das ohne einen einzigen Euro extra. Dieser Schutz genuegt fuer die grosse Mehrheit der realen Angriffe.

Fuer geschaeftskritische Websites, Onlineshops und Plattformen lohnt sich die Investition in den Cloudflare Pro-Plan oder einen dedizierten Anti-DDoS-Dienst. Der monatliche Preis steht in keinem Verhaeltnis zum moeglichen wirtschaftlichen Schaden eines erfolgreichen Angriffs.

Denke auch daran: DDoS-Schutz ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Angreifer entwickeln ihre Methoden kontinuierlich weiter. Halte Monitoring-Konfigurationen aktuell, pruefe Firewall-Regeln regelmaessig und ueberpruefe den DDoS-Schutz deines Anbieters bei jeder Vertragserneuerung.