Sie sind wieder da , und zwar mit voller Wucht: Distributed-Denial-of-Service-Angriffe (DDoS), eine der ältesten und einfachsten Formen von Cyberangriffen, erleben derzeit ein alarmierendes Wiederaufleben und beeinträchtigen Banken, staatliche Institutionen, politische Parteien und andere Einrichtungen stärker als jemals zuvor in den letzten Jahrzehnten.
In den letzten Monaten haben politisch oder mitunter finanziell motivierte Angreifer Wellen von Botnetzen – Netzwerke aus kompromittierten Computern – ins Leben gerufen, um Server zu überlasten und außer Betrieb zu setzen. Zu den Zielen gehörten unter anderem die Websites des Bundesstaates Alabama ( ),, das Gerichtssystem des Bundesstaates Pennsylvania ( ),, die internationalen Flughäfen von Los Angeles und San Francisco ( ),, das Motorsport-Simulationsunternehmen iRacing.com ( ), sowie die Spieleseite „Final Fantasy 14“ ( ), , die Apps russischer Banken (),, und Tschechische und polnische Banken und Börsen sowie die französischen, schwedischen, kanadischen und Regierungen von Macau .
Während sich die Aufmerksamkeit im Bereich der Cybersicherheit bislang vor allem auf die Ransomware „ “ konzentriert hat – nicht zuletzt aufgrund der oft enormen Lösegeldsummen –, geben mittlerweile auch weniger beachtete DDoS-Angriffe Anlass zu gleicher Sorge, da sie den Geschäftsbetrieb und den Ruf von Unternehmen erheblich beeinträchtigen können. Es ist kein Zufall, dass der Anstieg der DDoS-Angriffe in eine Zeit fällt, in der weltweit die politischen Spannungen zunehmen und die Öffentlichkeit in immer größerem Maße auf bestimmte Websites, Apps und Systeme angewiesen ist.
Banken und andere Finanzinstitute stehen besonders im Fokus der Angriffe; laut einem aktuellen Bericht „ “ des Financial Services Information Sharing and Analysis Center (FS-ISAC) stieg die Zahl der Angriffe auf diese Einrichtungen im Jahr 2023 im Vergleich zum Vorjahr um 154 %.
Bei Angriffen, die sich gegen Regierungen richten, haben in Russland ansässige Hacktivisten-Gruppen wie „Anonymous Sudan“, „HackNeT“ und die „People’s Cyber Army“ jeden ins Visier genommen, der auch nur im Entferntesten mit den Konflikten in der Ukraine und im Gazastreifen in Verbindung steht.
Und das Spektrum wird immer breiter: Wie aus verschiedenen Berichten hervorgeht, sind mittlerweile auch die Gaming-Branche, die Telekommunikationsbranche und humanitäre Organisationen häufige Angriffsziele; im Einzelhandel war in jüngster Zeit ein Anstieg zu verzeichnen; und die Verantwortlichen der Olympischen Spiele in Paris hielten während der gesamten Dauer der Spiele eine erhöhte Alarmstufe aufrecht, angesichts früherer DDoS-Angriffe auf die Olympischen Spiele in den Jahren 2016 und 2018.
„DDoS-Angriffe sind eine wirksame und kostengünstige Methode zur Störung, und Hacktivisten nutzen diese Methode zunehmend als Instrument der Cyberkriegsführung“, sagt Teresa Walsh, Chief Intelligence Officer bei FS-ISAC.
Die Vorgehensweise und die Motive hinter DDoS-Angriffen
Ein DDoS-Angriff zielt darauf ab, den normalen Datenverkehr eines Netzwerks zu stören, indem er es mit Internetdatenverkehr aus zahlreichen Quellen überflutet. Dies geschieht in der Regel dadurch, dass eine große Anzahl von Computern infiziert wird und dieses Botnetz anschließend genutzt wird, um ein Ziel mit Daten zu überfluten – ähnlich wie beim Abschuss einer so großen Anzahl von Raketen auf Luftabwehrsysteme, dass diese letztendlich an ihre Grenzen stoßen.
“„DDoS-Angriffe sind eine wirksame und kostengünstige Methode zur Störung, und Hacktivisten nutzen diese Methode zunehmend als Instrument der Cyberkriegsführung.“Teresa Walsh, Chief Intelligence Officer, FS-ISAC
Zu den häufigsten Motiven für DDoS-Angriffe zählen der Wunsch, eine öffentlich zugängliche Website oder einen Betrieb lahmzulegen, sowie Erpressung, bei der ein Cyberkrimineller (ähnlich wie ein Gangster) seine Fähigkeit unter Beweis stellt, eine Website außer Betrieb zu setzen, und androht, dies auch tatsächlich zu tun, sollte das Unternehmen keine regelmäßigen Schutzgelder zahlen, erklärt Fernando Montenegro, Senior Principal Analyst bei Omdia in Toronto. DDoS-Angriffe können zudem als Ablenkungsmanöver dienen, um die Aufmerksamkeit des Sicherheitspersonals auf sich zu lenken, während ein Angreifer lukrativere Ziele ins Visier nimmt, fügt er hinzu.
Die gute Nachricht ist, dass DDoS-Angriffe selten sehr ausgeklügelt sind und abgewehrt werden können, wenn die richtigen Maßnahmen ergriffen werden. Ein typisches Beispiel: OVHcloud, ein französisches Cloud-Computing-Unternehmen, gab bekannt, dass es im April einen DDoS-Angriff mit einer Rekordstärke von 840 Mpps (Millionen Pakete pro Sekunde) abgewehrt habe . OVHcloud erklärte, der Angriff sei gescheitert, da das Unternehmen über ausreichende Internetkapazitäten verfügte, um dem auf es zukommenden digitalen Ansturm standzuhalten. Im Vergleich dazu wird davon ausgegangen, dass beliebte Medien-Streaming-Dienste in Spitzenzeiten, in denen Millionen von Nutzern gleichzeitig Videos ansehen, etwa 100 Mpps verarbeiten. Soziale Netzwerke können in Spitzenzeiten, in denen Nutzer aktiv Beiträge veröffentlichen, „Gefällt mir“-Angaben setzen und Inhalte teilen, etwa 200 Mpps verarbeiten.
Natürlich kann nicht jedes Unternehmen die drei häufigsten DDoS-Angriffe abwehren:
- Volumenbasiert – Angriffe vom Typ „ “, die die Bandbreite eines Netzwerks durch hohe Datenmengen überlasten.
- Protokollbasiert – „ “, die Schwachstellen in Netzwerkprotokollen ausnutzen, um Serverressourcen zu beanspruchen.
- Auf der Anwendungsebene basierend – , die auf bestimmte Webanwendungen abzielen, um deren Ressourcen zu erschöpfen.
Experten sind daher der Ansicht, dass Unternehmen einen mehrschichtigen Ansatz verfolgen müssen, um DDoS-Angriffe zu verhindern und deren Auswirkungen zu mindern.
WAS SIE VOR EINEM DDoS-ANGRIFF TUN SOLLTEN
Vorbeugen ist besser als heilen. Da Angreifer in der Regel nach Schwachstellen in der Sicherheitsinfrastruktur eines Unternehmens suchen, ist es unerlässlich, bewährte Verfahren anzuwenden, um diese Lücken so schnell wie möglich zu schließen und so den Schaden durch DDoS-Angriffe zu minimieren. Experten empfehlen hierfür verschiedene Ansätze, darunter:
1. Erfahren Sie, was es auf dem Markt gibt
Walsh erklärt, dass Unternehmen sich auf „ “ konzentrieren müssen, d. h. darauf, sich mit den sich wandelnden Angriffstaktiken, -techniken und -verfahren auseinanderzusetzen und diese zu verstehen, um sich dagegen zu schützen.
2. DDoS in die Bedrohungsmodellierung einbeziehen
Bei der Entwicklung eines Systems, so Montenegro, sei es wichtig, dabei konkrete potenzielle Bedrohungen im Blick zu behalten, darunter auch DDoS-Angriffe. Dies unterstreicht die Bedeutung der Bedrohungsmodellierung, eines strukturierten Prozesses zur Identifizierung, Bewertung und Priorisierung potenzieller Cybersicherheitsbedrohungen. Führungskräfte in Unternehmen sollten sicherstellen, dass dieser Aspekt im Entwicklungsprozess nicht beschönigt oder umgangen wird.
3. Überwachen Sie verdächtige Aktivitäten
In einem gemeinsamen Bericht empfehlen das FBI, die Cybersecurity and Infrastructure Security Agency (CISA) und das Multi-State Information Sharing and Analysis Center (MS-ISAC) die Einführung von „ “ sowie von robusten Netzwerküberwachungs n und Tools zur Erkennung von Eindringlingen, um ungewöhnliche oder verdächtige Datenverkehrsmuster zu identifizieren. Sie empfehlen zudem eine regelmäßige Analyse des Datenverkehrs, um Anomalien zu erkennen.
4. Sorgen Sie dafür, dass Ressourcen und Datenverkehr reibungslos fließen
Montenegro erklärt, dass Organisationen potenziell von Movi profitieren können
die Auslagerung kritischer digitaler Ressourcen auf gehostete Cloud-Server wie AWS oder Snowflake, die über ausreichende Kapazitäten und eine Sicherheitsinfrastruktur verfügen, um zahlreichen Arten von DDoS-Angriffsversuchen standzuhalten. „Die Frage, die Sie sich stellen sollten, lautet: Kann ich die kritische Infrastruktur meines Unternehmens so anlegen, dass sie widerstandsfähiger gegen DDoS-Angriffe ist?“ sagt er. „Die beste Strategie bei einem Angriff besteht darin, Ihre Vermögenswerte gar nicht erst dort zu haben, wo sie angegriffen werden könnten.“
Laut FBI, CISA und MS-ISAC können auch Lösungen zur Lastverteilung hilfreich sein. Die Verteilung des Datenverkehrs auf mehrere Server oder Rechenzentren trägt zur Lastverteilung bei und verhindert so, dass es bei Angriffen zu einzelnen Ausfallpunkten kommt.
Die Behörden empfehlen zudem, dass Organisationen, die ihre Ressourcen nicht auf einen Cloud-Anbieter verlagern, ihre Bandbreitenkapazität prüfen und eine Erhöhung in Betracht ziehen sollten, um Traffic-Spitzen während eines Angriffs bewältigen zu können.
5. Bleiben Sie den Grundlagen treu
Walsh erklärt, dass die Einhaltung grundlegender Cybersicherheitsmaßnahmen das Risiko einer Organisation, Opfer von Bedrohungen zu werden, minimieren kann. Sie erklärt, dass die kosteneffizientesten Methoden darin bestehen, stets alle wichtigen Sicherheitsupdates zu installieren, strenge Passwortanforderungen einzuführen und die Multi-Faktor-Authentifizierung zu nutzen.
Ebenfalls von entscheidender Bedeutung ist die Einhaltung modernster Verfahren für die Zugriffskontrolle , die Bestandteil jedes Programms zur Identitäts- und Zugriffsverwaltung sein sollten. Das FBI, die CISA und das MS-ISAC empfehlen die Verwendung von CAPTCHA-Prüfungen für Websites und Online-Dienste, um festzustellen, ob eine autorisierte Person oder ein automatisierter Bot versucht, Zugriff auf das Netzwerk zu erlangen. Experten sind der Ansicht, dass ein aktiver Plan für Datensicherung und -wiederherstellung, einschließlich regelmäßiger Tests, ebenfalls ein zentraler Bestandteil der Cybersicherheitsstrategie jedes Unternehmens sein sollte.
Und vergessen Sie nicht die ordnungsgemäße Verwaltung der Endpunkte unter . Walsh fordert nachdrücklich, alle nicht genutzten Endgeräte aus dem Netzwerk zu entfernen, den Administratorzugriff auf bestehende Geräte zu beschränken und den Zugriff auf Software auf kleine Gruppen autorisierter Benutzer zu beschränken.
WAS SIND NACH EINEM DDoS-ANGRIFF ZU TUN?
Sollte ein Unternehmen plötzlich Probleme mit nicht verfügbaren Webdiensten, erhöhter Netzwerkauslastung, ungewöhnlichen Datenverkehrsmustern oder unerklärlichen Server- oder Anwendungsausfällen haben, könnte es sich um einen DDoS-Angriff handeln.
“Die Frage, die Sie sich stellen sollten, lautet: „Kann ich die kritische Infrastruktur meines Unternehmens so anlegen, dass sie widerstandsfähiger gegen DDoS-Angriffe ist?“Fernando Montenegro, leitender Chefanalyst bei Omdia
Experten empfehlen, in solchen Situationen einige Maßnahmen zu ergreifen, darunter:
6. Bestätigen Sie den Angriff
Nutzen Sie Tools zur Netzwerküberwachung und Datenverkehrsanalyse, um die Art des Angriffs zu ermitteln. Sollte ein DDoS-Angriff die Ursache sein, aktivieren Sie unverzüglich den dokumentierten und genehmigten Plan zur Reaktion auf Sicherheitsvorfälle des Unternehmens unter . Vermutlich gibt es so etwas bereits; falls nicht, besorgen Sie sich eines. (Neue, auf der nächsten Generation basierende „ “-Lösungen für die autonome Reaktion auf Vorfälle können die Behebungs- und Reaktionszeiten verkürzen.)
7. Bandbreite erhöhen
Das FBI, die CISA und das MS-ISAC empfehlen, die Netzwerkbandbreite der Organisation nach Möglichkeit zu erhöhen, um die Hauptlast des Angriffs besser abzufangen. Dies könnte die Aufstockung der Serveranzahl oder eine vorübergehende Erhöhung der Netzwerkkapazität beinhalten.
8. Informieren Sie alle, die davon in Kenntnis gesetzt werden müssen
Die Behörden empfehlen, Internetdienstanbieter (ISPs) unverzüglich über den Angriff zu informieren und zu prüfen, ob diese über Maßnahmen zur Umleitung des Datenverkehrs verfügen, um die Auswirkungen des Angriffs abzuschwächen. Falls Sie eine Cyberversicherung bei „ “ abgeschlossen haben, wenden Sie sich bitte auch an den Versicherer, um möglicherweise dessen Unterstützung in Anspruch zu nehmen und sich zu erkundigen, welche Schäden abgedeckt sind und welche nicht, um die finanziellen Folgen abzumildern.
9. Notizen erfassen und vergleichen
Dokumentieren und sammeln Sie so viele Informationen wie möglich über den Angriff, einschließlich Zeitstempeln, IP-Adressen, Paketaufzeichnungen sowie aller Protokolle und Warnmeldungen, so das FBI, die CISA und das MS-ISAC. Dies kann hilfreich sein, wenn Sie den Vorfall den Strafverfolgungsbehörden melden. Ziehen Sie außerdem in Betracht, festgestellte Schwachstellen und Erkenntnisse mit Branchenkollegen zu teilen, um anderen dabei zu helfen, sich vor potenziellen DDoS-Angriffen zu schützen, so Walsh. „Der Austausch von Informationen innerhalb der Branche ist von entscheidender Bedeutung, um Unternehmen bei der Erstellung ihrer Leitfäden zur Reaktion auf Vorfälle zu unterstützen“, fügt sie hinzu.
10. Ziehen Sie Lehren aus dem Angriff
Da jeder Moment eine Gelegenheit zum Lernen sein kann, rät Walsh den Teams für Geschäftskontinuität, regelmäßig Übungen auf der Grundlage früherer DDoS-Angriffe durchzuführen, um „das Muskelgedächtnis einer Organisation aufzubauen“ und die Reaktionszeiten bei künftigen Vorfällen zu verkürzen.
Das FBI, die CISA und das MS-ISAC weisen darauf hin, dass solche Übungen eine gründliche Analyse im Anschluss an den Vorfall umfassen sollten, um die genutzten Angriffsvektoren und die aufgedeckten Schwachstellen zu verstehen. Sie empfehlen, die Notfallpläne auf der Grundlage dieser Erkenntnisse zu aktualisieren.
Da sich Cyberbedrohungen ständig weiterentwickeln, müssen Unternehmen ihre Abwehrmaßnahmen verstärken. Die jüngste Zunahme von DDoS-Angriffen unterstreicht die Notwendigkeit, wachsam und proaktiv zu bleiben. Unternehmen können ihre digitalen Ressourcen besser vor diesen unerbittlichen Angriffen schützen, indem sie bewährte Verfahren befolgen, sich über neue Bedrohungen auf dem Laufenden halten und ihre Sicherheitsmaßnahmen kontinuierlich verbessern.
