Ein DDoS-Angriff soll einen Dienst unerreichbar machen, indem er ihn mit mehr Datenverkehr überflutet, als er verarbeiten kann. Ein Premium-DDoS-Schutz setzt einen Filter vor Ihren Server: Schädlicher Traffic wird aussortiert, bevor er ankommt, und Ihre Besucher, Kunden oder Spieler kommen weiterhin durch.
Dieser Artikel erklärt, was diese Filterung im Betrieb konkret leistet, was sie nicht leistet und wie Sie ein Angebot wie den Anti-DDoS-VPS von Infrawire passend zu dem auswählen, was Sie im Internet bereitstellen.
Wofür ein DDoS-Schutz gut ist
Ohne Schutz erhält Ihr Server alles, was man ihm schickt. Ist die Leitung erst einmal gesättigt, hilft keine Einstellung auf dem Rechner mehr: Legitime Anfragen kommen nicht mehr an, obwohl der Server selbst kaum ausgelastet ist. Das ist das typische Szenario eines volumetrischen Angriffs.
Der Schutz sorgt in erster Linie dafür, dass ein Dienst während des Angriffs erreichbar bleibt, etwa ein Onlineshop, eine API, ein Gameserver, ein Kundenbereich oder ein VPN. Er verhindert außerdem einen häufigen Nebeneffekt bei Providern ohne Filterung: Sie sperren die angegriffene IP-Adresse mitunter vorübergehend, um den Rest ihres Netzes zu schützen. Für ein Unternehmen zeigt sich der wahre Preis eines Angriffs in entgangenen Umsätzen, verärgerten Kunden und der Zeit, die das Krisenmanagement kostet.
Die wichtigsten Angriffstypen
Nicht jeder Angriff setzt an derselben Stelle an. Welche Filtertiefe Sie brauchen, hängt davon ab, was Sie online anbieten.
| Typ | Prinzip | Beispiel |
|---|---|---|
| Volumetrisch | Bandbreite sättigen | Massenhaft unangeforderte Daten |
| Protokollbasiert | Verbindungsressourcen des Servers erschöpfen | Gefälschte Verbindungsanfragen in rascher Folge |
| Anwendungsebene | Echte Besucher nachahmen | Tausende Suchanfragen oder Logins auf derselben Seite |
Die Netzwerkfilterung vor dem Server bewältigt die ersten beiden Kategorien gut. Die dritte ist heikler: Eine korrekt aufgebaute Anfrage sieht aus wie ein normaler Besucher, und oft müssen Ihre Website oder Anwendung selbst damit umgehen.
Was die Filterung für Sie übernimmt
Das Prinzip ist einfach. Der eingehende Traffic wird analysiert, bevor er Ihren Server erreicht, Datenströme, die einem bekannten Angriffsmuster entsprechen, werden verworfen, und nur der Rest wird weitergeleitet. Sie müssen keine aufwendige Architektur aufbauen, um die gängigsten Netzwerkangriffe abzuwehren.
Der Vorteil eines Angebots, das genau dafür gedacht ist: Der Schutz ist Teil der Infrastruktur und kein Modul, das erst nachgerüstet wird, wenn das Problem schon eingetreten ist. Den genauen Umfang (Ports, Protokolle, abgedeckte Angriffsarten) beschreibt die Seite zum Anti-DDoS-VPS. Lesen Sie ihn, bevor Sie einen ungewöhnlichen Dienst in Betrieb nehmen, zum Beispiel ein Spiel mit proprietärem Protokoll.
Was er nicht ersetzt
Ein Netzwerkschutz ist keine Garantie gegen alles. In der Praxis tauchen immer wieder dieselben Punkte auf:
- Schwachstellen Ihrer Anwendung: Eine langsame Funktion, die in Dauerschleife aufgerufen wird, kann eine Website lahmlegen, ohne dass der Traffic verdächtig wirkt.
- Offengelegte Ursprungsadresse: Ist die IP Ihres Servers bekannt und direkt erreichbar, können Angreifer sie gezielt ansteuern.
- Unnötige Dienste: Eine Datenbank, die aus dem gesamten Internet erreichbar ist, bleibt ein Risiko, mit oder ohne Angriff.
- Monitoring: Ohne Kennzahlen zu Traffic und Performance lässt sich nicht erkennen, ob eine Verlangsamung von einem Angriff oder schlicht von einem Bug stammt.
Eine sorgfältige Serverkonfiguration, regelmäßige Updates und eine sauber eingestellte Firewall bleiben deshalb nötig. Der DDoS-Schutz kommt zu diesen Grundlagen hinzu, er ersetzt sie nicht.
Das passende Angebot für Ihren Einsatz wählen
Die richtige Wahl hängt davon ab, was erreichbar ist und was eine Unterbrechung kostet.
- Gameserver: häufiges Ziel von Angriffen zwischen Spielern oder rivalisierenden Communities. Je nach erwarteter Last passen ein dedizierter Gaming-Server oder ein geschützter VPS.
- Websites und APIs: Ein Anti-DDoS-VPS schützt die öffentliche Adresse. Sinnvoll ergänzen lässt er sich durch Caching und eine Begrenzung der Anfragen pro Besucher.
- Hohe Lasten oder besondere Netzwerkanforderungen: Ein dedizierter Server bietet mehr Spielraum und nicht geteilte Ressourcen.
Dimensionieren Sie auch die Maschine selbst ausreichend. Die Filterung entfernt den Angriffstraffic, aber Ihr Server muss den legitimen Traffic bewältigen, auch bei einer Lastspitze oder einer Marketingaktion.
FAQ
Nein. Er verringert die Anfälligkeit für Netzwerkangriffe deutlich, doch eine Schwachstelle in der Anwendung, ein schwaches Passwort oder ein falsch konfigurierter Dienst bleiben Risiken. Er ergänzt die Serversicherheit, er ersetzt sie nicht.
Bei einem Angebot, das für diesen Zweck gedacht ist, ist die Filterung auf Infrastrukturebene vorgesehen. Den genauen Umfang finden Sie auf der Angebotsseite. Passen Sie danach die Konfiguration von Server und Anwendung an die Dienste an, die Sie bereitstellen.
Typische Anzeichen sind ein plötzlicher Anstieg des Traffics ohne mehr echte Besucher, eine sehr langsame oder nicht erreichbare Website sowie Warnmeldungen Ihres Monitoring-Tools. Im Zweifel wenden Sie sich mit Ihren Beobachtungen an den Support Ihres Providers, der die Ursache des Problems bestätigen kann.
Das hängt davon ab, wie exponiert sie ist und welche Bedeutung sie für Ihr Geschäft hat. Eine kaum angegriffene Visitenkarten-Website kommt oft ohne aus, ein Onlineshop oder eine wiederholt angegriffene Seite hat dagegen gute Gründe, sich abzusichern. In jedem Fall senken ein Cache-System und die Begrenzung von Login-Versuchen das Risiko.