DDoS- und Bot-Traffic-Schutz: ein verständlicher Leitfaden
Wie ein DDoS-Angriff und schädlicher Bot-Traffic eine Website ausbremsen, welche Schutzschichten helfen und wie viel Schutz jedes Unternehmen wirklich braucht.
rabbitclip-TeamVeröffentlicht: 7 Min. Lesezeit
Kurz gesagt
Ein DDoS-Angriff schickt von vielen Quellen gleichzeitig eine erdrückende Zahl von Anfragen an eine Website, sodass der Server nicht mehr antworten kann. Das Ziel ist nicht, Daten zu stehlen, sondern echte Besucher auszusperren. Schädlicher Bot-Traffic ist leiser: Automatische Software kopiert Inhalte, füllt Formulare aus, probiert Anmeldeseiten durch oder verbraucht schlicht Serverressourcen. Der Schutz beruht nicht auf einem einzelnen Produkt, sondern auf Schichten, die Anfragen filtern, bevor sie den Server erreichen: ein Filter am Rand des Netzes, eine Web Application Firewall, Ratenbegrenzungen und die eigenen Einstellungen des Servers.
Die praktische Frage für Inhaber lautet meist: Meine Website ist langsam geworden oder lädt nicht, ist das ein Angriff oder ein echter Besucheransturm? Die Antwort liegt darin, woher der Verkehr kommt und wie er sich verhält. Ein Ansturm nach einer Kampagne ist verstreut, verhält sich aber wie Menschen; ein Angriff trifft typischerweise dieselbe Seite, auf dieselbe Weise, mit ungewöhnlicher Geschwindigkeit.
Dieser Artikel trennt die beiden Bedrohungen, listet die Schutzschichten auf und erklärt, warum nicht jedes Unternehmen dieselben Maßnahmen braucht.
Worin unterscheiden sich DDoS und schädlicher Bot-Traffic?
DDoS ist laut und wirkt schnell. Es kommen mehr Anfragen an, als der Server oder seine Netzanbindung tragen kann, und die Website wird langsam oder öffnet sich gar nicht mehr. Der Angriff verteilt sich meist auf viele Rechner, weshalb es nichts nützt, eine einzelne Adresse zu sperren.
Schädlicher Bot-Traffic ist beständig und mengenmäßig gering. Ein Bot durchsucht Ihre Preisliste, ein anderer überschwemmt das Kommentarformular mit Links, ein dritter errät Passwörter an der Admin-Anmeldung. Keiner von ihnen legt die Website im Handumdrehen lahm, doch gemeinsam zehren sie an Serverressourcen, Werbebudget (durch falsche Klicks) und der Verlässlichkeit Ihrer Statistiken. Den beiden Bedrohungen begegnet man mit unterschiedlichen Werkzeugen.
Woran erkennen Sie, dass eine Website angegriffen wird?
Das erste Anzeichen ist eine Verlangsamung, die nicht zur Zahl der Besucher passt. Ist die Website langsam, obwohl weder eine Aktion noch ein Werbeschub läuft, und stoßen die Ressourcendiagramme des Servers an die Decke, ist Verdacht berechtigt. Das zweite Anzeichen sind ungewöhnlich häufige Anfragen in den Serverprotokollen, aus demselben Adressbereich oder auf dieselbe Seite; auch Verkehr, der zu merkwürdigen Uhrzeiten Spitzen zeigt, ist ein Hinweis.
Für eine sichere Diagnose müssen Sie die Serverprotokolle lesen, was wir an anderer Stelle in einfacher Sprache beschrieben haben. Typische Anzeichen sind die folgenden.
- Plötzlicher Verkehr und Langsamkeit ohne Kampagne oder Ankündigung
- Anfragen, die sich auf einer Seite oder an der Anmeldeadresse häufen
- Starker Verkehr aus Ländern, aus denen Ihre echten Kunden nicht kommen
- Sinnlose oder wiederholte Einträge, die über Formulare eingehen
- Warnungen Ihres Hosting-Anbieters vor erreichten Ressourcengrenzen
Aus welchen Schichten besteht der Schutz?
Die erste Schicht ist der Rand des Netzes. Stellt man einen Schutz- und Auslieferungsdienst vor die Website, fängt er den größten Teil des Angriffsverkehrs ab, bevor er Ihren Server erreicht. Bleibt die echte Adresse des Hauptservers verborgen, kann ein Angreifer ihn nicht direkt ins Visier nehmen. Die alltäglichen Geschwindigkeitsvorteile dieses Vorgehens sind Thema eines eigenen Artikels.
Die zweite Schicht liegt auf Anwendungsebene. Eine Web Application Firewall (WAF) schneidet bekannte schlechte Muster und verdächtige Anfragen ab, während eine Ratenbegrenzung beschränkt, wie viele Anfragen eine Adresse in einer bestimmten Zeit stellen darf. Die dritte Schicht ist die Website selbst: Wer Anmeldeversuche begrenzt, Formulare um eine unsichtbare Prüfung ergänzt und schwere Seiten zwischenspeichert, macht den Server widerstandsfähiger gegen denselben Angriff.
Jede Schicht ist allein unvollständig. Ein Netzwerkfilter behebt keine Schwachstelle in der Anwendung, und eine WAF stoppt keine Flut auf Netzwerkebene; im Zusammenspiel verteilen sie das Risiko.
Welches Unternehmen braucht welche Maßnahmen?
Wählen Sie die Maßnahmen nach dem tatsächlichen Risiko der Website. Für eine kleine Visitenkarten-Seite genügen meist ein Basisschutz am Rand des Netzes, aktuelle Software und eine Begrenzung der Anmeldeversuche. Kostet Sie ein Ausfall keine direkten Einnahmen, steht ein teurer und komplizierter Aufbau in keinem Verhältnis.
Shops, Buchungssysteme und Websites, die Zahlungen annehmen, sind anders: Jede Stunde Ausfall bedeutet entgangene Verkäufe und verlorenes Vertrauen. Hier sollten eine WAF, Ratenbegrenzungen, ein Management schädlicher Bots und ein Kontaktplan für den Moment eines Angriffs gemeinsam bedacht werden. Auch ein Test von Last und Belastbarkeit vor einer Kampagnenphase ist sinnvoll.
Wann ist der Kauf von Schutz die falsche Wahl?
Es gibt Fälle, in denen der Kauf von Schutz nicht die Antwort ist. Ist das Problem kein Angriff, sondern schwaches Hosting (etwa eine Website, die auf einem geteilten Server an die Ressourcengrenze stößt), löst ein Schutzdienst es nicht; die eigentliche Lösung ist größere Infrastruktur oder eine leichtere Website. Klären Sie zuerst, ob der Verkehr wirklich ein Angriff ist.
Ebenso ist es ein Fehler, sich auf eine Sperrliste zu verlassen und zu sagen: 'Wir haben alle Bots ausgesperrt.' Auch Crawler von Suchmaschinen sowie Zahlungs- und Überwachungsdienste sind Bots, und sperrt man sie alle, kann Ihre Website aus den Suchergebnissen verschwinden. Ziel ist nicht, Bots zu vernichten, sondern die schlechten von den guten zu unterscheiden.
Welche Fehler kommen häufig vor?
Der häufigste Fehler ist, erst nach Beginn des Angriffs nach Schutz zu suchen. Mitten in einem Vorfall DNS zu ändern und einen neuen Dienst einzurichten, kostet Zeit und birgt das Risiko neuer Fehler. Einen einfachen Schutz am Rand des Netzes vorab einzurichten, ist weit weniger Arbeit, als es in der Krise zu tun.
Ein weiterer Fehler ist, die echte Adresse des Hauptservers offen zu lassen; selbst mit einem Schutzdienst kann ein Angreifer die Adresse über einen anderen Eintrag finden und direkt zuschlagen. Häufige Fehler sind diese.
- Schutz einzurichten, aber die echte Serveradresse oder alte Einträge offen zu lassen
- Auf der Anmeldeseite weder eine Versuchsgrenze noch eine zweite Bestätigung vorzusehen
- Zu glauben, die robots-Datei halte schädliche Bots auf; sie richtet sich nur an Bots, die ihr freiwillig folgen
- Nicht im Voraus festzulegen, wer bei einem Angriff was tut
- Software und Plugins nicht zu aktualisieren; Angriffe nutzen oft eine bekannte Schwachstelle
Was tun Sie während eines Angriffs?
Bleiben Sie zuerst ruhig und klären Sie, was betroffen ist: die ganze Website, eine einzelne Seite, nur die Anmeldung? Wenden Sie sich dann an Ihren Hosting-Anbieter und einen etwaigen Schutzdienst; viele Anbieter können während eines Angriffs Maßnahmen zur Filterung des Verkehrs zuschalten. Dieses Gespräch vorher zu führen statt in der Krise, macht einen großen Unterschied.
Prüfen Sie nach dem Angriff die Protokolle: Welche Seite war das Ziel, welche Schwachstelle wurde genutzt, welche Maßnahme hat gewirkt? Dieses Wissen prägt den nächsten Aufbau. Für einen schnellen Blick auf die allgemeine Sicherheit Ihrer Website können Sie unser Werkzeug zur Prüfung von Sicherheit und SSL nutzen.
Der Schutz vor DDoS und schädlichem Bot-Traffic ist kein einzelnes Werkzeug, sondern besteht aus Schichten am Rand des Netzes, in der Anwendung und auf der Website; wie viel Sie davon brauchen, hängt davon ab, was ein Ausfall kosten würde. Eine kleine Visitenkarten-Seite ist mit einem Basisschutz gut bedient, während eine Website, die Geld verdient, eine geschichtete und geplante Lösung braucht. Wenn Sie das tatsächliche Risiko Ihrer Website gemeinsam einschätzen möchten, vereinbart rabbitclip gern ein ruhiges Erstgespräch mit Ihnen.
Häufige Fragen
Stiehlt ein DDoS-Angriff Daten?
Meist nicht; sein Ziel ist, die Website unerreichbar zu machen. Manchmal dient ein Angriff jedoch als Ablenkung, daher lohnt es sich, während und nach einem Vorfall auch auf andere Schwachstellen zu prüfen.
Warum sollte eine kleine Website angegriffen werden?
Angreifer suchen sich oft keine bestimmte Website aus; automatische Software durchsucht das Netz nach offenen und verwundbaren. Jede Website braucht deshalb aktuelle Software und eine Basisschicht an Schutz.
Ist es richtig, alle Bots zu blockieren?
Nein. Auch Crawler von Suchmaschinen und manche Überwachungsdienste sind Bots, und wer sie blockiert, schadet der Sichtbarkeit der Website in der Suche. Ziel ist, schädliche Bots von gutartigen zu trennen.
Schützt mich mein Hosting-Anbieter nicht schon?
Manche Anbieter bieten einen einfachen Schutz auf Netzwerkebene, doch der Umfang unterscheidet sich. Am sichersten ist es, Ihren Anbieter schriftlich zu fragen, welche Angriffsarten er bis zu welcher Größe abdeckt.
Sperrt eine Ratenbegrenzung echte Kunden aus?
Nicht, wenn die Schwelle vernünftig gewählt ist. Sie wird über der normalen Nutzung eines echten Besuchers, aber unter der Angriffsgeschwindigkeit angesetzt und in den ersten Wochen anhand der Protokolle nachjustiert.
