400 Millionen Anfragen: Wie wir eine DDoS-Eskalation endgültig gestoppt haben

Kurzer Rückblick

Im ersten Teil dieser Serie haben wir beschrieben, wie wir Freitagmorgen einen laufenden DDoS-Angriff diagnostizierten, Cloudflare einrichteten und nach einem zweiten Angriff die Origin-IP per Firewall abgesichert haben. Was wir zu dem Zeitpunkt noch nicht kannten: das volle Ausmaß dessen, was noch folgen würde.

Das Ausmaß: 400 Millionen Anfragen

Der erste Blick in die Cloudflare-Analytik zeigte 7,95 Millionen Requests – beeindruckend genug. Doch der Angriff hörte nicht auf. Über die folgenden Tage summierten sich die über Cloudflare abgefangenen Anfragen auf rund 400 Millionen. Dazu kamen weitere Anfragen, die direkt auf die Server-IP abzielten und den Cloudflare-Layer vollständig umgingen.

400 Millionen Anfragen bedeutet: Dieser Angriff war kein Versuch, eine Website kurz zu stören. Er war anhaltend, gezielt und eskalierend. Ein Angreifer, der nach jeder Gegenmaßnahme die Methode wechselte.

Schritt 4 – Der Hoster zieht den Stecker: Blackholing

Wir dachten, die Sache sei erledigt. Die Firewall lief, kein Traffic außer Cloudflare-IPs kam durch. Doch der Angreifer hörte nicht auf.

Die Anfragen auf die direkte Server-IP liefen weiter - und zwar mit einer Intensität, die nicht mehr Layer-7 war, sondern volumetrisch: schiere Paketmassen auf Netzwerkebene. So massiv, dass unser Hoster sich gezwungen sah, die IP in eine Blackhole zu leiten, auch bekannt als Null-Routing. Das bedeutet: Der gesamte Traffic zur betroffenen IP wird auf Netzwerkebene verworfen - bevor er überhaupt den Server, seine Firewall oder Cloudflare erreicht.

Das Ergebnis: Die Website war offline - obwohl Cloudflare korrekt konfiguriert war und die Firewall-Regeln sauber griffen.

Blackholing ist ein legitimes letztes Mittel der Hoster-Infrastruktur. Wenn ein Angriff so massiv ist, dass er die Netzwerkstabilität anderer Kunden bedroht, wird die angegriffene IP geopfert. Das ist keine Fehlfunktion - es ist der vorgesehene Schutzmechanismus für die Infrastruktur als Ganzes. Für den betroffenen Kunden bedeutet es trotzdem: Totalausfall.

Schritt 5 – IP wechseln und Mails auslagern

Blackholing macht zwei strukturelle Schwachstellen sichtbar, die sich nur durch Infrastruktur-Entscheidungen lösen lassen.

Server-IP wechseln

Nach einem gezielten IP-Angriff ist die betroffene IP verbrannt. Der Angreifer kennt sie, sie taucht in Scan-Datenbanken auf, und sie wird für zukünftige Angriffe gespeichert. Ein IP-Wechsel beim Hoster - in der Regel mit wenigen Klicks möglich - nimmt dem Angreifer das Ziel. Wichtig: Alle DNS-Records müssen sofort aktualisiert werden, und die alte IP darf nirgendwo mehr auftauchen, die ein Angreifer für Reconnaissance nutzen könnte.

Mails auf ein separates Hosting-Paket auslagern

Wer Webserver und Mailserver auf derselben IP betreibt, verliert bei einem Blackholing beides gleichzeitig. Kein Web, keine Mails - ausgerechnet dann, wenn Kommunikation am wichtigsten wäre. Ein separates Mail-Paket entkoppelt die beiden Dienste vollständig. Ein Angriff auf die Web-IP trifft den Mailserver dann nicht mehr.

Letzte Nacht: der erste wirkungslose Angriff

In der vergangenen Nacht registrierte Cloudflare einen erneuten Angriffsversuch. Dieselbe Signatur, ähnliche Intensität.

Diesmal jedoch: kein Ausfall, keine Eskalation, kein Eingreifen des Hosters. Der Angriff prallte vollständig ab - automatisch, ohne Handlungsbedarf.

Die neue IP war dem Angreifer unbekannt. Cloudflare absorbierte den Traffic auf Layer 7. Die Firewall ließ nichts durch. Der Mailserver lief auf einem separaten Paket und war zu keinem Zeitpunkt betroffen.

Das ist der Unterschied zwischen einer Notfall-Absicherung und einer durchgehärteten Infrastruktur.

Vier Dinge, die du heute prüfen solltest

Egal ob du schon Cloudflare nutzt oder nicht – diese vier Punkte sind schnell gecheckt:

1. Ist deine Origin-IP öffentlich bekannt? Suche deine Domain in Certificate Transparency Logs (z. B. crt.sh) oder alten DNS-Einträgen. Wenn die IP dort auftaucht, schützt ein Cloudflare-Proxy allein nicht ausreichend.

2. Sind Port 80 und 443 auf deinem Server offen für alle IPs? Mit nmap oder einem Port-Scanner lässt sich das in Sekunden prüfen. Wenn ja: Firewall-Regeln einrichten.

3. Laufen dein Webserver und dein Mailserver auf derselben IP? Wenn ja, reißt ein Blackholing des Webservers auch deine Mails mit. Ein separates Mailhosting-Paket kostet wenige Euro im Monat - und ist im Ernstfall unbezahlbar.

4. Hast du eine TTL unter 5 Minuten für deine DNS-Records? Im Ernstfall ist eine niedrige TTL der Unterschied zwischen 5 Minuten und 24 Stunden Ausfallzeit beim IP-Wechsel.