Website unter Beschuss: Der erste Tag einer DDoS-Eskalation

Der Anruf am Morgen

Freitagmorgen, kurz nach neun Uhr. Ein Kunde meldet sich: Die Website sei extrem langsam, teilweise gar nicht erreichbar. Ein Blick in die Server-Logs zeigt: In wenigen Minuten waren bereits rund 50.000 Requests eingegangen.

Kein CDN, kein WAF, kein Cloudflare – der Server trägt die Last vollständig allein. 50.000 Requests klingt zunächst überschaubar, aber sie kamen gebündelt in kürzester Zeit und von vielen verschiedenen IPs. Der Server begann zu straucheln. Was wir zu diesem Zeitpunkt noch nicht wussten: Das war erst der Auftakt.

Cloudflare als Schutzschild

Die Domain lief ohne CDN oder WAF-Schutz direkt auf dem Hosting-Anbieter. Die Lösung: sofortiger Wechsel der Nameserver zu Cloudflare.

Zwei Details erleichterten die Umstellung erheblich: Die DNS-TTL war bereits auf 300 Sekunden (5 Minuten) gesetzt – ideal für schnelle Propagation. Und da DNSSEC noch nicht aktiv war, war kein zeitaufwändiges Schlüssel-Rollover nötig.

Nach dem Nameserver-Wechsel war der Traffic innerhalb weniger Minuten über Cloudflare geroutet. Gleichzeitig tauchten beim Import der DNS-Records zwei typische Fallstricke auf, die wir direkt korrigierten:

• MX-Record falsch importiert: Cloudflare hatte automatisch einen internen Eintrag statt mail.example.de gesetzt
• Mailserver geproxyt: Der A-Record des Mailservers lief fälschlicherweise über den Cloudflare-Proxy – was den Mailempfang unterbrach. Abhilfe: die graue Wolke (DNS only) statt der orangenen (Proxied)

Jetzt zeigte sich das volle Ausmaß: Cloudflare protokollierte 7,95 Millionen Requests – davon nur 5.250 echte Seitenaufrufe. Das Verhältnis von rund 1.500:1 (normal wäre 50–200:1) bestätigte, was die ersten 50.000 Requests bereits angedeutet hatten. Und der Angriff lief weiter.

Schritt 2 – Die zweite Attacke umgeht Cloudflare

Noch am selben Tag folgte ein zweiter Angriff – und der Angreifer hatte dazugelernt. Statt über die Domain griff er diesmal die Origin-IP des Webservers direkt an. Da Port 80 und 443 noch von allen IPs erreichbar waren, konnte Cloudflare vollständig umgangen werden.

Dieses Szenario ist bekannter als man denkt: Wer die reale Server-IP kennt (z. B. über alte DNS-Einträge, Certificate Transparency Logs oder einfaches Scannen), kann Cloudflare als Schutzschicht komplett aushebeln.

Origin-IP per Firewall absichern

Die Lösung ist konsequent: Port 80 und 443 dürfen ausschließlich noch von Cloudflare-IP-Adressen erreicht werden. Alle anderen Verbindungen werden auf Firewall-Ebene blockiert, bevor sie den Webserver überhaupt erreichen.

Cloudflare veröffentlicht seine aktuellen IP-Ranges unter cloudflare.com/ips. Diese werden direkt in die Firewall-Regeln übernommen – direkter Zugriff auf den Origin-Server von beliebigen IPs ist danach nicht mehr möglich. Angreifer stoßen auf eine leere Wand.

Zumindest vorübergehend. Denn der Angreifer gab sich damit nicht zufrieden.

Was als nächstes passierte

Mit Cloudflare und abgesicherter Firewall war die akute Lage stabilisiert. Doch der Angriff lief weiter — volumetrisch, direkt auf die IP, und massiv genug, dass selbst der Hoster eingriff. Wie wir mit Blackholing, einem IP-Wechsel und der Auslagerung des Mailhostings die Infrastruktur endgültig abgehärtet haben – und was letzte Nacht beim nächsten Angriffsversuch passierte – lest ihr im zweiten Teil.
 

Teil 2 lesen: 400 Millionen Anfragen – Die Eskalation und das Ende

Drei Dinge, die du heute prüfen solltest

Egal ob du schon Cloudflare nutzt oder nicht – diese drei Punkte sind schnell gecheckt:

1. Ist deine Origin-IP öffentlich bekannt? Suche deine Domain in Certificate Transparency Logs (z. B. crt.sh) oder alten DNS-Einträgen. Wenn die IP dort auftaucht, schützt ein Cloudflare-Proxy allein nicht ausreichend.

2. Sind Port 80 und 443 auf deinem Server offen für alle IPs? Mit nmap oder einem Port-Scanner lässt sich das in Sekunden prüfen. Wenn ja: Firewall-Regeln einrichten.

3. Hast du eine TTL unter 5 Minuten für deine DNS-Records? Im Ernstfall ist eine niedrige TTL der Unterschied zwischen 5 Minuten und 24 Stunden Ausfallzeit.