Im Juli 2026 veröffentlichte das Threat-Intelligence-Team Unit 42 von Palo Alto Networks eine ungewöhnliche Analyse. Die Forscher hatten ein IoT-Botnetz mit dem Namen TuxBot v3 Evolution untersucht und stießen dabei auf etwas Neues: Große Teile des Schadcodes stammten offenbar nicht aus der Feder eines Menschen, sondern direkt aus einem Sprachmodell. Das Modell hinterließ sogar eigene Gedankengänge als Kommentare im Code. Ein kleines Detail mit großer Symbolkraft, denn Botnetze entwickeln sich gerade schneller, als viele Sicherheitsteams reagieren können.
TuxBot ist kein Einzelfall. Es ist der vorläufige Höhepunkt einer Entwicklung, die vor mehr als drei Jahrzehnten harmlos begann.
Von Eggdrop zu TuxBot: Die Geschichte der Botnetze
IRC-Bots ab 1993
1993 veröffentlichte Jeff Fisher mit „Eggdrop“ einen der ersten IRC-Bots. Gedacht war er als Verwaltungshelfer für Chatkanäle, nicht als Angriffswerkzeug. Weil sich aus dem Chat entfernte Nutzer revanchieren wollten, entstanden daraus die sogenannten IRC-Kriege, ein früher Vorläufer heutiger DDoS-Angriffe.
Bot-Baukästen 2002 bis 2007
Die Jahre danach professionalisierten das Feld. Zwischen 2002 und 2004 etablierten sich mit „Agobot“, „SDBot“ und „Spybot“ regelrechte Baukastensysteme. Ihr Quellcode kursierte offen im Netz und ermöglichte auch technisch weniger versierten Akteuren eigene Varianten. Ein früher Vorläufer der heutigen Malware-as-a-Service-Modelle. 2007 infizierte das Storm-Botnetz schätzungsweise bis zu 50 Millionen Rechner und wurde für Spam und Identitätsdiebstahl genutzt.
IoT-Botnetze ab 2016
Mit der Verbreitung webbasierter Dienste verließen Bots die reinen IRC-Kanäle. 2016 markierte das Mirai-Botnetz den nächsten Bruch: Die Schadsoftware durchsuchte das Internet nach IoT-Geräten mit werkseitigen Standardpasswörtern und erzeugte Angriffe von bislang unbekannter Größe, unter anderem einen mehrstündigen Ausfall beim DNS-Anbieter Dyn. Als der Quellcode später veröffentlicht wurde, entstand daraus eine ganze Familie von Nachahmern, die bis heute aktiv ist.
Danach ging es vor allem um Tarnung. Auf Chrome oder Chromium basierende Bots imitierten Mausbewegungen und Klicks so realistisch, dass sie sich kaum noch von echten Nutzern unterscheiden ließen. Gleichzeitig verlagerten sich Angriffe auf gekaperte Heimrouter, sogenannte Residential Proxies. Der Traffic kam nicht mehr aus verdächtigen Rechenzentren, sondern aus scheinbar gewöhnlichen Haushalten.
Evooo1Bot: Der alte Mirai-Code lebt weiter
Während KI die Entwicklung neuer Angriffswerkzeuge beschleunigt, zeigt ein aktueller Fund, dass auch der zehn Jahre alte Mirai-Quellcode noch längst nicht ausgedient hat. FortiGuard Labs beobachtet seit Juli 2026 ein Linux-Botnetz namens Evooo1Bot, das Router und andere Edge-Geräte von Herstellern wie Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link angreift. Die Basis bildet der öffentlich bekannte Mirai-Code, die Entwickler haben ihn jedoch deutlich erweitert.
Evooo1Bot macht deutlich, dass sich die Bedrohungslage nicht nur durch neue KI-Werkzeuge verschärft. Auch etablierter, jahrealter Code wird kontinuierlich weiterentwickelt und um neue Fähigkeiten wie Proxy-Missbrauch ergänzt. Genau diese Mirai-Linie steckt übrigens auch hinter Aisuru und Kimwolf, den beiden Botnetzen, die Ende 2025 den bislang größten bekannten DDoS-Angriff auslösten.
Erfahren Sie mehr über eine einfach zu implementierende und äußerst effektive WAAP-Lösung.
Alles aus einer Hand und auf Wunsch als vollständig verwalteter Service.
TuxBot v3: Wenn KI zum Co-Entwickler von Malware wird
Seit 2024 beschleunigt generative KI diese Entwicklung auf zwei Ebenen gleichzeitig. Erstens sinkt die Einstiegshürde: Bot-as-a-Service-Plattformen und KI-Codegeneratoren erlauben es auch technisch unerfahrenen Akteuren, funktionierende Angriffstools zu bauen. Zweitens verändert KI die Entwicklung der Schadsoftware selbst, und genau hier setzt der Fall TuxBot an.
Das analysierte Framework verfügte über einen verschlüsselten Command-and-Control-Kanal, einen Domain-Generation-Algorithmus und sogar eine eigene Exploit-Sprache. Aufschlussreich waren dabei vor allem die Fehler. Das Sprachmodell behauptete, eine moderne Argon2id-Verschlüsselung implementiert zu haben. Tatsächlich griff es auf ein deutlich schwächeres Verfahren zurück.
Das zeigt ein wichtiges Muster: KI senkt die Hürde für die Entwicklung von Malware, ersetzt aber nicht die fachliche Kontrolle. Wer sich allein auf ein Sprachmodell verlässt, baut Schwachstellen in seine eigenen Angriffswerkzeuge ein. Für Verteidiger heißt das im Umkehrschluss nicht, dass die Gefahr sinkt. Die schiere Menge an neuen Varianten wächst trotzdem.
Zahlen, die die neue Dimension der Bot-Angriffe zeigen
Aktuellen Reports zufolge stiegen KI-generierte Bot-Angriffe innerhalb eines einzigen Jahres von rund zwei auf 25 Millionen pro Tag. Dies bedeutet einen Anstieg um mehr als das Zwölffache. Mittlerweile sollen mehr als die Hälfte aller Web-Anfragen von Bots stammen, ein gutes Drittel davon schädlich.
Auch auf der Betriebsseite wachsen die Dimensionen. Ende 2025 erzeugten die IoT-Botnetze Aisuru und Kimwolf mit einer Kampagne namens „The Night Before Christmas“ einen Angriff mit einer Spitzenlast von 31,4 Terabit pro Sekunde, den bis dahin größten öffentlich bekannten DDoS-Angriff. Ausgelöst wurde er über gekaperte Router und zunehmend auch kompromittierte Android-Fernseher. Im März 2026 zerschlugen Bundeskriminalamt, US-Behörden und kanadische Ermittler gemeinsam ein Netzwerk aus mehr als drei Millionen gekaperten Geräten, das zu diesem Ökosystem gehörte.
Der Fall zeigt, wie schwer sich moderne Botnetze dauerhaft ausschalten lassen. Laut einer Analyse von Unit 42 war bereits einen Monat vor der Zerschlagung eine neue, auf Widerstandsfähigkeit ausgelegte Kimwolf-Version aktiv. Sie tarnt ihren Angriffsverkehr mit den Kennwerten eines echten Chrome-Browsers, sodass klassische Filter die Anfragen kaum noch von denen echter Nutzer unterscheiden können. Ein zerschlagenes Botnetz ist also nicht automatisch ein erledigtes Problem.
Am weitesten geht bislang ein Fall, der über klassische Botnetze hinausreicht. Im November 2025 legte Anthropic offen, dass eine mutmaßlich staatlich gelenkte Gruppe deren KI-Coding-Werkzeug wochenlang als weitgehend selbstständigen Angriffsagenten genutzt hatte. Aufklärung, Exploit-Entwicklung und Datenauswertung liefen zu 80 bis 90 Prozent ohne menschliches Eingreifen ab.
Was das für Unternehmen bedeutet
Für die Bot-Abwehr verschiebt sich damit die Zielscheibe. Es geht nicht mehr nur um reine Traffic-Erkennung, sondern zunehmend um die Frage, ob hinter einer Anfrage ein Skript, ein Mensch oder ein eigenständig planendes System steckt. Klassische Regeln, die nach IP-Adressen oder bekannten Signaturen filtern, laufen dieser Entwicklung dauerhaft hinterher.
Drei Verschiebungen sind für IT-Verantwortliche besonders relevant:
- Angriffswerkzeuge entstehen schneller und günstiger, weil KI die technische Einstiegshürde senkt.
- Bots verhalten sich zunehmend wie Menschen und verstecken sich hinter echten Wohnadressen, statt aus Rechenzentren zu kommen.
- Die Grenze zwischen automatisiertem Angriff und eigenständig agierendem System verschwimmt.
Wer heute noch mit Werkzeugen von gestern arbeitet, schützt sich gegen eine Bedrohung, die es in dieser Form nicht mehr gibt.
Bot-Abwehr, die mit der Bedrohung mitwächst
Eggdrop, Mirai, TuxBot: Jede Generation von Bots hat die Verteidigung vor eine neue Frage gestellt. Heute lautet sie: Erkennt Ihre Sicherheitsarchitektur nicht nur, wie viel Traffic ankommt, sondern auch, was wirklich dahintersteckt?
Link11 WAAP unterscheidet mittels Verhaltensanalyse zwischen nützlichen Suchmaschinen-Crawlern und bösartigen Scraping- oder Credential-Stuffing-Bots und schützt so vor genau der Art von Angriffen, die sich mit KI immer schneller weiterentwickelt.
Möchten Sie erfahren, wie sich Ihre Anwendungen gegen moderne, KI-gestützte Bot-Angriffe absichern lassen? Lassen Sie uns gemeinsam Ihre aktuelle Sicherheitsarchitektur analysieren.
Das könnte Ihnen auch gefallen:
Am 5. Mai 2026 verschwanden kurz nach dem Abendessen Millionen deutscher Websites einfach aus dem Netz. Es waren keine Hacker, keine Bomben und auch der Strom war nicht weg. Die Ursache war ein Problem mit der DNSSEC Implementierung bei der DENIC, der Hüterin aller .de-Domains. Amazon, DHL, große Nachrichtenportale: Plötzlich waren sie nicht mehr erreichbar. Für rund anderthalb Stunden war das deutsche Internet, zumindest aus Sicht validierender Resolver, schlicht nicht existent.
Was wirklich passierte – und warum es jeden betrifft
Das Domain Name System ist das Telefonbuch des Internets. Wird „dhl.de” eingegeben, fragt das Gerät einen DNS-Resolver, der die passende IP-Adresse zurückliefert. DNSSEC garantiert, dass die Antwort echt ist und nicht manipuliert wurde. DENIC veröffentlichte an jenem Abend fehlerhafte DNSSEC-Signaturen für die gesamte .de-Zone. Das Ergebnis: Alle Resolver, die DNSSEC korrekt prüften, lehnten die Antworten ab. Fehler statt Verbindung. Stille statt Service.
Kein Versagen von DNSSEC, sondern ein menschlicher Fehler
In der aufgeregten Nachberichterstattung wird dieser Teil gerne unterschlagen: DNSSEC hat in diesem Fall nicht versagt. Der Standard hat genau so funktioniert, wie er soll. Dennoch hat die Validierung der Signatur wegen eines Fehlers im Management der Keys nicht funktioniert. Das ist kein Bug, sondern ein Schutzmechanismus. Das Problem war operativer Natur: eine fehlerhafte Konfiguration auf Registry-Ebene und kein Fehler im Standard selbst.
Dieser Unterschied ist entscheidend. Wer aus diesem Vorfall schlussfolgert, DNSSEC sei gefährlich, hat die Lektion nicht verstanden. Wer hingegen schlussfolgert, dass die DNS-Infrastruktur sorgfältig betrieben werden muss, hat sie richtig verstanden.
Warum war DNS so lange ein blinder Fleck?
DNS ist unsichtbar, wenn es funktioniert. Niemand denkt an das Fundament, solange das Haus steht. Diese Unsichtbarkeit hat dazu geführt, dass DNS in vielen Sicherheitsstrategien jahrelang ignoriert wurde – als „unsichtbarer Hilfsdienst“, der irgendwie läuft. Doch dieser Vorfall macht greifbar, was Sicherheitsverantwortliche schon lange wissen. DNS ist keine Hilfsfunktion. Es ist das Rückgrat jeder digitalen Erreichbarkeit.
Ohne ein funktionierendes DNS gibt es keine Websites, kein E-Mail-Routing, keine API-Kommunikation und keine Cloud-Anbindung. Es spielt keine Rolle, wie gut Ihre Anwendung abgesichert ist, wenn die Namensauflösung darunter ins Stocken gerät.
Was DNSSEC schützt – und was nicht
DNSSEC schützt die Integrität von DNS-Antworten. Es stellt kryptografisch sicher, dass eine Antwort tatsächlich von der autorisierten Quelle stammt und auf dem Weg nicht manipuliert wurde. Dadurch werden Cache-Poisoning-Angriffe, bei denen manipulierte Einträge im Zwischenspeicher von Resolvern eingeschleust werden, sowie Man-in-the-Middle-Angriffe auf die Namensauflösung wesentlich erschwert.
Was DNSSEC nicht schützt: Es verhindert keine DDoS-Angriffe, verschlüsselt keinen Traffic und ersetzt keine weiteren Sicherheitsmaßnahmen. DNSSEC ist ein Baustein – aber ein grundlegender. Ohne eine vertrauenswürdige Namensauflösung fehlt aufbauenden Sicherheitsmechanismen wie DANE (DNS-based Authentication of Named Entities) die Vertrauensbasis. DNSSEC ist also nicht das Ende, sondern der Anfang der Sicherheitskette.
Das Schichtenmodell: Warum nicht jeder alles steuern kann
Dieser Vorfall offenbart eine strukturelle Wahrheit über das DNS-Ökosystem, die nur selten so deutlich wird. Autoritative DNS-Anbieter wie Link11 agieren auf einem anderen Teil der DNS-Infrastruktur als rekursive Resolver. Das bedeutet: Was DENIC als Registry in die .de-Zone schreibt, bestimmt, was Resolver weltweit zu sehen bekommen – noch bevor DNSSEC der nachgelagerten Betreiber überhaupt eine Rolle spielen kann. Autoritative Anbieter können fehlerhafte Signaturen auf Registry-Ebene weder vorausahnen noch korrigieren.
Wer DNS-Sicherheit ernst nimmt, muss deshalb das gesamte Ökosystem im Blick haben: Registry-Betreiber, Registrare, DNS-Provider, Resolver-Betreiber und Endkunden. Sicherheit entsteht nicht an einem einzigen Punkt, sondern muss entlang des gesamten Auflösungsprozesses aufgebaut und kontrolliert werden.
Die eigentliche Lektion lautet: Es geht um Operational Excellence, nicht um Protokollskepsis
Nach einem solchen Vorfall stellt sich nicht die Frage, ob DNSSEC abgeschaltet werden soll. Es geht vielmehr darum, dass Änderungen an kritischer Infrastruktur kontrolliert, getestet und überwacht werden. Das BSI empfiehlt DNSSEC seit Jahren als Best Practice – und das zu Recht. Der .de-Ausfall ändert daran nichts.
DNS-Sicherheit ist längst keine rein technische Frage mehr. Sie ist eine organisatorische Entscheidung, die auf Vorstandsebene getroffen werden muss. Digitale Geschäftsmodelle stehen und fallen mit der Erreichbarkeit ihrer Services. Ein Ausfall wie dieser, ausgelöst durch einen einzigen Konfigurationsfehler im Key Management auf Registry-Ebene, zeigt, wie fragil digitale Erreichbarkeit sein kann. Gerade in so kritischen Bereichen wie dem Key Management – einem zentralen Sicherheitselement weit über DNSSEC hinaus – sind besonders gründliche Tests, lückenlose Überwachung und klare Prozesse unerlässlich.
Was jetzt zu tun ist
Der Vorfall ist eine Einladung, die eigene DNS-Sicherheitsstrategie zu überdenken, jedoch nicht zu vereinfachen. Drei konkrete Ansätze:
Erstens: DNSSEC nicht nur aktivieren, sondern implementieren und betreiben. Der Unterschied liegt in der Prozessreife: Schlüsselrotationen, Monitoring und Incident-Playbooks sind entscheidend.
Zweitens: DNS-Traffic sollte als Sicherheitssignal ernst genommen werden. Anomalien im DNS-Verkehr, wie ungewöhnliche Abfragemuster oder plötzliche Auflösungsfehler, sind frühe Indikatoren für Angriffe oder Fehlkonfigurationen.
Drittens: Abhängigkeiten kennen. Wer weiß, welche Registry, welcher Registrar und welcher Resolver-Betreiber in der eigenen DNS-Kette sitzen, kann schneller reagieren, wenn etwas schiefgeht.
Wenn Sie mehr über unser Secure-DNS erfahren möchten, stehen Ihnen unsere Experten für all Ihre Fragen sehr gerne zur Verfügung.
Das könnte Ihnen auch gefallen:
DDoS-Attacken treffen Unternehmen jeder Größe und sie kommen selten zu einem günstigen Zeitpunkt. Wer im Ernstfall handlungsfähig bleiben will, muss rechtzeitig die entsprechenden Weichen stellen. Was das konkret bedeutet, ist dabei technisch, organisatorisch und regulatorisch zu klären.
Die Meldungen häufen sich: Websites sind nicht erreichbar, Dienste sind ausgefallen und Kundenportale sind stundenlang lahmgelegt. Hinter vielen dieser Störungen stecken DDoS-Angriffe – und ihre Zahl wächst Jahr für Jahr. Dabei sind es längst nicht mehr nur Großkonzerne oder kritische Infrastrukturen, die ins Visier geraten. Mittelständische E-Commerce-Unternehmen, Logistikdienstleister, Gesundheitsanbieter: Wer online verfügbar sein muss, ist potenziell ein Ziel.
Was viele unterschätzen: Die entscheidende Frage ist nicht, ob ein Angriff kommt, sondern ob die eigene Infrastruktur darauf vorbereitet ist. Denn Schutz lässt sich nicht ad hoc einkaufen. Wer erst dann nach Lösungen sucht, wenn der Traffic bereits explodiert ist, verliert wertvolle Zeit – und im schlimmsten Fall deutlich mehr.
Schritt eins: Wissen, was angreifbar ist
Bevor Schutzmaßnahmen greifen können, muss zunächst die eigene Angriffsfläche geklärt werden. Ein strukturiertes Netzwerk-Audit zeigt, welche Dienste, Ports und IP-Adressen tatsächlich von außen erreichbar sein müssen und welche es nicht sein sollten. Alles Unnötige muss konsequent abgeschaltet oder gesichert werden.
Ein Bereich, der dabei regelmäßig übersehen wird, ist das DNS. Als zentraler Einstiegspunkt ins Unternehmensnetz ist das Domain Name System ein bevorzugtes Angriffsziel. Die DNS-Infrastruktur sollte daher redundant ausgelegt, aktiv überwacht und durch spezialisierte Schutzmechanismen abgesichert sein.
Erfahren Sie, wie die neue Network DDoS Protection Sie noch effektiver schützt
Schnellere Mitigation, IPv6-Parität, mehr Transparenz und deutlich weniger manueller Aufwand.
Resiliente Architektur: Kein Single Point of Failure
Wer alle kritischen Anwendungen über einen einzigen Standort oder Netzpfad betreibt, schafft ein gefährliches Einfallstor. Redundanz ist keine nette Zusatzfunktion, sondern die Grundlage jeder belastbaren Infrastruktur. Durch mehrere Rechenzentren an unterschiedlichen physischen Standorten, voneinander unabhängige Anbindungen und die gezielte Vermeidung von Engpässen im Netz wird das Risiko, dass ein Angriff komplette Geschäftsprozesse lahmlegt, drastisch reduziert.
Genauso wichtig sind die Leistungsfähigkeit und Konfiguration von Edge-Komponenten. Router, Firewalls und Load Balancer müssen auch unter Angriffslast stabil bleiben. Wer das erst im Ernstfall herausfindet, hat ein Problem. Zusätzliche Bandbreitenkapazität stoppt keinen Angriff, gibt den anderen Schutzmechanismen aber die Zeit, die sie zum Eingreifen benötigen.
Mehrschichtiger Schutz: Weil eine Ebene nicht reicht
Die moderne DDoS-Abwehr basiert auf dem Prinzip der gestaffelten Verteidigung. Kein einzelnes Tool bietet vollständigen Schutz – erst das Zusammenspiel mehrerer Ebenen macht die Abwehr robust. Content Delivery Networks (CDN) verteilen Inhalte global und entlasten den Ursprungsserver. WAAP-Plattformen (Web Application and API Protection) analysieren Anfragen auf Anwendungsebene und erkennen auch ausgeklügelte Layer-7-Angriffe, die legitimen Traffic imitieren. Rate Limiting begrenzt Anfragen pro Quelle und verhindert so einfache Überlastungsszenarien. Und spezialisierte Mitigation-Dienste mit global verteilten Scrubbing-Centern filtern schädlichen Traffic heraus, bevor er das Unternehmensnetzwerk überhaupt erreicht.
Der entscheidende Punkt ist jedoch, dass diese Schutzmechanismen vorab eingebunden und regelmäßig getestet sein müssen.
Die vier Wege zur Mitigation – und warum der Zeitpunkt entscheidet
Wer im Ernstfall auf einen externen Mitigation-Dienst angewiesen ist, muss Folgendes wissen: Die technische Anbindung lässt sich nicht improvisieren. Es haben sich vier Modelle etabliert, die sich in ihren Anforderungen und Reaktionszeiten stark unterscheiden.
Die direkte Layer-2-Kopplung im selben Rechenzentrum ist die technisch sauberste Lösung: Sie ist nahezu latenzfrei, stabil und einfach aktivierbar. Sie setzt jedoch physische Nähe voraus.
„Cloud Connect” über Peering-Plattformen bietet dedizierte Verbindungen außerhalb des öffentlichen Internets und damit planbare, stabile Performance. Der Aufbau erfordert jedoch Vorlaufzeit und vertragliche Abstimmung, weshalb sie sich nicht als Spontanlösung im laufenden Angriff eignet.
Eine dedizierte Layer-2-Leitung bietet maximale Kontrolle und Leistung, erfordert jedoch einen Aufwand von mehreren Tagen bis Wochen. Sie ist ideal für dauerhaft geschützte Umgebungen, als Notfalloption jedoch ausgeschlossen.
Der GRE-Tunnel ist oft die flexibelste Wahl, da er über bestehende Internetverbindungen läuft. Er ist aber auch die anspruchsvollste Lösung: Der Tunnel läuft über einen regulären Uplink. Auf diesem können Paketverluste oder Jitter die Abwehrwirkung direkt beeinträchtigen. Technisch müssen alle beteiligten Geräte GRE unterstützen. Die Maximum Segment Size muss wegen des 24-Byte-Overheads auf allen Uplinks auf rund 1.476 Byte angepasst werden. Zudem muss asymmetrisches Routing sauber konfiguriert sein: Ausgehender Traffic geht direkt ins Internet und bereinigter eingehender Traffic kehrt über den Mitigation-Anbieter zurück.
Wer diese Konfigurationen nie getestet hat, wird im Ernstfall feststellen, dass ein schnelles Notfall-Onboarding dann kaum möglich ist.
Organisation und Compliance: Ohne Vorbereitung keine Reaktionsfähigkeit
Technik allein schützt nicht, wenn die organisatorischen Grundlagen fehlen. Ein klar definiertes Incident-Response-Playbook legt fest, wer im Angriffsfall Entscheidungen trifft, wie Eskalationswege verlaufen und wie die Kommunikation – intern wie extern – gesteuert wird. Da Angriffe selten zu Bürozeiten stattfinden, sind namentlich benannte Ansprechpartner erforderlich, die rund um die Uhr erreichbar sind.
Parallel dazu ist eine aktuelle Übersicht kritischer Systeme sowie eine einfache Datenklassifikation erforderlich. Letztere hilft, Prioritäten zu setzen, wenn nicht alles gleichzeitig geschützt werden kann. Für externe Dienstleister sollten technische Steckbriefe mit IP-Bereichen, Domains, typischen Traffic-Mustern und den richtigen Kontaktpersonen bereitstehen.
Auf der Compliance-Seite gilt: Auftragsverarbeitungsverträge, Rollenverteilungen, technisch-organisatorische Maßnahmen und Aufbewahrungsregeln müssen vorab geregelt sein. Ein strukturiertes Vendor-Risk-Management mit klaren Mindestanforderungen – etwa zu Zertifizierungen, Logging und Zugriffskontrollen – schließt die letzten Lücken. Klare Regeln für Notfalländerungen ermöglichen schnelle Entscheidungen, ohne die Nachvollziehbarkeit zu gefährden.
Resilienz entsteht vor dem Angriff und nicht währenddessen
DDoS-Angriffe lassen sich nicht vermeiden. Ob sie jedoch zu einer ernsthaften Krise werden, liegt in der Hand der Unternehmen, und das bereits lange bevor der erste Angriff eintrifft. Wer seine Infrastruktur und Prozesse heute richtig aufstellt, gewinnt im Ernstfall das Wichtigste: Zeit. Und genau diese Zeit entscheidet darüber, ob ein Angriff nur eine kurze Störung bleibt oder nachhaltigen Schaden anrichtet.
Link11 unterstützt Unternehmen dabei, diese Vorbereitung strukturiert anzugehen: von der Analyse der Angriffsfläche über die technische Integration bis hin zur Absicherung im laufenden Betrieb.
Das könnte Ihnen auch gefallen:
Das Bundesamt für Sicherheit in der Informationstechnik hat Ende April 2026 ein besonders ambitioniertes Cloud-Regelwerk verabschiedet. Der C3A-Kriterienkatalog – kurz für „Criteria enabling Cloud Computing Autonomy“ – soll definieren, wann ein Cloud-Anbieter wirklich souverän ist. Die Idee ist richtig. Aber je genauer man hinschaut, desto mehr Fragen stellen sich. Ist das ein Kompass für digitale Selbstbestimmung oder ein Wunschzettel, den kaum jemand vollständig erfüllen kann?
Was C3A will und was es von C5 unterscheidet
Wer das BSI kennt, kennt bereits den C5-Kriterienkatalog: das etablierte Prüfrahmenwerk für Cloud-Sicherheit, das seit Jahren als Grundlage für Audits und Zertifikate gilt. Im April 2026 hat das BSI den C5 in einer neuen Version 2026 veröffentlicht – und fast zeitgleich C3A eingeführt. Das ist kein Zufall, sondern Systemlogik: C5 prüft, ob ein Cloud-Dienst sicher ist. C3A prüft, ob er auch souverän ist. Der entscheidende Unterschied: C5 ist etabliert, auditierbar und marktgängig. C3A ist neu und nicht bindend. Es baut auf C5 als Voraussetzung auf.
Wer also C3A-konform werden will, fängt nicht bei null an – aber er ist auch nicht nach einem C5-Audit fertig. C3A fügt sechs neue Domänen hinzu: strategische, rechtliche, Daten-, operationale, Lieferketten- und Technologiesouveränität. Jede Domäne hat Basiskriterien, optional strengere Zusatzkriterien – und Dutzende konkrete Anforderungen.
Was C5-zertifizierten Anbietern noch fehlt
Stellen wir uns einen europäischen Cloud-Anbieter vor, der bereits ein C5:2026-Testat in der Tasche hat. Er hat seine Sicherheitsarchitektur geprüft, seine Prozesse dokumentiert, seinen Prüfer bezahlt. Was fehlt noch bis zur C3A-Konformität? Einiges.
Unter SOV-1 muss der Anbieter nachweisen, dass er unter EU-Jurisdiktion operiert, seinen Sitz in der EU hat und effektiv von EU-Unternehmen kontrolliert wird. Das muss er transparent machen und bei Änderungen 90 Tage vorher kommunizieren. SOV-3 verlangt externe Schlüsselverwaltung, clientseitige Verschlüsselung und einen externen Identity Provider – nicht nur für IaaS und PaaS, sondern perspektivisch auch für SaaS. SOV-4 fordert, dass das gesamte Betriebspersonal EU-Bürger mit EU-Wohnsitz besteht und administrative Zugänge aus Nicht-EU-Ländern technisch gesperrt werden. Außerdem soll der Anbieter jährlich einen echten Disconnect-Test durchführen. Also beweisen, dass der Dienst ohne jede Nicht-EU-Verbindung weiterläuft. SOV-5 verlangt eine SBOM (Software Bill of Materials) für alle eingesetzten Komponenten inklusive Herkunftsländer. SOV-6 schreibt vor, dass Source Code und Deployment-Toolchains täglich in der EU gesichert werden.
Das ist kein marginales Add-on zu C5. Das ist eine andere Kategorie von Anforderungen – organisatorisch, personell, architektonisch.
Realistisch oder regulatorischer Wunschzettel?
Hier beginnt die berechtigte Kritik. Der EU-Cloudverband CISPE bemängelt, dass C3A laut seiner Einschätzung nicht vor US-Gesetzen wie dem CLOUD Act schützt, sondern die Abhängigkeit von großen Technologiekonzernen zementiert. Das trifft einen wunden Punkt: Ein Framework, das Hyperscaler wie AWS, Azure oder Google Cloud faktisch ausschließt – oder ihnen zumindest erhebliche Umstrukturierungen abverlangt –, ist kein neutrales Transparenzwerkzeug mehr. Es ist eine Marktarchitektur.
Besonders anspruchsvoll sind die operationalen Kriterien. Dass sämtliches Personal mit physischem oder logischem Zugang EU-Bürger mit EU-Wohnsitz sein muss, ist für global operierende Anbieter nicht nur logistisch komplex, es ist in bestimmten Konstellationen schlicht nicht umsetzbar. Die Disconnect-Anforderung – jährlich getestet, vollständig dokumentiert, unabhängig von Nicht-EU-Entitäten – setzt eine Infrastrukturtiefe voraus, die viele Anbieter heute noch nicht haben.
Das BSI selbst betont: C3A ist kein bindendes Regelwerk, sondern ein Orientierungsrahmen. Zertifikate sind angekündigt, aber noch nicht verfügbar. Wann der Markt ein offizielles C3A-Testat ausstellen kann, ist derzeit offen.
Die Stärke des Rahmens – und warum er trotzdem wichtig ist
Trotz aller Kritik wäre es falsch, C3A als realitätsferne Bürokratie abzustempeln. Das Framework schafft erstmals eine überprüfbare Sprache für Souveränität. Wer heute mit einem Cloud-Anbieter verhandelt, kann gezielt fragen: Welche C3A-Kriterien erfüllen Sie und welche nicht? Das ist ein echter Fortschritt gegenüber dem Status quo, in dem „souverän“ häufig ein Marketing-Begriff ohne messbaren Inhalt war.
Die Struktur in Basis- und Zusatzkriterien erlaubt zudem differenzierte Anwendung. Nicht jede Behörde, nicht jedes Unternehmen braucht die strengste Stufe. Wer C3A als Checkliste missbraucht, hat die Idee falsch verstanden. Wer es als Verhandlungsrahmen nutzt, schafft einen Mehrwert.
Was das für IT-Verantwortliche bedeutet
C3A wird vermutlich kommen, ob als Pflicht oder als Marktdifferenzierung. Regulierte Branchen wie etwa Finanzdienstleister, Gesundheitsversorgung, kritische Infrastrukturen werden den Druck zuerst spüren, weil ihre Aufseher das Framework als Referenz verwenden werden. Die Kombination aus C5:2026 und C3A wird in Ausschreibungen, Vertragsverhandlungen und Lieferantenbewertungen zunehmend auftauchen.
Für IT-Führungskräfte bedeutet das konkret: Wer heute seinen Cloud-Anbieter nach C5 prüft, sollte bereits den C3A-Gap im Blick haben. Welche SOV-Domänen sind für die eigene Risikoarchitektur relevant? Wo gibt es Abhängigkeiten von Nicht-EU-Komponenten, die mittel- und langfristig ein Problem werden? Und: Kann der Anbieter im Ernstfall tatsächlich „disconnecten“ oder ist das nur Theorie?
C3A ist kein Anlass zur Panik. Aber es ist ein Anlass, endlich ehrlich über Cloud-Souveränität zu sprechen, jenseits von Marketingfolien und Compliance-Häkchen.
Wie C3A in der Praxis aussehen kann
Um zu verstehen, was C3A-Konformität konkret bedeutet, lohnt es sich, einen Blick auf Anbieter zu werfen, die den Rahmen nicht als abstrakte Übung behandeln. Link11 ist ein nach deutschem Recht gegründetes Unternehmen mit Hauptsitz in Frankfurt am Main. Es operiert ausschließlich unter deutschem und europäischem Recht. Nicht-europäischen Behörden steht kein Zugriff auf Systeme oder Kundendaten offen. Dies entspricht genau den Anforderungen von SOV-1 an strategische Souveränität: nachweisbare EU-Jurisdiktion und keine Kontrollabhängigkeit von Nicht-EU-Entitäten.
Die Compliance-Basis ist unabhängig attestiert. Link11 hält ein BSI-C5-Testat, ein SOC-2-Type-2-Testat sowie eine ISO-27001-Zertifizierung. Genau das Fundament, auf dem C3A aufbaut. Auch in den Domänen Lieferkettensouveränität (SOV-5) und Technologiesouveränität (SOV-6) sind die Voraussetzungen gegeben: Software-Komponenten werden mit Herkunftsnachweisen geführt, der Source Code und die Deployment-Toolchains liegen auf EU-Infrastruktur und werden dort gesichert.
Das zeigt: Souveränität ist keine Eigenschaft, die man nachträglich hinzufügt. Sie muss in Architektur, Rechtsform und Betrieb von Anfang an angelegt sein. Für Unternehmen, die heute nach einem C3A-fähigen Anbieter suchen, ist daher nicht entscheidend, welche Zertifikate vorliegen, sondern wie tief die Souveränität tatsächlich reicht.
Wer digital souverän sein will, muss zuerst wissen, wovon er abhängig ist. C3A liefert dafür die richtigen Fragen. Anbieter wie Link11 zeigen, dass die Antworten nicht immer offenbleiben müssen.
Das könnte Ihnen auch gefallen:
Es war kurz nach halb zwölf nachts. Auf den Dashboards des Security Operations Centers war alles im grünen Bereich. Erst gab eine Handvoll Anfragen pro Minute, was dem entspricht, was für eine .de-Domain zu dieser Uhrzeit zu erwarten war. Doch dann, innerhalb von fünf Minuten, explodierten die Zahlen: Mehr als 900.000 Anfragen gegen eine einzige API. Was wie ein plötzlicher Angriff aussah, war keiner. Der Angriff hatte schon vorher begonnen – er hatte sich nur Zeit gelassen.
Das Ziel: keine Website, sondern der Kern einer Zahlungsinfrastruktur
Bei DDoS-Angriffen denkt man oft als Erstes an überlastete Websites und blockierte Startseiten. Dieser Angriff zielte jedoch auf die API eines europäischen Finanzdienstleisters, der über die Schnittstelle Transaktionen der Kartenterminals in Echtzeit authentifiziert. Jeder Bezahlvorgang an einem Kassenterminal läuft über genau diese Schnittstelle: Das Terminal sendet eine Anfrage, der Server verifiziert die Anfrage und gibt die Transaktion frei oder lehnt sie ab.
APIs dieser Art sind deutlich sensibler als klassische Webanwendungen. Ein Ausfall bedeutet nicht nur eine unerreichbare Seite, sondern auch gescheiterte Zahlungen. Das lässt vermuten, dass die Wahl dieses Angriffsziels kein Zufall war.
Erfahren Sie mehr über eine einfach zu implementierende und äußerst effektive WAAP-Lösung.
Alles aus einer Hand und auf Wunsch als vollständig verwalteter Service.
Phase eins: Replay-Angriff mit gestohlenen Transaktionsdaten
Was diesen Fall besonders macht, ist der Einstieg. Die Angreifer begannen nicht mit roher Gewalt. Bei einem Replay-Angriff fängt ein Angreifer eine legitime Datenübertragung ab – in diesem Fall Authentifizierungsanfragen aus einem echten Kreditkartentransaktionsflow – und sendet diese anschließend erneut an das Zielsystem. Das System erkennt die Anfragen als valide und verarbeitet sie, da sie strukturell identisch mit echten Transaktionen sind.
Die Angreifer hatten also zuvor reale Anfragen abgefangen und nutzten diese als Vorlage, um massenhaft legitim wirkende Requests zu erzeugen. Für die Schutzsysteme sahen sie aus wie echter Traffic, da sie es technisch gesehen auch waren.
Signaturbasierte Erkennungssysteme, die auf bekannte Angriffsmuster prüfen, haben in diesem Fall nicht angeschlagen, da die Requests keine bekannten Angriffssignaturen trugen. Sie enthielten vermeintlich echte Transaktionsdaten.
Phase zwei: Layer-7-Flut mit einer Session pro IP
Nachdem die initiale Replay-Phase die Abwehr sondiert hatte, verschärfte sich der Angriff mit mehr als 900.000 Anfragen, die ausschließlich diesen einen Endpunkt betrafen. Das Traffic-Muster war so gestaltet, dass es organisch wirkte: Eine Session pro IP-Adresse, verteilt über ein globales Netz aus autonomen Systemen.
Kurz vor dem Peak stiegen Unique Sessions und IP-Adressen auf über 4.000 gleichzeitige Quellen an. Die Bandbreite erreichte einen Spitzenwert im einstelligen Gigabit-Bereich. Keine einzelne Quelle war laut genug, um sofort aufzufallen, doch zusammen erzeugten sie eine Last, die zu Fehlermeldungen führte. Der Server konnte die Anzahl der Anfragen schlicht nicht mehr verarbeiten.
Herkunft: Indonesien, China, Russland – und westliche Infrastruktur als Durchlaufstation
Der Traffic kam überwiegend aus Indonesien, China und Russland, gefolgt von den USA, Brasilien, Kolumbien und mehreren europäischen Ländern. Für eine .de-Domain eines europäischen Finanzdienstleisters gibt es in Indonesien jedoch kaum eine reguläre Kundenbasis. Mitten in der Nacht erfolgte ein Angriff aus geografisch weit gestreuten Quellen auf einen API-Endpunkt für Kartenauthentifizierung.
Auffällig ist auch das ASN-Profil der angreifenden Netzwerke: Darunter befinden sich sowohl große Hosting-Provider und Transit-Netzwerke als auch kleinere autonome Systeme. Ein klassisches Zeichen für ein verteiltes Botnet, das legitime Infrastrukturen als „Durchlaufstation“ nutzt.
Wie die Mitigation griff – und wo die Grenze lag
Die Erkennung erfolgte nicht über Signaturen, sondern über Verhaltenskontrollen. Sobald die Schwellenwerte überschritten wurden, griff die Mitigation. Der entscheidende Faktor war, dass zusätzliche Regeln spezifisch für Kreditkartentransaktionspfade eingerichtet wurden – mit einer Begrenzung eindeutiger Identifikatoren pro Quell-IP. Dadurch wurde die Granularität der Erkennung genau dort erhöht, wo der Angriff am stärksten war.
Was dieser Fall über moderne Angriffsmethodik aussagt
Dieser Angriff ist ein Lehrstück für einen Wandel, der sich in den vergangenen Jahren beschleunigt hat. Das klassische DDoS-Bild, bei dem massiver Flood-Traffic Leitungen verstopft, greift zu kurz. Angreifer, die über gestohlene Transaktionsdaten verfügen und diese als Legitimationsgrundlage für ihre Requests nutzen, agieren auf einer anderen Ebene.
Sie kennen den angegriffenen Dienst. Sie wissen, wie valide Requests aussehen. Und sie sind geduldig genug, um Phase eins – den Replay-Angriff – als Sondierungsangriff zu nutzen, bevor in Phase zwei die Last hochgefahren wird.
Drei Erkenntnisse für IT-Verantwortliche
Für den API-Schutz sind eigene Baseline-Profile erforderlich. Generische Rate-Limits bieten keinen ausreichenden Schutz für transaktionskritische APIs. Ohne Kenntnisse darüber, wie normaler Traffic auf einem spezifischen Endpunkt aussieht – zu welcher Uhrzeit, in welcher Session-Tiefe und aus welchen Regionen –, können Anomalien nicht zuverlässig erkannt werden. Baseline-Monitoring pro Endpunkt ist keine Option, sondern Voraussetzung.
Die signaturbasierte Erkennung allein reicht nicht aus. Dieser Angriff hat keine bekannten Signaturen ausgelöst, da er keine trug. Behavioral Detection, also die Analyse von Verhaltensmustern anstelle von Payload-Signaturen, war der einzige wirksame Mechanismus. Wer ausschließlich auf WAF-Signaturen vertraut, hat gegen Replay-Angriffe mit validen Payloads keine wirksamen Mittel.
Incident Response ist Teamarbeit mit dem Kunden. In diesem Fall war die schnelle Einbindung des Kunden mitentscheidend. Wer Kommunikationswege, Eskalationspfade und gemeinsame Monitoring-Übersichten erst im Angriffsfall abstimmt, verliert wertvolle Zeit.
Manchmal täuscht der Traffic. Die Aufgabe besteht darin, früher zu erkennen, wann dies der Fall ist, und die Werkzeuge so einzurichten, dass sich diese Frage überhaupt stellen lässt.
Sie wollen Ihre Systeme prüfen und Ihre Werkzeuge entsprechend einrichten? Kommen Sie jederzeit gerne auf uns zu und sprechen Sie mit einem unserer Experten.
Das könnte Ihnen auch gefallen:
- plusserver erreicht die höchste Stufe im Link11-Partnerprogramm
- Beide Unternehmen bauen gemeinsame Vertriebs- und Marketingaktivitäten sowie abgestimmte Produkt-Bundles aus – etwa die gemeinsam mit mogenius realisierte „Managed Kubernetes & Security Suite“
- Ziel: souveräne und sichere IT-Infrastruktur inklusive Managed Security aus einer Hand für den deutschen Mittelstand und Enterprise-Sektor
Link11, ein führender europäischer Anbieter von cloudbasierten Cybersicherheitslösungen, und der Cloud-Provider plusserver mit der Digitalisierungsplattform „Made in Germany“ bauen ihre Partnerschaft weiter aus. plusserver erreicht ab sofort den Platinum-Status im Link11-Partnerprogramm. Mit diesem Schritt bündeln beide Unternehmen ihre Kräfte, um ihren Kunden eine durchgängig souveräne und sichere IT-Infrastruktur inklusive Security aus einer Hand anzubieten.
Die Zusammenarbeit zwischen Link11 und plusserver hat sich in den vergangenen Monaten spürbar intensiviert: Gemeinsame Sales-Workshops, abgestimmte Forecasts und Vertriebsstrategien sowie ein enger Austausch auf allen Ebenen haben aus einzelnen Projekten eine strategische Partnerschaft entstehen lassen. „Mit Link11 haben wir einen Partner an unserer Seite, der unser Verständnis von digitaler Souveränität und Sicherheit ‚Made in Germany‘ teilt“, erklärt Dr. Marc Wilczek, CEO von plusserver. „Gemeinsam bieten wir unseren Kunden genau das, was der Mittelstand oder Enterprise-Sektor braucht: Infrastruktur, Security und Service aus einer Hand.“
Die Platinum-Stufe ist die konsequente Weiterentwicklung dieser Zusammenarbeit und unterstreicht den gemeinsamen Anspruch, Unternehmen mit hohen Anforderungen an Datenschutz, Verfügbarkeit und digitale Souveränität ganzheitlich zu unterstützen – DSGVO-konform, zertifiziert und unabhängig von nicht-europäischen Hyperscalern.
Von der Zusammenarbeit zum gemeinsamen Produkt
Die gemeinsam mit dem Kubernetes-Spezialisten mogenius realisierte „Managed Kubernetes & Security Suite“ zeigt, dass aus der vertieften Partnerschaft konkrete Angebote entstehen. plusserver stellt die souveräne, DSGVO-konforme Kubernetes-Infrastruktur bereit, mogenius übernimmt das Cluster-Management und Link11 schützt die Anwendungen mit integrierter WAAP-Security (Web Application Firewall, API Protection, Bot-Management und DDoS-Abwehr) aus einer Hand. Auf dieser Basis wollen plusserver und Link11 künftig weitere Vertriebs- und Marketingaktivitäten sowie zusätzliche Produkt-Bundles gemeinsam vorantreiben.
„Die Platinum-Partnerschaft mit plusserver ist mehr als eine weitere Stufe in unserem Partnerprogramm. Sie ist der Beweis, dass aus enger Zusammenarbeit echte Wertschöpfung für unsere gemeinsamen Kunden entsteht“, sagt Jens-Philipp Jung, CEO von Link11. „Mit Lösungen wie der ‚Managed Kubernetes & Security Suite‘ zeigen wir, wie sich Infrastruktur und Security nahtlos verzahnen lassen. Wir freuen uns darauf, dieses Erfolgsmodell gemeinsam mit plusserver weiter auszubauen.“
Es war ein ganz normaler Morgen. Roland Hambach, der Geschäftsführer der ene’t GmbH, saß beim Frühstück und scrollte durch seine E-Mails. Dann kam die erste mit dem Betreff „DDoS-Attacke“. Dann die zweite. Dann die dritte. Sein erster Instinkt: Spam, löschen. Doch dann schlug die IT-Abteilung gleichzeitig Alarm.
Was folgte, war ein Lehrstück darüber, wie sich Cyberresilienz nicht im Hochglanzprospekt, sondern im echten Stresstest beweist und was andere Unternehmen daraus mitnehmen können.
Die Lage: kein Ausnahmezustand, sondern Normalzustand
Die Zahlen sind eindeutig. Laut der Bitkom-Wirtschaftsschutzstudie haben zahlreiche Unternehmen in den vergangenen zwölf Monaten Cyberangriffe erlebt – und die Tendenz zeigt klar nach oben. Bei Link11 beobachten die Experten in ihrem eigenen Netzwerk jährliche Wachstumsraten bei DDoS-Angriffen. Zuletzt lag der Anstieg im Vergleich zum Vorjahr bei 75 %. Im ersten Quartal 2026 konnten im Link11-Netzwerk bereits mehrfach Attacken beobachtet werden, die an der Terabit-Grenze kratzen. Angriffe dieser Größenordnung galten früher als seltene Ausnahmen, heute gehören die zur Realität.
Was sich verändert hat, ist nicht nur die Menge, sondern auch die Qualität. Angreifer wechseln automatisch zwischen Protokollen, kombinieren Layer-3/4-Angriffe mit Applikationsangriffen und nutzen KI zur Orchestrierung. Die längste Attacke im Link11-Netzwerk im Jahr 2025 dauerte acht Tage am Stück. Acht Tage, in denen Unternehmen ohne Schutz schlicht nicht erreichbar gewesen wären.
Und die Hürde, selbst anzugreifen, ist erschreckend niedrig. DDoS-as-a-Service ist im Netz für wenig Geld zu haben. In Polen wurden dieses Jahr Teenager im Alter von 12 bis 16 Jahren dabei ertappt, solche Dienste anzubieten.
Was wirklich passiert, wenn der Angriff kommt
Die E-Mail, die Roland Hambach an jenem Morgen erhielt, war keine vage Drohung mit Bitcoin-Forderung. Sie war präzise: Zehn von 117 verfügbaren Servern der Angreifer würden nun kurz zeigen, was sie können. Danach würden jeden Tag ohne Zahlung zwei weitere Bitcoins gefordert. Zudem wurde darauf hingewiesen, dass Gegenmaßnahmen oder Verhandlungen sinnlos seien.
Was folgte, war für ein nach ISO 27001 zertifiziertes Unternehmen lehrreich: Der Notfallplan griff, doch die Realität schrieb ihre eigenen Kapitel. Da das Unternehmen auf Voice-over-IP setzt, war auch die Telefonanlage ausgefallen. Die Notfallzentrale wurde daher in die Kantine verlegt, da dies der einzige Raum mit dem passenden Handyempfang war. Und der Weg über LKA, ZAK bis zur Kreispolizeibehörde vor Ort brachte nach sechs Wochen lediglich eine Einstellungsmitteilung.
Die nüchterne Erkenntnis: Technisch und organisatorisch war man auf sich allein gestellt. Das ist keine Kritik, sondern die Realität, mit der Unternehmen heute planen müssen.
Zahlen oder nicht zahlen?
Natürlich stand diese Frage im Raum. Zahlt man, ist die Sache zumindest bis zum nächsten Mal erledigt. Denn wer einmal zahlt, landet auf Listen. Wer auf diesen Listen steht, wird wieder zum Ziel. Bei einer Wahrscheinlichkeit von über 70 Prozent, nach einem initialen Angriff erneut angegriffen zu werden, ist Zahlen keine Lösung, sondern ein Abonnement.
Die ene’t GmbH entschied sich gegen die Zahlung. Der Angriff dauerte, wie angekündigt, nur einen halben Tag. Das war Glück und gleichzeitig die Einladung, die Woche Aufschub zu nutzen, um echten Schutz aufzubauen.
Was man in der Ruhe nach dem Sturm lernt
Die wichtigsten Erkenntnisse aus dem Angriff auf ene’t sind keine bahnbrechenden technischen Neuerungen. Es sind strukturelle Einsichten, die jedes Unternehmen betreffen.
Anomalien müssen frühzeitig ernst genommen werden. Monate vor dem Angriff brachen VPN-Tunnel grundlos zusammen und es gab unerklärliche Peaks in der Firewall. Damals führte man dies auf Firmware-Probleme zurück. Heute würde man anders reagieren. Wer sein normales Traffic-Profil nicht kennt, kann Abweichungen nicht erkennen. Wer Abweichungen nicht erkennt, dem entgeht die Reconnaissance-Phase eines Angriffs.
DDoS-Schutz ist keine Funktion, die man nebenbei einkauft. Eine Basis-DDoS-Protection über den Service Provider war vorhanden, doch sie war dem Angriff schlicht nicht gewachsen. Ein Schutz in dieser Größenordnung lässt sich nicht immer selbst stemmen. Er erfordert Infrastruktur, Kapazität und Expertise, über die dedizierte Anbieter verfügen.
Im Krisenfall wird Kommunikation wichtiger als Technik. Kunden, Partner, Mitarbeitende und Gesellschafter müssen alle transparent informiert werden. Kein Unternehmen verliert heute Vertrauen, nur weil es Opfer eines Cyberangriffs wurde. Es verliert Vertrauen, wenn es verschweigt, was passiert ist.
Was das für Ihre Schutzstrategie bedeutet
Link11 schützt Unternehmen wie die ene’t GmbH über ein vollständig cloudbasiertes Netzwerk, ohne dass On-Premise-Hardware erforderlich ist oder Kompromisse bei der Kapazität gemacht werden müssen. Mit über 40 PoPs weltweit wird der gesamte eingehende Traffic über das Link11-Netzwerk geleitet und gefiltert, bevor er die kundenseitige Infrastruktur überhaupt erreicht.
Erfahren Sie mehr über eine einfach zu implementierende und äußerst effektive WAAP-Lösung.
Alles aus einer Hand und auf Wunsch als vollständig verwalteter Service.
Roland Hambach fasst es pragmatisch zusammen: „Das ist wie der Türsteher an der Diskothek. Inzwischen steht da nicht nur einer, sondern eher vier.“ Und wer sichtbar geschützt ist, wird schlicht seltener angegriffen, da Angreifer die Erfolgsaussichten kennen.
Zusätzlich zur DDoS-Mitigation bietet Link11 mit der WAAP-Plattform einen integrierten Schutz, der DDoS-Abwehr, Web Application Firewall, Bot Management und API Protection kombiniert. Für Unternehmen, die bereits bestehende On-Premise-Lösungen betreiben, lassen sich beide Ansätze als hybride Schutzarchitektur verbinden.
Drei Sätze, die bleiben
Abschließend lassen sich drei Empfehlungen aus dem Gespräch mit Roland Hambach zusammenfassen, die kaum ein Unternehmensberater besser formulieren könnte.
Es ist keine Frage, ob man angegriffen wird, sondern nur wann. Wenn es passiert, ist offene Kommunikation nach innen und außen die wichtigste Maßnahme. Danach sollte man mit anderen Unternehmen reden, Erfahrungen teilen und nicht schweigen.
DDoS-Angriffe sind kein Thema für die IT-Abteilung allein. Sie sind eine Frage der Unternehmensführung. Wer heute noch keinen Notfallplan hat, der wirklich getestet wurde – und nicht nur dokumentiert –, hat eine Lücke, die Angreifer ausnutzen können, auch wenn die eigene Risikoeinschätzung eine andere ist.
Das könnte Ihnen auch gefallen:
DDoS-Angriffe nehmen sowohl an Intensität als auch an Präzision rapide zu. Sie sind mittlerweile kürzer, gezielter und werden zunehmend durch künstliche Intelligenz generiert.
Link11 Network DDoS Protection war seit jeher ein starker und verlässlicher Standard für Unternehmen, die ihre Netzwerkinfrastruktur absichern möchten. Doch die Anforderungen moderner Unternehmensnetzwerke haben sich verändert. Angreifer verfeinern ihre Strategien kontinuierlich. Und das Letzte, was Ihr Team braucht, ist der Druck, mitten in einem laufenden Angriff ständig neu justieren zu müssen.
Deshalb haben wir als direkte Antwort auf die sich wandelnden Mitigation-Anforderungen moderner Unternehmensumgebungen unser Angebot für Network DDoS Protection deutlich weiterentwickelt.
Dieser Artikel zeigt auf, was sich in der DDoS-Bedrohungslandschaft verändert hat und was diese Veränderungen für Ihre Schutzstrategie bedeuten.
Dual-Stack-Schutz: Abdeckung von IPv4 und IPv6
Mit der wachsenden Verbreitung von IPv6 operieren moderne Umgebungen zunehmend über IPv4- und IPv6-Netzwerke hinweg. Diese Flexibilität wird von unseren Kunden zwar sehr geschätzt, sie verändert jedoch die Schutzanforderungen. Wenn IPv6-Traffic erreichbar ist, aber nicht mit der gleichen Präzision wie IPv4 geschützt wird, können Angreifer diese Lücke nutzen, um Abwehrmechanismen zu umgehen und Dienste zu stören.
Die neue Generation von Link11 Network DDoS Protection schließt diese Lücke vollständig. Unternehmen müssen Ihre IPv6-Infrastruktur nicht mehr separat absichern oder mit unterschiedlichen Schutzstufen arbeiten. Ihr gesamtes Netzwerk wird mit derselben Erkennungstiefe, Mitigation-Geschwindigkeit und Kapazität geschützt, unabhängig davon, ob ein Angriff auf IPv4 oder IPv6 abzielt.
Erfahren Sie, wie die neue Network DDoS Protection Sie noch effektiver schützt
Schnellere Mitigation, IPv6-Parität, mehr Transparenz und deutlich weniger manueller Aufwand.
Adaptive Mitigation: Jeder Angriffsvektor erhält seine eigene Antwort
Herkömmliche DDoS-Mitigation beginnt häufig mit einer einfachen Prämisse: ungewöhnlichen Traffic erkennen, einen Alarm auslösen und eine breit angelegte Mitigation-Maßnahme anwenden.
Dieser Ansatz wehrt zwar Angriffe ab, mangelt jedoch häufig an Präzision, wenn es darum geht, sich rasch entwickelnde Angriffe abzuwehren. Wenn zudem zu weitreichende Abwehrmaßnahmen ergriffen werden, kann neben dem bösartigen Datenverkehr auch legitimer Datenverkehr beeinträchtigt werden. Dies kann für Unternehmen zu schwerwiegenden Reputationsschäden sowie zu Umsatzverlusten führen.
Die nächste Generation von Link11 Network Protection verfolgt einen anderen Ansatz. Ihre adaptive Mitigation-Engine analysiert jeden einzelnen Angriffsvektor und entwickelt eine gezielte Antwort auf den Angriff. Volumetrische Angriffe werden getrennt von protokollbasierten Angriffen oder Amplification-Vektoren behandelt.
Das bedeutet eine deutlich höhere Präzision bei der Mitigation selbst komplexester Angriffe und weniger False Positives. Legitimer Traffic bleibt unbeeinträchtigt und online.
Bis zu dreimal schnellere Mitigation: unter 3 Sekunden
Wenn eine DDoS-Attacke beginnt, zählt jede Sekunde. Selbst ein kurzer Ausbruch von schädlichem Traffic kann zu sichtbaren Störungen führen, wenn er kritische Dienste, Anwendungspfade oder kundenorientierte Infrastruktur überlastet.
Das bisherige System erreichte bereits starke Mitigation-Zeiten von unter 10 Sekunden. Die neue Generation reduziert dieses Mitigation-Fenster auf unter 3 Sekunden. Das ist bis zu dreimal schneller als zuvor.
In der Praxis bedeutet das, dass Angriffe deutlich früher erkannt und mitigiert werden, wodurch die Wahrscheinlichkeit spürbarer Störungen für Ihre Nutzer sinkt. Das Ergebnis ist nicht nur schnellerer Schutz, sondern auch eine stärkere Servicekontinuität, wenn Verfügbarkeit am wichtigsten ist.
Mehr Transparenz: In Echtzeit sehen, was geschieht und handeln
Schutz, den Sie nicht nachvollziehen können, ist schwer zu vertrauen. Effektive DDoS-Mitigation sollte nicht wie eine Blackbox funktionieren. Sie sollte Ihrem Team Einblick geben, was geschieht, warum Maßnahmen ergriffen werden und wie Ihre Dienste geschützt werden.
Bisher wurden Angriffe zunächst mitigiert, die Dokumentation folgte anschließend in Form von Incident-Zusammenfassungen. Für viele Szenarien war das ausreichend. Doch wenn Ihr Team einen Vorfall gegenüber dem Management erläutern, Compliance-Anforderungen erfüllen oder verstehen muss, wie sich ein Angriff entwickelt hat, reichen Incident-Berichte allein nicht aus.
Die neue Link11 Network DDoS Protection gibt Ihnen Echtzeit-Einblick während eines Angriffs. Sie sehen, was blockiert wird, warum es blockiert wird und welche Dienste verfügbar bleiben. Ergänzt wird dies durch umfassende Post-Attack-Berichte, die Incident-Daten in handlungsrelevante Erkenntnisse verwandeln.
Ihr Security-Team kann schneller reagieren. Compliance-Dokumentation wird einfacher. Und das Vertrauen in Ihre Schutzinfrastruktur wächst, weil Ihr Team genau nachvollziehen kann, was geschieht, während Ihre Dienste geschützt werden.
Weniger manueller Aufwand: Schutz, der sich kontinuierlich anpasst
DDoS-Schutz kann sich nicht allein auf eine statische Konfiguration verlassen. Angriffsmuster entwickeln sich weiter, legitimer Traffic verändert sich im Laufe der Zeit, und geschäftskritische Dienste verhalten sich unter Last oft unterschiedlich. Ein Mitigation-System, das sich nicht an diese Veränderungen anpasst, kann mit der Zeit ungenauer und schwieriger zu betreiben werden.
Die bisherige Version bot durch ihre Auto-Learning-Fähigkeiten bereits eine starke Grundlage. Dennoch erforderte die Aufrechterhaltung einer effektiven Erkennung regelmäßiges manuelles Tuning, um die Schutzparameter mit dem Traffic-Profil des Kunden in Einklang zu halten.
Die nächste Generation des DDoS-Schutzes reduziert diesen operativen Aufwand erheblich. Die proaktive und für die KI-Epoche entwickelte Mitigations-Engine analysiert das Traffic-Verhalten kontinuierlich und passt die Schutzlogik mit deutlich weniger manuellem Eingreifen durch das Team des Kunden an.
Dies verringert den täglichen Betriebsaufwand und den manuellen Einstellungsaufwand, senkt das Risiko veralteter Konfigurationen während aktiver Angriffe und ermöglicht es den Sicherheitsteams, sich auf Verfügbarkeit, Ausfallsicherheit und die Reaktion auf Vorfälle zu konzentrieren, anstatt ständig die Einstellungen zur Abwehrmaßnahmen neu anzupassen.
Was bleibt gleich?
An der Art und Weise, wie Sie den Service nutzen, ändert sich nichts.
Ihr bestehendes Setup, Ihre Onboarding-Methode, Ihr Betriebsmodus und Ihre grundlegende Service-Architektur bleiben unverändert. Sie können sich weiterhin auf dieselbe globale Mitigation-Kapazität, die Deployment-Modelle Always-on, On-demand oder hybrid sowie den DSGVO-konformen Betrieb verlassen.
Das Upgrade verbessert die Schutz-Engine hinter dem Service. Es erfordert nicht, dass Sie überdenken, wie der Service bereitgestellt oder betrieben wird.
Für wen wurde diese Weiterentwicklung gebaut?
Die neue Generation von Link11 Network DDoS Protection wurde für Unternehmen entwickelt, die:
- komplexe Angriffsvektoren bewältigen müssen, die längst über reine Volumetrik hinausgehen.
- maximale Verfügbarkeit als geschäftskritische Anforderung definieren und keine einzige Sekunde Ausfallzeit tolerieren können.
- Transparenz und Nachvollziehbarkeit benötigen – für interne Teams, das Management und die Compliance.
- den operativen Aufwand reduzieren möchten, ohne Kompromisse bei der Schutzqualität einzugehen.
- Dual-Stack-Netzwerke betreiben und sowohl IPv4- als auch IPv6-Schutz benötigen.
Kurz gesagt: für alle, die ihre Infrastruktur nicht nur absichern, sondern vollständig verstehen und kontrollieren möchten.
Fazit
Angreifer entwickeln sich ständig weiter und das sollten die Tools, auf die Sie sich verlassen, ebenfalls tun. Die Netzwerk-DDoS-Schutzlösung der nächsten Generation von Link11 bietet nun volle IPv6-Unterstützung, adaptive Abwehrmaßnahmen auf Vektorebene, dreimal schnellere Reaktionszeiten, vollständige Echtzeit-Transparenz und einen deutlich geringeren Betriebsaufwand. All dies basiert auf der bewährten, datensouveränen und ausfallsicheren Infrastruktur, der Sie bereits vertrauen.
Wenn Sie sehen möchten, was das für Ihre spezifische Umgebung bedeutet, nehmen Sie Kontakt mit uns auf. Wir zeigen Ihnen, wie die neue Generation in Ihrer Infrastruktur funktioniert.
Next-Gen Network DDoS Protection Vergleich
Wenn starker DDoS-Schutz
noch besser wird
Schnellere Mitigation, IPv6-Parität, bessere Transparenz und deutlich weniger manueller Aufwand.
Alle verfügbaren Mitigationen werden gleichzeitig aktiviert, unabhängig von der Angriffsart.
Wendet gezielte Mitigation mit höherer Präzision an, unterscheidet legitimen von illegitimem Traffic und blockiert nur das Nötige.
Die Erkennung beruhte auf statischer, kundenspezifischer Konfiguration und erforderte regelmäßiges manuelles Nachjustieren.
Nutzt verhaltensbasierte Erkennung, die aus Live-Traffic-Mustern lernt, sich kontinuierlich verbessert und so False-Positives reduziert.
Eingeschränkter Einblick in einzelne Angriffs- und Mitigation-Ereignisse.
Bietet vollständige Sichtbarkeit über jedes Angriffs- und Mitigation-Ereignis durch Echtzeit-Logs, Reason-Codes und Dashboard-Reporting.
Unter 10 Sekunden.
Unter 3 Sekunden – verkürzt das Zeitfenster für Angreifer und beschleunigt den Schutz.
Unterstützte nur IPv4.
Volle Abdeckung von IPv4 und IPv6 für durchgängigen Schutz in modernen Umgebungen.
Mehr manuelles Nachjustieren und laufende Anpassungen erforderlich.
Reduziert manuelle Eingriffe durch intelligentere Automatisierung und präzisere Entscheidungen.
Das könnte Ihnen auch gefallen:
Die DDoS-Angriffe von heute sind nicht mehr nur simple Volumen- oder Protokollattacken. Sie stammen aus legitimen Netzen, ahmen echten Traffic nach und treten in Form kurzer, intensiver Peaks auf, sodass Sicherheitsteams kaum Zeit für manuelle Gegenmaßnahmen bleiben. Link11 hat seine DDoS-Abwehrlösung für Layer 3 und 4 von Grund auf neu entwickelt.
Die Next-Gen Network DDoS Protection ist bereit für die KI-Era und kombiniert proaktiven Schutz und verhaltensbasierte Erkennung mit vollständiger IPv4- und IPv6-Abdeckung für moderne Infrastrukturen. Dies stellt einen bedeutenden architektonischen Wandel bei der DDoS-Erkennung und -Abwehr dar, der durch einen höheren Automatisierungsgrad und eine geringere Abhängigkeit von manuellen Anpassungen gekennzeichnet ist.
Die Plattform ist vollständig auf europäische Datensouveränität ausgelegt – architektonisch verankert, nicht nachträglich aufgesetzt. Denn sie läuft auf der eigenen Cloud-Infrastruktur von Link11 und die Sicherheitsdaten werden in Europa gehostet. Dadurch können Unternehmen die Kontrolle über ihre Daten behalten, Rechtsunsicherheiten verringern und ihre Abhängigkeit von außereuropäischen Cloud-Anbietern begrenzen.
Verhaltensbasiert, präzise und vollständig transparent
Bisherige Lösungen stützten sich oft auf starre Regelsysteme und statische Schwellenwerte. Dieser Ansatz war zwar gegen volumetrische Angriffe wirksam, reicht aber angesichts der heutigen KI-gesteuerten, adaptiven Angriffsmuster nicht mehr aus. Deshalb hat Link11 die Architektur nicht überarbeitet, sondern sie von Grund auf neu entwickelt – basierend auf Erkenntnissen aus mehr als einer Million bisher abgewehrter DDoS-Attacken und Deep Training.
„DDoS-Angriffe werden heute zunehmend mithilfe von KI generiert, sie sind präzise und darauf ausgelegt, klassische Erkennungslogik zu überlisten. Wir sehen diese Produktversion nach über 12-monatiger Entwicklungs- und Testphase nicht als Update, sondern als Runderneuerung: eine Plattform, die mit der aktuellen Bedrohungslage Schritt hält und auch zukünftigen Anforderungen gerecht wird“, sagt Jens-Philipp Jung, CEO von Link11. „Jeder, der eine Infrastruktur schützt, braucht eine Lösung, die selbstständig mitdenkt, statt einer, die nachjustiert werden muss.”
Mit der Next-Gen Network DDoS Protection geht Link11 über die klassische Verhaltensanalyse hinaus. Jeder Angriffsvektor wird einzeln behandelt. Statt einer pauschalen Reaktion auf volumetrische Angriffe, Protokollattacken oder Amplification-Vektoren werden gezielte Gegenmaßnahmen initiiert. Das senkt die Anzahl der Fehlalarme deutlich und beschleunigt die vorher schon bahnbrechende Mitigation von unter 10 Sekunden für unbekannte Vektoren auf jetzt unter drei Sekunden. Dies ist eine der zahlreichen Verbesserungen zur bisherigen Network DDoS Protection von Link11. Bekannte Vektoren werden wie bisher in nahezu Echtzeit mitigiert.
Darüber hinaus sehen Sicherheitsteams während eines Angriffs direkt, was blockiert wird und warum, und welche Services währenddessen verfügbar bleiben. Unternehmen können somit ihre Verfügbarkeit, Kundenzugänge sowie Umsatz- und Geschäftskontinuität sicherstellen.
Robuster Schutz für moderne Infrastrukturen
Die neue Lösung ist dank modernster Technologie von Beginn an konsequent auf Anwenderfreundlichkeit ausgerichtet. Mittels Echtzeit-Protokollen, Reason Codes und einem neuen Dashboard erhalten Sicherheitsteams detaillierte Einblicke in den Verlauf von Angriffen sowie in die angewendeten Abwehrmaßnahmen. Sie sehen auch, warum bestimmter Datenverkehr blockiert oder zugelassen wird. „Bei der Entwicklung dieser neuen Lösung hat uns ein Gedanke geleitet: Resilienz ist keine technische Kennzahl, sondern ein geschäftliches Versprechen. Next-Gen Network DDoS Protection wurde entwickelt, um Anwendern dabei zu helfen, dieses Versprechen einzuhalten“, erklärt Marc Lamik, CPO von Link11.
Da die Plattform kontinuierlich aus Live-Traffic-Mustern lernt und ihre Erkennungslogik laufend selbst anpasst, wird der Bedarf an manueller Feinabstimmung erheblich reduziert. SOC-Teams müssen seltener eingreifen, da das System präzisere Entscheidungen trifft. Die Network DDoS Protection bietet vollständige Parität zwischen IPv4 und IPv6. Dies ist ein entscheidender Faktor in modernen Infrastrukturen, in denen Dual-Stack längst zum Standard geworden ist.
Für bestehende Kunden bedeutet der Versionswechsel keinen Konfigurationsaufwand. Die Migration ist ein interner Routing-Wechsel ohne Downtime. Baselines und Konfigurationen bleiben erhalten, der Wechsel erfolgt ohne Unterbrechung des Schutzes.
Next-Gen Network DDoS Protection ist ab sofort verfügbar – für bestehende Kunden ebenso wie für Unternehmen, die neu auf Link11 setzen.