Thought Leadership
Weniger DDoS-Angriffe, aber deutlich härtere Treffer: Warum sinkende Zahlen 2026 trügen und Unternehmen trotzdem gefährdet sind.
Stellen Sie sich vor, Ihr Security-Dashboard würde zum Halbjahresende eine gute Nachricht melden: 42 Prozent weniger DDoS-Angriffe als im Vorjahreszeitraum. Die erste Reaktion vieler IT-Verantwortlicher wäre Erleichterung. Der neue European Cyber Report von Link11 zeigt jedoch: Genau diese Reaktion wäre ein teurer Fehler. Der Kontext macht dies noch deutlicher. Laut dem aktuellen Allianz Risk Barometer sind Cybervorfälle bereits das fünfte Jahr in Folge das wichtigste Geschäftsrisiko weltweit – mit größerem Abstand zu Platz zwei als je zuvor. Wer in diesem Zusammenhang eine sinkende Angriffszahl als Entspannungssignal deutet, verwechselt Statistik mit Sicherheit.
Die Rechnung, die nicht aufgeht
Während die Zahl der Angriffe im Link11-Netzwerk sank, erreichten einzelne Attacken im ersten Halbjahr 2026 neue Rekordwerte. Die stärkste gemessene Bandbreite kletterte von 1,2 auf 2,3 Tbit/s – ein Plus von 85 Prozent. Die maximale Paketrate stieg von 207 auf 322 Millionen Pakete pro Sekunde (+56 %), das insgesamt abgewehrte Datenvolumen von 438 auf 705 Terabyte (+61 %), obwohl die Zahl der Einzelangriffe deutlich zurückging. Was auf den ersten Blick wie ein Widerspruch wirkt, ist in Wahrheit eine Verschiebung. Die Bedrohung hat sich nicht abgeschwächt. Sie hat sich lediglich verlagert – von der Fläche in die Spitze.
Wer heute angreift, hat mehr PS unter der Haube
Die Erklärung liegt in der Infrastruktur der Angreifer. IoT-Botnetze aus gekaperten Routern, Kameras und Android-Geräten, wie etwa Aisuru und dessen Nachfolger Kimwolf, lösten im Dezember 2025 mit 31,4 Tbit/s den bis dahin größten öffentlich bekannten DDoS-Angriff aus. Im ersten Halbjahr 2026 überschritten bereits fünf Angriffe im Link11-Netzwerk die Terabit-Schwelle. Selbst die internationale Zerschlagung dieser Netzwerke im März 2026 unterbrach den Trend nur kurz, da innerhalb weniger Wochen neue, technisch raffiniertere Varianten die Lücke füllten.
Hinzu kommt eine zweite, wachsende Angriffsquelle: gehackte virtuelle Server bei Cloud- und Hosting-Anbietern. Ein einzelner kompromittierter Server im Rechenzentrum liefert mehr Bandbreite als tausend private Endgeräte zusammen. Für Angreifer bedeutet das: weniger Aufwand, mehr Wirkung.
Sprint und Marathon, gleichzeitig
Auch beim Timing zeigt sich eine Verschiebung. So hat sich der Anteil von Angriffen mit einer Dauer von unter zwei Minuten im ersten Halbjahr 2026 nahezu verdoppelt – von 16 auf 31 Prozent. Diese Mikro-Angriffe entfalten innerhalb weniger Sekunden Wirkung und verlassen sich anschließend auf automatisierte Fehlerquellen, die einen Dienst offline halten.
Gleichzeitig bestehen die mehrtägigen Marathon-Kampagnen fort. Der längste dokumentierte Angriff des ersten Halbjahres dauerte rund sechs Tage. Es sind zwei gegensätzliche Taktiken mit einem gemeinsamen Nenner: Beide beinhalten heute weniger Vorlaufzeit und mehr Präzision als noch vor zwei Jahren.
Einmal ist nicht genug
Die vielleicht am meisten unterschätzte Erkenntnis des Reports betrifft nicht die Angriffe selbst, sondern deren Wiederholung. Wer einmal ins Visier gerät, hat schlechte Karten, dass es dabei bleibt. So schafften es nach Abschluss einer Angriffswelle im ersten Halbjahr 2026 nur noch 44 Prozent der betroffenen Kunden, 30 Tage lang angriffsfrei zu bleiben – im Vorjahr waren es noch 54 Prozent.
Was das für die Reaktion bedeutet
Diese Verschiebungen – größer, präziser und wiederkehrend – stellen klassische Abwehrkonzepte infrage. Wer DDoS-Schutz noch immer als reine Bandbreitenfrage versteht, verteidigt sich gegen Angriffe von vorgestern. Wer erst reagiert, wenn ein Angriff bereits läuft, hat in einer Welt von Sekunden-Attacken oft schon verloren, bevor ein Mensch überhaupt eingreifen konnte.
Heute ist entscheidend, verdächtigen Traffic in Echtzeit zu erkennen und automatisiert zu reagieren – und dabei zuverlässig zwischen einem harmlosen Traffic-Peak und einem gezielten Angriff zu unterscheiden, ohne legitime Nutzer auszusperren. Genau diese Unterscheidung wird angesichts cloud-nativer Angriffsinfrastrukturen und immer besser getarnten Bot-Traffics zur eigentlichen Herausforderung der kommenden Jahre. Wer sie heute löst, verschafft sich einen Vorsprung, den er morgen brauchen wird.
Der Blick hinter die Zahlen
Der vollständige „European Cyber Report“ von Link11 liefert die Daten, Hintergründe und Praxisfälle zu diesen Entwicklungen – von neuen Rekordwerten bis hin zu konkreten Angriffsmustern aus dem Security Operations Center. Denn eines zeigt der Report deutlich: Um die Bedrohungslage von heute zu verstehen, muss man aufhören, sie an der Zahl von gestern zu messen.
