DDoS-Angriffe werden kleiner – und stellen Unternehmen vor neue Herausforderungen

DDoS-Angriffe nehmen weiter zu, gleichzeitig verändern KI-Crawler und andere automatisierte Bots die Lastprofile moderner Web-Infrastrukturen. Warum Unternehmen ungewöhnlichen Traffic neu bewerten müssen und welche Konsequenzen das für Betrieb und Resilienz hat.

Wann wird ungewöhnlicher Traffic zum Sicherheitsvorfall? Diese Frage lässt sich heute deutlich schwieriger beantworten als noch vor wenigen Jahren. Distributed-Denial-of-Service-Angriffe (DDoS) bleiben zwar eine der größten Herausforderungen für den Betrieb von Web-Infrastrukturen. Doch nicht jede erhöhte Last geht heute auf einen klassischen Überlastungsangriff zurück. Für IT-Teams wird es deshalb immer anspruchsvoller, auffälligen Traffic schnell und richtig einzuordnen.

Das Bundeskriminalamt (BKA) beschreibt diese Entwicklung in seinem Bundeslagebild Cybercrime 2025 anhand aktueller DDoS-Trends. Die Betriebspraxis zeigt jedoch, dass sich ungewöhnlicher Traffic heute nicht mehr allein anhand klassischer Angriffsmuster bewerten lässt.

DDoS bleibt eine wachsende Herausforderung

Auch 2025 stuft das BKA DDoS-Angriffe weiterhin als zunehmende Bedrohung für Unternehmen und Behörden ein. Nach Angaben der Deutschen Telekom wurden im vergangenen Jahr 36.706 DDoS-Angriffe auf Ziele im eigenen Netz registriert – rund 25 Prozent mehr als 2024. Damit setzt sich der Anstieg der vergangenen Jahre fort.

Verändert haben sich jedoch Art und Verlauf der Angriffe. Laut dem Bundeslagebild sank die durchschnittliche Bandbreite auf 705 MBit/s (- 41 Prozent), die durchschnittliche Angriffsdauer auf 41 Minuten (-15 Prozent). Das BKA bewertet diese Entwicklung jedoch ausdrücklich nicht als Zeichen einer nachlassenden Gefährdung. Vielmehr deuten die Daten darauf hin, dass Angriffe häufiger auftreten, gleichzeitig aber mit geringerer Bandbreite und innerhalb kürzerer Zeit ihre Wirkung entfalten können.

Hinzu kommt, dass der Einsatz von KI die Einstiegshürden für Angreifer senkt. Automatisierte Unterstützung bei der Erstellung von Skripten oder Angriffsmustern erleichtert es auch weniger erfahrenen Akteuren, DDoS-Angriffe vorzubereiten und durchzuführen.

Für Unternehmen verändert sich dadurch die operative Ausgangslage. Im Fokus stehen nicht mehr ausschließlich einzelne, lang andauernde Großangriffe, sondern eine größere Zahl dynamischer Vorfälle, die schneller erkannt, eingeordnet und abgewehrt werden müssen. DDoS-Schutz bleibt damit eine zentrale Voraussetzung für einen resilienten IT-Betrieb.

KI-Crawler und automatisierte Zugriffe verändern den Infrastruktur-Betrieb

Genau an dieser Stelle reicht der Blick auf klassische DDoS-Angriffe allein jedoch nicht mehr aus. Das BKA weist zudem darauf hin, dass leistungsfähigere Botnetze sowie der wachsende Einsatz von Automatisierung und KI das Bedrohungspotenzial zusätzlich erhöhen. Diese Entwicklung zeigt sich auch im laufenden Betrieb von Web-Infrastrukturen: Automatisierte Zugriffe durch KI-Crawler verschiedener Anbieter nehmen spürbar zu und verändern die Lastprofile von Anwendungen.

Während klassische DDoS-Angriffe darauf abzielen, Systeme gezielt zu überlasten oder ihre Verfügbarkeit einzuschränken, verfolgen KI-Crawler und andere automatisierte Bots meist andere Zwecke – etwa das Erfassen von Webinhalten für KI-Modelle oder die Analyse öffentlich zugänglicher Informationen. Dennoch können auch diese Zugriffe die Infrastruktur spürbar belasten, insbesondere wenn sie innerhalb kurzer Zeit eine große Zahl an Anfragen erzeugen, oder ressourcenintensive Anwendungen und APIs ansteuern.

Anders als bei klassischen DDoS-Angriffen entstehen dabei häufig keine langanhaltenden Überlastungssituationen. Stattdessen führen kurzfristige Lastspitzen – abhängig von Architektur und Dimensionierung der jeweiligen Umgebung – zu erhöhten Antwortzeiten oder einer beeinträchtigten Nutzererfahrung.

Was das für Monitoring und Betrieb bedeutet

Damit verändert sich auch die zentrale Fragestellung im Infrastruktur-Betrieb. Ging es bislang vor allem darum, Angriffe möglichst schnell zu erkennen und abzuwehren, rückt heute verstärkt die Bewertung automatisierter Zugriffe in den Mittelpunkt. Nicht jeder Bot ist unerwünscht, und nicht jede Lastspitze stellt einen Sicherheitsvorfall dar. Entscheidend ist vielmehr, automatisierten Traffic zuverlässig einordnen und zwischen legitimen sowie potenziell problematischen Zugriffen unterscheiden zu können.

Dafür reicht eine einzelne Schutzmaßnahme nicht aus. Gefragt ist vielmehr ein Zusammenspiel verschiedener, kontinuierlich nachjustierter Mechanismen: Rate-Limiting-Regeln dämmen auffällige Zugriffsmuster frühzeitig ein und müssen dafür regelmäßig angepasst werden, Caching-Konzepte fangen wiederkehrende Anfragen effizient ab und entlasten so Backend-Systeme, und TLS-Fingerprinting erleichtert die Erkennung von Botnetzen. An besonders sensiblen Anwendungen oder APIs unterstützen Bot-Protection-Lösungen dabei, ressourcenintensive automatisierte Zugriffe gezielt zu kontrollieren. Parallel dazu sollten Webanwendungen und die zugrunde liegende Infrastruktur kontinuierlich optimiert werden – etwa durch effizientere Anwendungen oder den gezielten Ausbau von Infrastrukturressourcen –, um veränderte Lastprofile zuverlässig bewältigen zu können.

Ebenso wichtig ist ein detailliertes Verständnis des Datenverkehrs. Die Analyse von Request-Mustern bildet die Grundlage, um legitime Bots von unerwünschten oder auffälligen Zugriffen unterscheiden zu können. Gleichzeitig müssen Schutzmechanismen wie Web Application Firewalls (WAF) und Traffic-Management-Regeln kontinuierlich überprüft und an neue Bot- und Crawling-Verhalten angepasst werden.

Neben technischen Schutzmechanismen ist auch deren Einbettung in ein ganzheitliches Sicherheitskonzept entscheidend. DDoS-Schutz allein reicht jedoch nicht aus. Erkennt ein Security Operations Center (SOC) DDoS-Angriffe als Teil komplexerer Angriffsmuster, lassen sich Vorfälle schneller einordnen und geeignete Gegenmaßnahmen koordinieren. Entscheidend ist daher das enge Zusammenspiel von DDoS-Schutz, Monitoring und den beteiligten IT-Teams, um Webanwendungen langfristig resilient und zukunftssicher aufzustellen.

Gerade bei dynamischen Webanwendungen und API-basierten Diensten werden die intelligente Steuerung automatisierter Zugriffe und eine bedarfsgerechte Bereitstellung von Infrastrukturressourcen zu entscheidenden Faktoren für einen stabilen und leistungsfähigen Betrieb.

Mehr als DDoS-Schutz

DDoS-Angriffe bleiben ein zentraler Bestandteil der Cyberbedrohung. Doch die eigentliche Herausforderung für Unternehmen liegt heute vor allem darin, automatisierten Traffic zuverlässig zu bewerten. Operative Resilienz entsteht nicht mehr nur durch die Abwehr einzelner Angriffe, sondern durch die Fähigkeit, unterschiedlichste Lastmuster kontinuierlich zu verstehen und zu steuern. Genau darin wird künftig der Unterschied zwischen einer reaktiven und einer resilienten IT-Infrastruktur liegen.