DDoS-Angriffe und Projekt Fénix

Sicher ist es Ihnen schon einmal passiert, dass Sie eine bestimmte Website nicht aufrufen konnten, oder Sie haben davon gehört, dass einige Webseiten durch einen sogenannten DDoS-Angriff außer Betrieb gesetzt wurden. Doch was sind DDoS-Angriffe eigentlich, wer steckt meist dahinter und warum werden sie durchgeführt?

Schon der Name verrät, wie sich ein solcher DDoS-Angriff auswirkt. Es handelt sich um eine Abkürzung für den englischen Begriff „Denial of Service“, also Dienstverweigerung. Wird ein Server angegriffen, reagiert die Website nicht mehr und kann ihre Dienste nicht mehr anbieten. Das erste „D“ im Namen steht für „Distributed“ – das bedeutet, dass der Angriff von einer größeren Anzahl von Nutzern gleichzeitig ausgeführt wird.

Wenn sich eine Gruppe von Tätern entschließt, einen Server anzugreifen, vereinbart sie, die betreffende Website im selben Moment aufzurufen. Für DDoS-Angriffe können aber auch unzureichend gesicherte Computer ahnungsloser Nutzer missbraucht werden. Solche Computer sind oft schon vorab mit Schadsoftware infiziert – meist mit einem sogenannten „Backdoor“. Dabei handelt es sich um Malware, die ein normaler Nutzer nur schwer erkennt. Bei Verdacht auf eine Infektion achten Sie auf Anzeichen wie eine geringere Prozessorleistung, einen verschlechterten Internetzugang oder auffälliges Verhalten von Anwendungen. Eine hundertprozentige Gewissheit bietet aber immer nur die Beratung durch einen IT-Fachmann. Die grundlegende Voraussetzung für Sicherheit bleibt jedoch ein gesicherter Computer und ein aktuelles Antivirenprogramm.

Bemerkenswert ist, dass sich besonders in diesem Jahr DDoS-Angriffe als Trend etabliert haben, die von großen Botnetzen ausgehen, die aus verwundbaren IoT-Geräten (Internet of Things) bestehen. Eine Kamera mit Standardeinstellungen ins Heimnetz zu hängen ist, als würde man mit Honig bestrichen in den Wald zu den Bären gehen.

Überlastung des Servers durch Anfragen der Angreifer

Server sind auf die erwartete Last ausgelegt. Während eines DDoS-Angriffs bricht die Kommunikation zusammen, der Server schafft es nicht, neben den Anfragen der Angreifer auch die Anfragen der Kunden zu bearbeiten. Manche Server stellen je nach Konfiguration die Anzeige von Inhalten nicht nur für die Dauer des Angriffs ein, sondern einige ihrer Elemente bleiben auch nach dessen Ende funktionsunfähig.

DDoS- und DoS-Angriffe sind vor allem dadurch besonders, dass sie keine Straftat und nichts Illegales sind. Die Angreifer machen sich durch den Besuch einer Website nicht strafbar. Dabei werden auch keine Daten entwendet oder missbraucht – die Angreifer überlasten den Server „nur“ über seine Kapazitätsgrenze. DDoS-Angriffe gehen oft auf die Aktionen verschiedenster Aktivisten zurück, die mit ihren Taten ihren Unmut über die Betreiber der Websites oder über deren Inhalte zum Ausdruck bringen wollen. Es kann sich aber auch etwa um eine Form des Wettbewerbskampfes handeln. Im Ausland gab es sogar Fälle, in denen ein DDoS-Angriff in Wirklichkeit eine Art Guerilla-Werbung für ein Produkt gegen DoS-Angriffe war. Zum Ziel von DDoS-Angriffen werden aber auch Nachrichtenseiten oder sogar Banken. Manchmal wird für das Beenden eines DDoS-Angriffs ein Lösegeld verlangt, das zur Wahrung der Anonymität meist in der Kryptowährung Bitcoin gezahlt werden soll.

Wie erkennen Sie, dass Ihr Server Ziel eines DDoS-Angriffs geworden ist? Das erste und wichtigste Anzeichen ist der Ausfall des Servers oder seine deutliche Verlangsamung. Die Betriebssysteme Windows und Linux verfügen über den Dienst Netstat, der Ihnen hilft herauszufinden, ob Sie Opfer eines Angriffs geworden sind. Öffnen Sie einfach die Eingabeaufforderung und geben Sie den Befehl „netstat -an“ ein. Einen DDoS-Angriff erkennen Sie an der Auflistung der IP-Adressen, die mit benachbarten Ports verbunden sind. Wichtig ist auch die Überwachung des Datenverkehrs, der bei einem DDoS-Angriff ungewöhnlich stark ansteigt.

Cloud-Dienste

Wie können Sie sich gegen DDoS-Angriffe schützen? In der IT-Welt gilt leider, dass nur wenig hundertprozentig ist. Sehr wichtig ist die Prävention. Die modernsten Router können ungewöhnliches Verhalten in Form einer auffällig hohen Zahl von Anfragen automatisch erkennen und den Zugriff von der jeweiligen Adresse blockieren. Manche Serverbetreiber versuchen, DDoS-Angriffe durch vorbeugende Sperren des Zugriffs aus bestimmten Ländern zu verhindern, zum Beispiel aus China oder Russland. Ein geeigneter Schritt ist auch die Erhöhung der Serverleistung, also die Auslegung auf das Zwei- bis Dreifache des üblichen Datenverkehrs. Diese Maßnahme lohnt sich auch bei E-Shops, die vor den Weihnachtsfeiertagen stark belastet sind, oder bei Nachrichtenservern. Eine teilweise Lösung kann auch die Nutzung von Cloud-Diensten sein.

Bei einem bereits laufenden Angriff ist die Zusammenarbeit mit Ihrem Internetanbieter erforderlich. Dieser führt die notwendigen Schritte durch, damit der Datenverkehr umgeleitet und die Serverkapazität erhöht wird. Wird der Angriff aus dem Ausland geführt, werden die ausländischen Leitungen getrennt. Selbstverständlich wird auch versucht, die Quelle zu erkennen und diese direkt zu sperren. Darüber hinaus besteht die Möglichkeit, anspruchsvollere Elemente der Website außer Betrieb zu nehmen und die Besucher über die Nichtverfügbarkeit zu informieren.

In der Tschechischen Republik entstand im Jahr 2013 als Antwort auf massive DoS-Angriffe auf bedeutende tschechische Medien das Projekt Fénix. Getragen wird es vom Verein NIX.CZ – einer neutralen Hardware-Plattform für die gegenseitige Vernetzung von Netzen im Internet. Wie der Projektname schon andeutet, ist sein Ziel, Opfer von DoS-Angriffen wie der Phönix aus der Asche wieder auferstehen zu lassen – also die Erreichbarkeit der Internetdienste von Teilnehmern dieser Aktivität zu ermöglichen. Technisch ist das sehr aufwendig, vereinfacht gesagt werden die zusammenarbeitenden Netze unter vorher festgelegten Bedingungen so miteinander verbunden, dass im Fall einer massiven Überlastung des Netzes die Quelle des Angriffs koordiniert getrennt wird und die Funktionsfähigkeit des „inneren Internets“ gewährleistet bleibt, sodass der größte Teil des Datenverkehrs erhalten bleibt.

Man könnte sagen, dass es sich um eine Art Elitklub handelt, allerdings im besten Sinne des Wortes. Die Mitglieder müssen eine Reihe von administrativen und technischen Bedingungen erfüllen, und das gesamte Projekt beruht zugleich auf gegenseitigem Vertrauen und dem Engagement für eine gemeinsame Sache. Durch die Mitgliedschaft im Projekt Fénix erfüllen die Betreiber also nicht nur einen wichtigen Präventionsschritt, sondern es wird ihnen auch garantiert, dass sie im Angriffsfall mit dem Problem nicht allein bleiben.