DDoS-Abwehr ist kein Prozess, bei dem ein Team erst nach einem Alarm manuell Regeln schreibt. Cloudflares Bericht für das erste Halbjahr 2026 zeigt, warum: Ein großer Teil der Angriffe endet innerhalb weniger Minuten, während hypervolumetrische Ereignisse deutlich zunehmen. Für Unternehmen entscheidet damit die bereits aktive Architektur, nicht die Reaktionsgeschwindigkeit eines Menschen. Schutz, Umschaltung, Rate Limits und Kommunikation müssen vor dem Angriff getestet sein.
Die Zahlen stammen aus Cloudflares eigenem Netzwerk und beschreiben dessen beobachteten sowie mitigierten Verkehr. Sie sind kein vollständiges Abbild aller weltweiten DDoS-Angriffe und keine individuelle Risikoquote für ein Unternehmen. Dennoch geben sie klare Planungssignale: sehr große Angriffe sind keine Ausnahme mehr, DNS-basierte Vektoren gewinnen Gewicht und kurze Laufzeiten machen automatisch wirksame Kontrollen unverzichtbar.
Die bestätigten Zahlen aus H1 2026
Cloudflare berichtet für das erste Halbjahr 2026 von 23,2 Millionen Netzwerk-DDoS-Angriffen und 29,64 Billionen HTTP-DDoS-Anfragen. In diesem Zeitraum mitigierte das Unternehmen 935 Netzwerkangriffe mit mehr als einem Terabit pro Sekunde. Zwischen dem ersten und zweiten Quartal stieg die Zahl dieser Angriffe laut Bericht um 519 Prozent. Diese Werte zeigen Volumen und Dynamik im Cloudflare-Netz, nicht automatisch die Wahrscheinlichkeit eines Ausfalls bei jedem Kunden.
Auch die Vektoren verschieben sich. DNS-basierte Angriffe machten dem Bericht zufolge 34,3 Prozent der Netzwerkaktivität aus. CLDAP-Floods legten im Quartalsvergleich um 580 Prozent zu. Gleichzeitig endeten 90,60 Prozent der Netzwerkangriffe innerhalb von zehn Minuten. Ein Angriff kann also vorbei sein, bevor eine manuelle Eskalation abgeschlossen ist, aber in dieser kurzen Zeit dennoch Erreichbarkeit, Transaktionen und abhängige Prozesse stören.
1 Tbps attacks soar as DNS floods drive a new wave
Cloudflare DDoS Threat Report H1 2026
Was das für die Unternehmensarchitektur bedeutet
Die erste Konsequenz ist eine Schutzkante außerhalb der eigenen Engpassressourcen. Wenn Traffic erst die Internetanbindung, Firewall oder den Load Balancer des Unternehmens sättigt, kann eine lokale Regel zu spät kommen. Autoritative DNS-Dienste, CDN, Anycast, vorgeschaltete DDoS-Mitigation und Origin-Abschirmung müssen als zusammenhängende Architektur bewertet werden. Direkte Origin-Adressen dürfen nicht unnötig öffentlich sein; Umgehungspfade und alte DNS-Einträge gehören regelmäßig geprüft.
Die zweite Konsequenz betrifft Abhängigkeiten. Selbst wenn die Website geschützt ist, können DNS, Identitätsanbieter, APIs, Zahlungsdienste oder Supportsysteme ausfallen. Ein Business-Impact-Assessment sollte daher nicht nur die Hauptdomain betrachten, sondern kritische Nutzerreisen. Für jede Reise werden externe Dienste, Zeit bis zum Geschäftsverlust, erlaubter Degradationsmodus und Verantwortliche dokumentiert. Resilienz ist eine Eigenschaft des gesamten Pfads.
- DNS: redundante autoritative Anbieter, kurze und getestete Umschaltwege sowie geschützte Verwaltungszugänge prüfen.
- Netzwerk: Origin verbergen, unnötige Dienste schließen und Upstream-Mitigation vor Sättigung sicherstellen.
- CLDAP: öffentlich erreichbare UDP-Dienste vermeiden und ausgehende Quelladressfälschung begrenzen.
- Anwendung: Caching, Rate Limits, Warteschlangen und priorisierte Kernfunktionen vorbereiten.
- Betrieb: automatische Alarme, klarer Provider-Kontakt, Statuskommunikation und belastbaren Notzugang testen.
Automatische Abwehr mit kontrollierten Grenzen
Automatisierung darf nicht bedeuten, dass ein undurchsichtiger Filter beliebig Kunden sperrt. Teams brauchen definierte Schwellen, Schutzmodi und Beobachtbarkeit. Bei normalem Verkehr gelten präzise Regeln; bei Angriffen können aggressivere Limits oder ein reduzierter Funktionsumfang aktiviert werden. Kritische Partner und interne Zugänge benötigen getrennte, abgesicherte Pfade. Jede automatische Reaktion muss protokolliert und nachträglich fachlich ausgewertet werden.
Verträge mit Schutzanbietern sollten die reale Betriebsfrage beantworten: Welche Angriffsebenen sind abgedeckt, wo greift Always-on-Schutz, welche Kapazitäts- oder Kostenlimits gelten und wie schnell werden Fehlklassifikationen bearbeitet? Ebenso wichtig sind Datenstandorte, Logzugriff, Eskalationswege und Abhängigkeiten vom DNS. Marketingangaben zu maximal mitigierter Bandbreite ersetzen keine Prüfung der eigenen Konfiguration und des gebuchten Leistungsumfangs.
Ein realistischer Testplan
- Kritische Domains, IPs, DNS-Zonen, APIs und Drittanbieterabhängigkeiten vollständig inventarisieren.
- Szenarien für volumetrische Netzwerkangriffe, DNS-Floods und HTTP-Angriffe mit Fachbereichen priorisieren.
- Konfiguration und Origin-Abschirmung gemeinsam mit dem Provider in einem sicheren Testfenster validieren.
- Failover, Degradationsmodus, Alarmierung, Statusseite und interne Entscheidungswege als Übung durchspielen.
- Ergebnisse, Zeit bis zur Mitigation, Fehlblockaden und offene Kapazitätslücken mit Owner und Termin festhalten.
Tests müssen sicher und vertraglich freigegeben sein. Unkoordinierte Lasttests können wie echte Angriffe wirken oder Drittanbieterbedingungen verletzen. Sinnvoll sind vom Provider unterstützte Simulationen, kontrollierte Traffic-Replays und Tabletop-Übungen. Gemessen werden nicht nur technische Verfügbarkeit, sondern erfolgreiche Kerntransaktionen, Antwortzeiten, Supportlast und Zeit bis zur klaren Kundenkommunikation. Ein grünes Netzwerk-Dashboard genügt nicht, wenn der Checkout praktisch unbrauchbar ist.
Betrieb und Kennzahlen
Im laufenden Betrieb sollten Unternehmen Zeit bis zur automatischen Erkennung, Zeit bis zur Mitigation, Anteil geschützter kritischer Endpunkte, Fehlblockaden und erfolgreiche Degradationen beobachten. Veränderungen bei DNS- und CLDAP-Vektoren rechtfertigen eine erneute Prüfung exponierter Dienste. Nach jedem Ereignis werden Regeln, Kapazität, Abhängigkeiten und Kommunikation gemeinsam bewertet. Auch Provider-Ausfälle oder Fehlkonfigurationen gehören in das Szenario, weil die Schutzschicht selbst ein kritischer Dienst ist.
Fazit
Cloudflares H1-Bericht zeigt eine klare Richtung: mehr hypervolumetrische Angriffe, stärkere DNS- und CLDAP-Vektoren und sehr kurze Ereignisse. Die Zahlen sind anbieterspezifisch, die betriebliche Lehre ist breiter gültig. Unternehmen brauchen vorgeschaltete automatische Mitigation, geschützte Origins, resiliente DNS-Architektur und getestete Degradationspfade. Wer erst während eines Sekundenangriffs Entscheidungen trifft, hat den wichtigsten Teil der DDoS-Abwehr bereits verpasst.