Cloudflare verzeichnete im Zeitraum von Januar bis Juni 2026 einen deutlichen Anstieg verteilter Denial-of-Service-Angriffe (DDoS). Das Unternehmen entschärfte 935 netzwerkbasierte Angriffe mit einer Stärke von über 1 Terabit pro Sekunde. Zwischen dem ersten und dem zweiten Quartal stieg die Zahl dieser Angriffe um 519 %, wie aus der 25. Ausgabe des Cloudflare-Berichts zu DDoS-Bedrohungen hervorgeht, der die Daten beider Quartale in einem einzigen Halbjahresbericht zusammenfasst.
Der Bericht wurde von Cloudforces Ones Threat-Intelligence-Einheit bei Cloudflare auf Grundlage der Netzwerkdaten des Unternehmens erstellt. Er zeigt eine Veränderung der Angriffsmethoden: Der Schwerpunkt verlagerte sich von Überflutungen durch Botnetze auf Reflexions- und Verstärkungstechniken. Dabei führten DNS-bezogene Angriffe, während CLDAP-Angriffe deutlich zunahmen.
Ein Anstieg hochvolumiger Angriffe
Im ersten Halbjahr entschärfte Cloudflare 23,2 Millionen netzwerkbasierte Angriffe und 29,64 Billionen HTTP-Anfragen im Zusammenhang mit DDoS-Angriffen. Das entspricht etwa 5.343 netzwerkbasierten Angriffen pro Stunde oder rund 128.000 Angriffen pro Tag.
April 2026 markierte den Höhepunkt der Aktivität gemessen am Volumen: In diesem Monat wurden 6,46 Billionen Anfragen und 165 Petabyte an Daten verzeichnet. Anschließend gingen Anfragezahlen und Volumen zurück. Der Bericht brachte dies möglicherweise mit der Operation PowerOFF in Verbindung, einer Kampagne, die 21 Länder umfasste, mehr als 75.000 Nutzer kostenpflichtiger DDoS-Dienste ins Visier nahm, zur Abschaltung von 53 Domains führte und 25 Durchsuchungs- und Haftbefehle sowie die Festnahme von vier Personen zur Folge hatte.
Allein im zweiten Quartal entschärfte Cloudflare 805 netzwerkbasierte Angriffe mit mehr als 1 Terabit pro Sekunde – mehr als sechsmal so viele wie im vorherigen Quartal. Der Bericht definiert hochvolumige Angriffe als Angriffe mit mehr als 1 Terabit pro Sekunde, 1 Milliarde Paketen pro Sekunde oder 1 Million Anfragen pro Sekunde.
Kurze Angriffe lassen keinen Raum für manuelles Eingreifen
Trotz des Wachstums hochvolumiger Angriffe blieben die meisten von Cloudflare entschärften Angriffe relativ klein und kurz. 96,62 % der Angriffe auf Netzwerkebene lagen weiterhin unter 500 Megabit pro Sekunde, und 90,60 % endeten innerhalb von weniger als zehn Minuten. Der Bericht weist jedoch darauf hin, dass die Bezeichnung eines Angriffs als „klein“ relativ ist: Ein Angriff mit 100 Megabit pro Sekunde kann ausreichen, um einen Server oder eine Website zu überlasten, während ein Angriff mit 100 Gigabit pro Sekunde die meisten ungeschützten Rechenzentren außer Betrieb setzen kann.
Cloudflare verzeichnete außerdem hochvolumige Angriffe, die lediglich 35 Sekunden andauerten. Dem Bericht zufolge reicht diese Dauer praktisch nicht für ein rechtzeitiges menschliches Eingreifen oder für On-Demand-Lösungen aus. Die Folgewirkungen können sich jedoch über Stunden oder Tage erstrecken, etwa durch Routing-Störungen, erneute Übertragungen von TCP-Paketen, Timeouts bei Anwendungen und eine Verschlechterung der Dienste.
DNS und CLDAP an der Spitze des Wandels
DNS-basierte Angriffe, darunter DNS Flood und DNS Amplification, machten im ersten Halbjahr 34,3 % der Angriffe auf Netzwerkebene aus. Der Anteil von DNS Flood allein stieg zwischen dem ersten und zweiten Quartal von 25,7 % auf 40,0 %.
Auch CLDAP-Flood-Angriffe legten im Quartalsvergleich um 580 % zu und wurden im zweiten Quartal zur drittgrößten Angriffsmethode. Diese Angriffe nutzen exponierte LDAP-Endpunkte über UDP aus: Angreifer senden kleine Anfragen mit einer gefälschten Quelladresse an öffentlich erreichbare Domaincontroller über Port 389. Daraufhin antworten die Server dem Opfer mit Paketen, die um ein Vielfaches größer sind – teilweise um das Zehn- oder Hundertfache.
Geopolitische Spannungen verändern die Zielverteilung
Der Medien-, Produktions- und Verlagssektor blieb in beiden Quartalen der am häufigsten angegriffene Sektor und machte 14,2 % der von Cloudflare entschärften HTTP-Anfragen aus. Dabei standen die Entwicklungen im Iran und in der Ukraine sowie die Fußball-Weltmeisterschaft im Mittelpunkt des Interesses.
Nach dem Start der Operation Epic Fury durch Israel und die Vereinigten Staaten gegen die Führung und Infrastruktur des Iran am 28. Februar 2026 dokumentierten Sicherheitsforscher innerhalb von 72 Stunden 149 Behauptungen von Hacktivisten über Angriffe auf 110 Organisationen in 16 Ländern. Der öffentliche Sektor stellte weltweit etwa 47,8 % der angegriffenen Organisationen dar und stieg von Platz 29 im ersten Quartal auf Platz neun im zweiten Quartal.
Bei den Standorten der Ziele führte China im zweiten Quartal mit einem Anteil von 22,4 % an den weltweiten HTTP-Anfragen, gefolgt von den Vereinigten Staaten mit 18,8 %. Die Türkei stieg auf den dritten Platz. Bei den Herkunftsländern der Angriffe lag Brasilien mit 14,9 % vor den Vereinigten Staaten mit 13,4 %, während Indonesien den dritten Platz behauptete.
Cloudflare zufolge bietet das Netzwerk des Unternehmens, das in mehr als 330 Städten vertreten ist und über eine Kapazität von 500 Terabit pro Sekunde verfügt, für jeden Dienst im Netzwerk kostenlosen und unbegrenzten DDoS-Schutz. Außerdem stellt das Unternehmen Hostinganbietern, Cloud-Computing-Plattformen und Internetdienstanbietern einen kostenlosen Feed zu Botnet-Bedrohungen bereit, den mehr als 800 Netzwerke weltweit abonniert haben.