NETSCOUT Systems (NETSCOUT) gab bekannt, zwischen Januar und Juni 2026 weltweit mehr als 9,1 Millionen Distributed-Denial-of-Service-Angriffe (DDoS) in 209 Ländern und Gebieten beobachtet zu haben. Der Threat-Intelligence-Bericht für das erste Halbjahr zeigt, dass die Gefahr nicht mehr allein mit dem Datenverkehrsvolumen verbunden ist, sondern sich auch auf die Zahl der angegriffenen Standorte, die Geschwindigkeit der Angriffe und ihre Fähigkeit erstreckt, Dienste außer Betrieb zu setzen, ohne die gesamte Verbindungskapazität auszuschöpfen.
Sprunghafter Anstieg bei Angriffen mit extrem hoher Kapazität
Die Zahl der Angriffe mit einer Geschwindigkeit von mehr als 1 Terabit pro Sekunde oder 1 Gigabit pro Sekunde stieg im Jahresvergleich um 1.286 %. NETSCOUT zufolge macht dieser Anstieg Angriffe mit extrem hoher Kapazität zu einem wiederkehrenden Phänomen und nicht zu Ausnahmefällen. Dadurch wächst der Druck auf Dienstanbieter und Organisationen, die für die Aufrechterhaltung der Verfügbarkeit digitaler Plattformen verantwortlich sind.
Das Unternehmen beobachtete außerdem den ersten IPv6-Angriff mit mehr als 1 Terabit pro Sekunde. Gleichzeitig nahmen die Abwehrmaßnahmen gegen IPv6-Angriffe im Jahresvergleich um mehr als 300 % zu, obwohl ihr Anteil an der Gesamtzahl der Angriffe nahezu stabil blieb. Diese Daten unterstreichen, dass Sicherheitsteams spezielle Fähigkeiten für den Umgang mit IPv6-Datenverkehr entwickeln müssen, anstatt davon auszugehen, dass die vorhandenen Schutzsysteme beide Protokolle gleichermaßen wirksam abdecken.
Kürzere und schwerer zu erkennende Angriffe
Methoden mit direktem Pfad machten 64 % der beobachteten Angriffe aus, während der Anteil der vom Bericht als „intensive Zufallsangriffe“ bezeichneten Angriffe von 3,97 % auf 4,54 % stieg. Seit dem zweiten Halbjahr 2023 hat sich der Anteil der Angriffe mit einer Dauer von einer Minute oder weniger nahezu verdoppelt. Dadurch geraten Verbindungszeitpläne, Backend-Systeme von Anwendungen und Server zur Auflösung von Domainnamen unter Druck.
Der Bericht führt diesen Wandel auf die Verbreitung gemieteter DDoS-Dienste zurück, die Angreifern den Zugang erleichtern und die Durchführung kurzzeitiger, hochintensiver Angriffe ermöglichen. Die Schwierigkeit dieses Musters besteht darin, dass die kurze Angriffsdauer die Möglichkeiten zur Erkennung und Reaktion vor dem Ende des Angriffs einschränken kann, während die betrieblichen Auswirkungen auf verbundene Dienste bestehen bleiben.
Was bedeutet das für Netzwerkteams?
Der Bericht kommt zu dem Schluss, dass der alleinige Einsatz herkömmlicher Netzwerksteuerungswerkzeuge nicht mehr ausreicht. Der Umgang mit großen, schnellen und gegen mehrere Standorte gerichteten Angriffen erfordert NETSCOUT zufolge präzisere und selektivere Möglichkeiten zur Bereinigung des Datenverkehrs sowie eine Stärkung der Bereinigungskapazitäten an den Netzwerkrändern.
Die Daten von ASERT fügen dem Problem eine weitere Dimension hinzu: Dem Team gelang es, private Quellen zu identifizieren, die an der Durchführung von DDoS-Angriffen beteiligt waren, indem es die Verfolgung von Netzwerken privater IP-Adressen mit Daten zur Angriffsmessung kombinierte. Das bedeutet, dass ein Teil des Angriffsverkehrs von Adressen stammen kann, die dem gewöhnlichen Nutzerverkehr ähneln, wodurch die Unterscheidung zwischen schädlicher Aktivität und legitimer Nutzung erschwert wird.
NETSCOUT zufolge beruhen die Indikatoren des Berichts auf direkt beobachtetem und überprüfbarem Angriffsverkehr. Gemessen werden die höchsten Bit- und Paket-raten pro Sekunde in bestimmten Phasen der Überwachung und Abwehr. Die Ergebnisse bleiben Indikatoren, die auf der Methodik und den beobachteten Daten des Unternehmens basieren. Sie verdeutlichen jedoch klar, dass die Geschwindigkeit, die kurze Dauer und die Vielfalt der Quellen von Angriffen im Jahr 2026 zu zentralen Faktoren bei der Planung von Netzwerkabwehr geworden sind.