DDoS im Februar

Der exklusive monatliche DDoS-Wetterbericht von Fastly für Februar 2025 zeigt einen 2,85-fachen Anstieg des Angriffsvolumens im Vergleich zum Vormonat.

Das einzigartige, sofortige globale Netzwerk von Fastly hat Billionen von versuchten DDoS-Angriffen auf den Layern 3 und 4 gestoppt. Allerdings sind raffinierte neue Layer-7-Angriffe schwerer zu erkennen und potenziell weitaus gefährlicher. Diese erhebliche Bedrohung für die Performance und Verfügbarkeit jeder internetbasierten App oder API setzt Nutzer und Organisationen einem Risiko aus. Fastly nutzte Telemetriedaten aus unserem 410-Terabit-pro-Sekunde-Netzwerk¹, das 1,8 Billionen Anfragen pro Tag² bedient, und Fastly DDoS-Schutz, um eine einzigartige Reihe von Einblicken in das globale „DDoS-Wetter“ für Anwendungen zu gewinnen – der einzige monatliche Bericht dieser Art. Nutzen Sie anonymisierte Daten, Erkenntnisse und umsetzbare Ratschläge zu den neuesten DDoS-Trends bei Apps, um Ihre Sicherheitsinitiativen zu stärken.

Der Einfluss von Produktverbesserungen in Berichten

Fastly DDoS-Schutz wurde im Oktober 2024 eingeführt und wir haben hart daran gearbeitet, es zur besten Lösung für DDoS-Angriffe auf Anwendungen auf dem Markt zu machen. Wir haben schon ausführlich darüber gesprochen, wie gut die adaptive Attribute Unmasking-Engine der Lösung Angriffe abwehrt. Wir haben aber auch viel daran gesetzt, die Basis zu verbessern, und im Februar einige wichtige Verbesserungen bei der Erkennung erzielt. 

Die Verbesserungen verkürzten die Zeit von der Erkennung bis zur Abwehr weiter und erhöhten gleichzeitig die Transparenz der Lösung in Bezug auf DDoS-Angriffe (insbesondere kürzere, kleinere Angriffe). Wir verbessern kontinuierlich unsere Kernfunktionen zur Erkennung und Abwehr, und sie spielen wahrscheinlich eine Rolle dabei, warum wir im Februar einen so starken Anstieg der Angriffszahlen verzeichneten. Wir erwarten, dass sich der Einfluss solcher Verbesserungen in unseren Berichten zeigt, da wir das Produkt kontinuierlich verfeinern, um es für Kunden wie Sie noch besser zu machen. Nach dieser Vorbemerkung kommen wir nun zu den Ergebnissen.

Wichtigste Erkenntnisse

1. Fastly beobachtete einen Anstieg der DDoS-Angriffe auf Anwendungen um 285 % im Vergleich zum Vormonat, was den anhaltenden Trend eines monatlich steigenden Angriffsvolumens widerspiegelt.

2. Das Vereinigte Königreich gehört nun zu den Top 5 der Länder, die Angriffsanfragen beobachtet haben, seit wir mit der Analyse der Angriffsmuster nach Regionen begonnen haben.

3. Die Angreifer scheinen ihre Ressourcen für Angriffe an der Größe des Zielunternehmens sowie an dessen wahrgenommener Kapazität und Netzwerkstabilität auszurichten.

Traffic-Trends

Jeden Monat beobachtet Fastly zig Milliarden DDoS-Angriffe auf die Anwendungen unserer Kunden, aber im Februar haben wir ein 2,85-fach höheres Volumen an DDoS-Anfragen im Vergleich zu Januar festgestellt.

Der Trend des steigenden Volumens ist seit Dezember 2024 konstant, als wir unseren ersten „DDoS in“-Bericht veröffentlichten. Von Dezember bis Januar gab es einen Anstieg um 14,5 %, und von Januar bis Februar stieg das Volumen um 285 % (Abbildung 1).

Das einzigartige, unmittelbare globale Netzwerk von Fastly besteht aus physischen Servern, die an hochdichten Internetknotenpunkten in Points of Presence (PoPs) an 97 strategischen Standorten³ weltweit mit dem Internet verbunden sind. Im Februar wurde an mehreren PoPs weltweit DDoS-Angriffs-Traffic festgestellt (Abbildung 2), wobei die höchsten Volumina an unseren PoPs an folgenden Standorten beobachtet wurden:

1. Vereinigte Staaten

2. Deutschland

3. Singapur

4. Großbritannien

5. Frankreich

Von besonderem Interesse in dieser Liste ist Großbritannien, das den vierten Platz belegt. Obwohl das Land in der Statistik der Internetnutzung in Europa an zweiter Stelle steht, nur hinter Deutschland, deutet der Aufstieg in die Top 5 darauf hin, dass im Vereinigten Königreich in diesem Monat eine viel größere Anzahl von Angriffen beobachtet wurde. Wen haben die Angreifer also ins Visier genommen?

Viele der angegriffenen Organisationen in den beobachteten Angriffsanfragen aus dem Vereinigten Königreich wiesen eine gewisse Gemeinsamkeit auf. Die Organisationen waren in den Bereichen Hochtechnologie oder Medien und Unterhaltung tätig und engagierten sich für Datenschutz, gegen Zensur oder für Pressefreiheit. Dies ist eine implizite Tatsache, die es wert ist, explizit erwähnt zu werden: Je wahrscheinlicher es ist, dass die Angebote Ihrer Organisation diejenigen verärgern, die Angriffe durchführen, desto wahrscheinlicher ist es, dass Sie ins Visier dieser Angreifer geraten. Dies hat sich im Februar bestätigt.

Während wir normalerweise am Wochenende eine Flaute bei den Angriffen beobachten, waren die Angriffe im Februar relativ gleichmäßig über die Woche verteilt (Abbildung 3). An Freitagen und Samstagen war das Anfragevolumen am höchsten und lag um 39 % über dem durchschnittlichen Angriffsvolumen.

Typischerweise verwenden wir beim Erstellen dieser Berichte das Volumen der Angriffsanfragen als gängige Messgröße, aber was wäre, wenn wir stattdessen die Anzahl der Angriffe betrachten würden? Hier sehen Sie, wie sich die Daten verschieben. Die folgenden Unternehmensgrößen werden in drei Kategorien unterteilt:

• Großunternehmen: Mehr als 1 Milliarde Dollar

• Kommerziell: Zwischen 100 Millionen und 1 Milliarde Dollar

• Kleine und mittelständische Unternehmen (KMU): Weniger als 100 Millionen Dollar

Bei der Betrachtung der Anzahl der Angriffe stellen wir fest, dass fast die Hälfte aller Angriffe (43,3 %) auf kleine und mittlere Unternehmen (KMU) abzielte, während kommerzielle Unternehmen fast 36 % und Großunternehmen 20,9 % der Angriffe verzeichneten (Abbildung 4).

Wenn wir stattdessen das Volumen der Angriffsanfragen nach Unternehmensgröße betrachten, stellen wir fest, dass der Prozentsatz der KMUs nur leicht ansteigt, während der Anteil der Großunternehmen drastische Veränderungen erfährt (Abbildung 5).

Was wir aus dieser Erkenntnis schließen können, ist, dass Angreifer, wenn sie sich entscheiden, die größten Organisationen der Welt anzugreifen, gut vorbereitet sind. Sie haben wahrscheinlich verstanden, dass es eines größeren Angriffs bedarf, um überhaupt eine Chance auf einen erfolgreichen Angriff zu haben, und haben daher im Februar größere Angriffe gegen Organisationen dieser Größe gestartet. Um Ihnen den Vergleich zu erleichtern, haben wir die oben gezeigten Kreisdiagramme unten zusammengeführt (Abbildung 6).

Unternehmen, die im Hochtechnologiebereich tätig sind, verzeichneten die meisten Angriffe, gefolgt von Handel und darunter Medien und Unterhaltung (Abbildung 7). Dies steht in starkem Kontrast zum Januar, als der Anteil an angegriffenen Kunden im Handel weniger als 11,5 % betrug. Die Verteilung verdeutlicht die monatliche Volatilität bei der Auswahl der Ziele durch die Angreifer.

Diesen Monat haben wir auch untersucht, wie sich die Daten ändern, wenn wir Unternehmensgröße und Branche kombinieren. Von besonderem Interesse ist, wie bestimmte Unternehmensgrößen je nach Branche unter erhöhtem Druck stehen. Unternehmen von kommerzieller Größe sind das klare Ziel im Handel, KMUs in der Hochtechnologie, und in Medien und Unterhaltung sowie in den anderen angegriffenen Branchen ist die Verteilung relativ gleichmäßig.

Umsetzbare Handlungsempfehlungen

Was sollten Sie also aus all diesen Informationen mitnehmen?

Es ist wichtig zu beachten, dass diese Daten nur einen Monat repräsentieren und mit den Erkenntnissen aus Ihren Observability-Tools und langfristigen Untersuchungen kombiniert werden sollten, um einen umfassenden Überblick zu erhalten. Allein aus diesen Daten lassen sich jedoch einige wichtige Erkenntnisse gewinnen, die Sie in Ihre bestehenden Sicherheitsmaßnahmen integrieren können:

• Das Angriffsvolumen ist seit drei Monaten in Folge gestiegen und hat von Januar auf Februar einen drastischen Sprung gemacht. Obwohl das Caching von Inhalten die Belastung der Origin-Server teilweise verringern kann, sollten Organisationen die Implementierung dedizierter DDoS-Lösungen in Betracht ziehen, die sich an die unterschiedlichen Muster des legitimen und Angriffs-Traffic anpassen können.

• Sicherheitsexperten und Unternehmensleiter sollten die Bedrohungslandschaft verstehen, die spezifischen Risiken für ihre Branche einschätzen und entsprechende Verteidigungsstrategien umsetzen. Zum Beispiel ist ein Unternehmen, das sich auf die Vermittlung von Haustieren konzentriert, wahrscheinlich ein weniger attraktives Ziel im Vergleich zu einem Medienunternehmen, das Bedrohungen von Hacktivisten bis hin zu staatlichen Akteuren ausgesetzt sein kann.

• Das Angriffsvolumen war an allen Wochentagen relativ konstant, erreichte aber am Freitag und Samstag (UTC) seinen Höhepunkt. Dies zeigt, wie wichtig ein 24/7/365-SOC ist, das Angriffe abwehren kann, auch wenn sie am Wochenende stattfinden.

Automatische Abwehr disruptiver und verteilter Angriffe

Wie immer möchten wir Sie daran erinnern, dass Lösungen wie der DDoS-Schutz von Fastly die in diesem Bericht beschriebenen Angriffe automatisch stoppen. Fastly DDoS-Schutz nutzt die enorme Bandbreite und adaptiven Techniken unseres Netzwerks, um sicherzustellen, dass Ihre Websites schnell und verfügbar bleiben, und das alles ohne erforderliche Konfiguration. Kontaktieren Sie uns, um mehr zu erfahren.

1 Stand: 31. Dezember 2024

2 Stand: 31. Juli 2023

3 Stand: 31. Dezember 2024