DDoS-Notfallplan: Die ersten 30 Minuten eines Angriffs

Ein DDoS-Notfallplan legt fest, wer einen Angriff bestätigt, wer die Mitigation steuert und wer intern sowie extern kommuniziert. In den ersten 30 Minuten zählen klare Zuständigkeiten und belastbare Messwerte mehr als hektische Einzelmaßnahmen.

Vor dem Angriff vorbereiten

• 24/7-Kontaktdaten von Upstream, Mitigation-Anbieter, Rechenzentrum und internen Entscheidern.
• Aktuelle Liste aller kritischen Präfixe, Dienste, Ports, Protokolle und Abhängigkeiten.
• Normalwerte für Bandbreite, Pakete pro Sekunde, Verbindungen und Antwortzeiten.
• Vorab vereinbarte Verfahren für Scrubbing, BGP FlowSpec und Remote Triggered Black Hole.
• Vorlagen für Statusseite, Kundeninformation und interne Lageberichte.
• Ein klarer Incident Commander mit Vertretung und Entscheidungsbefugnis.

ENISA: DDoS-Bedrohungsbild und empfohlene Maßnahmen

Minute 0 bis 5: Lage bestätigen

Prüfen Sie zuerst, ob wirklich ein DDoS-Angriff vorliegt. Vergleichen Sie Monitoring, NetFlow oder sFlow, Routerauslastung, Paketverluste und Applikationsmetriken. Schließen Sie gleichzeitig offensichtliche Alternativen wie Routing-Fehler, defekte Deployments oder einen ausgefallenen Upstream nicht vorschnell aus.

1. 1Zeitpunkt, betroffene Dienste und sichtbare Symptome dokumentieren.
2. 2Angriffsvektor grob einordnen: Bandbreite, Paketrate, Protokoll oder Applikation.
3. 3Incident Commander und technische Ansprechpartner alarmieren.

Minute 5 bis 10: Eskalieren

Kontaktieren Sie den Upstream über den vereinbarten Notfallkanal. Übermitteln Sie ASN, Präfix, Beginn, beobachtetes Volumen, Protokolle und bereits getroffene Maßnahmen. Eine präzise Erstmeldung verkürzt die Zeit bis zur passenden Filterregel erheblich.

Minute 10 bis 20: Mitigation steuern

Aktivieren oder prüfen Sie die vorgesehene Mitigation. Bei volumetrischen Angriffen muss die Filterung vor dem überlasteten Anschluss stattfinden. Vermeiden Sie unkoordinierte ACL-Änderungen an vielen Geräten. Jede Änderung braucht einen Verantwortlichen, eine Zeitangabe und einen überprüfbaren Zweck.

• Scrubbing-Umleitung oder Always-on-Policy kontrollieren.
• Gezielte FlowSpec-Regeln nur für eindeutig identifizierte Muster einsetzen.
• Blackholing nur als letzte Maßnahme und möglichst präfixgenau verwenden.
• Stateful Firewalls und Load-Balancer auf erschöpfte Tabellen prüfen.

Minute 20 bis 30: Wirkung und Kommunikation

Bewerten Sie die Wirkung aus Sicht echter Nutzer. Sinkendes Angriffsvolumen allein reicht nicht, wenn DNS, Login oder API weiterhin ausfallen. Aktualisieren Sie die Statusseite mit bestätigten Fakten, einem Zeitstempel und dem nächsten geplanten Update. Vermeiden Sie Spekulationen über Täter oder Ursachen.

Nach dem Angriff

• Zeitlinie, Angriffsvektoren, Volumen und Filtermaßnahmen vollständig sichern.
• Prüfen, welche Alarme zu spät kamen oder keine klare Aktion auslösten.
• Temporäre Regeln entfernen und dauerhafte Verbesserungen kontrolliert ausrollen.
• Runbook, Kontakte und Kommunikationsvorlagen anhand der Erfahrung aktualisieren.
• Den Ablauf mit Technik, Support, Management und relevanten Dienstleistern nachbesprechen.

Fazit

Ein guter DDoS-Notfallplan reduziert Entscheidungen unter Druck. Wer Messwerte, Kontakte, Freigaben und Mitigationswege vorab klärt, gewinnt im Ernstfall die Minuten, die über einen kurzen Zwischenfall oder einen langen Ausfall entscheiden.