Ein Überlastungsangriff kann einen Webshop, ein Kundenportal oder einen VPN-Zugang innerhalb kurzer Zeit unerreichbar machen. DDoS Schutz Schweiz beginnt deshalb nicht erst beim Ausfall, sondern bei einer klaren Analyse von Abhängigkeiten, Angriffspfaden und Reaktionszeiten.
Was ist ein DDoS-Angriff?
Ein DDoS-Angriff ist ein verteilter Überlastungsangriff, bei dem viele Systeme gleichzeitig Anfragen oder Datenverkehr an ein Ziel senden. Die angegriffene Website, Anwendung, Firewall oder Internetverbindung kann dadurch langsamer werden oder vollständig ausfallen.
DDoS steht für Distributed Denial of Service. Die Angreifer nutzen häufig Botnetze, also kompromittierte Geräte, oder missbrauchen offene Netzwerkdienste. Das Ziel muss dabei nicht immer eine vollständige Sperrung sein. Auch eine gezielte Beeinträchtigung einzelner Funktionen kann geschäftlich relevant sein.
Typische Angriffsformen sind:
- Volumetrische Angriffe: Sie überlasten die Internetanbindung mit grosser Datenmenge.
- Protokollangriffe: Sie binden Ressourcen von Firewalls, Load-Balancern oder Netzwerkkomponenten.
- Angriffe auf Anwendungsebene: Sie erzeugen viele scheinbar normale HTTP-Anfragen an bestimmte Funktionen.
- DNS-Angriffe: Sie beeinträchtigen die Namensauflösung und damit die Erreichbarkeit von Diensten.
Ein DDoS-Angriff ist nicht dasselbe wie ein Einbruch in ein System. Er kann aber mit anderen Angriffen kombiniert werden, etwa um Sicherheitsverantwortliche abzulenken oder die Analyse eines parallel laufenden Angriffs zu erschweren.
Wie funktioniert DDoS Mitigation?
DDoS Mitigation bezeichnet die Erkennung, Filterung und Umleitung schädlichen Datenverkehrs, bevor er die geschützte Infrastruktur erreicht. Wirksame DDoS Mitigation verbindet technische Schutzmechanismen mit einem abgestimmten Betriebs- und Notfallprozess.
Ein typischer Ablauf besteht aus vier Ebenen:
- Monitoring: Netzwerk- und Anwendungsdaten zeigen ungewöhnliche Volumen, Quellen, Muster oder Antwortzeiten.
- Erkennung: Regeln oder spezialisierte Systeme unterscheiden normalen Datenverkehr von verdächtigen Mustern.
- Umleitung: Der Datenverkehr wird zu einem Scrubbing Center oder einem anderen Filterdienst geleitet.
- Bereinigung: Der Dienst lässt legitime Anfragen passieren und verwirft oder begrenzt schädliche Pakete.
Die passende Architektur hängt vom Angriffsziel ab. Ein CDN kann Webanwendungen schützen, während ein dedizierter Netzwerkdienst auch IP-basierte Dienste abdeckt. Rate Limiting, Web Application Firewalls und Anycast-Netzwerke ergänzen den Schutz, ersetzen aber nicht in jedem Fall eine volumetrische Abwehr.
Welche DDoS-Schutzmassnahmen sind für Schweizer Unternehmen wirksam?
Wirksamer DDoS Schutz Schweiz besteht aus vorgelagerter Abwehr, sicherer Architektur und einem getesteten Reaktionsplan. Einzelne Filterregeln reichen selten aus, wenn Zuständigkeiten und Eskalationswege ungeklärt sind.
Bewährte Massnahmen sind:
- Angriffsfläche reduzieren: Öffentliche Dienste, Ports und DNS-Einträge regelmässig prüfen und nicht benötigte Zugänge entfernen.
- DDoS-Schutz vorlagern: Schutz beim Netzwerk-, Hosting- oder spezialisierten Sicherheitsanbieter aktivieren.
- DNS resilient gestalten: Redundante Nameserver und klar definierte Änderungsprozesse verhindern, dass DNS selbst zum Engpass wird.
- Rate Limiting einsetzen: Anfragen pro IP, Sitzung, Konto oder Endpunkt begrenzen, sofern dies die Anwendung zulässt.
- Anwendungsebene überwachen: Login-, Such- und API-Endpunkte separat analysieren, weil ein Angriff dort mit wenig Datenvolumen auskommen kann.
- Notfallkommunikation vorbereiten: Kontakte zu Provider, SOC, Management und betroffenen Fachstellen schriftlich festhalten.
- Regelmässig testen: Umschaltung, Filterregeln und Erreichbarkeit mit dem Anbieter prüfen, ohne einen realen Angriff zu simulieren.
Bei der Auswahl sollten Sie nicht nur nach der maximalen Filterkapazität fragen. Entscheidend sind auch Erkennungszeit, Zeit bis zur Aktivierung, Schutz gegen Layer-7-Angriffe, Support auf Deutsch oder Englisch sowie die Transparenz der Protokollierung.
Welche Schutzarchitektur passt zu welchem Risiko?
Die passende DDoS-Architektur hängt von den geschützten Diensten, der Abhängigkeit vom Internet und der erforderlichen Wiederanlaufzeit ab. Eine kleine öffentlich erreichbare Website benötigt andere Kontrollen als ein Finanzdienstleister mit mehreren kritischen Kundenschnittstellen.
| Kriterium | Cloudbasierter Schutz | Provider- oder Netzwerk-Schutz |
|---|---|---|
| Geeignet für | Websites, APIs und verteilte Webanwendungen | IP-basierte Dienste und zentrale Internetanbindungen |
| Aktivierung | Oft permanent oder per Routing-Umschaltung | Häufig direkt im Netzwerk des Providers |
| Stärke | Skalierbare Abwehr und globale Verteilung | Nähe zur Anbindung und zentrale Verkehrssteuerung |
| Zu prüfen | Datenflüsse, DNS, Zertifikate und Protokolle | Abdeckung von Ports, Leitungen und Ausweichwegen |
| Kostenmodell | Meist nach Schutzumfang, Traffic oder Funktionen | Meist nach Bandbreite, Anschlüssen und Servicelevel |
Ein hybrider Ansatz kann sinnvoll sein. Dabei schützt ein spezialisierter Dienst öffentlich erreichbare Anwendungen, während der Telekommunikations- oder Hostingprovider die Internetanbindung und weitere Protokolle absichert.
Was müssen Unternehmen in der Schweiz rechtlich und regulatorisch beachten?
Schweizer Unternehmen sollten DDoS-Schutz in ihr Informationssicherheits- und Business-Continuity-Management integrieren. Je nach Branche gelten zusätzlich Vorgaben von FINMA, Datenschutzrecht oder Anforderungen an kritische Infrastrukturen.
Das Nationale Zentrum für Cybersicherheit, NCSC, empfiehlt für Unternehmen unter anderem eine strukturierte Vorbereitung auf Cybervorfälle. Dazu gehören klare Verantwortlichkeiten, Meldewege und dokumentierte Reaktionsprozesse. Der IKT-Minimalstandard bietet eine Orientierung für die Beurteilung und Verbesserung der organisatorischen und technischen Sicherheitsmassnahmen.
Für Finanzinstitute und andere FINMA-regulierte Unternehmen ist zu prüfen, wie DDoS-Schutz in die Anforderungen an operationelle Risiken, Auslagerungen und die Widerstandsfähigkeit kritischer Prozesse passt. Die konkrete Beurteilung hängt von Institut, Dienstleistung und Vertragsmodell ab.
Auch das revDSG ist relevant, wenn beim Schutzdienst IP-Adressen, Logdaten oder weitere Informationen verarbeitet werden. Klären Sie deshalb:
- Welche Protokolldaten erhebt der Anbieter?
- Zu welchem Zweck werden sie gespeichert?
- Wie lange bleiben sie aufbewahrt?
- Erfolgt eine Bearbeitung durch weitere Dienstleister?
- In welchem Land liegen Daten und Sicherungskopien?
- Sind Verträge und Auftragsbearbeitungen mit dem EDÖB-konformen Datenschutzprozess abgestimmt?
Ein Datenstandort Schweiz kann für bestimmte Unternehmen, Kundenanforderungen oder regulatorische Prozesse wichtig sein. Er ist jedoch nicht automatisch gleichbedeutend mit einem vollständigen DDoS-Schutz. Prüfen Sie beide Aspekte getrennt: technische Abwehrleistung und Datenverarbeitung.
Wie planen Sie die Reaktion auf einen Überlastungsangriff?
Ein Überlastungsangriff lässt sich mit einem klaren Runbook schneller und kontrollierter behandeln. Das Dokument sollte festlegen, wer entscheidet, welche Systeme geschützt werden und wann der Provider eingeschaltet wird.
Eine praxistaugliche Schritt-für-Schritt-Planung umfasst:
- Kritische Dienste priorisieren: Definieren Sie, welche Domains, APIs, Netzwerke und Zugänge zuerst verfügbar bleiben müssen.
- Basiswerte dokumentieren: Halten Sie normale Bandbreiten, Anfragezahlen, Antwortzeiten und Fehlerraten fest.
- Alarme definieren: Legen Sie Schwellenwerte für Volumen, Verbindungszahlen und ungewöhnliche Anwendungsmuster fest.
- Eskalationskette bestimmen: Benennen Sie interne Verantwortliche sowie Kontakte bei Provider, SOC und Sicherheitsdienstleister.
- Umschaltung vereinbaren: Dokumentieren Sie, wie Traffic zu einem Scrubbing- oder Cloud-Schutzdienst umgeleitet wird.
- Kommunikation vorbereiten: Erstellen Sie geprüfte Texte für Kunden, Mitarbeitende, Behörden und das Management.
- Nachbearbeitung durchführen: Analysieren Sie Logs, Kosten, Wirkung der Regeln und mögliche Folgeangriffe.
Die Kosten für DDoS-Schutz in CHF richten sich typischerweise nach geschützten Diensten, Bandbreite, Vertragsmodell, Support, Aufbewahrung von Logs und gewünschter Reaktionszeit. Vergleichen Sie deshalb nicht nur Jahrespreise, sondern auch Aktivierungsgebühren, Überverkehr, Incident-Support und mögliche Zusatzkosten für professionelle Services.
Wie Sie am besten starten
Beginnen Sie mit einer aktuellen Übersicht Ihrer öffentlich erreichbaren Cybersecurity-Dienste und deren geschäftlicher Priorität. Danach können Sie Anbieter und Architektur sachlich vergleichen.
- Inventarisieren Sie Domains, IP-Adressen, Ports, DNS-Zonen und öffentlich erreichbare APIs.
- Bewerten Sie die Auswirkungen eines Ausfalls auf Kunden, Mitarbeitende und kritische Prozesse.
- Prüfen Sie bestehende Verträge mit Internet-, Hosting- und Cloudprovidern.
- Fordern Sie konkrete Angaben zu DDoS Mitigation, Layer-7-Schutz, Routing, Datenstandort Schweiz und Support an.
- Verankern Sie die Lösung im Notfallhandbuch und testen Sie die Umschaltung.
- Dokumentieren Sie Datenschutz, Auslagerung, Protokollierung und regulatorische Anforderungen.
Für die Suche nach passenden Dienstleistern können Sie im Verzeichnis von Cyberprovider geprüfte Schweizer Cybersecurity-Anbieter vergleichen. Achten Sie auf nachweisbare Erfahrung mit DDoS-Schutz, klare Servicelevel und eine Architektur, die zu Ihren kritischen Diensten passt.
Häufige Fragen
Was kostet DDoS Schutz in der Schweiz?
Die Kosten hängen von Bandbreite, geschützten Diensten, Schutzart, Support und Vertragsmodell ab. Vergleichen Sie Angebote in CHF anhand des gesamten Leistungsumfangs, nicht nur anhand einer monatlichen Grundgebühr.
Reicht eine Web Application Firewall gegen DDoS-Angriffe?
Eine Web Application Firewall kann viele Angriffe auf Anwendungsebene filtern, schützt aber nicht automatisch die Internetleitung oder alle Netzwerkprotokolle. Für volumetrische Angriffe benötigen Sie je nach Architektur einen vorgelagerten Netzwerk- oder Cloud-Schutz.
Ist ein DDoS-Angriff ein Datenschutzvorfall?
Nicht jeder DDoS-Angriff ist ein Datenschutzvorfall, weil dabei nicht zwingend Personendaten offengelegt werden. Werden jedoch Personendaten beschädigt, verändert, verloren oder unbefugt zugänglich, muss der Vorfall nach revDSG separat beurteilt werden.
Brauchen KMU einen permanenten DDoS-Schutz?
KMU mit öffentlich erreichbaren Kundenportalen, APIs oder kritischen Online-Prozessen sollten permanenten oder schnell aktivierbaren Schutz prüfen. Entscheidend sind die Ausfallfolgen und die Wiederanlaufzeit, nicht allein die Unternehmensgrösse.
Kann der Internetprovider den gesamten DDoS-Schutz übernehmen?
Ein Internetprovider kann die Anbindung und bestimmte Protokolle schützen. Ob auch Anwendungen, DNS, APIs, Logs und Notfallkommunikation abgedeckt sind, müssen Sie anhand des Serviceumfangs und eines Tests der Umschaltung klären.
