DDoS-Angriff

Strafbar ist ein DDoS-Angriff nach § 303b StGB als Computersabotage, sobald er eine Datenverarbeitung von wesentlicher Bedeutung erheblich stört — bis zu drei Jahre Freiheitsstrafe, bei der Datenverarbeitung fremder Betriebe, Unternehmen oder Behörden bis zu fünf Jahre. Der Versuch ist nach Absatz 3 strafbar, die Vorbereitung über Absatz 5 in Verbindung mit § 202c StGB. Die Schwelle der wesentlichen Bedeutung definiert das Gesetz nicht — eine kurz ausgefallene Werbeseite ohne Geschäftsbetrieb dahinter erfüllt sie nicht zwangsläufig.

Meldepflichtig ist nur, was Artikel 4 Nummer 12 DSGVO als Verletzung beschreibt: Vernichtung, Verlust, Veränderung, unbefugte Offenlegung von oder unbefugter Zugang zu personenbezogenen Daten. Ein reiner Erreichbarkeitsausfall erfüllt diese Aufzählung in der Regel nicht. Zeigt die Auswertung später, dass der Ausfall einen Einbruch verdeckt hat, läuft ab Kenntnis die Frist aus Artikel 33 DSGVO. Die Dokumentationspflicht nach Artikel 33 Absatz 5 gilt auch für Vorfälle, die nicht gemeldet werden.

Kurz. 89 Prozent der Angriffe auf Netzwerkebene und 75 Prozent derer auf Anwendungsebene endeten binnen zehn Minuten, gemessen von einem Netzbetreiber für das erste Quartal 2025; die größten Spitzen dieses Quartals liefen 35 bis 45 Sekunden. Daraus folgt eine Regel für die Planung: Eine Rufbereitschaft ist keine Abwehr, weil der Vorfall vorbei ist, bevor ein Mensch eingreifen kann. Dass Wellen wiederkehren, ist belegt — der große Ausfall bei einem DNS-Anbieter im Oktober 2016 lief in mehreren Schüben.

Um den Faktor 28 bis 54 bei DNS, 556,9 bei NTP und 10.000 bis 51.000 bei Memcached — so die Tabelle der Verstärkungsfaktoren in einer Warnung der US-Behörde CISA, veröffentlicht im Januar 2014 und letzte Überarbeitung im Dezember 2019. Der Angreifer sendet kleine Anfragen mit gefälschter Absenderadresse an offen erreichbare Dienste; deren Antworten treffen das Opfer. Am Ende steht ein Vielfaches der Bandbreite, die der Angreifer selbst besitzt.

Googles Crawler senken ihre Abrufrate, sobald ein Server mit Serverfehlern oder einer Drosselungsantwort reagiert, und zwar im Verhältnis zur Zahl der fehlerhaften Adressen. Bereits indexierte Adressen bleiben zunächst im Index und fallen erst bei anhaltenden Fehlern heraus; eine Frist dafür nennt Google nicht. Wichtig ist deshalb, im Ausfall mit einem Serverfehler zu antworten und nicht mit der Meldung, die Seite existiere nicht.