1Tbps DDoS-Mitigation: Architektur, echte Grenzen und sauberer Traffic-Handoff

Problemdefinition: 1Tbps allein beschreibt keinen guten Schutz

Ein Anbieter mit 1Tbps DDoS-Mitigation beantwortet damit noch keine operativen Kernfragen. Die Zahl kann theoretisch, global oder geteilt sein, sagt aber nicht, was pro Kunde verfügbar ist, wo Absorption stattfindet, welche Angriffe abgedeckt werden oder wie sauberer Traffic zurückkommt.

Das eigentliche Problem ist Architektur. Traffic muss in eine Schicht gezogen werden, die Volumen absorbiert, früh filtert und anschließend kompatibel mit der Produktion zurückliefert. Für BGP-Kunden bedeutet das kontrollierte Announcements; für andere können geschützte IPs, Tunnel oder Reverse Proxies besser passen.

Der Unterschied zwischen Marketingversprechen und echter Architektur zeigt sich im Incident: Der Kunde muss wissen, ob der Provider Traffic nach Präfix, Port, Protokoll, Tunnel oder Dienst beurteilen kann. Ohne diese Sichtbarkeit hilft die 1Tbps-Zahl nicht bei der Entscheidung, welche Regel aktiv wird oder welcher Pfad angepasst werden muss.

Rohkapazität

Nützlich für volumetrische Absorption, aber nicht ausreichend ohne Handoff-Qualität, PPS-Limits und False-Positive-Kontrolle.

PPS und States

Auch weniger Gbps können einen Dienst durch Pakete pro Sekunde, SYN-Druck oder Firewall-State-Erschöpfung brechen.

Sauberer Rückweg

Legitimer Traffic muss zum Server, Router oder Datacenter zurückkehren, ohne vermeidbaren Verlust oder gefährliche Asymmetrie.

Warum das für internetabhängige Dienste wichtig ist

Wenn ein Unternehmen von öffentlicher Erreichbarkeit abhängt, können wenige Minuten Ausfall teurer sein als ein Monat Schutz. Hoster verlieren Vertrauen, Gaming-Plattformen Spieler und SaaS-Anbieter Nutzer. Bei 1Tbps betrifft der Vorfall oft Upstreams, Ports, Edge-Geräte und mehrere Dienste gleichzeitig.

Planen Sie Verkehrsumleitung, Reduktion, Filterung und saubere Übergabe vor einem Vorfall. Halten Sie erlaubte Präfixe, Autorisierung, Ausfallsignal, Änderungsbefugnisse und Rückkehrbedingungen fest. Testen Sie tatsächliches Ziel und Rückweg: Ein als aufgebaut angezeigter Tunnel beweist nicht, dass Nutzer die Anwendung erreichen.

Das ist auch verkäuferisch wichtig. Ein B2B-Käufer mit Budget sucht nicht nur einen Monatspreis, sondern Reife. Wenn die Website Sättigung, Handoff, MTU, BGP, FlowSpec, False Positives und sauberen Rückweg erklärt, wirkt sie vertrauenswürdiger als eine Seite mit wiederholten Kapazitätsversprechen.

Mögliche Lösungen, um einen 1Tbps-Angriff zu absorbieren und zu filtern

Das zweite Modell ist Delivery per GRE, IPIP oder VXLAN, wenn Server oder Netz bei einem anderen Provider bleiben. Cross-Connects sind bei hohen Volumen und Latenzanforderungen oft sauberer. Gaming- oder Applikations-Proxies helfen bei FiveM, Minecraft oder HTTP, ersetzen aber nicht immer L3/L4-Upstream-Filterung.

In der Praxis kombinieren viele Kunden mehrere Modelle. Ein Hoster nutzt geschützten Transit für Präfixe, Tunnel für schrittweise Migrationen und Reverse Proxies für einzelne Gaming-Dienste. Entscheidend ist, diese Optionen nicht als Gegensätze darzustellen, sondern als Bausteine derselben Verfügbarkeitsstrategie.

Rechenbeispiel: Welche Last erreicht eine 10-Gbit/s-Übergabe?

Hypothetische Kapazitätsrechnung, kein bei Peeryx gemessener Angriff und kein Filterversprechen: Der Angriff erzeugt 1.000 Gbit/s, die legitime Last beträgt 8 Gbit/s. Angenommen, die Upstream-Stufe erhält den gesamten legitimen Verkehr. Die Prozentwerte zeigen den noch ankommenden Angriffsanteil, nicht den blockierten Anteil. Alle Raten müssen auf derselben Protokollebene gezählt werden.

Liegt die 10-Gbit/s-Verbindung vor weiterer Filterung, überschreiten die ersten beiden Fälle ihre Nennrate. Im letzten Fall bleibt nur 1 Gbit/s nominelle Reserve, noch ohne Kapselung, Bursts, Wachstum oder Ausfallreserve. Liegt die lokale Filterung davor, messen Sie stattdessen ihren tatsächlichen Ausgang: Die Tabelle sagt keine Filterwirkung voraus. Wiederholen Sie die Rechnung an jedem begrenzten Abschnitt, nicht nur am Kundenport.

Eine geringere Restbitrate kann weiterhin hohe Paketraten oder Zustandslast erzeugen. Ein Upstream-Reduktionsfaktor sagt nichts über verlorene legitime Pakete, erfolgreiche Spielerverbindungen oder Anwendungsantwortzeiten aus. Messen Sie diese Ergebnisse separat und vereinbaren Sie ihre Grenzwerte vor der Abnahme.

• Kapazität und Ausfallreserve planen ↗
• Paketratenbudget berechnen ↗

Häufige Fehler vor dem Kauf von 1Tbps DDoS-Mitigation

Der erste Fehler ist der Vergleich nur nach Kapazität. Zwei Anbieter können 1Tbps nennen, aber einer hat besseren Handoff, bessere Nähe, präzisere Regeln und schnelleren Support. Der zweite Fehler ist PPS zu ignorieren: Viele Vorfälle brechen Queues, States oder Worker vor der Bandbreite.

Der dritte Fehler ist ungetestetes Return-Routing: MTU, Rückroute, Tunnelgröße oder Asymmetrie verursachen Verlust, obwohl Mitigation arbeitet. Der vierte Fehler ist zu aggressives Filtern, bei dem legitime Nutzer zu Kollateralschäden werden.

Eine weitere schlechte Praxis ist fehlende Dokumentation des Normalzustands. Vor einem Angriff sollte bekannt sein, welche legitime Bandbreite, welche Ports, welche Länder, welche sensiblen Anwendungen und welche Peak-Zeiten normal sind. Ohne Baseline wird Filterung im falschen Moment zu aggressiv oder zu langsam.

• Nur eine Tbps-Zahl kaufen, ohne die Architektur zu hinterfragen.
• PPS-, CPU-, Port- und Firewall-State-Limits ignorieren.
• GRE, IPIP, VXLAN, BGP oder Cross-Connect nicht vor dem Notfall validieren.
• Ohne Monitoring während des Angriffs arbeiten.
• Einen Applikations-Reverse-Proxy mit upstream volumetrischer Mitigation verwechseln.

FAQ zu 1Tbps DDoS-Mitigation