Auf dieser Seite
Das Wichtigste
- Eine Quelle oder verteilte QuellenEin DoS erschöpft Ressourcen aus wenigen Quellen: Bandbreite, CPU, TCP-Stack, Login-Endpunkt oder Game-Query.
- Unterschiedliche SättigungspunkteWichtig ist, welches Element zuerst sättigt: Link, Router, Firewall-State, Load Balancer, Kernel oder Game-Proxy.
- Schutz passend zur TopologieBei einfachem DoS helfen lokale Regeln, Rate Limits, Hardening und Monitoring.
Definition des Problems
Ein DoS erschöpft Ressourcen aus wenigen Quellen: Bandbreite, CPU, TCP-Stack, Login-Endpunkt oder Game-Query. Er kann schaden, ist aber meist leichter zuzuordnen und zu begrenzen.
Ein DDoS verteilt die Last. Traffic kommt aus vielen Netzen oder über Reflection, sodass einzelne Pakete harmlos wirken. Sichtbar werden Sättigung, Timeouts oder State-Exhaustion, bevor Quellen einzeln blockiert werden können.
Warum der Unterschied wichtig ist
Wichtig ist, welches Element zuerst sättigt: Link, Router, Firewall-State, Load Balancer, Kernel oder Game-Proxy. Reagiert die falsche Schicht, verlieren legitime Nutzer weiterhin Zugriff.
Käufer sollten fragen, wo Mitigation stattfindet. Filterung nach voller Leitung hilft nicht. Upstream-Mitigation mit sauberer Rückgabe bietet deutlich mehr Betriebsstabilität.
In der Praxis entscheidet dieser Unterschied auch über Vertragswahl und SLA. Ein Kunde mit eigenem ASN benötigt andere Zusagen als ein Betreiber eines einzelnen Game-Servers. Die Metriken, Eskalationswege und Übergabepunkte müssen daher vor dem Angriff dokumentiert sein.
Mögliche Lösungen
Bei einfachem DoS helfen lokale Regeln, Rate Limits, Hardening und Monitoring. Sie sind sinnvoll, ersetzen aber keine DDoS-Architektur für exponierte Dienste.
Bei DDoS muss das Modell passen: geschützter IP-Transit für Netze und Präfixe, geschützter Dedicated Server oder VPS für weniger Komplexität und Gaming-Proxy für Protokolle mit Latenz- und Filteranforderungen.
Konkretes Beispiel
Ein Hoster sieht zunächst einen betroffenen VPS. Kommt Traffic von einer Quelle, reicht eine ACL. Kommen viele Quellen, hohe PPS und mehrere Ports zusammen, ist Upstream-Mitigation notwendig.
Bei FiveM oder Minecraft kann ein DDoS den Verbindungsaufbau stören, obwohl der Server intern noch läuft. Spieler sehen dann Timeouts, leere Serverlisten oder Handshake-Probleme.
Für Sales und Support hilft die Unterscheidung ebenfalls. Sie erklärt dem Kunden, warum ein kleines lokales Problem anders behandelt wird als ein verteilter Angriff auf die Netzanbindung.
Häufige Fehler
Nur nach Tbps zu kaufen ist riskant. Kapazität sagt wenig über PPS, Filtergenauigkeit, saubere Rückgabe, Latenz und Sichtbarkeit aus.
Zu grob zu blockieren ist ebenfalls gefährlich. UDP komplett zu schließen oder ganze Regionen zu sperren kann Gaming- und Echtzeitdienste unbrauchbar machen.
Auch wichtig: DoS und DDoS dürfen in Angeboten nicht gleich behandelt werden. Wer beides vermischt, verkauft entweder zu wenig Schutz oder unnötig komplexe Architektur.
