DDoS im Terabit-Zeitalter — die Bedrohungslage in Zahlen

Mit dem KAEMI Cyber Report 2026 legen wir eine eigene Auswertung der globalen Bedrohungslage vor. Datenbasis sind die veröffentlichten Analysen von Cloudflare — des Netzwerks, über das ein erheblicher Teil des weltweiten Internetverkehrs läuft und auf dem unsere Managed Services aufsetzen. Die Kernbefunde zu DDoS im Terabit-Zeitalter, Bots, APIs und DNS fassen wir hier in den wichtigsten Zahlen zusammen, mit dem Blick darauf, was sie für die Resilienz Ihres Unternehmens bedeuten.

Wie stark ist die DDoS-Bedrohung wirklich gewachsen?

Cloudflare hat 2025 insgesamt 47,1 Millionen DDoS-Angriffe abgewehrt — ein Plus von 121 Prozent gegenüber 2024 und mehr als das Dreifache von 2023. Das erste Halbjahr 2026 zeigt, dass daraus ein Dauerzustand geworden ist: weitere 23,2 Millionen mitigierte Angriffe, im Schnitt rund 128.000 pro Tag. Allein die abgewehrten HTTP-DDoS-Anfragen summierten sich im Halbjahr auf 29,64 Billionen. Wer DDoS in der Risikoplanung noch als seltenes Ausnahmeereignis führt, arbeitet mit einem veralteten Lagebild.

Warum sind 35 Sekunden das neue Schreckensszenario?

Der größte jemals gemessene Angriff erreichte im Dezember 2025 ganze 31,4 Terabit pro Sekunde — und war nach 35 Sekunden vorbei. Das ist kein Einzelfall, sondern Taktik: 90,6 Prozent aller Angriffe dauern unter zehn Minuten. Gleichzeitig werden die Extremwerte zur Serie: Von 130 Terabit-Angriffen im ersten Quartal 2026 sprang die Zahl auf 805 im zweiten Quartal, eine Versechsfachung. Die Weihnachtskampagne des Aisuru/Kimwolf-Botnetzes — zeitweise ein bis vier Millionen kompromittierte Geräte, vor allem Android-TV-Boxen — lieferte 902 hypervolumetrische Angriffe in nur 13 Tagen.

Die Konsequenz ist unbequem, aber eindeutig: Bei Angriffen, die nach Sekunden vorbei sind, ist menschliche Reaktion chancenlos. On-Demand-Umleitungen, manuell aktivierte Scrubbing-Center und telefonische Eskalationsketten greifen strukturell zu spät. Erforderlich ist eine Always-on-Architektur, die Angriffe autonom am Netzwerkrand erkennt und abwehrt — in Sekunden, ohne dass jemand eingreifen muss. Und für den akuten Fall: Unsere DDoS-Soforthilfe auf stop-ddos.team ist rund um die Uhr erreichbar — ohne Warteschleife.

Warum bleibt der gefährlichste Traffic oft unsichtbar?

Parallel zur Volumeneskalation professionalisiert sich der leise Angriff. 31,2 Prozent des gesamten Anwendungs-Traffics stammen von Bots — 93 Prozent davon unverifiziert und damit potenziell schädlich. Die typische Attacke auf Anwendungsebene hält sich an Protokolle, bleibt unter Rate-Limits und sieht im Log aus wie erfreuliches Wachstum. Ihre Wirkung zeigt sich erst in den Kennzahlen: steigende Infrastrukturkosten, sinkende Conversion, verzerrte Analysen. Dazu kommt eine neue Kategorie: KI-Crawler stellen bereits 20 Prozent des verifizierten Bot-Traffics, und agentischer KI-Verkehr wuchs binnen eines Jahres um 1.500 Prozent.

Bei den Schnittstellen wird es noch deutlicher: APIs tragen 60 Prozent des dynamischen HTTP-Verkehrs, doch maschinelles Discovery findet im Schnitt 33 Prozent mehr aktive Endpunkte, als die Organisation selbst dokumentiert hat — Schatten-APIs, die niemand schützt, weil niemand sie kennt. Und das Zeitfenster schrumpft gegen null: Zwischen der Veröffentlichung eines Exploit-Beispiels und dem ersten beobachteten Angriffsversuch lagen im dokumentierten Extremfall 22 Minuten. Kein Patch-Prozess ist so schnell — der praktikable Ausweg ist virtuelles Patchen am Netzwerkrand, wie wir es in der Application Security als Managed Service betreiben.

Warum ist DNS der unterschätzte Angriffsvektor?

DNS-Floods waren im zweiten Quartal 2026 mit 40 Prozent aller Netzwerk-Layer-Angriffe der häufigste Einzelvektor überhaupt: Fällt die Namensauflösung aus, sind sämtliche Dienste darüber unerreichbar — egal, wie gut sie selbst geschützt sind. Gleichzeitig bleibt die Integrität der Namensauflösung Stückwerk: Rund 80 Prozent aller DNS-Anfragen betreffen Domains ohne DNSSEC-Signatur, obwohl das BSI die Signierung seit Jahren empfiehlt. Auf modernen DNS-Plattformen ist DNSSEC ein Mausklick; die eigentliche Arbeit ist die Entscheidung, es zu priorisieren.

Was Entscheider jetzt prüfen sollten

Deutschland zählte im vierten Quartal 2025 zu den drei meistangegriffenen Ländern weltweit, und spätestens mit den NIS2-Pflichten ist Verfügbarkeit ein Führungsthema. Drei Prüffragen aus dem Report für Ihr nächstes Risiko-Board:

• Taucht DDoS als eigenes Szenario in Ihrem Business-Continuity-Plan auf — samt Kommunikationsplan für Kunden, Partner und Aufsichtsbehörden?
• Läuft Ihr Schutz always-on, mit geübtem Runbook — oder setzt Ihr Betrieb im Ernstfall noch auf manuelle Umleitung?
• Üben Sie den Ernstfall unter realistischen Bedingungen, mit Management und Fachbereichen am Tisch statt nur im NOC?

Die wichtigste Beobachtung des Reports: Ob eine Organisation einen Angriff unbeschadet übersteht, entscheidet sich lange vor dem Angriff — in der Architektur und in den Zuständigkeiten. Der vollständige KAEMI Cyber Report 2026 mit allen Quellenangaben erscheint in Kürze. Wenn Sie Ihre eigene Umgebung gegen diese Muster prüfen wollen: Als Cloudflare-Partner betreiben wir DDoS-Schutz, WAAP und DNS-Security als Managed Service — den Einstieg macht ein unverbindliches Erstgespräch mit Blick auf Ihren realen Traffic.