CLDAP-Fluten stiegen um 580% - Taktik im Wandel

935 Angriffe über 1 Tbps sind die Schlagzeile, nicht die Geschichte

Cloudflares DDoS-Bedrohungsbericht für das erste Halbjahr 2026, veröffentlicht am 11. August 2026, setzte konkrete Zahlen auf ein Jahr wachsenden Drucks: 23,2 Millionen abgewehrte DDoS-Angriffe auf Netzwerkebene, 29,64 Billionen blockierte HTTP-DDoS-Anfragen und im Schnitt rund 5.343 Angriffe auf Netzwerkebene pro Stunde. Das Detail, das am schnellsten die Runde macht, ist das Extrem: 935 einzelne Angriffe überschritten im ersten Halbjahr ein Terabit pro Sekunde, ein Anstieg dieses Volumens um 519 Prozent vom ersten zum zweiten Quartal.

Diese Zahlen sind real, und sie machen Schlagzeilen. Eine Anzahl von Angriffen und eine Anzahl von Terabit zeigen, wie laut der Lärm wurde. Sie zeigen nicht, woher dieser Datenverkehr kam, und genau dort liegt der nützlichere Befund des Berichts: ein Wandel darin, wie Angreifer das Volumen aufbauten, der verändert, wie eine tragfähige Sicherheitsaufstellung für ein Unternehmen weit weg von jeder Schlagzeile aussehen muss.

Vom eigenen Botnet zum geliehenen fremden Server

Zwei Kategorien von Angriffen auf Netzwerkebene bewegten sich in Cloudflares Daten stark. DNS-Fluten stiegen von 25,7 Prozent der Angriffe auf Netzwerkebene im ersten Quartal auf 40,0 Prozent im zweiten. CLDAP-Fluten, eine Reflexions- und Verstärkungstechnik, stiegen um 580 Prozent im Quartalsvergleich und wurden zum dritthäufigsten Angriffsvektor im Bericht. Beide gehören zur selben Familie: Statt Datenverkehr direkt von einem Botnet zu feuern, das der Angreifer kontrolliert, schickt der Angreifer eine kleine gefälschte Anfrage an den DNS-Resolver oder LDAP-Server eines Dritten, fälscht dabei die Adresse des Ziels als Absender und lässt den Server dieses Dritten eine weit größere Antwort an das Opfer senden.

Der Reiz für einen Angreifer ist einfach: Diese Techniken vervielfachen routinemäßig eine kleine Anfrage zu einer viel größeren Antwort, sodass eine bescheidene Menge Bandbreite des Angreifers zu einer großen Flut beim Ziel wird. Für einen Verteidiger zählt, wo die Hebelwirkung sitzt. Eine klassische Botnet-Flut ist begrenzt durch die Anzahl der kompromittierten Rechner, die der Angreifer versammelt hat. Ein Reflexionsangriff ist begrenzt durch die Anzahl falsch konfigurierter DNS-Resolver oder exponierter LDAP-Server, die im offenen Internet existieren und über die der Angreifer Datenverkehr umleiten kann, und diese Zahl liegt größtenteils außerhalb der Kontrolle eines einzelnen Ziels.

Ihr Risiko hängt jetzt von der Fehlkonfiguration anderer ab

Das ist der operative Punkt, bei dem man verweilen sollte. Ein Unternehmen kann seinen eigenen Perimeter absichern, seine eigenen Server patchen und trotzdem einen größeren Reflexionsangriff abbekommen, einfach weil Tausende offene DNS-Resolver oder exponierte LDAP-Server ungepatcht irgendwo sonst im Internet stehen, verfügbar für jeden Angreifer, der sie einspannt, ohne sie je kompromittiert zu haben. Das DDoS-Risiko ist teilweise keine Funktion der eigenen Angriffsfläche mehr, sondern eine Funktion der Gesamthygiene des Internets.

Das verändert, was das DDoS-Risiko senken in der Praxis bedeuten sollte. Eine größere Leitung zu kaufen hilft weiterhin gegen rohes Volumen, tut aber wenig dagegen, als Reflektor missbraucht oder von einem getroffen zu werden. Die nützlicheren Schritte liegen vorgelagert und gemeinsam: Egress-Filterung, damit das eigene Netzwerk nicht als Reflektor eines anderen eingespannt werden kann, und ein direktes Gespräch mit dem eigenen Internetanbieter oder CDN über die Blockade bekannter Verstärkungsvektoren wie DNS und CLDAP am Netzwerkrand, statt die Kapazität nur auf den letzten gesehenen Angriff auszulegen.

Regierungsziele sprangen um 20 Ränge - beobachten, nicht abhaken

Die konkreteste Warnung im Bericht ist ein Ziel, keine Technik. Der Regierungssektor sprang von Rang 29 auf Rang 9 unter den am stärksten angegriffenen Branchen, Cloudflares größte bisher 2026 verzeichnete Einzelbranchen-Rangbewegung, ein Wandel, den der Bericht einer Kampagne namens Operation Epic Fury zuschreibt. Medien, Produktion und Verlagswesen blieben in beiden Quartalen die am stärksten angegriffene Branche nach HTTP-DDoS-Anfragevolumen, mit 14,2 Prozent aller abgewehrten HTTP-DDoS-Anfragen. Die Türkei stieg zum drittmeistangegriffenen Land auf, was Cloudflare mit dem Zeitpunkt des NATO-Gipfels in Ankara im Juli in Verbindung bringt.

Nichts davon ist ein stabiles historisches Muster, das eine Behörde oder eine öffentlichkeitsnahe Organisation achselzuckend abtun kann. Ein Sprung um 20 Ränge in einem halben Jahr ist ein laufender Wandel darin, wohin Angreifer zielen, und er trifft genau jene Organisationen in der EU und Großbritannien am härtesten, Behörden, Versorger und gesundheitsnahe Betreiber, die tendenziell die älteste Infrastruktur und die knappsten DDoS-Budgets betreiben.

Was ein Betreiber in der EU oder Großbritannien jetzt ändern sollte

Beginnen Sie mit einer Prüfung, nicht mit einem Einkauf. Prüfen Sie, ob Ihre eigenen DNS-Resolver Anfragen aus dem weiten Internet beantworten statt nur von bekannten Clients, denn ein uneingeschränkter Resolver ist genau die Art Infrastruktur, die sich Angreifer laut diesem Bericht ausleihen. Tun Sie dasselbe für jeden LDAP-Dienst, der über Ihre Netzwerkgrenze hinaus exponiert ist. Keine der beiden Korrekturen braucht neue Hardware, beide entfernen Sie als möglichen Reflektor, und beide gehören zu jener Hausarbeit, die ein Penetrationstest markiert, ein beschäftigtes IT-Team aber aufschiebt.

Führen Sie dann das schwierigere Gespräch mit Ihrem Internetanbieter oder CDN-Anbieter: Fragen Sie gezielt, ob dessen DDoS-Abwehr bekannte Verstärkungsvektoren wie DNS- und CLDAP-Fluten am Rand blockiert, zusätzlich dazu, wie viel rohes Volumen er absorbieren kann. Wenn Sie in Behörden, Versorgern oder gesundheitsnahen Diensten tätig sind, behandeln Sie den Rangsprung der Branche als aktuell, nicht als historisch, und ziehen Sie Ihre DDoS-Prüfung im Kalender vor, statt auf den nächsten Verlängerungszyklus zu warten, um sie anzustoßen.

Weiterlesen: 4.000 Apps in 30 Tagen: Cloudflares KI-Wette  |  Die Spezifikation ist dem Produkt drei Revisionen voraus