DDoS Threat Report
Cloudflare warnt vor DDoS-Welle: DNS-Floods und geopolitische Konflikte treiben Angriffe
935 Terabit-Attacken in sechs Monaten – Angriffe über 1 Tbps nehmen um 519 Prozent zu
DDoS-Angriffe werden nicht nur größer – extreme Angriffsstärken entwickeln sich zunehmend vom Ausnahmefall zum regulären Bestandteil der Bedrohungslage. Cloudflare registrierte allein im ersten Halbjahr 2026 935 Netzwerk-DDoS-Attacken mit mehr als einem Terabit pro Sekunde, während die Zahl solcher hypervolumetrischen Angriffe zwischen dem ersten und zweiten Quartal um 519 Prozent zunahm. Damit verschiebt sich auch die Messlatte für Unternehmen: Entscheidend ist nicht mehr allein, ob ein DDoS-Schutz vorhanden ist, sondern ob er Attacken in Terabit-Dimensionen automatisiert und praktisch ohne Reaktionszeit abfangen kann.
Cloudflares neuer DDoS Threat Report für das erste Halbjahr 2026 zeichnet das Bild einer Angriffswelt, in der hohe Volumina, automatisierte Botnetze, alte Reflection-Techniken und geopolitische Konflikte zusammenkommen. Nach Angaben des Infrastruktur- und Sicherheitsanbieters wurden von Januar bis Juni 23,2 Millionen DDoS-Angriffe auf Netzwerkebene abgewehrt. Hinzu kamen rund 29,64 Billionen HTTP-DDoS-Requests.
Rechnerisch entspricht das mehr als 5.300 Netzwerkangriffen pro Stunde beziehungsweise rund 128.000 pro Tag. Die Größenordnung sollte allerdings richtig eingeordnet werden: Die Zahlen stammen aus der Telemetrie des globalen Cloudflare-Netzwerks und bilden damit einen großen, aber nicht vollständigen Ausschnitt des weltweiten DDoS-Geschehens ab.
1-Tbps-Angriffe verlieren ihren Ausnahmecharakter
Besonders auffällig ist die Entwicklung bei den sogenannten hypervolumetrischen Attacken. Cloudflare zählt dazu unter anderem Angriffe oberhalb von einem Terabit pro Sekunde. Im zweiten Quartal 2026 wehrte das Unternehmen 805 Netzwerk-DDoS-Angriffe mit mehr als 1 Tbps ab. Über das gesamte erste Halbjahr waren es 935.
Der Sprung zwischen den beiden Quartalen fällt drastisch aus: Cloudflare beziffert das Wachstum dieser Angriffe auf 519 Prozent. Damit zeichnet sich eine Entwicklung ab, die für die Verteidigung wichtiger ist als jeder einzelne Rekordangriff. Terabit-Attacken treten offenbar nicht mehr nur als spektakuläre Ausreißer auf, sondern in deutlich höherer Frequenz.
Genau darin liegt die eigentliche Verschärfung der Bedrohungslage. Ein Unternehmen muss nicht selbst Ziel eines historischen Rekordangriffs werden, um mit Kapazitäten konfrontiert zu sein, die klassische DDoS-Architekturen, Upstream-Verbindungen oder zentralisierte Scrubbing-Konzepte unter erheblichen Druck setzen können.
DNS wird erneut zum bevorzugten Angriffsvektor
Neben der schieren Größe verändert sich auch die Zusammensetzung der Attacken. Besonders deutlich ist die Rückkehr von DNS-basierten Angriffen. DNS Floods machten im zweiten Quartal laut Cloudflare rund 40 Prozent der beobachteten Netzwerk-DDoS-Vektoren aus, nachdem ihr Anteil im ersten Quartal noch bei 25,7 Prozent gelegen hatte. DNS Floods und DNS-Amplification-Angriffe kamen im gesamten Halbjahr zusammen auf 34,3 Prozent der Netzwerkaktivitäten.
Bemerkenswert ist außerdem das starke Wachstum von CLDAP-basierten Flooding-Angriffen. Cloudflare meldet hier einen massiven Anstieg gegenüber dem Vorquartal. UDP Floods blieben ebenfalls relevant und belegten im zweiten Quartal mit einem Anteil von rund 14 Prozent einen der vorderen Plätze unter den Angriffsmethoden.
Dass bekannte Reflection- und Amplification-Mechanismen weiterhin funktionieren, ist aus Verteidigersicht ernüchternd. Viele der grundlegenden Gegenmaßnahmen sind seit Jahren bekannt. Dennoch existieren weltweit genügend fehlkonfigurierte oder unzureichend geschützte Systeme, die sich weiterhin als Verstärker missbrauchen lassen.
DDoS wird zum geopolitischen Werkzeug
Cloudflare sieht zugleich eine immer engere Verbindung zwischen geopolitischen Ereignissen und messbaren Ausschlägen bei DDoS-Angriffen. Der Report untersucht unter anderem Angriffsentwicklungen im Umfeld internationaler Konflikte und politischer Spannungen. Damit bestätigt sich ein seit Jahren sichtbarer Trend: DDoS ist längst nicht nur Werkzeug finanziell motivierter Cyberkrimineller, sondern auch Bestandteil von Hacktivismus und politisch motivierten Cyberoperationen.
Der technische Aufwand für solche Kampagnen ist vergleichsweise niedrig, während ihre Außenwirkung erheblich sein kann. Behörden, Medien, Finanzdienstleister, Telekommunikationsunternehmen oder kritische digitale Dienste lassen sich zeitweise beeinträchtigen, ohne dass Angreifer dafür zwingend tief in interne Netzwerke eindringen müssen.
Gerade in Phasen politischer Eskalation wird die Verfügbarkeit digitaler Dienste deshalb selbst zu einem Sicherheitsfaktor.
Medien und Publishing besonders stark betroffen
Auch die Branchenverteilung zeigt interessante Verschiebungen. Media, Production & Publishing war nach Cloudflare-Angaben sowohl im ersten als auch im zweiten Quartal 2026 der am stärksten von HTTP-DDoS betroffene Sektor. Im ersten Halbjahr entfielen 14,2 Prozent aller vom Unternehmen abgewehrten HTTP-DDoS-Requests auf diesen Bereich.
Das ist nicht nur technisch relevant. Medienunternehmen und Informationsplattformen besitzen im Umfeld politischer oder gesellschaftlicher Konflikte eine besondere strategische Bedeutung. Ihre Nichtverfügbarkeit kann unmittelbar Einfluss darauf haben, welche Informationen Nutzer erreichen.
Bei der geografischen Verteilung lag China im zweiten Quartal mit 22,4 Prozent der beobachteten HTTP-DDoS-Requests an der Spitze, gefolgt von den USA mit 18,8 Prozent.
Automatisierung wird bei der Verteidigung zur Voraussetzung
Die Zahlen des ersten Halbjahres zeigen vor allem eines: Bei modernen DDoS-Angriffen schrumpft das verfügbare Reaktionsfenster weiter. Ein Angriff, der innerhalb von Sekunden enorme Bandbreiten oder Paketmengen erzeugt, lässt sich nicht mehr sinnvoll durch manuelle Eskalationsprozesse abfangen.
Damit verändert sich auch die Architektur wirksamer DDoS-Abwehr. Erkennung, Klassifizierung und Mitigation müssen möglichst nahe am Ursprung beziehungsweise verteilt über große Netzkapazitäten automatisiert erfolgen. Erst einen Alarm auszulösen, anschließend Analysten einzubeziehen und danach Filterregeln anzupassen, reicht bei hypervolumetrischen Angriffen zunehmend nicht mehr aus.
Unternehmen sollten deshalb nicht nur die nominelle maximale Abwehrkapazität eines Dienstes betrachten. Entscheidend sind ebenso automatische Erkennung, Time-to-Mitigation, globale Netzabdeckung, Schutz der Netzwerk- und Anwendungsebene sowie die Frage, ob Schutzmechanismen ständig aktiv sind oder erst nach Feststellung eines Angriffs eingeschaltet werden.
DDoS-Schutz wird Teil der Resilienzstrategie
Der Cloudflare-Report dokumentiert damit weniger einen einzelnen neuen Angriffstrend als eine strukturelle Veränderung. Volumen, Frequenz und politische Instrumentalisierung von DDoS wachsen gleichzeitig.
Für Unternehmen bedeutet das, Verfügbarkeit stärker als Teil der Cyberresilienz zu betrachten. Besonders Organisationen mit geschäftskritischen Online-Diensten, APIs, Kundenportalen oder öffentlich exponierter Infrastruktur sollten prüfen, ob ihre Schutzkonzepte auch dann funktionieren, wenn ein Angriff nicht einige Gigabit, sondern mehrere Terabit pro Sekunde erreicht.
Die entscheidende Kennzahl ist dabei zunehmend nicht der größte theoretisch abwehrbare Angriff. Wichtiger ist, wie zuverlässig eine Infrastruktur Tausende Angriffe automatisiert verarbeitet, ohne dass Nutzer davon überhaupt etwas bemerken.
