DDoS Report
DDoS-Angriffe explodieren: 18,2 Millionen Attacken in nur drei Monaten
Cloudflare veröffentlicht DDoS-Report Q3 2026
208 Prozent mehr DDoS-Angriffe innerhalb eines Jahres, aber deutlich weniger Attacken im Terabit-Bereich: Die Cyberbedrohung verändert ihr Gesicht. Statt auf einzelne massive Angriffe setzen Cyberkriminelle zunehmend auf kurze, automatisierte Angriffswellen. Der aktuelle DDoS Threat Report von Cloudflare zeigt, warum diese Entwicklung Unternehmen vor neue Herausforderungen stellt und klassische Abwehrstrategien zunehmend an ihre Grenzen bringt.
Die Zahlen sind bemerkenswert: Im dritten Quartal 2026 hat Cloudflare weltweit 18,2 Millionen DDoS-Angriffe auf Netzwerkebene abgewehrt. Das entspricht durchschnittlich 8.226 Attacken pro Stunde oder einem Angriff alle 0,44 Sekunden. Gegenüber dem Vorjahresquartal bedeutet dies einen Anstieg um 208 Prozent.
Gleichzeitig ging die Zahl besonders leistungsstarker Angriffe mit einer Bandbreite von mehr als einem Terabit pro Sekunde (Tbit/s) deutlich zurück. Während Cloudflare im zweiten Quartal noch 805 solcher Attacken registrierte, waren es zwischen Juli und September lediglich 251 – ein Rückgang um knapp 69 Prozent.
Hinzu kamen 14,4 Billionen HTTP-DDoS-Anfragen auf Anwendungsebene. Insgesamt blockierte Cloudflare im Berichtszeitraum 272,6 Petabyte schädlichen Datenverkehr auf Netzwerkebene sowie weitere 95,1 Petabyte auf HTTP-Ebene.
Die Ergebnisse stammen aus der 26. Ausgabe des DDoS Threat Reports von Cloudflare , den die Threat-Intelligence-Abteilung Cloudforce One veröffentlicht hat.
Weniger Mega-Angriffe: Strafverfolger zeigen Wirkung
Der deutliche Rückgang sogenannter hypervolumetrischer DDoS-Angriffe könnte mit einem Erfolg internationaler Strafverfolgungsbehörden zusammenhängen.
Anfang 2026 gelang es den Behörden, die Infrastruktur von vier großen IoT-Botnetzen zu zerschlagen: Aisuru, KimWolf, JackSkid und Mossad. Diese Netzwerke hatten zuvor enorme Mengen kompromittierter Geräte für groß angelegte DDoS-Attacken genutzt. Der zeitliche Zusammenhang mit dem Rückgang besonders leistungsstarker Angriffe ist auffällig. Ein eindeutiger kausaler Nachweis lässt sich daraus allerdings nicht ableiten.
Entwarnung wäre ohnehin verfrüht. Mit Varianten wie Dysphoria und Evooo1Bot entstehen bereits neue Bedrohungen. Das dahinterstehende Geschäftsmodell bleibt attraktiv: Angreifer kapern schlecht gesicherte IoT-Geräte, bündeln deren Rechen- und Netzwerkleistung und setzen sie für koordinierte Attacken ein.
Wie leistungsfähig solche Botnetze weiterhin sind, verdeutlichen die Mirai-Aktivitäten.
Allein im August erreichte das von Cloudflare abgewehrte Mirai-Angriffsvolumen 57,23 Petabyte. An vier einzelnen Tagen wurden jeweils mehr als drei Petabyte registriert. Der längste zusammenhängende Mirai-Angriff dauerte 49,7 Stunden und erstreckte sich vom 19. bis zum 21. August.
Die Zerschlagung großer Botnetze kann die Bedrohung kurzfristig reduzieren. Die Fähigkeit der Cyberkriminellen, neue Infrastrukturen aufzubauen, bleibt jedoch bestehen
DDoS-as-a-Service: Tausende kleine Angriffe statt einzelner Großattacken
Eine der wichtigsten Erkenntnisse des Reports betrifft die veränderte Angriffsstrategie. Cyberkriminelle setzen zunehmend auf kurze Attacken mit vergleichsweise geringer Bandbreite. Diese verursachen möglicherweise weniger spektakuläre Schlagzeilen als Angriffe im Terabit-Bereich, können für betroffene Unternehmen aber dennoch erhebliche Auswirkungen haben.
Die Zahlen verdeutlichen das Muster: • 96 Prozent aller DDoS-Angriffe dauerten weniger als zehn Minuten. • 98 Prozent erreichten eine Bandbreite von weniger als 1 Gbit/s. • Die Gesamtzahl der Angriffe auf Netzwerkebene stieg gegenüber dem Vorjahr um 208 Prozent.
Cloudflare sieht darin typische Merkmale sogenannter Booter-Dienste. Über solche Plattformen können auch technisch wenig versierte Angreifer DDoS-Attacken gegen Bezahlung durchführen lassen. Damit wird die Durchführung von Cyberangriffen zunehmend zu einer kommerziell verfügbaren Dienstleistung.
Besonders betroffen waren Unternehmen aus der Softwarebranche, Glücksspiel- und Casino-Anbieter sowie Organisationen aus dem IT-Sektor.
Für kleinere und mittelständische Unternehmen ist diese Entwicklung problematisch. Denn auch Angriffe unterhalb der Gigabit-Grenze können ausreichen, um schlecht geschützte Server, Webanwendungen oder Internetanbindungen zu überlasten.
Die entscheidende Größe ist damit nicht mehr ausschließlich das maximale Angriffsvolumen, sondern zunehmend auch die Häufigkeit und Geschwindigkeit der Attacken.
Angreifer ändern ihre Methoden: DNS-Amplification und UDP-Floods nehmen zu
Nicht nur die Anzahl der Angriffe verändert sich. Auch bei den eingesetzten Technologien zeigt sich eine deutliche Verschiebung. Besonders auffällig ist der Rückgang von CLDAP-Reflection-Angriffen.
Bei dieser Methode manipulieren Angreifer die Absenderadresse kleiner CLDAP-Anfragen. Öffentlich erreichbare Verzeichnisdienste beantworten diese Anfragen daraufhin mit deutlich größeren Datenpaketen, die an die IP-Adresse des eigentlichen Opfers geschickt werden.
Nachdem diese Angriffstechnik im ersten Halbjahr zeitweise stark zugenommen hatte, brach ihre Nutzung im dritten Quartal um 99,5 Prozent ein. Ihr Anteil sank auf lediglich 0,05 Prozent aller registrierten Angriffe. Stattdessen gewannen andere Verfahren deutlich an Bedeutung. DNS-Amplification-Angriffe nahmen um 215 Prozent zu und erreichten einen Anteil von 3,43 Prozent aller DDoS-Angriffe auf Netzwerkebene.
Dabei nutzen Angreifer unzureichend geschützte DNS-Resolver, um aus kleinen Anfragen große Antwortpakete zu erzeugen und diese gezielt auf die Infrastruktur ihrer Opfer zu lenken. Noch deutlicher zeigt sich die Verschiebung bei allgemeinen UDP-Flood-Angriffen. Ihr Anteil stieg von 14,06 Prozent im zweiten Quartal auf 31,31 Prozent im dritten Quartal. UDP eignet sich für solche Attacken besonders gut, da das verbindungslose Protokoll keine vorherige Sitzung zwischen Sender und Empfänger voraussetzt.
Die Entwicklung unterstreicht, wie flexibel Cyberkriminelle auf veränderte technische Rahmenbedingungen reagieren und ihre Angriffsmethoden anpassen.
Branchen im Visier: Angreifer verteilen ihre Attacken breiter
Auch bei den bevorzugten Angriffszielen registriert Cloudflare deutliche Veränderungen. Unternehmen aus den Bereichen Medien, Produktion und Verlagswesen blieben zwar die am stärksten betroffene Branche. Ihr Anteil am gesamten Angriffsgeschehen fiel jedoch auf ungefähr ein Viertel des Wertes aus dem zweiten Quartal. Gleichzeitig rückten andere Wirtschaftszweige stärker in den Fokus.
Die Internetbranche verbesserte sich im Ranking der meistangegriffenen Sektoren von außerhalb der Top 10 auf Platz sechs. Verbraucherdienstleistungen erreichten Platz acht, während Anbieter aus dem Bereich Adult Entertainment auf Platz neun landeten. Die Angriffe verteilen sich damit auf ein breiteres Spektrum wirtschaftlicher Aktivitäten.
Für Unternehmen bedeutet dies, dass DDoS-Angriffe längst kein exklusives Problem besonders exponierter Branchen mehr sind. USA wieder meistangegriffenes Land – Kanada und Israel steigen deutlich Auch geografisch verändert sich die Bedrohungslage. Die USA übernahmen im dritten Quartal erneut die Spitzenposition der am häufigsten angegriffenen Länder. China fiel auf Rang zwei zurück, während Indonesien mit einem Anteil von 2,93 Prozent Platz drei belegte.
Besonders auffällig entwickelte sich die Situation in Kanada.
Das Land rückte innerhalb eines Quartals um zehn Positionen auf Rang sechs vor. Betroffen waren insbesondere Unternehmen aus dem Einzelhandel, der Telekommunikation, dem Service-Provider-Umfeld sowie der Marketing- und Werbebranche.
Cloudflare verweist in diesem Zusammenhang auf bestehende handelspolitische Spannungen. Ob diese unmittelbar für die gestiegenen Angriffe verantwortlich sind, lässt sich aus den Zahlen jedoch nicht eindeutig ableiten. Israel verzeichnete ebenfalls einen deutlichen Anstieg und rückte um sieben Positionen auf Platz zehn vor. Insbesondere Mitte September registrierte Cloudflare dort eine anhaltend hohe DDoS-Aktivität. Die geografischen Verschiebungen zeigen, wie dynamisch sich das Angriffsgeschehen entwickelt und wie schnell einzelne Länder verstärkt ins Visier geraten können.
Warum automatisierte DDoS-Abwehr unverzichtbar wird
Die vielleicht wichtigste Erkenntnis des Cloudflare-Reports betrifft weniger die Angreifer als vielmehr die Verteidiger.
Wenn 96 Prozent aller DDoS-Angriffe innerhalb von zehn Minuten beendet sind, bleibt für klassische manuelle Abwehrprozesse kaum Zeit. Bis ein Sicherheitssystem Alarm schlägt, ein Analyst die Situation bewertet und entsprechende Gegenmaßnahmen eingeleitet werden, kann der Angriff bereits vorbei sein.
Hinzu kommt, dass Cloudflare trotz des deutlichen Rückgangs weiterhin Hunderte Attacken mit einer Bandbreite von mehr als einem Terabit pro Sekunde registriert. Unternehmen müssen deshalb beide Extreme beherrschen: extrem große Angriffsvolumina ebenso wie massenhafte, kurze Angriffswellen.
Gefragt sind automatisierte Erkennungs- und Abwehrmechanismen, die ungewöhnliche Verkehrsmuster in Echtzeit identifizieren, schädlichen Datenverkehr herausfiltern und legitime Verbindungen möglichst unbeeinträchtigt lassen. Dazu gehören neben skalierbaren DDoS-Schutzdiensten auch kontinuierliches Netzwerkmonitoring, geeignete Schutzmechanismen für Webanwendungen und klar definierte Reaktionsprozesse.
Fazit: Die DDoS-Bedrohung wird kleinteiliger, aber nicht harmloser
Der DDoS Threat Report für das dritte Quartal 2026 zeigt eine bemerkenswerte Verschiebung. Zwar ist die Zahl besonders großer Terabit-Attacken deutlich gesunken. Gleichzeitig wächst die Gesamtzahl der Angriffe in einem Tempo, das traditionelle Sicherheitsprozesse zunehmend überfordert. Die Zerschlagung großer Botnetze zeigt, dass Strafverfolgungsmaßnahmen Wirkung entfalten können. Die rasche Entstehung neuer Varianten und die zunehmende Verfügbarkeit kommerzieller Angriffsdienste machen jedoch deutlich, dass sich die Bedrohung dadurch nicht dauerhaft beseitigen lässt.
Für Unternehmen zählt deshalb nicht allein, wie viel Angriffsverkehr ihre Infrastruktur verkraftet. Entscheidend wird zunehmend, wie schnell ihre Sicherheitsarchitektur Millionen automatisierter Angriffsversuche erkennen und abwehren kann.
