VPS/VDS mit DDoS-Schutz

Die Angabe „DDoS-Schutz“ tragen mehr als die Hälfte der Tarife im Katalog, auch die günstigsten. Hinter denselben Worten verbergen sich aber unterschiedliche Leistungen: von einer Basisfilterung am Netzrand des Rechenzentrums bis zu einer separaten geschützten IP mit Traffic-Bereinigung auf Anwendungsebene. Bevor Sie einen VDS für ein Spiel, einen Shop oder eine API mieten, klären Sie, wovor genau Sie geschützt werden.

L3/L4 und L7 – zwei verschiedene Probleme

Die meisten Angriffe sind volumetrisch und laufen auf Netzwerk- und Transportebene (L3/L4): UDP-Flood, SYN-Flood, Amplification über DNS, NTP oder memcached. Ziel ist es, die Leitung oder die Verbindungstabelle zu verstopfen. Dagegen hilft die Filterung beim Provider: Der Traffic durchläuft Scrubbing-Hardware, bevor er den Server erreicht. Genau das nennt man üblicherweise Basisschutz.

Angriffe auf Anwendungsebene (L7) sehen aus wie gewöhnliche HTTP-Anfragen: Tausende Bots rufen Suche, Warenkorb und Login-Formular auf. Vom Volumen her sind sie klein, und der Netzwerkfilter bemerkt sie nicht. Hier braucht es andere Mittel: einen geschützten Proxy oder ein CDN vor der Website, Request-Limits in nginx, Captcha, Caching schwerer Seiten. Für eine Website oder einen Onlineshop deckt der L3/L4-Schutz des Anbieters nur die Hälfte der Risiken ab.

Was im Tarif enthalten ist und was extra kostet

• Basisschutz im Tarifpreis. Automatische Filterung bekannter Flood-Typen mit begrenzter Kapazität. Ist der Angriff stärker, kann der Anbieter Ihre IP in ein Blackhole schicken: Der Server läuft, ist aber aus dem Internet nicht erreichbar, bis der Angriff endet.
• Erweiterter Schutz. Eine separate geschützte IP oder ein Tarif mit größerer Filterkapazität, manchmal mit Regeln für bestimmte Protokolle.
• L7-Schutz. Meist eine eigenständige Leistung: Die Domain wird über ein Filternetz geleitet, die echte IP des Servers bleibt verborgen.

Was Sie den Anbieter vor dem Bezahlen fragen sollten

1. Wie groß ist die Filterkapazität, und was passiert, wenn ein Angriff sie übersteigt?
2. Arbeitet der Schutz permanent (Always-on) oder wird er erst nach Erkennung eines Angriffs aktiviert? Im zweiten Fall kann der Server in den ersten Minuten unerreichbar sein.
3. Wie wird UDP gefiltert? Spiel- und Sprachprotokolle leiden unter groben Regeln: Mit dem Flood fliegen auch echte Spieler raus.
4. Wird eingehender Angriffstraffic auf das Tariflimit angerechnet, und was passiert bei wiederholten Angriffen?
5. Gibt es Benachrichtigungen über Angriffe, und sind sie im Panel sichtbar?

Wer Schutz am dringendsten braucht

Am häufigsten werden Spieleprojekte angegriffen: Server für Minecraft, Rust und RP-Projekte auf RAGE MP und FiveM. Einen Flood zu bestellen kostet wenig, daher sind feine Regeln für Spielprotokolle hier wichtiger als Prozessorleistung. Das zweite Risiko sind Shops und Dienste an Aktionstagen. Für einen internen Firmen-VPN-Zugang oder eine Testumgebung reicht der Basisschutz, den die meisten Tarife ohnehin haben.

In der Tabelle oben stehen Tarife, für die der Anbieter selbst DDoS-Schutz angibt; die Spalte „Zahlung“ zeigt, ob Sie per Karte, PayPal oder Kryptowährung bezahlen können. Kapazität und Bedingungen des Schutzes beschreiben die Anbieter unterschiedlich, klären Sie diese daher mit dem Support.