DDoS-Schutz: was Hoster tatsächlich bieten
Die Zeile „DDoS-Schutz“ steht inzwischen bei jedem zweiten Hoster im Tarif. Dahinter kann eine Filterung im Umfang mehrerer Terabit stecken – oder nur das Recht, Ihre Adresse abzuschalten, sobald ein Angriff die Nachbarn stört. Hier erfahren Sie, woraus Schutz besteht, wie sich die Ebenen L3/L4 und L7 unterscheiden und wie Sie anhand des Vertrags erkennen, was Sie eigentlich kaufen.
Ein DDoS-Angriff ist eine Flut von Anfragen von vielen Rechnern, die einen Server oder seine Anbindung überlasten soll, damit echte Besucher ihn nicht mehr erreichen. Der Schutz dagegen sitzt im Netz des Hosters oder bei einem externen Filteranbieter: Verdächtiger Traffic wird vom normalen getrennt und verworfen, bevor er den Server erreicht. Der Server selbst kann einen großen Angriff nicht abwehren: Ist die Leitung zu ihm voll, helfen keine Einstellungen im System mehr.
Angriffsebenen: L3/L4 und L7
Angriffe werden nach den Schichten des Netzwerkmodells eingeteilt, und der Schutz sieht jeweils anders aus.
- Volumetrische Angriffe (L3/L4) füllen die Anbindung: Beim Server kommt so viel Traffic an, dass der Port oder die externen Leitungen des Rechenzentrums komplett ausgelastet sind. Ihre Stärke misst man in Gigabit und Terabit pro Sekunde.
- Protokollangriffe (L3/L4) erschöpfen nicht die Bandbreite, sondern die Ressourcen, die Verbindungen verwalten: Zustandstabellen der Firewall, die Warteschlange neuer TCP-Verbindungen. Gemessen werden sie in Paketen pro Sekunde (pps, Mpps). Gegen einen Teil davon hilft auch Schutz auf dem Server selbst, etwa SYN-Cookies (RFC 4987).
- Angriffe auf die Anwendung (L7) sehen aus wie gewöhnliche HTTP-Anfragen an eine Website oder API: Suche, Warenkorb, Login. Die Leitung bleibt dabei fast frei, aber Webserver oder Datenbank gehen in die Knie. Gemessen werden sie in Anfragen pro Sekunde (rps), und man unterscheidet sie von Besuchern am Verhalten, nicht am Volumen.
Netzwerkfilterung auf L3/L4 schaltet der Hoster in der Regel für alle Kunden ein. L7-Schutz ist aufwendiger: Der Filter muss Ihre Website verstehen, den Inhalt von HTTPS-Anfragen sehen und Besucher von Bots unterscheiden können. Deshalb wird er häufiger separat verkauft, über einen Proxy mit Ihrem Zertifikat angebunden oder der Website selbst überlassen – CDN, WAF, Begrenzung der Anfragerate im Webserver.
„Schutz inklusive“ und echte Filterung
Laut accsly-Katalog vom 3. November 2026 geben 1 117 von 2 236 Hostern mit VPS-Tarifen DDoS-Schutz an – genau die Hälfte. Details dazu ließen sich bei 219 Hostern im Katalog finden, und das Bild ist uneinheitlich:
- eine Filterkapazität in Gbit/s oder Tbit/s nennen 35 Hoster;
- die Schutzebene (L3/L4 oder L7) geben 24 an;
- L7 erwähnen 8, und bei der Hälfte davon ist er kostenpflichtig oder wird auf Anfrage aktiviert;
- in etwa einem Viertel der Beschreibungen ist der Schutz eine separat bezahlte Option, in einem weiteren Viertel ausdrücklich im Preis enthalten.
Die übrigen fassen sich kurz: „vorhanden“, „angegeben“, „integrierter Netzwerkschutz“. Das ist nicht zwingend schlecht, aber aus einer solchen Formulierung geht nicht hervor, was während eines Angriffs passiert. Hinter denselben Worten stecken drei verschiedene Dinge:
- Dauerhafte Filterung (always-on). Der gesamte Traffic läuft immer durch den Filter. Ein Angriff wird sofort abgefangen, aber der Filter trifft manchmal auch normalen Traffic – etwa Spielprotokolle über UDP.
- Filterung bei Auslösung (on-demand). Das System beobachtet den Traffic und schaltet die Bereinigung ein, sobald der Datenstrom eine Schwelle überschreitet. Zwischen Angriffsbeginn und Aktivierung des Filters vergehen Sekunden oder Minuten, und so lange kann der Server nicht erreichbar sein.
- Nur Blackhole. Eine echte Bereinigung gibt es nicht: Bei einem Angriff lässt das Netz des Hosters einfach keinen Traffic mehr zu Ihrer Adresse durch. Das schützt die Nachbarn und den Hoster, aber nicht Sie.
Schwellenwert und Blackhole
Jeder Schutz hat eine Grenze – ein Volumen oder eine Paketzahl, ab der der Hoster nicht mehr filtert. In den Nutzungsbedingungen steht das meist so: „Bei einem Angriff über N Gbit/s kann die Adresse vorübergehend abgeschaltet werden.“ Abgeschaltet wird per Blackhole: Der Betreiber teilt benachbarten Netzen mit, dass Traffic an Ihre Adresse zu verwerfen ist. Dafür gibt es in BGP die Standardmarkierung BLACKHOLE (RFC 7999), und abgeschaltet wird nach Möglichkeit genau eine Adresse – /32 bei IPv4 oder /128 bei IPv6 –, damit die Nachbarn nicht betroffen sind.
Für den Serverbetreiber heißt das schlicht: Der Angriff erreicht sein Ziel, nur eben nicht auf Ihrem Server, sondern im Netz. Die Adresse ist für alle unerreichbar, bis das Blackhole aufgehoben wird, und die Dauer ist von Hoster zu Hoster verschieden – auch sie sollten Sie in den Bedingungen suchen. Verträgt Ihr Projekt einen solchen Ausfall nicht, muss die Filterschwelle deutlich über den Angriffen liegen, mit denen Sie realistisch rechnen, und die Website sollte zusätzlich durch einen vorgeschalteten L7-Schutz abgesichert sein.
Ein weiteres Detail ist der Port. Bei einem Tarif mit 100-Mbit/s-Port füllt schon ein kleiner Angriff ihn vollständig, und der Filter des Hosters muss ihn abfangen, bevor er Ihren Port erreicht. Wie Sie Portgeschwindigkeit und gemeinsame Anbindung lesen, steht im Artikel Bandbreite und Traffic: was 1 Gbit/s und „unbegrenzt“ bedeuten.
Was Sie den Hoster fragen und im Vertrag prüfen sollten
- Ebenen. Nur L3/L4 oder auch L7? Falls L7 – wie wird er angebunden: per Proxy, per DNS-Umstellung, mit Ihrem Zertifikat oder ohne?
- Kapazität. Wie viele Gbit/s und wie viele Millionen Pakete pro Sekunde hält der Filter pro Adresse aus – nicht für das gesamte Netz?
- Modus. Filtert er dauerhaft oder erst ab einer Schwelle, und wie lange dauert es bis zur Aktivierung?
- Was nach der Schwelle passiert. Wird die Adresse abgeschaltet, für wie lange, lässt sich die Abschaltung früher aufheben, und was kostet ein höheres Schutzniveau?
- Wo der Filter steht. Im Rechenzentrum selbst oder bei einem externen Anbieter; gilt der Schutz für alle Standorte des Hosters – manchmal gibt es ihn nur in einer Stadt.
- Preis und Bedingungen. Ist der Schutz im Tarif enthalten oder eine kostenpflichtige Option, und wird womöglich für jeden abgewehrten Angriff extra berechnet?
- Haftung. Zählt die Zeit eines Angriffs zum SLA für die Verfügbarkeit? Oft nicht: Die Bedingungen nehmen Angriffe von der Garantie aus.
Lassen Sie sich die Antworten schriftlich im Support-Ticket geben: Wenn die Beschreibung auf der Website dürftig ist, sind genau das Ihre Konditionen. Allgemeine Tipps zum Lesen von Tarifen finden Sie im Artikel Hosting-Tarife richtig lesen: versteckte Einschränkungen.
Was Sie selbst tun können
Auch mit gutem Schutz beim Hoster bleibt ein Teil der Arbeit bei Ihnen:
- schließen Sie per Firewall alles außer den benötigten Ports und aktivieren Sie SYN-Cookies – in den meisten Linux-Distributionen sind sie bereits aktiv; die Grundeinrichtung beschreibt der Artikel Die ersten 10 Schritte nach dem VPS-Kauf: Sicherheit;
- begrenzen Sie für eine Website die Anfragerate auf rechenintensive Seiten (Suche, Login, Warenkorb) direkt im Webserver und schalten Sie ein CDN mit L7-Schutz vor;
- liegt die Website hinter einem CDN oder Proxy, veröffentlichen Sie die direkte Serveradresse weder im DNS noch in E-Mails – sonst läuft der Traffic am Filter vorbei;
- überwachen Sie die Erreichbarkeit von außen, um einen Angriff vor Ihren Besuchern zu bemerken – dazu der Artikel Servermonitoring: Uptime, Last, Alarme;
- halten Sie ein aktuelles Backup und eine Umzugsanleitung bereit: Kommt der Hoster nicht zurecht, lässt sich das Projekt anderswo wieder hochfahren.
Tarife, bei denen der Schutz laut Angabe im Preis enthalten ist, finden Sie in der Zusammenstellung VPS mit DDoS-Schutz. Gameserver brauchen Schutz häufiger als andere, und zwar meist L3/L4 für UDP: Zusammenstellungen VPS für Gameserver und dedizierte Server für Spiele.