DDoS-Schutz als Dienstleistung: Was ein Managed Service umfasst

Kurz gesagt: Ein DDoS-Schutz als Dienstleistung erkennt Distributed-Denial-of-Service-Angriffe in Echtzeit und filtert den schädlichen Verkehr heraus, bevor er Ihr Netz sättigt. In der Regel handelt es sich um einen Managed Service, der Erkennung, automatische Filterung, Monitoring rund um die Uhr und Reaktion auf Vorfälle kombiniert. Für Netzbetreiber ist das Ziel klar: Kunden während eines Angriffs online halten, und zwar innerhalb weniger Sekunden, denn heutige Floods sättigen Uplinks in deutlich weniger als einer Minute.

Das Wichtigste in Kürze

• DDoS-Schutz als Dienstleistung = Erkennung + automatische Filterung + Monitoring + Reaktion, für Sie betrieben.
• Zwei Bereitstellungsmodelle: Filterung im eigenen Netz (schnell, die Daten bleiben bei Ihnen) und Scrubbing in der Cloud (Umleitung des Verkehrs, Kosten pro Gbps).
• Die Zahl der Angriffe stieg 2025 um 121 %, und Telekommunikationsanbieter und ISPs sind heute die am häufigsten angegriffene Branche (Cloudflare, Februar 2026).
• Der Wert liegt im Tuning und im Betrieb, also in präziser Erkennung mit wenigen Fehlalarmen, nicht in der Software allein.
• Die Abwehr im eigenen Netz ist durch die Uplink-Kapazität begrenzt; ein seriöser Anbieter benennt diese Grenzen offen.

---

Was ist ein DDoS-Schutz als Dienstleistung?

Ein DDoS-Schutz als Dienstleistung ist eine verwaltete Funktion, die Denial-of-Service-Angriffe erkennt und neutralisiert, damit Ihre Infrastruktur erreichbar bleibt. Sie beobachtet den Verkehr auf Angriffsmerkmale wie eine Angriffssignatur, einen unnatürlichen Anstieg der Paketrate, eine Flut gefälschter (spoofed) Quelladressen oder einen Amplification-Vektor. Anschließend filtert sie diesen Verkehr oder leitet ihn um und lässt legitime Nutzer passieren. Manche Dienste arbeiten in der Cloud; andere, wie die DDoS-Schutz-Dienstleistungen von ITORO, laufen in Ihrem eigenen Netz und bieten geringere Latenz sowie volle Kontrolle über die Daten.

Der Kern liegt im Wort verwaltet: Der Anbieter übergibt Ihnen nicht nur Software, sondern betreibt sie. Er erstellt eine Baseline Ihres Verkehrs, stimmt Schwellenwerte ab, reagiert auf Vorfälle und berichtet im Nachgang.

Warum ist DDoS-Schutz 2026 relevant?

Die Bedrohung ist stark gewachsen, und Netzbetreiber stehen im Visier. Cloudflare berichtete, dass die Zahl der DDoS-Angriffe 2025 um 121 % gegenüber dem Vorjahr stieg, dass im Durchschnitt 5.376 Angriffe pro Stunde automatisch abgewehrt wurden und dass ein Rekord-Flood von 31,4 Tbps blockiert wurde, der nur 35 Sekunden dauerte. Dabei waren Telekommunikation, Service Provider und Carrier die am häufigsten angegriffene Branche bei hypervolumetrischen Angriffen. (Cloudflare Q4 2025 DDoS Threat Report, Februar 2026.)

Die Daten von NETSCOUT bestätigen das: über 8 Millionen DDoS-Angriffe im zweiten Halbjahr 2025 in 203 Ländern, von denen rund 42 % mehrere Angriffsvektoren gleichzeitig nutzten. (NETSCOUT DDoS Threat Intelligence Report, Ausgabe 16, März 2026.) Wenn ein Angriff Ihren Uplink innerhalb weniger Dutzend Sekunden sättigen kann, entscheidet die Reaktionsgeschwindigkeit der Abwehr darüber, ob Ihre Kunden überhaupt etwas bemerken.

Was umfasst ein verwalteter DDoS-Schutz?

Ein vollständiger DDoS-Schutz als Dienstleistung ist mehr als ein Filter. Er umfasst in der Regel:

• Erkennung in Echtzeit: kontinuierliches Profiling des Verkehrs, das einen Angriff in Sekunden meldet, nicht in Minuten.
• Automatische Filterung: Verwerfen oder Begrenzen des Angriffsverkehrs per BGP FlowSpec, RTBH-Blackholing oder Paket-Scrubbing, ausgelöst, sobald der Angriff bestätigt ist.
• Monitoring 24/7: ein NOC/SOC, das Verkehr und Abwehrmaßnahmen rund um die Uhr überwacht.
• Tuning und Reduktion von Fehlalarmen: Baselines pro Subnetz, Ausnahmen für bekannte Kunden mit hohem Verkehrsaufkommen und abgestimmte Schwellenwerte, damit legitimer Verkehr nie verworfen wird.
• Reaktion auf Vorfälle: Fachleute stehen während eines laufenden Angriffs bereit, wenn Schwellenwerte im Verlauf angepasst werden müssen.
• Berichte nach dem Vorfall: gespeicherte Zeitreihen und Berichte für Kunden, Audits und NIS2-Pflichten. Dieselben Daten nutzen Sie, wenn ein Vorfall an das BSI gemeldet werden muss.

ITORO erbringt all dies als Managed Service; die betriebliche Seite beschreiben wir ausführlich auf der Seite Support.

DDoS-Schutz: im eigenen Netz oder in der Cloud?

Es gibt zwei Bereitstellungsmodelle, und die richtige Wahl hängt davon ab, welche Art von Netz Sie betreiben:

• Scrubbing in der Cloud leitet Ihren Verkehr in das Rechenzentrum des Anbieters um, bereinigt ihn und schickt ihn zurück. Es absorbiert sehr große volumetrische Floods, fügt aber die Latenz der Umleitung hinzu, führt Ihren Verkehr über einen Dritten und wird pro Gbps abgerechnet: Die Kosten steigen mit der Größe des Angriffs.
• Filterung im eigenen Netz verwirft den Angriffsverkehr auf Ihren eigenen Routern, sobald er erkannt ist. Sie reagiert schneller, hält Verkehr und Kundendaten innerhalb Ihres Netzes (wichtig für regulierte Betreiber und unter NIS2) und erzeugt keine Rechnung pro Gbps.

Für ISPs, Telekommunikationsanbieter und Rechenzentren, die eigenen Verkehr transportieren, passt die Filterung im eigenen Netz auf Basis einer Plattform wie WanGuard Anti-DDoS in der Regel besser; Scrubbing in der Cloud bleibt die Rückfallebene für Floods, die die Uplink-Kapazität übersteigen. Wie ein solches System intern arbeitet, beschreiben wir im Beitrag Was ist WanGuard?.

Wie wählt man einen Anbieter für DDoS-Schutz aus?

Die Software zählt weniger als der Betrieb. Achten Sie bei der Bewertung eines Anbieters auf:

• Erkennungsgeschwindigkeit: Reaktion auf volumetrische Angriffe mit RTBH nach etwa 1 s und selektiver Filterung nach 6–10 s, kein Polling im Minutentakt.
• Kompetenz im Tuning: Die Fähigkeit des Anbieters, eine Baseline Ihres Netzes zu erstellen und Fehlalarme zu minimieren, unterscheidet präzisen Schutz von ständigem Rauschen.
• Offenheit bei den Grenzen: Die Abwehr im eigenen Netz ist durch die Uplink-Kapazität begrenzt, und manche zufallsbasierten Floods lassen sich nicht granular filtern. Ein vertrauenswürdiger Anbieter sagt Ihnen das offen, statt zu versprechen, er werde „alles blockieren“.
• Betriebliche Tiefe: Monitoring 24/7, Notfallreaktion bei Vorfällen und aussagekräftige Berichte.
• Passende Erfahrung: langjährige Praxis im ISP- und Netzbetrieb sowie Herstellerreferenzen (zum Beispiel Gold Partner von Andrisoft mit fundierter Juniper-Erfahrung).

Auf der Seite mit den aktuellen Preisen und dem Kalkulator sehen Sie, wie ITORO den verwalteten DDoS-Schutz auf Ihren Netzrand abstimmt.

Häufige Fragen

Was ist ein DDoS-Schutz als Dienstleistung?

Ein DDoS-Schutz als Dienstleistung ist eine verwaltete Funktion, die Distributed-Denial-of-Service-Angriffe in Echtzeit erkennt und schädlichen Verkehr blockiert, bevor er Ihr Netz lahmlegt. Er kombiniert Erkennung, automatische Filterung, Monitoring 24/7 und Reaktion auf Vorfälle, umgesetzt entweder im eigenen Netz des Kunden oder per Scrubbing in der Cloud.

Was kostet DDoS-Schutz?

Das hängt vom Modell ab. Scrubbing in der Cloud wird meist pro Gbps bereinigten Verkehrs abgerechnet, die Kosten steigen also mit der Größe des Angriffs. Eine Lösung im eigenen Netz besteht aus einer einmaligen Implementierung plus Lizenzen und Support-Stufe, ohne Gebühr pro Gbps: planbar, unabhängig davon, wie groß ein Angriff ausfällt. Konkrete Preise finden Sie in der Preisübersicht mit Kalkulator.

Worin unterscheiden sich Erkennung und Abwehr eines DDoS-Angriffs?

Erkennung bedeutet festzustellen, dass ein Angriff läuft: den Verkehr profilieren und innerhalb weniger Sekunden einen Alarm auslösen. Abwehr bedeutet, darauf zu handeln: schädlichen Verkehr per BGP FlowSpec, RTBH oder Scrubbing verwerfen oder begrenzen. Ein vollständiger Dienst erledigt beides automatisch, sodass die Erkennung unmittelbar die Abwehr auslöst.

Ist DDoS-Schutz im eigenen Netz oder in der Cloud besser?

Die Filterung im eigenen Netz reagiert schneller und hält Ihren Verkehr und Ihre Daten im Netz, was zu ISPs, Telekommunikationsanbietern und Rechenzentren mit eigenem Verkehr passt. Scrubbing in der Cloud absorbiert sehr große Floods, bringt aber zusätzliche Latenz und Kosten pro Gbps mit sich. Viele Betreiber setzen zuerst auf lokale Filterung und nutzen Cloud-Scrubbing als Rückfallebene.

Stoppt ein DDoS-Schutz jeden Angriff?

Kein seriöser Anbieter behauptet das. Die Abwehr im eigenen Netz ist durch die Kapazität Ihres Uplinks begrenzt: Sie können nicht mehr filtern, als die Leitung transportiert, und manche zufallsbasierten oder adaptiven Floods entziehen sich granularen Regeln. Ein guter Anbieter filtert im eigenen Netz, was möglich ist, und eskaliert das Volumen oberhalb der Leitungskapazität an ein externes Scrubbing-Center.

Wie wehrt man sich gegen einen DDoS-Angriff?

Die Abwehr hat drei Ebenen: Erkennung (Flow-Analyse in Echtzeit), Reaktion auf den eigenen Routern (BGP FlowSpec, Filterung) und Abschneiden weiter oben beim Upstream-Provider, wenn der Angriff die Leitung sättigt. Eine Firewall allein reicht nicht: Ist der Uplink verstopft, hat das Gerät in Ihrem Serverraum nichts mehr zu verteidigen.

Wie erkennt man, ob ein DDoS-Angriff läuft?

Vergleichen Sie den aktuellen Verkehr mit dem Normalwert der letzten Wochen, getrennt nach Gbps und Paketen pro Sekunde. Ein volumetrischer Angriff erhöht beide Werte, ein Layer-7-Angriff oft nur die Zahl der Anfragen. Prüfen Sie auch die Verteilung der Quellen: Ein plötzliches Übergewicht eines einzelnen Ports, Protokolls oder Landes ist ein typisches Angriffsmerkmal.

---

Quellen

• Cloudflare, Q4 2025 DDoS Threat Report (Februar 2026): https://blog.cloudflare.com/ddos-threat-report-2025-q4/
• NETSCOUT, DDoS Threat Intelligence Report, Ausgabe 16 / 2H 2025 (März 2026): https://www.netscout.com/threatreport/