DDoS-Angriffe treffen Netzwerk, Web und APIs gleichzeitig – und genau darin liegt die neue Qualität der Bedrohung. Die Angriffsvolumina steigen auf Rekordniveau, gleichzeitig setzen Angreifer zunehmend auf koordinierte Multi-Ebenen-Attacken, die die Lücken zwischen getrennten Schutzsystemen ausnutzen. Unternehmen, die ihre Abwehr entlang klassischer Layer-Fronten organisiert haben, sehen oft nur einzelne Symptome, nicht den Angriff als Ganzes.
Viele Unternehmen haben in den vergangenen Jahren erheblich in ihre DDoS-Abwehr investiert. Sie verfügen über Schutzmechanismen gegen volumetrische Angriffe auf Netzwerkebene, über Web Application Firewalls, Bot-Schutz oder API-Security-Lösungen. Auf dem Papier wirkt diese Verteidigung solide. In der Praxis entsteht die gefährlichste Schwachstelle jedoch häufig nicht innerhalb einer einzelnen Ebene, sondern genau zwischen ihnen.
DDoS-Angriffe treffen Netzwerk, Web und APIs gleichzeitig: Der Gcore-Report im Detail
Der Gcore Radar Report für das zweite Halbjahr 2025 zeigt, wie stark sich die DDoS-Lage verschärft hat: Die Zahl der Angriffe hat sich im Vergleich zum ersten Halbjahr verdoppelt. Allein im vierten Quartal 2025 registrierte der Anbieter 1,3 Millionen Angriffe – im Vorjahresquartal waren es 512.000. Die beobachteten Angriffsspitzen erreichten bis zu 12 Terabit pro Sekunde. Besonders relevant für die Sicherheitsarchitektur ist nicht nur die Größe dieser Angriffe, sondern auch ihre Dauer: Rund 75 Prozent der Network-Layer-Angriffe dauerten weniger als eine Minute, während Application-Layer-Angriffe tendenziell länger liefen und stärker auf Webanwendungen, APIs und Backend-Prozesse zielten.
Diese Zahlen zeigen zwei sehr unterschiedliche Angriffsdynamiken. Auf der Netzwerkebene sind Attacken kurz, massiv und auf unmittelbare Überlastung ausgelegt. Auf der Anwendungsebene wirken sie oft zunächst legitim: wie eine Login-Anfrage, ein API-Call, eine Produktsuche, ein Checkout-Schritt oder eine Abfrage im Kundenportal. Erst im Muster, in der Häufung, in der Session-Logik oder in der Zielrichtung wird der Angriff sichtbar.
Warum klassische Schutzmodelle an ihre Grenzen geraten
Ein erheblicher Teil der Network-Layer-Angriffe dauert weniger als eine Minute. Ein reaktives Mitigation-Modell reicht hier nicht mehr aus. Bis ein Angriff eindeutig erkannt, eskaliert, analysiert und manuell abgewehrt wird, kann der eigentliche Schaden bereits entstanden sein. Das betrifft nicht nur die Verfügbarkeit einzelner Systeme. Kurze, extreme Angriffsspitzen können Monitoring-Systeme überfluten, Scrubbing-Kapazitäten belasten, Routing-Entscheidungen erzwingen oder interne Teams binden. Selbst wenn die Attacke nach wenigen Sekunden wieder abklingt, kann sie genau den Moment schaffen, in dem parallel ein gezielter Angriff auf Anwendungen oder APIs schwieriger zu erkennen ist.
DDoS-Abwehr muss deshalb so nah wie möglich am Edge greifen. Nicht erst dort, wo zentrale Systeme bereits unter Last stehen. Nicht erst nach manueller Analyse. Und nicht erst dann, wenn mehrere Teams unabhängig voneinander feststellen, dass „irgendetwas ungewöhnlich“ ist.
Die eigentliche Schwachstelle ist fehlende Korrelation
Die kritischsten Szenarien entstehen, wenn ein kurzer L3/L4-Impuls parallel zu einem L7-Angriff läuft. Dann sieht das Netzwerkteam eine volumetrische Spitze. Das Application-Security-Team sieht ungewöhnliche API-Last. Das Plattformteam sieht steigende Latenzen oder Fehlerquoten in bestimmten Workflows. Isoliert betrachtet wirken diese Signale wie unterschiedliche Vorfälle. In der Korrelation zeigen sie jedoch ein koordiniertes Angriffsmuster.
Ähnlich kritisch ist ein Szenario, in dem ein volumetrischer Angriff die Aufmerksamkeit des Security-Teams bindet, während parallel gezielt transaktionskritische Prozesse belastet werden: Checkout, Warenkorb, Zahlungsstrecke oder API-basierte Datenabfragen. Die Bandbreite normalisiert sich vielleicht nach kurzer Zeit wieder. Die eigentliche Störung im Geschäftsprozess läuft jedoch weiter.
Fehlt diese Korrelation, bleibt der Gesamtangriff schwer einzuordnen. Teams reagieren dann auf einzelne Symptome: eine Traffic-Spitze im Netzwerk, ungewöhnliche API-Last oder steigende Fehlerraten in bestimmten Anwendungen. Genau diese Lücke nutzen Angreifer aus, indem sie Ablenkung auf Netzwerkebene erzeugen und gleichzeitig dort ansetzen, wo Anwendungen, APIs und Geschäftsprozesse besonders empfindlich sind.
Die entscheidende Frage lautet deshalb nicht mehr nur: Hat ein Unternehmen DDoS-Schutz? Sondern: Erkennt dieser Schutz schnell genug, wenn Netzwerk-, Web- und API-Ebene gleichzeitig Ziel desselben Angriffs sind?
Was eine moderne DDoS-Architektur leisten muss
DDoS-Abwehr muss Netzwerk-, Web- und API-Ebene zusammendenken. Es geht nicht darum, einzelne Schutztechnologien gegeneinander zu positionieren. Faktoren wie Kapazität, netzwerknahe Erkennung sowie Web- und API-Schutz bleiben wichtig. Entscheidend ist, dass diese Ebenen nicht isoliert betrieben werden. Eine moderne DDoS-Architektur muss drei Fähigkeiten zusammenführen:
- Geschwindigkeit auf Netzwerkebene: Angriffe, die nur Sekunden dauern, müssen automatisch und möglichst nah am Ursprung abgefangen werden.
- Kontext auf Anwendungsebene: Nicht jede Anfrage mit hoher Frequenz ist ein Angriff, und nicht jeder Angriff zeigt sich durch extremes Volumen. Entscheidend ist das Verhalten entlang konkreter Workflows.
- Korrelation zwischen beiden Ebenen: Netzwerkereignisse, Bot-Signale, API-Anomalien, Session-Daten und Applikationsmetriken müssen gemeinsam betrachtet werden, damit aus vielen Einzelindikatoren ein belastbares Lagebild entsteht.
DDoS-Schutz darf nicht ausschließlich als Netzwerkdisziplin verstanden werden. Moderne Angriffe treffen Verfügbarkeit, Anwendungssicherheit und Geschäftsprozesse gleichzeitig. Die nächste Evolutionsstufe der DDoS-Abwehr liegt in der Fähigkeit, Geschwindigkeit auf Netzwerkebene und Kontext auf Anwendungsebene zusammenzuführen. Unternehmen, die diese Ebenen weiterhin getrennt betreiben, werden moderne Angriffe zwar sehen – aber zu spät verstehen.
