Wenn man 2025 einen Titel geben müsste, wäre es „das erste Jahr des Terabit-pro-Sekunde-Zeitalters". Laut Cloudflares jährlichem DDoS-Bedrohungsbericht 2025 gab es 47,1 Millionen Angriffe (doppelt so viele wie 2024; ein Anstieg von 236 % von 2023 auf 2025), mit einem Durchschnitt von 5.376 autonom mitigierten Angriffen pro Stunde. Die treibende Kraft dahinter war ein hyper-skalierbares Botnetz namens Aisuru (und seine Aisuru-Kimwolf-Variante). Dieser Artikel liest die „Skala" und „Ökonomie" hinter jenem Bericht.

1. Aisuru: eine „Botnetz-Wolke" aus einer Million Knoten

Aisuru wird auf 1 bis 4 Millionen infizierte Hosts geschätzt, primär Android-TV-Boxen und HiSilicon-basierte IoT-Geräte. Die hyper-volumetrischen Angriffe, die es startet, überschreiten routinemäßig 1 Tbps und 1 Milliarde Pakete pro Sekunde (Bpps).

Noch beunruhigender ist seine Miet-Ökonomie: Blöcke von Aisuru werden von Distributeuren als Botnet-as-a-Service verkauft. Für nur ein paar hundert bis ein paar tausend Dollar kann jemand die Backbone-Netze einer Nation lahmlegen und Millionen von Nutzern den Zugang zu essenziellen Diensten abschneiden. Der Angriff ist ein vollständig kommodifiziertes Produkt geworden.

2. Immer wieder gebrochene Rekorde

  • 2025 Q3: Aisuru erreichte den Rekord von 29,7 Tbps UDP-Carpet-Bombing und 14,1 Bpps; ein einzelner Angriff randomisierte im Schnitt ~15.000 Zielports pro Sekunde.
  • 2025 Q4 (19. Dezember, „Die Nacht vor Weihnachten"): HTTP-DDoS gegen Cloudflare-Infrastruktur und Kunden erreichte 205 Millionen RPS.
  • Ende 2025: ein Angriff erreichte in nur 35 Sekunden sagenhafte 31,4 Tbps – der größte jemals öffentlich gemeldete Angriffsverkehr eines Unternehmens zu diesem Zeitpunkt.

Wie fassen wir 205 Mrps? Das entspricht in etwa der gesamten Bevölkerung von UK, Deutschland und Spanien, die in genau derselben Sekunde Enter auf eine URL drückt.

3. Eine übersehene Wahrheit: Kollateralschäden

Wie massiv ist Aisurus Traffic? Laut Krebs on Security verursachte das bloße Durchlaufen bestimmter US-ISPs „weit verbreitete Kollateral-Internetstörungen in den USA" – und diese ISPs waren nicht einmal das Ziel. Dies ist der gefährlichste Aspekt hyper-volumetrischer DDoS: wenn ein Angriff ein nationales Backbone sättigen kann, nimmt der Spritzwasserschaden allein Dritte mit runter. Stellen Sie sich diesen Traffic direkt auf einen unzureichend geschützten ISP, kritische Infrastruktur, Gesundheitswesen oder Notdienste gerichtet vor.

4. Woher die Angriffe kommen: Cloud-Missbrauch

Cloudflare fand, dass der Großteil des Angiffsverkehrs von IPs stammte, die mit Cloud-Plattformen verbunden sind: DigitalOcean, Microsoft, Tencent, Oracle und Hetzner tauchten in den Top-Ten-Quellen auf. Das offenbart eine unbequeme Realität – Bedrohungsakteure nutzen die weltweit am leichtesten erhältliche, mächtigste Infrastruktur (leicht bereitzustellende VMs), um enormen Traffic zu erzeugen. Ein einzelner Angriff zieht häufig Traffic aus Tausenden verschiedener ASNs; die Botnetz-Knoten sind wirklich global.

5. Warum „menschliche Reaktion" nicht mehr reicht

Eine Kernzahl aus dem Bericht: 71 % der HTTP-DDoS- und 89 % der netzwerkseitigen Angriffe endeten innerhalb von 10 Minuten. Ein kurzer Angriff kann Sekunden dauern, doch die Störungs- und Wiederherstellungskosten übertreffen seine Dauer bei weitem. Wenn der Angriff schneller ist als die Reaktion eines Operators, hört autonome Mitigation auf, ein „Nice-to-have" zu sein, und wird zur Überlebensgrundlage.

6. Lehren für Verteidiger

  • Sie brauchen eine global verteilte Architektur, die Tbps absorbieren kann: On-Prem-Appliances oder On-Demand-Scrubbing-Zentren sind von 30-Tbps-Fluten schlicht überfordert.
  • Origin-IP-Verbergung ist Voraussetzung: Angreifer umgehen das Scrubbing und treffen die echte IP direkt; Verbergung ist Schritt eins.
  • Autonome Mitigation: identifizieren und umleiten in Sekunden, nicht wenn jemand erscheint.
  • Organisationen, die auf On-Prem- oder On-Demand-Scrubbing bauen, sollten neu bewerten – dies ist Cloudflares direkte Empfehlung im Bericht.

Fazit

Die Daten von 2025 senden ein klares Signal: die Skala und Raffinesse von DDoS haben unsere Vorstellungskraft überholt. Für jedes kritische Geschäft lautet die Frage nicht mehr „werden wir angegriffen?", sondern „können wir es bei einem Angriff innerhalb von Sekunden wegspülen?". Keep DDoS Away ist kein Glück – es ist ein global verteiltes, autonom entscheidendes Schutzschild.