Das Reflection/Amplification-Wettrüsten: von 51.000× Memcached zur Vektor-Verschiebung 2025

Im Februar 2018 wurde GitHub von einem 1,35-Tbps-DDoS-Angriff getroffen – nicht mit Tausenden von Bots, sondern mit weniger als 2.000 exponierten Memcached-Servern. Die Angreifer sendeten winzige Requests und erhielten Antworten, die um das 51.000-Fache verstärkt waren. Das ist Reflection/Amplification: sie entkoppelt sauber die Bandbreite, die der Angreifer ausgibt, von der Bandbreite, die das Opfer absorbiert. Dieser Artikel packt ein jahrzehntelanges Wettrüsten aus.

1. Der Amplificationsfaktor: der Hebel des Angriffs

Der Amplificationsfaktor (AF) ist brutal einfach: AF = Antwortgröße / Requestgröße. Die Voraussetzung ist IP-Quellspoofing – der Angreifer fälscht die IP des Opfers als Quelle, sodass die überdimensionierte Antwort des Servers auf das Opfer zielt, während der Angreifer fast nichts zahlt.

Diese Tabelle offenbart eine unbequeme Wahrheit: solange ein einzelner offener UDP-Dienst im Internet mit gefälschter Quelle abgefragt werden kann, wird er zum kostenlosen Verstärker des Angreifers.

2. Warum UDP? Verbindungslosigkeit ist die Ursünde

Reflection/Amplification stützt sich auf UDPs Verbindungslosigkeit: kein Handshake, keine Quellprüfung, also erhält eine Spoofing-Quell-Request dennoch eine Antwort. US-CERT listete in TA14-017A 14 UDP-basierte Amplificationsvektoren auf. TCPs Three-Way-Handshake (das SYN muss vom echten Ursprung bestätigt werden) macht klassische Reflection nahezu unmöglich – weshalb Amplification fast ausschließlich ein UDP-Phänomen ist.

Kern-Erkenntnis: der Hebel des Verstärkers ist nicht Rechenleistung, sondern der Bestand an falsch konfigurierten Diensten. Angreifer züchten keine Bots; sie mieten das Internet der Fehlkonfigurationen – und drücken die Angriffskosten nahe Null.

3. Die Vektor-Verschiebung: ein Whack-a-Mole-Spiel

Jedes Mal, wenn Verteidiger einen Vektor töten, pivotieren die Angreifer:

• 2013–2014: NTP monlist (~556×) dominierte mit hunderten Gbps pro Ereignis; die NTP-Gemeinschaft deaktivierte monlist später standardmäßig.
• 2017–2018: CLDAP (~70×) und Memcached (~51k×) übernahmen; Letzteres erzeugte den 1,35-Tbps-Rekord.
• Ab 2021: WS-DD (UDP/3702, ein Geräte-Erkennungsprotokoll) explodierte – Microsoft berichtete von einem 3.300% Jahr-over-Jahr-Anstieg bei WS-DD-Amplification, weil unzählige IoT-Geräte, Drucker und Kameras es standardmäßig aktiviert haben.
• 2024–2025: Cloudflares Jahresberichte zeigen, dass reine Reflection weiterhin einen großen Anteil der L3/4-Angriffe ausmacht, aber Spitzen einzelner Vektoren hybriden Multi-Vektor-Angriffen (Reflection + direkte Flut + L7) und von Mirai-Varianten getriebenen Tbps-Klassen-Direktangriffen gewichen sind.

4. Ursache vs. Symptom: das verlorene Versprechen von BCP 38

Theoretisch ist die ultimative Heilung BCP 38 / RFC 2827 (Ingress-Filterung): jeder Operator verwirft am Edge Pakete, deren Quelladresse nicht in seinem eigenen Präfix liegt, wodurch Quellspoofing internetweit unmöglich wird. Doch drei Jahrzehnte später ist BCP 38 immer noch weit davon entfernt – weil es jeden Operator erfordert, zu handeln, ohne direkten Ertrag für die Einzelmaßnahme.

Das ist eine Tragödie der Allmende: jeder Operator hofft, die anderen filtern, während er selbst Trittbrett fährt. Das Ergebnis – wir bekämpfen 2025 dieselbe Schwachstelle wie 2014.

5. Der Zwei-Fronten-Krieg der Verteidiger

Bis BCP 38 universell ist, müssen Verteidiger an zwei Fronten kämpfen:

• Als potenzieller Verstärker (Härtung): NTP monlist deaktivieren, DNS-Resolver auf lokale Rekursion beschränken, eingehendes UDP/3702 am Edge per ACL verwerfen, Memcached an localhost binden. Lassen Sie Ihre Server nicht zum Komplizen des Angreifers werden.
• Als potenzielles Opfer (Absorption): auf ein global verteiltes Scrubbing-Netz mit Tbps-Absorption setzen; UDP-Reflection per Verhalten ratelimiting statt blindem IP-Block (Spoofing macht IP-Blocks nutzlos); Anycast zur Verdünnung am Edge.
• Aktive Intelligence: Shadowserver abonnieren, eigene exponierte UDP-Dienste scannen und fixen, bevor sie auf eine „amplifiable assets"-Liste geraten.

Fazit

Reflection/Amplification ist ein Spiegel, der das Problem der Verantwortungsverteilung im Internet reflektiert. Solange offene UDP-Dienste und Quellspoofing bestehen bleiben, endet das Wettrüsten nicht. Für Verteidiger ist die echte Barriere keine einzelne ACL – es ist eine Architektur, die Tbps-Klassen-Fluten im Kern absorbiert und anomales UDP-Verhalten innerhalb von Sekunden identifiziert. Sie können nicht darauf zählen, dass das ganze Internet morgen BCP 38 ausrollt.