DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE 1.5 Distributed Denial of Service Als Distributed-Denial-of-Service-Angriffe (DDoS-Angriffe) werden Überlastungsangriffe auf Internetdienste bezeichnet. Wenn eine Webseite wie zum Beispiel ein Online-Shop oder eine Internetplattform nicht mehr erreichbar ist, Netzwerkdienste ausfallen oder kritische Geschäftsprozesse wegen Überlastung blockiert werden, ist eventuell ein DDoS-Angriff die Ursache. DDoS-Angriffe werden meist genutzt, um gezielt Schaden anzurichten, die Opfer zu erpressen oder Aufmerksamkeit für eine eigene Sache zu erregen, beispielsweise eine politische Forderung. Ein weiteres Motiv liegt darin, andere Angriffe zu verschleiern oder erst zu ermöglichen. DDoS-Angriffe werden häufig mittels einer großen Anzahl von Computern, ggf. Servern, parallel durchgeführt (vgl. Kapitel Botnetze, Seite 16). DDoS-Angriffe werden bereits seit zwei Jahrzehnten beobachtet, und so feierte DDoS im Berichtszeitraum einen runden Geburtstag: Als erster beobachteter DDoS gilt ein Angriff auf die Universität von Minnesota am 22. Juli 1999 (vgl. Quellenverzeichnis13: www.link11.com). Die Auswirkungen von DDoS-Angriffen können beträchtlich sein. Sie können bei den betroffenen Institutionen einen großen wirtschaftlichen Schaden verursachen und auch einen Reputationsverlust nach sich ziehen. Für die digitale Geschäftswelt stellen sie eine der größten CyberBedrohungen überhaupt dar, da sie sich unmittelbar gegen die Verfügbarkeit der angebotenen Dienstleistungen richten. Wie bereits im vergangenen Berichtszeitraum war die Lage im Bereich von DDoS-Angriffen durch mehrere, sich überschneidende Entwicklungen gekennzeichnet. Nach wie vor setzte sich die stetige Spezialisierung der Angreifer durch Entwicklung und Anwendung neuer Angriffsvektoren fort. Aktuelle Beispiele dafür sind WS-Discovery, Apple Remote Management Service und TCP-Amplification. Gleichwohl standen für fachlich weniger spezialisierte Angreifer auch weiterhin sogenannte DDoS-Booterdienste zur Verfügung. Sie machen es Angreifern ohne technische Kenntnisse und ohne kriminelle Biographie (z. B. Schülern (vgl. Quellenverzeichnis14: www.cl.cam.ac.uk) immer leichter, Angriffe mit hohem Schadenspotenzial durchzuführen (vgl. Quellenverzeichnis 2: www.bsi.bund.de). Darüber hinaus waren im Berichtszeitraum erhöhte DDoS-Aktivitäten zu anlassbezogenen Ereignissen im E-Commerce-Umfeld (Vorweihnachtsgeschäft, Black Friday, Cyber Monday) oder im Gaming-Umfeld zu beobachten. Neu dagegen sind im aktuellen Berichtszeitraum beobachtete Angriffe mit erhöhter Qualität, welche weit über das Maß der erwarteten Entwicklungen durch Spezialisie- rung auf bestimmte Zielgruppen hinausgehen: Gemeint sind technisch elaborierte Angriffe, die im Gegensatz zu früheren bandbreitenstarken Angriffen nunmehr intelligente und effiziente Strategien anwenden. Diese Angriffe können selbst bislang als wirksam geltende Schutzmaßnahmen überwinden und dadurch die Entwicklung grundlegend neuer Schutzkonzepte und Schutzmaßnahmen erforderlich machen. So vermehren sich Meldungen über aktiv gesteuerte Angriffe, bei denen der Angreifer aktiv auf Gegenmaßnahmen des Opfers reagiert, um die Wirkung des Angriffs trotz Gegenwehr aufrechterhalten zu können. Dafür verwendet der Angreifer Informationen über den Verlauf des Angriffs, die er zum Beispiel aus öffentlichen Quellen bezieht. Ein Beispiel dafür ist der Angriff auf eine große Direktbank mit rund vier Millionen Kundinnen und Kunden im Januar 2020, der über mehrere Tage angehalten hat. Der Angreifer nutzte dabei die öffentliche Seite allestörungen.de, um Informationen über den Verlauf und die Wirkung des Angriffs auf das Opfer zu gewinnen. Die Seite sammelt Statusberichte und Störungsmeldungen zum Beispiel von Kundinnen und Kunden und erkennt dadurch frühzeitig Serviceunterbrechungen und -störungen bei Dienstleistern aus verschiedenen Bereichen (z. B. Banking, Online-Handel, Internet-Provider). Dem Angreifer standen auf diese Weise zeitnah die benötigten Informationen zur Verfügung, um auf die getroffenen Gegenmaßnahmen aktiv reagieren zu können. Bei einem Angriff auf einen südafrikanischen Internet-Provider beobachtete der Angreifer die Gegenmaßnahmen ebenfalls, um seine Angriffsstrategie daran anzupassen. Da gegen diese noch keine Schutzmaßnahmen bestanden, blieb der Internet-Provider weiterhin nicht verfügbar. Im zweiten Halbjahr 2019 trat zudem verstärkt eine Strategie auf, die bereits seit Ende 2017 bekannt ist und als Carpet Bombing (Flächenbombardement) bezeichnet wird (vgl. Quellenverzeichnis 15: www.datensicherheit.de; vgl. Quellenverzeichnis 13: www.link11.com). Dabei umgeht der Angreifer den klassischen DDoS-Schutz an der Netzwerkgrenze, indem er den Angriff gegen eine große Anzahl von IP-Adressen innerhalb dieses Netzwerks richtet. Die Datenmenge des Angriffs pro IP-Adresse ist dadurch jeweils so klein, dass sie sich unter den Detektions-Schwellwerten der meisten DDoS-Schutzlösungen bewegt, der Angriff daher nicht detektiert und somit nicht abgewehrt wird. In der Summe entspricht die Angriffsbandbreite aller Einzelangriffe zwar der eines großen DDoS-Angriffs von mehreren dutzenden oder hunderten Gbit/s, der Angriff wird jedoch nicht detektiert. Dieser Angriffstyp stellt besonders für Internet-Provider eine erhebliche Gefahr dar und wurde auch bei dem erwähnten Angriff auf den südafrikanischen Internet-Provider über zwei Tage angewendet. 29