Um 3:14 Uhr nachts leuchtet auf dem Monitor im Netzwerkbetrieb eines Frankfurter Rechenzentrums eine Kurve auf. Sie klettert steil nach oben, hält sich acht Minuten, dann fällt sie zurück auf die Nulllinie. Der diensthabende Ingenieur sieht sich die Aufzeichnung an, findet keine Fehlermeldung, keine beschädigten Systeme, keinen Ausfall – und notiert den Vorfall als Randnotiz im Schichtprotokoll. Genau solche Randnotizen stehen im DDoS-Bericht von Cloudflare für das dritte Quartal 2026 im Mittelpunkt.
Der Report ist die 26. Ausgabe der Reihe und deckt Juli, August und September 2026 ab; nach dem zusammengefassten Halbjahresband kehrt Cloudflare damit zum Quartalsrhythmus zurück. Erstellt wird die Analyse von Cloudforce One, der Threat-Intelligence-Einheit des Unternehmens, auf Basis der Telemetrie aus dem eigenen globalen Netz. Die Zahlen sind also kein Marktüberblick, sondern ein Messprotokoll von innen – aus einem der größten Angriffsziele im Internet.
Das Protokoll zeigt eine Verschiebung: mehr Schwärme, weniger Giganten. Viele kleine, kurze Angriffe treffen auf eine deutlich zurückgegangene Zahl extrem großer Volumenattacken. Für Betreiber ist das schlechter, denn ein Schwarm ist schwerer abzuwehren als ein einzelner Elefant.
8.226 Angriffe pro Stunde: die Zahlen des dritten Quartals
Cloudflare hat im dritten Quartal 2026 autonom 18,2 Millionen DDoS-Angriffe auf Netzwerkebene abgewehrt, dazu 14,4 Billionen HTTP-Requests, die als DDoS eingestuft wurden. Umgerechnet sind das rund 8.226 Angriffe pro Stunde, etwa 197.400 pro Tag – statistisch einer alle 0,44 Sekunden. Diese Frequenz erklärt, warum automatisierte Abwehr hier keine Bequemlichkeit ist, sondern die einzige Betriebsform, die funktioniert.
Hinter diesen Angriffszahlen steht ein Volumen von 272,6 Petabyte auf der Netzwerkebene und 95,1 Petabyte auf der HTTP-Ebene. Zum Vergleich: Ein einzelnes Petabyte entspricht grob einer Million Gigabyte. Die Mengen kommen nicht in Spitzen, sondern laufen drei Monate lang durch – ein Dauergeräusch im Hintergrund, das an ruhigen Tagen wie Rauschen wirkt.
Kurze Schwärme: warum Angriffe unter zehn Minuten um 208 Prozent zulegen
Die auffälligste Bewegung im Quartal betrifft nicht die Größe, sondern die Dauer. Kurze Angriffe mit niedriger Bandbreite, die unter zehn Minuten laufen und unter einem Gigabit pro Sekunde bleiben, nahmen gegenüber dem Vorjahresquartal um 208 Prozent zu. Von allen abgewehrten Netzwerkangriffen endeten 96 Prozent innerhalb von zehn Minuten, und 98 Prozent blieben unter 1 Gbps.
Ein Gigabit pro Sekunde klingt nach wenig, und für ein großes Rechenzentrum ist es das auch. Für einen einzelnen Server oder eine mittelgroße Website reicht es, um Anfragen zu ersticken. Das ist das Muster von DDoS-for-Hire-Diensten, sogenannten Bootern: keine Wunderwaffe, sondern kurze, wiederholte Stöße. Billig zu kaufen, schwer zuzuordnen. Ziel dieser Angriffe waren im Quartal vor allem die Softwarebranche, Glücksspiel und Casinos sowie die IT-Branche.
Am anderen Ende der Skala brach das Gegenteil ein. Hypervolumetrische Angriffe über einem Terabit pro Sekunde fielen von 805 im zweiten Quartal auf 251 – ein Rückgang von knapp 69 Prozent. Cloudflare bringt das mit der Zerschlagung von vier großen IoT-Botnetzen Anfang 2026 in Verbindung: Aisuru, KimWolf, JackSkid und Mossad. Ganz verschwunden ist die Bedrohung dadurch nicht. Das Ökosystem bildet laufend neue Varianten wie Dysphoria und Evooo1Bot, und die Mirai-Klasse blieb im August mit 57,23 Petabyte abgewehrten Verkehrs aktiv – 46,5 Prozent aller abgewehrten Bytes auf Netzwerkebene. An vier Tagen im August, dem 16., 19., 23. und 25., wurden jeweils mehr als drei Petabyte allein dieser Kategorie geräumt; der längste durchgehende Mirai-Angriff lief 49,7 Stunden.
CLDAP stürzt ab, DNS-Amplification und UDP-Floods steigen
Reflexionsangriffe lassen sich mit einem Bild erklären. Jemand verschickt einen Brief, in dem als Absender deine Adresse steht. Der Empfänger antwortet nicht dem eigentlichen Absender, sondern dir – und wenn die Antwort hundertmal dicker ist als die Anfrage, steht plötzlich ein Container vor deiner Tür, den du nie bestellt hast. So funktionieren Amplification-Angriffe: kleine Anfragen mit gefälschter Opfer-IP, große Antworten an das Opfer.
Die deutlichste Verschiebung des Quartals war ein Absturz. CLDAP, also Connectionless Lightweight Directory Access Protocol, hatte im ersten Halbjahr noch um 580 Prozent zugelegt, bevor der Anteil im dritten Quartal auf 0,05 Prozent aller Angriffe kollabierte – ein Minus von 99,5 Prozent gegenüber dem Vorquartal. Angreifer lassen sich von so etwas nicht bremsen, sie wechseln das Werkzeug. DNS-Amplification legte um 215 Prozent zu und macht nun 3,43 Prozent aller Angriffe auf Netzwerkebene aus, mit demselben Muster: offene Resolver als Verstärker, gefälschte Absenderadresse.
Der größte Zuwachs kam bei den allgemeinen UDP-Floods, die von 14,06 auf 31,31 Prozent sprangen. UDP ist verbindungslos, es gibt keinen Handshake und keine Rückfrage, ob der Absender wirklich der ist, der er zu sein behauptet. Angreifer schicken einfach große Mengen an Pakete auf offene oder gezielte Ports, und das Zielsystem muss prüfen, ob dort ein Dienst lauscht, und antworten. Netzwerkbandbreite und Rechenzeit werden so verbraucht, ohne dass irgendwo eine Sicherheitslücke ausgenutzt werden müsste.
Ziele: Medien verlieren Anteile, Kanada und Israel rücken nach
Bei den angegriffenen Branchen bleibt Medien, Produktion und Verlagswesen auf Platz eins, verliert aber deutlich: Der Anteil liegt nur noch bei etwa einem Viertel des Werts aus dem zweiten Quartal. Der Fokus verteilt sich breiter. Internet-Infrastruktur stieg von außerhalb der Top Ten auf Platz sechs, Consumer Services erreichten Rang acht, Adult Entertainment Rang neun. Wer dachte, nicht interessant genug für Angriffe zu sein, kann das noch mal prüfen.
Auch geografisch hat sich einiges verschoben. Die Vereinigten Staaten lösen China als meistangegriffenes Land ab, China folgt auf Platz zwei, Indonesien schiebt sich mit 2,93 Prozent der Angriffe auf Rang drei. Platz eins und zwei wechseln seit dem ersten Halbjahr regelmäßig.
Die steilsten Sprünge machten andere: Kanada kletterte von Platz 16 auf Platz 6, getroffen wurden vor allem Einzelhandel, Telekommunikation, Service-Provider und Werbung. Israel rückte um sieben Plätze auf Rang zehn vor, begleitet von anhaltender DDoS-Aktivität Mitte September. In beiden Fällen fallen die Angriffe in eine Phase mit Handelsstreitigkeiten, innenpolitischen Konflikten vor Parlamentswahlen und, im Fall Israels, dem Rosh-Hashanah-Fest – dazu kommt eine in diesem Jahr dokumentierte Zunahme feindlicher Cyberoperationen gegen das Land.
Was das für den eigenen Betrieb bedeutet
Die zehn Minuten sind die entscheidende Zahl. Kein Mensch schaut so schnell auf einen Alarm, prüft Logs und entscheidet über eine Gegenmaßnahme. Wenn 96 Prozent aller Angriffe vorher vorbei sind, ist jede Abwehr, die einen Analysten in der Schleife braucht, zu langsam. Daraus folgt keine neue Technik, sondern eine einfache Regel: Erkennung und Abwehr müssen automatisch laufen, dort, wo der Verkehr ankommt, nicht erst nach dem Umweg über ein Ticket.
Cloudflare beschreibt die eigene Architektur als Antwort auf genau dieses Profil: Schutz in über 330 Städten, 500 Tbps Netzkapazität und eine DDoS-Abwehr, die bei jedem Dienst mitläuft, ohne Zusatzoption und ohne Abrechnung nach Volumen. Das ist auch Marketing für das eigene Produkt, enthält aber einen sachlich richtigen Punkt. Wer Abwehr nach Traffic-Menge einkauft, zahlt bei einem Angriff, der genau darauf zielt.
Für Provider ist zusätzlich der DDoS Botnet Threat Feed interessant, den Cloudflare kostenlos für Hosting-Anbieter, Cloud-Plattformen und ISPs bereitstellt. Über 800 Netze weltweit nutzen ihn bereits, um die IP-Adressen und Konten zu identifizieren, von denen die Angriffe ausgehen. Ein Botnetz, das bei einem Provider gesperrt wird, ist für alle anderen kleiner – Kooperation, die tatsächlich etwas bringt.
Die Zerschlagung von vier großen IoT-Botnetzen hat die Spitze gekappt, nicht das Fundament. Während die Zahl der Terabit-Angriffe sinkt, wächst der Alltag aus kurzen, billigen Stößen, und die Angreifer wechseln ihre Verstärkerprotokolle schneller als manche Firma ihre Firewall-Regeln. Wer ein Netz betreibt, sollte sich weniger auf den einen großen Angriff vorbereiten als auf den Dauerregen. Der Schwarm ist keine Ausnahme mehr, sondern der Normalfall. Verteidigung muss entsprechend unspektakulär laufen: automatisch, ohne große Gesten.
Quelle: blog.cloudflare.com
