Cloudflare-Bericht zu DDoS-Bedrohungen im ersten Halbjahr 2026: Starke Zunahme von 1 Tbit/s-Angriffen im Zuge von DNS Floods und geopolitischen Spannungen

Willkommen zur 25. Ausgabe des Cloudflare-Berichts zur DDoS-Bedrohungslandschaft. Erstmalig wird in dieser Serie ein Halbjahreszeitraum abgedeckt, denn wir haben unsere Beobachtungen aus dem ersten und zweiten Quartal 2026 in einem einzigen Bericht zusammengefasst. Unsere auf Bedrohungsdaten spezialisierte Sparte,Cloudforce One, hat die Entwicklung der Bedrohungslage durch DDoS-Angriffe auf Grundlage von Daten aus dem Cloudflare-Netzwerk eingehend analysiert.

Wichtigste Erkenntnisse

1. Das 1 Tbit/s-Segment ist gewachsen. Cloudflare hat in der ersten Hälfte des Jahres 2026 insgesamt 935 DDoS-Angriffe auf Netzwerkschicht mit mehr als 1 Tbit/s abgewehrt und hier einen Anstieg um 519 Prozent vom ersten auf das zweite Quartal verzeichnet. 
2. Bei den Angriffsvektoren hat sich der Schwerpunkt von Botnetz-Floods zu Reflection und Amplification verlagert. DNS-basierte Angriffe machten im Berichtszeitraum 34,3 Prozent an den Aktivitäten auf Netzwerkschicht aus, wobei allein der Anteil von DNS Floods an den Angriffen auf Netzwerkschicht von 25,7 Prozent im ersten auf 40,0 Prozent im zweiten Quartal zulegte. Bei CLDAP Floods wurde eine Steigerung um 580 Prozent im Quartalsvergleich registriert, wodurch dieser Angriffsvektor im zweiten Jahresviertel auf Platz drei kletterte.
3. Geopolitik und Ereignisse mit globaler Tragweite beeinflussen die Bedrohungslandschaft. Auf das Segment Medien, Produktion und Verlage entfielen in beiden Quartalen 14,2 Prozent aller abgewehrten HTTP-DDoS-Anfragen, was diese Branche an die Spitze katapultierte. Das erklärte sich daraus, dass die Berichterstattung über den Iran, die Ukraine und die Fußball-Weltmeisterschaft anhaltende Aufmerksamkeit auf sich zog. Parallel dazu kletterte die Türkei auf Platz drei der am stärksten angegriffenen Länder, was im Kontext des NATO-Gipfels im Juli in Ankara zu betrachten war. Der staatliche Sektor schnellte während der Operation Epic Fury im Nahen Osten von Rang 29 auf Rang 9. Es handelte sich dabei um den bis dato größten Zuwachs in einem Sektor im laufenden Jahr.

Das erste Halbjahr in Zahlen: 5.300 DDoS-Angriffe pro Stunde

Bereits zur Jahresmitte hat Cloudflare 23,2 Millionen Anfragen auf Netzwerkschicht und 29,64 Billionen HTTP-DDoS-Anfragen abgewehrt. Das entspricht ungefähr 5.343 DDoS-Attacken auf Netzwerkschicht pro Stunde bzw. etwa 128.000 pro Tag.

Höhepunkt im April, Durchgreifen von Strafverfolgungsbehörden

Der April war im Berichtszeitraum für DDoS-Angriffe sowohl hinsichtlich der Aktivitäten als auch des Volumens ein Spitzenmonat, in dem ein Höchststand von 6,46 Billionen Anfragen bzw. 165 Petabyte (PB) verzeichnet wurde. Das ist eine enorme Menge an Datenverkehr und vergleichbar mit dem durch mehrjähriges kontinuierliches Streaming von 4K-Videos generierten Traffic oder in etwa mit der Datenmenge, die große Videoplattformen an einem Tag verarbeiten. Anschließend sanken die Zahl der Anfragen und das Volumen wieder, was möglicherweise der Operation PowerOFF zu verdanken ist. Im Rahmen dieser Aktion, die 21 Länder umfasste und sich gegen mehr als 75.000 Nutzer richtete, die DDoS-Angriffe in fremdem Auftrag durchführen, wurden 53 Domains abgeschaltet, 25 Durchsuchungsbefehle erlassen und vier Verhaftungen vorgenommen.

Hypervolumetrische Angriffe um mehr als das Sechsfache gestiegen

Bereits in der früheren Berichterstattung von Radar hat sich gezeigt, dass die Kategorie der hypervolumetrischen DDoS-Angriffe – also Angriffe mit mehr als 1 Terabit pro Sekunde (Tbit/s), 1 Milliarde Pakete pro Sekunde oder 1 Million Anfragen pro Sekunde – im Wachsen begriffen ist. Das ist 2026 nicht anders. Cloudflare hat im zweiten Quartal 805 Angriffe auf Netzwerkschicht mit einem Volumen von über 1 Tbit/s abgewehrt, was einen Anstieg um mehr als das Sechsfache im Quartalsvergleich darstellte.

Angriffsmerkmale: Klein und langsam

Trotz der Zunahme von hypervolumetrischen Attacken zeichneten sich die von Cloudflare in der ersten Jahreshälfte 2026 abgewehrten DDoS-Angriffe im Mittel weiterhin durch ihre Kürze und geringe Größe aus: 96,62 Prozent der Angriffe auf Netzwerkschicht lagen unter 500 Mbit/s und 90,60 Prozent dauerten weniger als 10 Minuten. Allerdings ist „klein“ ein relativer Begriff. Die meisten Internetpräsenzen könnten selbst solch eher bescheidenen Angriffen nicht standhalten. Konkret bedeutet das:

• Ein Angriff mit 100 Mbit/s reicht aus, um einen Server oder eine Website lahmzulegen
• Ein Angriff mit 100 Gbit/s kann die meisten ungeschützten Rechenzentren ausschalten
• Ein Angriff mit über 1 Tbit/s zählt zu den größten jemals verzeichneten Attacken und beansprucht selbst umfangreiche Internetinfrastruktur in erheblichem Maße

Angreifer nutzen manchmal unterschiedliche Kombinationen, also beispielsweise eine hohe Paketrate (maximale Zahl von Paketen pro Sekunde / Gpps) mit relativ geringer Bandbreite (Gbit/s) oder umgekehrt, um unterschiedliche Schwächen bei Netzwerkausrüstung oder alternativ Bandbreitenkapazität auszunutzen.

Darüber hinaus sind die meisten DDoS-Angriffe überraschend kurz, wie das folgende Diagramm zeigt. Selbst die größten hypervolumetrischen Angriffe dauern nicht Minuten, sondern Sekunden. So haben wir Rekord-Angriffe mit einer Dauer von nur 35 Sekunden registriert. Ob ein Angriff nun 30 Sekunden oder zehn Minuten dauert: Das Zeitfenster ist in jedem Fall zu kurz für das Eingreifen eines Menschen. Wenn ein Sicherheitsanalysten eine Warnmeldung erhält, ist der Angriff schon abgeschlossen. Manuelle Abhilfemaßnahmen und Lösungen auf Abruf sind in dieser Situation einfach zu langsam. Doch während der Angriff selbst möglicherweise schnell wieder vorbei ist, kann er langwierige Folgen haben. Selbst ein kurzer Ausfall führt unter Umständen durch Kaskadeneffekte zu unzuverlässigem Routing, TCP-Neuübertragungen, Anwendungsunterbrechungen und einer Beeinträchtigung nachgelagerter Dienste. Die vollständige Behebung dieser Probleme kann Stunden oder Tage dauern und die betroffenen Dienste sind in dieser Zeit gar nicht oder nur eingeschränkt nutzbar. In diesem Bedrohungsumfeld ist automatischer, stets aktiver Schutz keine Annehmlichkeit, sondern eine Notwendigkeit.

Am häufigsten angegriffene Branchen

Operation Epic Fury und vermehrte Angriffe auf staatlichen Sektor

Am 28. Februar 2026 haben Israel und die Vereinigten Staaten mit Operation Epic Fury eine Reihe von Angriffen auf die Führung und Infrastruktur des Iran begonnen. Das DDoS-Umfeld reagierte innerhalb von 72 Stunden: Sicherheitsforscher verzeichneten 149 DDoS-Angriffe von Hacktivisten auf 110 Organisationen in 16 Ländern. Knapp 47,8 Prozent aller weltweit angegriffenen Organisationen gehörten dem staatlichen Sektor an.

Als in der öffentlichen Berichterstattung in dieser Zeit umfangreiche staatliche Angriffe dokumentiert wurden, stieg dieses Segment gemessen am Anteil der abgewehrten HTTP-DDoS-Anfragen um 20 Ränge auf, von Platz 29 im ersten Quartal auf Platz 9 im zweiten. Zwar gehörte der Bereich während dieses Zeitraums zum größten Teil nicht zu den Top 10, doch innerhalb des Branchenrankings verzeichnete er den stärksten Anstieg.

Medienbranche am stärksten unter Beschuss

Im Kontext des Kriegsgeschehens im Iran und in der Ukraine sowie der Aufmerksamkeit rund um die Fußball-Weltmeisterschaft stand die Medien-, Produktions- und Verlagsbranche in beiden Quartalen am stärksten im Fokus der Angriffe. Auf dieses Segment entfielen 14,2 Prozent aller abgewehrten HTTP-DDoS-Anfragen. Der Anteil war damit fast viermal so hoch wie der des zweitplatzierten Sektors.

Am häufigsten angegriffene Länder

Im ersten Halbjahr 2026 fanden sich unter den am stärkten angegriffenen Ländern im DDoS-Bedrohungskontext ein paar alte Bekannte, teilweise wurden die Karten aber auch neu gemischt. China erreichte Platz eins, nachdem sich im zweiten Quartal 22,4 Prozent aller HTTP-DDoS-Anfragen weltweit an die Volksrepublik gerichtet hatten. Auf Rang zwei folgten die Vereinigten Staaten (18,8 Prozent), die weiterhin große Anziehungskraft auf die Angreifer ausübten.

Die Türkei verzeichnete eine rapide Zunahme von Angriffen, sodass sich ihr Anteil am weltweiten Angriffsdatenverkehr mehr als verdoppelte. Im zweiten Quartal erreichte sie deshalb den dritten Platz. Der sprunghafte Anstieg erfolgte in der Zeit vor dem NATO-Gipfel in Ankara im Juni und Anfang Juli, als türkische Sicherheitskräfte weitreichende Razzien in der türkischen Hauptstadt durchführten und mindestens 209 Personen festnahmen.

Häufigste Angriffsursprungsländer

Von Brasilien gingen in der ersten Hälfte des Jahres 2026 14,9 Prozent aller DDoS-Anfragen weltweit aus, womit das Land die Vereinigten Staaten (13,4 Prozent) ablöste. Dies war einem drastischen Anstieg im zweiten Quartal geschuldet, in dem 21,4 Prozent des gesamten abgewehrten DDoS-Anfrage-Traffics seinen Ursprung in Brasilien hatte. Indonesien blieb in beiden Quartalen auf Platz drei und hat sich damit mehrere Quartale in Folge in den Top 3 gehalten.

Angriffsvektoren

DNS Floods überwiegen

Auf DNS-basierte Angriffe (DNS Floods und DNS Amplification) sind im ersten Halbjahr 2026 34,3 Prozent der Attacken auf Netzwerkschicht entfallen. Es handelt sich dabei um zusammenhängende, aber unterschiedliche Methoden: Bei einem DNS-Flood-Angriff richtet ein Botnetz seine Anfragen direkt an die autoritativen DNS-Server des Opfers, um dessen Abfragekapazität durch schiere Masse zu überlasten. Dadurch ist das „Telefonbuch“ für diese Domain nicht mehr erreichbar, was zum Ausfall jedes darauf angewiesenen Diensts führt. Bei DNS Amplification werden dagegen kleine gefälschte Anfragen an offene DNS-Auflösungsdienste geschickt, die viel größere Datensätze an die gefälschte IP-Adresse des Opfers zurücksenden (was oft durch eine ANY-Abfrage erreicht wird). 

CLDAP stark im Aufwind: Steigerung um 580 Prozent bei Amplification

Der Reflection- und Amplification-Vektor CLDAP Flood, der ungeschützte Active Directory LDAP-over-UDP-Endpunkte missbraucht, verzeichnete im zweiten Quartal einen Zuwachs von 580 Prozent und wurde damit in diesem Zeitraum zum drittstärksten Angriffsvektor. CLDAP (Connectionless Lightweight Directory Access Protocol) ist eine Variante von LDAP (Lightweight Directory Access Protocol) und wird zum Abfragen und Ändern von Verzeichnisdiensten benutzt, die über IP-Netzwerke ausgeführt werden. CLDAP ist verbindungslos und setzt UDP anstelle von TCP ein, was das Protokoll zwar schneller, aber auch weniger zuverlässig macht. Aufgrund der Entscheidung für UDP ist kein Handshake erforderlich. Das ermöglicht es Angreifern, die Ursprungs-IP-Adresse zu fälschen und dies als Reflection-Vektor zu nutzen. Bei CLDAP-Angriffen werden kleine gefälschte Anfragen an öffentlich erreichbare Domain-Controller über den UDP-Port 389 gesendet. Die Server schicken der gefälschten Quelle (dem Opfer) dann zehn- bis hundertmal größere Antworten als die ursprüngliche Anfrage und sorgen so für eine Überlastung des Zielrechners. 

Stärkung der globalen Verteidigungsmaßnahmen und Unterstützung bei Verteidigung des Internets

Das Cloudflare-Netzwerk ist so aufgebaut, dass es dieser Zunahme von DDoS-Bedrohungen gewachsen ist. Jeder Dienst in unserem Netzwerk wird durch kostenlosen, unbegrenzten DDoS-Schutz abgesichert, der in jeder unserer mehr als 330 Städte weltweit läuft und sich auf eine Netzwerkkapazität von 500 Tbit/s stützen kann. Dabei geht es um Autonomie: Unsere Systeme sind in der Lage, Angriffe ohne menschliches Eingreifen zu erkennen und abzufangen. Das müssen sie auch, weil mittlerweile regelmäßig – hunderte Male in einem Quartal – Angriffe mit mehr als 1 Tbit/s durchgeführt werden.

Um Hosting-Anbietern, Cloud-Computing-Plattformen und Internet-Service-Providern bei der Identifizierung und Entfernung missbräuchlicher IP-Adressen / Konten zu helfen, von denen diese Angriffe ausgehen, nutzen wir den einzigartigen Überblick von Cloudflare über DDoS-Angriffe für die Bereitstellung eines kostenlosen Feeds zu DDoS-Botnetz-Bedrohungen für Service-Provider. 

Mehr als 800 Netzwerke weltweit haben sich für diesen Feed registriert und die Community arbeitet zur Zerschlagung von Botnetz-Knoten eng zusammen.

Über Cloudforce One

Cloudforce One will das Internet schützen und nutzt zur Analyse von Bedrohungen und zu gezielten Gegenmaßnahmen Telemetriedaten aus dem globalen Netzwerk von Cloudflare, das etwa 20 Prozent des Internets schützt. So werden kritische Systeme von Millionen Unternehmen auf der ganzen Welt abgesichert.