DDoS-Schutz für KMU: BSI meldet Allzeithoch – was Geschäftsführer jetzt tun müssen
Im Juli 2026 erreichte der DDoS-Index des BSI mit 373 Punkten einen neuen Höchststand – ein Plus von 16 Prozent gegenüber dem Vormonat. Seit Februar 2026 steigen die Angriffszahlen kontinuierlich. Gleichzeitig rücken KMU ins Visier, die unter NIS2 erstmals gesetzlich verpflichtet sind, ihre Verfügbarkeit zu schützen. Wer jetzt nicht handelt, riskiert nicht nur Umsatzausfall – sondern auch Bußgelder.
Warum DDoS-Angriffe gerade jetzt explodieren
Distributed-Denial-of-Service-Angriffe überfluten Server, Netzwerke oder Anwendungen mit so viel Traffic, dass legitime Nutzer keinen Zugang mehr erhalten. Was früher eine Domäne staatlich motivierter Angreifer war, ist 2026 ein Massengeschäft: DDoS-as-a-Service-Plattformen bieten Angriffe ab 30 Euro pro Stunde an. Die Einstiegshürde ist praktisch null.
Drei Faktoren treiben den aktuellen Anstieg: Erstens nutzen Angreifer das Botnetz Badbox, das laut BSI mit 41,8 Prozent aller beobachteten Unique IPs das größte aktive Botnetz in Deutschland ist. Zweitens dienen DDoS-Angriffe zunehmend als Ablenkungsmanöver für parallele Ransomware-Einbrüche. Drittens setzen geopolitisch motivierte Gruppen DDoS als Druckmittel gegen europäische Unternehmen ein.
⚠ Häufiges Missverständnis
„Uns greift doch niemand an – wir sind zu klein.“ Falsch. DDoS-Angriffe treffen KMU nicht, weil sie interessant sind, sondern weil sie verwundbar sind. Automatisierte Scans finden offene Dienste unabhängig von der Firmengröße. Ein Onlineshop mit 2 Millionen Euro Jahresumsatz, der drei Tage offline ist, verliert leicht 50.000 Euro – ohne die Folgekosten für Kundenvertrauen und Vertragsstrafen.
Was NIS2 zum DDoS-Schutz fordert
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz ohne Übergangsfrist. § 30 BSIG verlangt von betroffenen Unternehmen Maßnahmen zur „Aufrechterhaltung des Betriebs“ und zum „Krisenmanagement“. Das BSI konkretisiert: Verfügbarkeit ist ein explizites Schutzziel. Wer keinen DDoS-Schutz nachweisen kann, verletzt seine Sorgfaltspflichten – und die Geschäftsführerhaftung nach § 38 BSIG greift persönlich.
Dazu kommen die NIS2-Meldepflichten: Ein DDoS-Angriff, der geschäftskritische Dienste länger als vier Stunden lahmlegt, ist ein meldepflichtiger Sicherheitsvorfall. Die Frühwarnung muss innerhalb von 24 Stunden beim BSI eingehen.
DDoS-Angriffstypen, die KMU kennen müssen
| Angriffstyp | Ziel | Typisches Volumen | Abwehr |
|---|---|---|---|
| Volumetrisch (UDP Flood, DNS Amplification) | Bandbreite | 10–500 Gbit/s | Upstream-Filterung, CDN |
| Protokoll (SYN Flood, Smurf) | Firewall / Load Balancer | 1–50 Gbit/s | SYN-Cookies, Rate-Limiting |
| Application Layer (HTTP Flood, Slowloris) | Webserver / API | Wenig Bandbreite, viele Requests | WAF, Bot-Detection |
| Multi-Vektor | Alle Ebenen gleichzeitig | Kombiniert | Managed DDoS-Protection |
Der Trend 2026: Multi-Vektor-Angriffe, die alle drei Ebenen gleichzeitig attackieren. Einfache Maßnahmen wie Rate-Limiting auf der Firewall reichen dagegen nicht mehr aus.
Fünf Schutzmaßnahmen, die jedes KMU umsetzen kann
1. Upstream-DDoS-Schutz aktivieren
Der wichtigste Schritt: Verlagern Sie die Filterung an einen Punkt, der mehr Bandbreite hat als Ihr Anschluss. Die meisten Hosting-Provider und ISPs bieten DDoS-Mitigation als Zusatzdienst an. Cloud-basierte Dienste wie Cloudflare, Akamai oder der deutsche Anbieter Link11 filtern den Traffic, bevor er Ihre Infrastruktur erreicht. Für KMU mit eigenem Webauftritt ist ein CDN mit integriertem DDoS-Schutz oft die kosteneffizienteste Lösung – ab ca. 200 Euro monatlich.
2. Netzwerk segmentieren
Trennen Sie öffentlich erreichbare Dienste (Webserver, E-Mail, VPN-Gateway) von internen Systemen. Wenn ein DDoS-Angriff Ihren Webshop trifft, darf das nicht gleichzeitig Ihre ERP-Anbindung lahmlegen. Netzwerksegmentierung ist ohnehin eine NIS2-Mindestmaßnahme – sie zahlt also doppelt ein.
3. Redundanz für kritische Dienste
Identifizieren Sie Ihre geschäftskritischen Dienste und schaffen Sie Redundanz: ein zweiter DNS-Provider, ein Failover-Webserver bei einem anderen Hoster, eine alternative Erreichbarkeit für Kunden (z. B. Telefon-Hotline auf Mobilfunk statt VoIP). Klingt aufwändig – ist aber im Ernstfall der Unterschied zwischen vier Stunden Ausfall und vier Tagen.
4. Notfallplan für DDoS-Szenarien
Ein Incident-Response-Plan muss auch DDoS-Szenarien abdecken. Legen Sie vorab fest: Wer aktiviert den DDoS-Schutz? Wie wird auf den Backup-Kanal umgeschaltet? Wer meldet an das BSI? Testen Sie diesen Ablauf mindestens einmal jährlich in einer Tabletop-Exercise.
5. Monitoring und Früherkennung
DDoS-Angriffe kündigen sich oft an: unerwöhnlich hoher Traffic auf einzelnen Ports, steigende Latenz, erhöhte Fehlerrate. Ein einfaches Monitoring mit Alerting (z. B. über Uptime-Checks und Netflow-Analyse) kann die Reaktionszeit von Stunden auf Minuten verkürzen. Nutzen Sie einen kostenlosen Schwachstellenscan, um zunächst Ihre Angriffsfläche zu kennen.
✓ Quick-Win-Checkliste DDoS-Schutz
- Upstream-DDoS-Protection beim Hoster oder via CDN aktiviert
- Öffentliche Dienste von internem Netz segmentiert
- DNS-Redundanz (mindestens zwei unabhängige DNS-Provider)
- Rate-Limiting auf Firewall und Webserver konfiguriert
- Web Application Firewall (WAF) für Application-Layer-Schutz
- Monitoring mit Alerting für Traffic-Anomalien eingerichtet
- DDoS-Szenario im Notfallplan dokumentiert und geübt
- Kontaktdaten des DDoS-Mitigation-Anbieters griffbereit (auch offline)
Was ein DDoS-Angriff KMU wirklich kostet
Die direkten Kosten eines erfolgreichen DDoS-Angriffs gehen weit über den Umsatzausfall hinaus. Branchenstudien beziffern den durchschnittlichen Schaden für KMU auf 120.000 bis 350.000 Euro – abhängig von Dauer und betroffenen Systemen. Darin enthalten sind:
Direkte Kosten: Umsatzausfall während der Downtime, Kosten für externe Incident-Response-Dienstleister, beschleunigte Beschaffung von Schutzlösungen unter Zeitdruck (immer teurer als geplant).
Indirekte Kosten: Vertragsstrafen bei SLA-Verletzungen, Kundenabwanderung nach Vertrauensverlust, erhöhte Prämien bei der Cyberversicherung, persönliche Haftung der Geschäftsführung bei nachgewiesener Pflichtverletzung.
Zum Vergleich: Eine solide DDoS-Mitigation kostet ein KMU zwischen 200 und 1.500 Euro monatlich – ein Bruchteil eines einzigen erfolgreichen Angriffs.
DDoS als Ablenkung: Die doppelte Gefahr
Ein besorgniserregender Trend, den das BSI seit Anfang 2026 beobachtet: DDoS-Angriffe werden gezielt als Ablenkungsmanöver eingesetzt. Während die IT-Abteilung mit der DDoS-Abwehr beschäftigt ist, nutzen Angreifer die Gelegenheit für einen parallelen Einbruch – etwa über kompromittierte VPN-Zugänge oder ungepatchte Schwachstellen.
Das bedeutet: Behandeln Sie jeden DDoS-Angriff auch als möglichen Deckmantel für einen tiefgreifenderen Angriff. Prüfen Sie parallel Ihre Logs auf ungewöhnliche Anmeldevorgänge, laterale Bewegungen oder Datenabflüsse. Guter Patch-Stand und aktivierte MFA sind hier Ihre beste Versicherung.
NIS2-Dokumentation: Was Sie nachweisen müssen
Das BSI kann jederzeit Nachweise über Ihre Sicherheitsmaßnahmen anfordern. Für den DDoS-Schutz sollten Sie dokumentieren:
Nachweisdokumentation DDoS-Schutz
Risikoanalyse: Bewertung der DDoS-Bedrohung für Ihre spezifischen Dienste und Geschäftsprozesse.
Technische Maßnahmen: Welche Schutzlösungen sind implementiert? Verträge mit DDoS-Mitigation-Anbietern, CDN-Konfiguration, Firewall-Regeln.
Organisatorische Maßnahmen: DDoS-Runbook im Notfallplan, Eskalationspfade, Kontaktlisten für Dienstleister und BSI.
Test-Nachweise: Protokolle der letzten Notfallübung, Ergebnisse von DDoS-Simulationen, Lessons Learned.
Diese Nachweispflichten mögen bürokratisch wirken, sind aber Ihr Schutzschild bei BSI-Prüfungen – und im Haftungsfall der Beweis, dass Sie Ihre Sorgfaltspflicht erfüllt haben.
Wie gut ist Ihr Unternehmen gegen DDoS geschützt?
Unser kostenloser Schwachstellenscan zeigt Ihnen, welche Dienste von außen erreichbar sind und wo Angreifer ansetzen würden. Im Beratungsgespräch entwickeln wir einen DDoS-Schutzplan, der zu Ihrem Budget passt – und Ihre NIS2-Pflichten gleich mit abdeckt.