Denial of Service (DoS; engl. für „Dienstblockade“) bezeichnet in der Informationstechnik die Nichtverfügbarkeit eines Dienstes, der eigentlich verfügbar sein sollte. Obwohl es verschiedene Gründe für die Nichtverfügbarkeit geben kann, spricht man von DoS in der Regel als die Folge einer Überlastung von Infrastruktursystemen. Dies kann durch unbeabsichtigte Überlastungen verursacht werden oder durch einen mutwilligen Angriff auf einen Server, einen Rechner oder sonstige Komponenten in einem Datennetz.

Wird die Überlastung von einer größeren Anzahl anderer Systeme verursacht, so wird von einer Verteilten Dienstblockade oder englisch Distributed Denial of Service (DDoS) gesprochen.

Wird eine Überlastung mutwillig herbeigeführt, geschieht dies in der Regel mit der Absicht, einen oder mehrere bereitgestellte Dienste arbeitsunfähig zu machen.

DoS-Angriffe wie SYN-Flooding oder der Smurf-Angriff belasten den Internetzugang, das Betriebssystem oder die Dienste eines Hosts, beispielsweise HTTP, mit einer größeren Anzahl Anfragen als diese verarbeiten können, woraufhin reguläre Anfragen nicht oder nur sehr langsam beantwortet werden. Wenn möglich, ist es jedoch wesentlich effizienter, Programmfehler auszunutzen, um eine Fehlerfunktion (wie einen Absturz) der Serversoftware auszulösen, worauf diese auf Anfragen ebenfalls nicht mehr reagiert. Beispiele sind WinNuke, die Land-Attacke, die Teardrop-Attacke oder der Ping of Death.

Im Unterschied zu anderen Angriffen will der Angreifer beim DoS-Angriff normalerweise nicht in den Computer eindringen und benötigt deshalb keine Passwörter oder Ähnliches vom Zielrechner. Jedoch kann der Angriff Bestandteil eines anderen Angriffs auf ein System sein, zum Beispiel bei folgenden Szenarien:

• Um vom eigentlichen Angriff auf ein System abzulenken, wird ein anderes System durch einen DoS lahmgelegt. Dies soll dafür sorgen, dass das mit der Administration betraute Personal vom eigentlichen Ort des Geschehens abgelenkt ist oder die Angriffsversuche im durch den DoS erhöhten Datenaufkommen untergehen.
• Werden Antworten eines regulären Systems verzögert, können Anfragen an dieses durch eigene, gefälschte Antworten kompromittiert werden. Beispiel hierfür ist das Hijacking fremder Domains durch Liefern gefälschter DNS-Antworten.

Denial-of-Service-Attacken werden mittlerweile von Cyber-Kriminellen zum Verkauf angeboten, etwa um Konkurrenten zu schädigen.^[1]

Eine besondere Form stellt der Distributed-Reflected-Denial-of-Service-Angriff (DRDoS-Angriff) dar. Hierbei adressiert der Angreifer seine Datenpakete nicht direkt an das Opfer, sondern an regulär arbeitende Internetdienste, trägt jedoch als Absenderadresse die des Opfers ein (IP-Spoofing). Die Antworten auf diese Anfragen stellen dann für das Opfer den eigentlichen DoS-Angriff dar. Durch diese Vorgehensweise ist der Ursprung des Angriffs für den Angegriffenen nicht mehr direkt ermittelbar. Ein Beispiel für einen solchen Angriff ist die DNS Amplification Attack, bei der das Domain Name System als Reflektor missbraucht wird.

Weitere bekannte Methoden sind der Smurf- und der Fraggle-Angriff, bei denen ein Paket mit der IP-Adresse des Opfers als Absender an die Broadcast-Adresse eines Netzwerks gesendet wird. Das bewirkt, dass das Paket um die Anzahl der Geräte im Netzwerk vervielfacht und an das Opfer zurückgeschickt wird.

Mutwillige DDoS-Angriffe werden oft (aber nicht ausschließlich, siehe DDoS als Protestaktion) mit Hilfe von Backdoor-Programmen oder Ähnlichem durchgeführt. Diese Backdoor-Programme werden in der Regel von Computerwürmern auf nicht ausreichend geschützten Rechnern installiert und versuchen selbstständig, weitere Rechner im Netzwerk zu infizieren, um so ein Botnetz aufzubauen. Je größer das Botnetz, desto wahrscheinlicher ist, dass der Angriff selbst gegen gut geschützte Systeme durchdringt. Die Steuerung des Angriffs erfolgt über IRC, HTTP oder mittels eines Peer-to-Peer-Netzes.

Als Form des Protestes sind DDoS-Attacken immer populärer geworden. Einfach zu bedienende Werkzeuge wie zum Beispiel die populäre Low Orbit Ion Cannon ermöglichen es nun auch nicht computerversierten Personen, den Betrieb fremder Computer, Webseiten und Dienste mit Denial-of-Service-Angriffen zu stören.

Befürworter dieser Form des Protestes argumentieren, dass bei Online-Demonstrationen die Protestierenden nur ihre eigenen Ressourcen verwenden und deren Aktionen somit weder das Tatbestandsmerkmal der Gewalt, noch eine Drohung mit einem empfindlichen Übel aufweisen. Daher sei diese politische von der wirtschaftlich motivierten Form des DDoS zu unterscheiden.^[2]

In Deutschland ist bereits der Versuch der Störung als Computersabotage strafbar, siehe dazu Abschnitt Rechtliche Situation.

Im Folgenden werden fünf bekannte Beispiele zu absichtlich herbeigeführten Serverüberlastungen aufgeführt.

• August 2008: Die Webseite des georgischen Präsidenten Micheil Saakaschwili ist nicht mehr erreichbar.^[3]
• Anfang Juli 2009: Südkoreanische und US-amerikanische Regierungsseiten, Shoppingportale und Nachrichtendienste sind nach Angriffen vorübergehend nicht mehr erreichbar. Die ferngesteuerten Zugriffe von bis zu 30.000 mit schädlicher Software infizierten PCs sollen an dem Angriff beteiligt gewesen sein.^[4]
• 6. bis 8. Dezember 2010: Als Reaktion auf Sperrungen von WikiLeaks-Konten bei der PostFinance wie auch bei den Zahlungsdiensten MasterCard, Visa, PayPal und Amazon wurden deren Webseiten angegriffen und, bis auf die Amazon-Seite, zeitweise in die Knie gezwungen.^[5][6]
• 18. Mai 2012: Die Webseite der Stadt Frankfurt wurde im Rahmen der Blockupy-Proteste durch Anonymous attackiert und war zeitweise nicht mehr erreichbar.^[7]
• 19. März 2013: Ein Streit zwischen der Plattform Spamhaus und vermutlich dem anonymen Hoster Cyberbunker führte zum derzeit größten bekannten DDoS-Angriff via DNS-Amplification/-Reflection, dem kurzfristig, auf Grund geschickter PR durch CloudFlare als Website-Proxy Spamhauses, nachgesagt wurde, er hätte „das Internet spürbar verlangsamt“.^[8] Bei etwa 300 Gigabit pro Sekunde anfragenden DNS-Server ist dies, im Vergleich zu Spitzen von 2,5 Terabit/s alleine im DE-CIX, unwahrscheinlich und wird vom Fachdienst Renesys lediglich als „lokaler Angriff“ eingeordnet.^[9]

Die aufgelisteten Angriffe hatten zwei Gemeinsamkeiten: Zum einen konnten die Absenderadressen der „angreifenden“ Datenpakete gefälscht werden (IP-Spoofing), zum anderen konnte vor dem eigentlichen Angriff auf einer großen Anzahl dritter, nur unzureichend geschützter Internet-Rechner unberechtigterweise Software (wie Hintertüren oder Trojaner) installiert werden, das resultierende Botnetz konnte dann ferngesteuert durch massenhaft versendete Datenpakete den eigentlichen Angriff ausführen.

Das Content Delivery Network Akamai stellte eine Steigerung der Angriffe vom vierten Quartal 2013 zum ersten Quartal 2014 um 39 % fest, zum Vorjahresquartal sind es 47 %. Der Sicherheitsspezialist Imperva berichtet, dass ein Drittel aller Netzwerk-DDoS-Ereignisse ein Volumen von mehr 10 Gbit/s haben. „Diese Angriffe werden von Jahr zu Jahr aggressiver und umgehen DDoS-Schutzmaßnahmen.“^[10] Zweck solcher Angriffe sind meist Erpressung und Schädigung eines Konkurrenten oder Infiltration des Zielsystems. Es gibt Angriffe mit 180 Gbit/s, die über Stunden gehen und selbst Providernetze überfordern. Noch sind 70 % aller Fälle relativ, aber mancher Bot spiegelt einen legitimen Browser oder gar einen Menschen vor. Oder die Angreifer geben sich als Suchmaschinen-Bots aus. Mehr als ein Viertel der angreifenden Bot-Netze befinden sich in China, Indien und dem Irak.^[11]

Führt der sprunghafte Anstieg von Anfragen an eine bisher nur gering frequentierte Webseite aufgrund der Berichterstattung in einem publikumswirksamen Medium zu deren Überlastung und damit zur Dienstverweigerung, wird das bei dortigen Lesern im Netzjargon auch „Slashdot-Effekt“ genannt und gelegentlich scherzhaft mit einem DDoS-Angriff verglichen. Ein weiteres bekanntes Beispiel dafür im deutschsprachigen Raum ist die IT-Nachrichtenseite heise online und der dort gelegentlich auftretende „Heise-Effekt“.^[12][13][14] Außerdem kann es bei Tweets populärer Nutzer des Netzwerks Twitter und Retweets ihrer Follower zu serverseitigen Ausfällen kommen.^[15]

Um Überlastungen von kritischer IT-Infrastruktur zu verhindern oder solche zu begrenzen, wurden mit der Zeit einige Gegenmaßnahmen entwickelt:

• Bei kleineren Überlastungen, die nur von einem oder wenigen Rechnern/Absendern verursacht werden, kann eine Dienstverweigerung mit Hilfe von einfachen Sperrlisten (i.d.R. eine Liste von Absenderadressen) vollzogen werden. Diese Sperrlisten werden von einer Firewall ausgeführt: Sie verwirft dabei Datenpakete von IP-Adressen aus dieser Sperrliste (oder leitet sie um). Oft kann eine Firewall auch simple Angriffe automatisch erkennen und diese Sperrlisten dynamisch erzeugen, zum Beispiel durch Rate Limiting von TCP-SYN- und ICMP-Paketen.

• Der Einsatz von SYN-Cookies mindert die Auswirkungen eines SYN-Flooding-Angriffs.

• Rate Limiting hat den großen Nachteil, dass gute wie schädliche Anfragen abgefangen werden. Diese Technik darf nur das letzte Mittel sein!

• Eine Verhaltensbasierte Analyse mit einer individuellen Echtzeit Signaturerstellung sorgt für einen verlässlichen Schutz.

• Analyse- und Filtermaßnahmen können sowohl auf dem betroffenen Rechner als auch auf dem Grenzrouter des Providers eingerichtet werden. Letzteres ist insbesondere die effektivere Variante bei Überlastungen des Internetzugangs.

• Außerdem sollten Grenzrouter ungültige Absenderadressen nach RFC 2267 filtern um DoS-Angriffe zu verhindern, die versuchen, via IP-Spoofing die Sperrlisten zu umgehen.

• Falls dem Angreifer nur die IP-Adresse des betroffenen Rechners bekannt ist, besteht zudem die Möglichkeit, diese zu ändern (beim PC zu Hause würde in der Regel der Neustart des Routers reichen). Erfolgt jedoch ein DoS-Angriff über einen öffentlichen DNS-Hostname und nicht über die IP-Adresse allein, so hilft diese Maßnahme nur kurzfristig.

• Eine weitere mögliche – in der Regel aber kostenaufwendigere – Gegenmaßnahme gegen Überlastungen ist die sogenannte Serverlastverteilung. Dabei werden die bereitgestellten Dienste mit der Hilfe von verschiedenen Virtualisierungstechniken auf mehr als einen physischen Rechner verteilt.

• Da DNS-Amplification-Angriffe in der Vergangenheit bereits Angriffsvolumen von mehr als 200 bis 300 GBit/s erreicht haben, ist als einzig dauerhafte Möglichkeit die Nutzung eines Filter-Services sinnvoll. Diese werden von mehreren kommerziellen Anbietern offeriert, die teilweise über Anbindungen von 400 bis 500 GBit/s verfügen. Selbst größte Angriffe können so ohne Störung des eigenen Rechenzentrums gefahrlos bewältigt werden. Die Dienste unterscheiden sich in Qualität und Größe der abfangbaren Angriffe. Jedoch ist die Datenschutz-Situation zu beachten. So leiten viele US-Anbieter die Daten durch die USA oder das Vereinigte Königreich, was hinsichtlich der Auftragsdatenverarbeitung nach BDSG nicht erlaubt ist.

• In Deutschland ist die Beteiligung an DoS-Attacken als Computersabotage nach § 303b Abs. 1 StGB mit bis zu drei Jahren Freiheitsstrafe oder mit Geldstrafe bedroht, wenn die Dateneingabe oder -übermittlung in der Absicht erfolgt, einem anderen Nachteile zuzufügen, und dadurch eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, erheblich gestört wird.^[16][17] Dementsprechend verurteilte das LG Düsseldorf einen Täter, der im Wege einer DDos-Attacke fremde Server mehrfach lahmgelegt hatte, wegen Computersabotage und Erpressung zu einer mehrjährigen Freiheitsstrafe.^[18] Gemäß § 303b Abs. 3 StGB ist auch der Versuch strafbar. Daneben ist ferner auch die Vorbereitung einer Straftat nach § 303b Abs. 1 StGB selbst strafbar, § 303b Abs. 5 StGB i. V. m. § 202c StGB. Hierunter fällt insbesondere die Herstellung und Verbreitung von Computerprogrammen für DoS-Attacken.^[19] Außerdem kann der Geschädigte Schadenersatz fordern.^[20] Im Verhältnis zwischen Zugangsanbieter und Reseller liegt das Vertragsrisiko nach Ansicht des Amtsgerichts Gelnhausen regelmäßig bei dem Reseller, so dass er jenem gegenüber auch dann zahlungspflichtig ist, wenn die Leitung durch eine DDoS-Attacke gestört wird.^[21]

• In Österreich können DoS- bzw DDoS-Attacken die strafrechtlichen Delikte nach § 126a StGB (Datenbeschädigung) und § 126b StGB (Störung der Funktionsfähigkeit eines Computersystems) erfüllen. Der Missbrauch von Computerprogrammen nach § 126c StGB ist als Vorbereitungshandlung zu diesen Delikten zu sehen und selbst unter Strafe gestellt.

• Im Vereinigten Königreich droht sogar für das bloße Herunterladen der für die Angriffe genutzten Software LOIC eine Freiheitsstrafe von zwei Jahren.^[20]

• In der Schweiz ist DoS als das Unbrauchbarmachen von Daten und Datenbeschädigung nach Art. 144 StGB strafbar und kann mit einer Geldstrafe oder einer Freiheitsstrafe von drei bis zu fünf Jahren geahndet werden.

• Online-Demonstration
• Slowloris

• Johannes Öhlböck, Balazs Esztegar: Rechtliche Qualifikation von Denial of Service Attacken. JSt 4/2011, 126.

• DDoS Survival Handbuch
• Eine Liste freier deutschsprachiger Dokumente zum Thema
• Ausführliche Beschreibung des Denial of Service
• Rechtliche Qualifikation von Denial of Service Attacken nach deutschem Recht (Internet-Strafrecht.com)
• Übersicht aktueller Bedrohungen 2014

1. ↑ Schattenwirtschaft Botnetze – ein Millionengeschäft für Cyberkriminelle - Viruslist.com
2. ↑ Achim Sawall: Anonymous fordert Legalisierung von DDoS-Attacken, 10. Januar 2013. In: golem.de. Abgerufen am 28. März 2013.
3. ↑ Hack-Attacke auf Georgien: Ehrenamtliche Angriffe – Artikel bei Spiegel Online, vom 14. August 2008
4. ↑ Hacker-Attacke auf Südkorea: Österreich unter Verdacht – Artikel bei DiePresse.com, vom 10. Juli 2009
5. ↑ "Shame on you, Postfinance" [Update]. Linktext ungültig 7. Dezember 2010, abgerufen am 7. Dezember 2010. 
6. ↑ "Wikileaks-Gegner" von Hackern bombardiert [Update]. Linktext ungültig 9. Dezember 2010, abgerufen am 9. Dezember 2010. 
7. ↑ Anonymous attackiert Website der Stadt Frankfurt – Artikel im Frankfurter-Blog vom 18. Mai 2012
8. ↑ Gigantische DDoS-Attacke: Spam-Streit bremst das komplette Internet – Artikel im Spiegel Online vom 27. März 2013
9. ↑ Spamhaus Attacke erschüttert das Internet nicht, golem.de. Abgerufen am 24. Juli 2013.
10. ↑ laut Sebastian Schreiber, Geschäftsführer des Sicherheitsspezialisten SySS
11. ↑ VDInachrichten Nr. 20: DDoS-Angriffe werden immer gefährlicher". Technik & Wirtschaft vom 16. Mai 2014, Seite 14
12. ↑ What is the „Slashdot Effect“? (englisch) – Abschnitt in der Slashdot-FAQ, vom 13. Juni 2000
13. ↑ Der Fluch der kleinen Pixel und des inflationären Kommentierens – Weblog-Artikel bei Alles Roger, vom 19. September 2007
14. ↑ Der HEISE-Effekt – Weblog-Eintrag bei jurabilis, vom 20. Februar 2008
15. ↑ Twitter + Retweet = Twitter-Effekt – Weblog-Eintrag bei netzwertig.com, vom 6. Februar 2009
16. ↑ Gröseling, Höfinger: Computersabotage und Vorfeldkriminalisierung – Auswirkungen des 41. StrÄndG zur Bekämpfung der Computerkriminalität, MMR 2007, 626, 628f.
17. ↑ Ernst: Das neue Computerstrafrecht, NJW 2007, 2661, 2665.
18. ↑ LG Düsseldorf, Urteil vom 22. März 2011, Az. 3 KLs 1/11.
19. ↑ Stree/Hecker, in: Schönke/Schröder, 28. Auflage 2010, § 303b StGB Rn. 21.
20. ↑ ^{a b} Illegalität” von LOIC-Tool in UK, Deutschland & Niederlanden? In: netzpolitik.org. 10. Dezember 2010, abgerufen am 10. Dezember 2010. 
21. ↑ AG Gelnhausen, Urt. v. 6. Oktober 2005 - 51 C 202/05 -