1-Tbps-Angriffe vervielfachen sich: DNS-Floods und Geopolitik prägen die DDoS-Lage im ersten Halbjahr 2026
Cloudflare hat die 25. Ausgabe seines DDoS-Threat-Reports veröffentlicht – erstmals als Halbjahresbericht, der Q1 und Q2 2026 in einem Band zusammenfasst. Die Analyse der Threat-Intelligence-Einheit Cloudforce One zeigt zwei parallele Entwicklungen: Angriffe jenseits der Terabit-Marke werden zur Routine, und der Schwerpunkt der Angriffstechniken verschiebt sich von Botnet-Floods zu Reflection und Amplification. Hinzu kommt ein deutlich sichtbarer geopolitischer Einfluss auf Ziele und Branchen.
5.300 Angriffe pro Stunde
Zur Jahresmitte hatte Cloudflare bereits 23,2 Millionen Angriffe auf Netzwerkebene sowie 29,64 Billionen bösartige HTTP-Anfragen abgewehrt – rund 5.343 Netzwerk-Angriffe pro Stunde beziehungsweise etwa 128.000 pro Tag. Der April war Spitzenmonat mit 6,46 Billionen Anfragen und 165 Petabyte Angriffsvolumen. Danach gingen Zahl und Volumen zurück, möglicherweise als Folge der Operation PowerOFF: Die 21 Länder umfassende Aktion nahm über 75.000 Nutzer von DDoS-for-Hire-Diensten ins Visier, schaltete 53 Domains ab und führte zu vier Verhaftungen.
Der 1-Tbps-Klub wächst um mehr als das Sechsfache
Als hypervolumetrisch gelten Angriffe oberhalb von 1 Terabit pro Sekunde, 1 Milliarde Paketen pro Sekunde oder 1 Million Anfragen pro Sekunde. In den ersten sechs Monaten des Jahres entschärfte Cloudflare 935 Netzwerk-Angriffe über 1 Tbps – allein 805 davon im zweiten Quartal. Das entspricht einem Zuwachs von 519 % gegenüber dem Vorquartal und damit mehr als einer Versechsfachung.
Der Normalfall bleibt kurz und klein – und gefährlich
Trotz dieser Rekordwerte blieb der typische Angriff unauffällig: 96,62 % aller Netzwerk-Angriffe lagen unter 500 Mbit/s, 90,60 % waren nach weniger als zehn Minuten beendet. „Klein“ ist dabei relativ – bereits 100 Mbit/s genügen, um einen Server oder eine Website lahmzulegen, 100 Gbit/s bringen die meisten unzureichend geschützten Rechenzentren offline. Selbst die größten hypervolumetrischen Attacken dauern teils nur Sekunden; Cloudflare beobachtete Rekordangriffe von 35 Sekunden Länge. Für manuelles Eingreifen bleibt damit kein Zeitfenster: Bis eine Warnung beim Analysten ankommt, ist der Angriff vorbei. Die Nachwirkungen sind es nicht – Routing-Instabilität, TCP-Retransmissions und Anwendungs-Timeouts können Stunden oder Tage nachhallen. Automatisierter Dauerschutz ist deshalb keine Komfortfunktion, sondern Voraussetzung.
Vektoren: DNS dominiert, CLDAP explodiert
DNS-basierte Angriffe machten im Halbjahr 34,3 % aller Attacken auf Netzwerkebene aus; der Anteil reiner DNS-Floods stieg von 25,7 auf 40,0 % im Quartalsvergleich. Dabei richtet ein DNS-Flood die rohe Anfragelast eines Botnets direkt gegen die autoritativen Nameserver des Opfers – fällt das „Telefonbuch“ der Domain aus, sind alle abhängigen Dienste nicht mehr erreichbar. DNS-Amplification nutzt stattdessen offene Resolver, die auf kleine gefälschte Anfragen mit deutlich größeren Antworten reagieren. Am stärksten wuchs der CLDAP-Flood: plus 580 % gegenüber dem Vorquartal und damit drittwichtigster Vektor in Q2. Er missbraucht offen erreichbare Active-Directory-Domänencontroller auf UDP-Port 389, deren Antworten das Zehn- bis Hundertfache der Anfrage umfassen.
Geopolitik verschiebt Ziele und Quellen
Medien, Produktion und Publishing war in beiden Quartalen die am häufigsten angegriffene Branche – mit 14,2 % aller abgewehrten HTTP-Anfragen nahezu das Vierfache des Zweitplatzierten. Auslöser waren die Berichterstattung zu Iran und Ukraine sowie die Fußball-WM. Nach dem Beginn der Operation Epic Fury am 28. Februar registrierten Sicherheitsforscher binnen 72 Stunden 149 hacktivistische DDoS-Bekenntnisse gegen 110 Organisationen in 16 Ländern; 47,8 % der Ziele waren dem öffentlichen Sektor zuzuordnen, der von Rang 29 auf Rang 9 sprang. Am häufigsten angegriffen wurde China (22,4 % im zweiten Quartal), gefolgt von den USA (18,8 %); die Türkei verdoppelte ihren Anteil im Umfeld des NATO-Gipfels in Ankara und rückte auf Platz drei. Bei den Ursprungsländern überholte Brasilien mit 14,9 % die USA (13,4 %), Indonesien blieb Dritter.
Fazit
Die Zahlen des ersten Halbjahres 2026 verschieben die Erwartungshaltung: Terabit-Angriffe treten inzwischen hundertfach pro Quartal auf, während die Masse der Attacken so kurz ist, dass jede menschliche Reaktion zu spät kommt. Für Unternehmen folgt daraus zweierlei – Abwehr muss automatisiert und permanent aktiv sein, und exponierte Infrastruktur wie offene DNS-Resolver oder öffentlich erreichbare Domänencontroller gehört konsequent geschlossen. Dass Branchen und Zielländer den geopolitischen Schlagzeilen folgen, macht die Lage zudem planbarer, als es die Rekordwerte vermuten lassen: Wer im Fokus der Berichterstattung steht, sollte mit Angriffen rechnen.
1-Tbps-Angriffe vervielfachen sich: DNS-Floods und Geopolitik prägen die DDoS-Lage im ersten Halbjahr 2026
Cloudflare hat die 25. Ausgabe seines DDoS-Threat-Reports veröffentlicht – erstmals als Halbjahresbericht, der Q1 und Q2 2026 in einem Band zusammenfasst. Die Analyse der Threat-Intelligence-Einheit Cloudforce One zeigt zwei parallele Entwicklungen: Angriffe jenseits der Terabit-Marke werden zur Routine, und der Schwerpunkt der Angriffstechniken verschiebt sich von Botnet-Floods zu Reflection und Amplification. Hinzu kommt ein deutlich sichtbarer geopolitischer Einfluss auf Ziele und Branchen.
5.300 Angriffe pro Stunde
Zur Jahresmitte hatte Cloudflare bereits 23,2 Millionen Angriffe auf Netzwerkebene sowie 29,64 Billionen bösartige HTTP-Anfragen abgewehrt – rund 5.343 Netzwerk-Angriffe pro Stunde beziehungsweise etwa 128.000 pro Tag. Der April war Spitzenmonat mit 6,46 Billionen Anfragen und 165 Petabyte Angriffsvolumen. Danach gingen Zahl und Volumen zurück, möglicherweise als Folge der Operation PowerOFF: Die 21 Länder umfassende Aktion nahm über 75.000 Nutzer von DDoS-for-Hire-Diensten ins Visier, schaltete 53 Domains ab und führte zu vier Verhaftungen.
Der 1-Tbps-Klub wächst um mehr als das Sechsfache
Als hypervolumetrisch gelten Angriffe oberhalb von 1 Terabit pro Sekunde, 1 Milliarde Paketen pro Sekunde oder 1 Million Anfragen pro Sekunde. In den ersten sechs Monaten des Jahres entschärfte Cloudflare 935 Netzwerk-Angriffe über 1 Tbps – allein 805 davon im zweiten Quartal. Das entspricht einem Zuwachs von 519 % gegenüber dem Vorquartal und damit mehr als einer Versechsfachung.
Der Normalfall bleibt kurz und klein – und gefährlich
Trotz dieser Rekordwerte blieb der typische Angriff unauffällig: 96,62 % aller Netzwerk-Angriffe lagen unter 500 Mbit/s, 90,60 % waren nach weniger als zehn Minuten beendet. „Klein“ ist dabei relativ – bereits 100 Mbit/s genügen, um einen Server oder eine Website lahmzulegen, 100 Gbit/s bringen die meisten unzureichend geschützten Rechenzentren offline. Selbst die größten hypervolumetrischen Attacken dauern teils nur Sekunden; Cloudflare beobachtete Rekordangriffe von 35 Sekunden Länge. Für manuelles Eingreifen bleibt damit kein Zeitfenster: Bis eine Warnung beim Analysten ankommt, ist der Angriff vorbei. Die Nachwirkungen sind es nicht – Routing-Instabilität, TCP-Retransmissions und Anwendungs-Timeouts können Stunden oder Tage nachhallen. Automatisierter Dauerschutz ist deshalb keine Komfortfunktion, sondern Voraussetzung.
Vektoren: DNS dominiert, CLDAP explodiert
DNS-basierte Angriffe machten im Halbjahr 34,3 % aller Attacken auf Netzwerkebene aus; der Anteil reiner DNS-Floods stieg von 25,7 auf 40,0 % im Quartalsvergleich. Dabei richtet ein DNS-Flood die rohe Anfragelast eines Botnets direkt gegen die autoritativen Nameserver des Opfers – fällt das „Telefonbuch“ der Domain aus, sind alle abhängigen Dienste nicht mehr erreichbar. DNS-Amplification nutzt stattdessen offene Resolver, die auf kleine gefälschte Anfragen mit deutlich größeren Antworten reagieren. Am stärksten wuchs der CLDAP-Flood: plus 580 % gegenüber dem Vorquartal und damit drittwichtigster Vektor in Q2. Er missbraucht offen erreichbare Active-Directory-Domänencontroller auf UDP-Port 389, deren Antworten das Zehn- bis Hundertfache der Anfrage umfassen.
Geopolitik verschiebt Ziele und Quellen
Medien, Produktion und Publishing war in beiden Quartalen die am häufigsten angegriffene Branche – mit 14,2 % aller abgewehrten HTTP-Anfragen nahezu das Vierfache des Zweitplatzierten. Auslöser waren die Berichterstattung zu Iran und Ukraine sowie die Fußball-WM. Nach dem Beginn der Operation Epic Fury am 28. Februar registrierten Sicherheitsforscher binnen 72 Stunden 149 hacktivistische DDoS-Bekenntnisse gegen 110 Organisationen in 16 Ländern; 47,8 % der Ziele waren dem öffentlichen Sektor zuzuordnen, der von Rang 29 auf Rang 9 sprang. Am häufigsten angegriffen wurde China (22,4 % im zweiten Quartal), gefolgt von den USA (18,8 %); die Türkei verdoppelte ihren Anteil im Umfeld des NATO-Gipfels in Ankara und rückte auf Platz drei. Bei den Ursprungsländern überholte Brasilien mit 14,9 % die USA (13,4 %), Indonesien blieb Dritter.
Fazit
Die Zahlen des ersten Halbjahres 2026 verschieben die Erwartungshaltung: Terabit-Angriffe treten inzwischen hundertfach pro Quartal auf, während die Masse der Attacken so kurz ist, dass jede menschliche Reaktion zu spät kommt. Für Unternehmen folgt daraus zweierlei – Abwehr muss automatisiert und permanent aktiv sein, und exponierte Infrastruktur wie offene DNS-Resolver oder öffentlich erreichbare Domänencontroller gehört konsequent geschlossen. Dass Branchen und Zielländer den geopolitischen Schlagzeilen folgen, macht die Lage zudem planbarer, als es die Rekordwerte vermuten lassen: Wer im Fokus der Berichterstattung steht, sollte mit Angriffen rechnen.