Botnetz-Takedowns zeigen Wirkung, doch Booter-Dienste übernehmen: Cloudflare zählt über 18 Millionen DDoS-Attacken im Q3
Die Zahl der DDoS-Angriffe ist im dritten Quartal 2026 kräftig gestiegen, zugleich sind die einzelnen Attacken deutlich kleiner geworden. Laut dem aktuellen DDoS Threat Report von Cloudflare hat der Anbieter von Juli bis September 18,2 Millionen Angriffe auf Netzwerkebene automatisch abgewehrt. Gegenüber dem dritten Quartal 2025 ist das ein Plus von 208 Prozent. Rechnerisch traf alle 0,44 Sekunden ein Angriff ein, rund 197.400 pro Tag. Auf Anwendungsebene registrierte Cloudflare zusätzlich 14,4 Billionen HTTP-DDoS-Requests. Erstellt hat den Report, inzwischen die 26. Ausgabe, Cloudforce One, das Threat-Intelligence-Team des Unternehmens.
Prägend für das Quartal waren kurze Attacken mit geringer Bandbreite. Fast alle Angriffe (96 Prozent) waren nach spätestens zehn Minuten vorbei, und nur zwei Prozent überschritten 1 Gbit/s. Für einen einzelnen Server oder eine Website kann das laut Cloudflare trotzdem genügen. Dieses Muster aus vielen kurzen Angriffen mittlerer Stärke spricht für Booter, also Dienste, bei denen sich DDoS-Angriffe gegen Bezahlung buchen lassen. Am stärksten betroffen waren Softwarehersteller, Glücksspiel- und Casino-Anbieter sowie IT-Unternehmen.
Am oberen Ende der Skala ging die Zahl der Angriffe dagegen spürbar zurück. Attacken mit mehr als 1 Tbit/s zählte Cloudflare im dritten Quartal nur noch 251-mal, nach 805 im Vorquartal, ein Minus von knapp 69 Prozent. Der Rückgang fällt in die Zeit nach den Maßnahmen der Strafverfolgungsbehörden Anfang 2026, mit denen vier der größten IoT-Botnetze ausgeschaltet wurden: Aisuru, KimWolf, JackSkid und Mossad. Verschwunden ist die Gefahr damit nicht. Mit Dysphoria und Evooo1Bot sind bereits neue Varianten im Umlauf. Mirai-basierte Angriffe machten 46,5 Prozent der im Quartal abgewehrten Bytes auf Netzwerkebene aus und erreichten im August mit 57,23 Petabyte ihren Spitzenwert. Am 16., 19., 23. und 25. August wurden jeweils mehr als drei Petabyte abgewehrt. Die längste Mirai-Attacke zog sich über 49,7 Stunden, vom 19. bis zum 21. August.
Auch bei den Angriffsmethoden gab es einen klaren Bruch. Im ersten Halbjahr waren CLDAP-Angriffe noch um 580 Prozent gegenüber dem Vorquartal gewachsen. Dabei schicken Angreifer kleine Anfragen mit gefälschter Opfer-IP an öffentlich erreichbare Domain Controller, die ein Vielfaches an Daten zum Ziel zurücksenden. Im dritten Quartal ging diese Technik um 99,5 Prozent zurück und spielte mit 0,05 Prozent aller Angriffe kaum noch eine Rolle. Stattdessen setzten Angreifer verstärkt auf andere verbindungslose Protokolle. DNS-Amplification wuchs um 215 Prozent und erreichte einen Anteil von 3,43 Prozent, der Anteil sonstiger UDP-Floods verdoppelte sich mehr als, von 14,06 auf 31,31 Prozent.
Die Angriffe trafen zudem ein breiteres Feld an Zielen. An der Spitze der Branchen steht zwar weiterhin Medien, Produktion und Verlagswesen, ihr Anteil schrumpfte aber auf rund ein Viertel des Vorquartalswerts. Neu in den Top 10 sind die Branche Internet auf Platz 6, Consumer Services auf Platz 8 und Adult Entertainment auf Platz 9. Im Länderranking liegen die USA nach einem Halbjahr auf Platz 2 wieder vor China, dahinter folgt Indonesien mit 2,93 Prozent aller Angriffe. Kanada machte zehn Plätze gut und steht nun auf Rang 6. Der Sprung fällt in eine ohnehin angespannte Phase bilateraler Handelskonflikte und betraf vor allem Einzelhandel, Telekommunikation, Service-Provider und Carrier sowie Marketing und Werbung. Israel verbesserte sich um sieben Plätze auf Rang 10, getrieben von anhaltender DDoS-Aktivität Mitte September, einer Zeit umstrittener Entscheidungen im Vorfeld der Parlamentswahlen und des Rosch-ha-Schana-Fests. Der Report verweist außerdem auf einen dokumentierten massiven Anstieg feindlicher Cyberaktivitäten gegen Israel im laufenden Jahr.
Cloudflare sieht in den Daten vor allem ein Argument für automatisierte Abwehr. Die meisten Attacken enden, bevor ein Mensch überhaupt darauf reagieren könnte, und Angriffe jenseits von 1 Tbit/s kommen nach wie vor hundertfach pro Quartal vor.
Botnetz-Takedowns zeigen Wirkung, doch Booter-Dienste übernehmen: Cloudflare zählt über 18 Millionen DDoS-Attacken im Q3
Die Zahl der DDoS-Angriffe ist im dritten Quartal 2026 kräftig gestiegen, zugleich sind die einzelnen Attacken deutlich kleiner geworden. Laut dem aktuellen DDoS Threat Report von Cloudflare hat der Anbieter von Juli bis September 18,2 Millionen Angriffe auf Netzwerkebene automatisch abgewehrt. Gegenüber dem dritten Quartal 2025 ist das ein Plus von 208 Prozent. Rechnerisch traf alle 0,44 Sekunden ein Angriff ein, rund 197.400 pro Tag. Auf Anwendungsebene registrierte Cloudflare zusätzlich 14,4 Billionen HTTP-DDoS-Requests. Erstellt hat den Report, inzwischen die 26. Ausgabe, Cloudforce One, das Threat-Intelligence-Team des Unternehmens.
Prägend für das Quartal waren kurze Attacken mit geringer Bandbreite. Fast alle Angriffe (96 Prozent) waren nach spätestens zehn Minuten vorbei, und nur zwei Prozent überschritten 1 Gbit/s. Für einen einzelnen Server oder eine Website kann das laut Cloudflare trotzdem genügen. Dieses Muster aus vielen kurzen Angriffen mittlerer Stärke spricht für Booter, also Dienste, bei denen sich DDoS-Angriffe gegen Bezahlung buchen lassen. Am stärksten betroffen waren Softwarehersteller, Glücksspiel- und Casino-Anbieter sowie IT-Unternehmen.
Am oberen Ende der Skala ging die Zahl der Angriffe dagegen spürbar zurück. Attacken mit mehr als 1 Tbit/s zählte Cloudflare im dritten Quartal nur noch 251-mal, nach 805 im Vorquartal, ein Minus von knapp 69 Prozent. Der Rückgang fällt in die Zeit nach den Maßnahmen der Strafverfolgungsbehörden Anfang 2026, mit denen vier der größten IoT-Botnetze ausgeschaltet wurden: Aisuru, KimWolf, JackSkid und Mossad. Verschwunden ist die Gefahr damit nicht. Mit Dysphoria und Evooo1Bot sind bereits neue Varianten im Umlauf. Mirai-basierte Angriffe machten 46,5 Prozent der im Quartal abgewehrten Bytes auf Netzwerkebene aus und erreichten im August mit 57,23 Petabyte ihren Spitzenwert. Am 16., 19., 23. und 25. August wurden jeweils mehr als drei Petabyte abgewehrt. Die längste Mirai-Attacke zog sich über 49,7 Stunden, vom 19. bis zum 21. August.
Auch bei den Angriffsmethoden gab es einen klaren Bruch. Im ersten Halbjahr waren CLDAP-Angriffe noch um 580 Prozent gegenüber dem Vorquartal gewachsen. Dabei schicken Angreifer kleine Anfragen mit gefälschter Opfer-IP an öffentlich erreichbare Domain Controller, die ein Vielfaches an Daten zum Ziel zurücksenden. Im dritten Quartal ging diese Technik um 99,5 Prozent zurück und spielte mit 0,05 Prozent aller Angriffe kaum noch eine Rolle. Stattdessen setzten Angreifer verstärkt auf andere verbindungslose Protokolle. DNS-Amplification wuchs um 215 Prozent und erreichte einen Anteil von 3,43 Prozent, der Anteil sonstiger UDP-Floods verdoppelte sich mehr als, von 14,06 auf 31,31 Prozent.
Die Angriffe trafen zudem ein breiteres Feld an Zielen. An der Spitze der Branchen steht zwar weiterhin Medien, Produktion und Verlagswesen, ihr Anteil schrumpfte aber auf rund ein Viertel des Vorquartalswerts. Neu in den Top 10 sind die Branche Internet auf Platz 6, Consumer Services auf Platz 8 und Adult Entertainment auf Platz 9. Im Länderranking liegen die USA nach einem Halbjahr auf Platz 2 wieder vor China, dahinter folgt Indonesien mit 2,93 Prozent aller Angriffe. Kanada machte zehn Plätze gut und steht nun auf Rang 6. Der Sprung fällt in eine ohnehin angespannte Phase bilateraler Handelskonflikte und betraf vor allem Einzelhandel, Telekommunikation, Service-Provider und Carrier sowie Marketing und Werbung. Israel verbesserte sich um sieben Plätze auf Rang 10, getrieben von anhaltender DDoS-Aktivität Mitte September, einer Zeit umstrittener Entscheidungen im Vorfeld der Parlamentswahlen und des Rosch-ha-Schana-Fests. Der Report verweist außerdem auf einen dokumentierten massiven Anstieg feindlicher Cyberaktivitäten gegen Israel im laufenden Jahr.
Cloudflare sieht in den Daten vor allem ein Argument für automatisierte Abwehr. Die meisten Attacken enden, bevor ein Mensch überhaupt darauf reagieren könnte, und Angriffe jenseits von 1 Tbit/s kommen nach wie vor hundertfach pro Quartal vor.