Cloudflare-DDoS-Bericht Q3: kurze Angriffe plus 208 %, Terabit seltener
Serguey Asael Shinder2 Min. LesezeitAngriffe werden kleiner und zahlreicher, so die 26. Ausgabe von Cloudflares DDoS Threat Report. Sie umfasst Juli, August und September 2026 und kehrt nach einer zusammengefassten Ausgabe für das erste Halbjahr zum Quartalsrhythmus zurück. Erstellt wird der Bericht von Cloudforce One, dem Threat-Intelligence-Team von Cloudflare, auf Basis des Verkehrs im eigenen Netz.
Cloudflare gibt an, im Quartal 18,2 Millionen DDoS-Angriffe auf Netzwerkebene abgewehrt zu haben, etwa 8.226 pro Stunde, dazu 14,4 Billionen bösartige HTTP-Anfragen. Kurze Angriffe unter zehn Minuten und unter 1 Gbit/s nahmen gegenüber dem Vorjahresquartal um 208 % zu, und 98 % der Angriffe auf Netzwerkebene blieben unter 1 Gbit/s. Cloudflare führt dieses Muster auf DDoS-Mietdienste, sogenannte Booter, zurück.
Am oberen Ende kehrte sich der Trend um. Angriffe über 1 Tbit/s gingen auf 251 zurück, nach 805 im zweiten Quartal; der Bericht bringt das mit Ermittlungen Anfang 2026 gegen vier große IoT-Botnetze in Verbindung: Aisuru, KimWolf, JackSkid und Mossad. Neue Varianten wie Dysphoria tauchen weiter auf; als Mirai eingestufter Verkehr machte noch 46,5 % der abgewehrten Bytes auf Netzwerkebene aus, der längste anhaltende Mirai-Angriff dauerte im August 49,7 Stunden.
Die größte Verschiebung betraf die Angriffswege. CLDAP-Reflexion, die im ersten Halbjahr stark zugenommen hatte, fiel auf 0,05 % der Angriffe. DNS-Amplification stieg um 215 % auf 3,43 % der Angriffe, andere UDP-Fluten von 14,06 % auf 31,31 %. Die USA lösten China als meistangegriffenes Land ab, Kanada rückte von Platz 16 auf Platz 6, und die Internetbranche kam auf Platz sechs neu unter die ersten zehn.
Was das bedeutet
Für Betreiber geht es praktisch um Schwellenwerte: Die meisten Angriffe liegen weit unter einem Gigabit und dauern Minuten, also unterhalb der Grenze, ab der volumetrische Alarme oder manuelle Reaktion greifen. Offene DNS-Resolver zu schließen wird wieder wichtiger, seit die Angreifer von CLDAP dorthin gewechselt sind. Alle Zahlen beschreiben den Verkehr, den Cloudflare sieht, nicht das Internet insgesamt.