DDoS-Attacken: «Angriff kam von vielen verschiedenen Adressen»

Erste Attacken auf Schweizer Server gab es am Sonntag, am Montagmorgen folgten weitere Cyberangriffe.Die Websites mehrerer Onlinehändler waren teilweise für Stunden nicht erreichbar. Dahinter steckt offenbar eine gross angelegte DDoS-Attacke. Wer die Drahtzieher sind, ist derzeit unklar.

Bei einer DDoS-Attacke werden Websites von sogenannten Botnetzen regelrecht mit Anfragen bombardiert, bis diese unter der Last zusammenbrechen. Gesteuert werden diese Netzwerke aus der Ferne. Die Botnetze können aus Tausenden oder gar Millionen einzelner Rechner bestehen.

Dass sich die Betreiber nur beschränkt gegen solche Angriffe zur Wehr setzen können, hat die jüngste Angriffswelle gezeigt. Bei Digitec etwa seien die Server mehrfach gegen solche Angriffe abgesichert, wie es auf Anfrage heisst. Das hat nicht geholfen: Den Angreifern gelang es, die Website und weitere Dienste der Firma lahmzulegen.

Zurzeit versucht Digitec herauszufinden, wer hinter den Angriffen steckt. «Die Attacke kam von sehr vielen unterschiedlichen IP-Adressen», sagt Stefanie Hynek, Sprecherin von Digitec. Auch bei den SBB laufen entsprechende Abklärungen.

Dass eine Spurensuche äusserst schwierig, aber nicht unmöglich ist, bestätigt auch der IT-Sicherheitsexperte Marc Ruef von der Scip AG: «Das Ausmachen der Herkunft einer DDoS-Attacke ist naturbedingt schwierig, da zumindest bei einem Teil der Angriffstechniken mit gefälschten Absenderadressen gearbeitet wird».

Bei einer sogenannten DDoS-Webattacke, wie das vermutlich am Montag der Fall war, könnten die Angreifer leichter ausfindig gemacht werden, da sie keine gefälschten Absenderadressen verwenden können. Dies, weil dabei die Angriffs- und Opfer-Rechner miteinander kommunizieren müssen.

Die lückenlose Auswertung eines derartigen Cyberangriffs sei indes nur in Zusammenarbeit mit den involvierten Providern möglich. Beim Aufbau der Botnets seien Hacker darum bemüht, eine hohe geografische Diversifizierung zu erreichen, sprich die am Angriff beteiligten Rechner auf der ganzen Welt zu verstreuen.

Ein möglicher Ansatz, um zu den Drahtziehern zu gelangen, ist der zentrale Server, über den eine DDoS-Attacke gesteuert wird. «Dieser lässt sich durch eine forensische Auswertung eines Botnetz-Teilnehmers identifizieren», so der Sicherheitsexperte. Habe man dann den Server ausfindig gemacht, könne auch der Betreiber und ultimativ der Auftraggeber des Angriffs ausfindig gemacht werden.