DDoS-Schutz für kleine Websites: Was wirklich hilft

Kleine Websites schützen Sie gegen DDoS-Angriffe am wirksamsten mit einer Kombination aus dem Netzwerkschutz des Hosters, einem vorgeschalteten CDN oder Reverse Proxy und einfachen Regeln auf Anwendungsebene wie Caching und Rate Limiting. Ein einzelner Server kann einen großen Angriff nicht aus eigener Kraft abwehren, die Last muss vorher abgefangen werden. Die gute Nachricht: Dieselben Maßnahmen helfen auch gegen die viel häufigere Last durch aggressive Bots und Scanner. Dieser Ratgeber zeigt, was davon Sie wirklich brauchen. Den Überblick über alle Schutzmaßnahmen bietet die Seite Hosting-Sicherheit.

Was ein DDoS-Angriff ist

Bei einem Distributed-Denial-of-Service-Angriff senden viele Rechner gleichzeitig Anfragen an ein Ziel, bis es nicht mehr antworten kann. Die Rechner sind meist Teil eines Botnetzes aus gekaperten Servern, Routern oder anderen vernetzten Geräten. Angriffe lassen sich heute auch als Dienstleistung anmieten, weshalb nicht nur große Unternehmen betroffen sind.

Angriffsart	Was passiert	Wer schützt
Volumetrisch (Netzwerkebene)	Die Leitung wird mit Datenpaketen geflutet, oft über Verstärkungseffekte offener Dienste	Hoster und Netzbetreiber, CDN mit großer Netzkapazität
Protokollangriffe	Verbindungstabellen von Server oder Firewall werden gefüllt, etwa mit halboffenen Verbindungen	Netzwerkschutz des Hosters, Firewall, Reverse Proxy
Anwendungsebene (HTTP)	Viele scheinbar normale Seitenaufrufe auf rechenintensive Seiten wie Suche, Warenkorb oder Login	Caching, Rate Limiting, Web Application Firewall, CDN mit Bot-Erkennung

Für kleine Websites ist vor allem die dritte Kategorie relevant. Schon eine vergleichsweise geringe Zahl ungecachter Anfragen pro Sekunde auf eine dynamische Seite kann einen Shared-Hosting-Tarif überlasten, ohne dass die Leitung auch nur annähernd ausgelastet ist, weil jede Anfrage PHP und Datenbank beschäftigt.

Warum auch kleine Seiten betroffen sind

Gezielte Großangriffe auf eine Vereins- oder Handwerkerseite sind selten. Häufiger sind:

• Kollateralschäden: Ein Angriff gilt einer anderen Website auf demselben Server oder im selben Netz.
• Automatisierte Scanner: Bots suchen massenhaft nach Schwachstellen und erzeugen dabei Last, die wie ein kleiner Angriff wirkt.
• Aggressive Crawler: SEO-Werkzeuge, Preisvergleicher oder KI-Crawler rufen in kurzer Zeit sehr viele Seiten ab.
• Erpressungsversuche: Angreifer drohen mit Überlastung und fordern Geld, oft mit einer kurzen Demonstration.
• Ablenkung: Gelegentlich soll eine Überlastung von einem gleichzeitigen Einbruchsversuch ablenken.

Die drei Schutzschichten

Schicht 1: Netzwerkschutz des Hosters

Viele Hoster filtern volumetrische Angriffe im eigenen Netz, bevor sie den Server erreichen. Das ist meist im Tarif enthalten und für Sie unsichtbar. Fragen Sie nach, wie der Schutz arbeitet und was passiert, wenn ein Angriff die Kapazität übersteigt. Manche Anbieter leiten den Verkehr dann um, andere nehmen die betroffene IP-Adresse vorübergehend vom Netz, damit andere Kunden nicht leiden. Für Ihre Website bedeutet das im Zweifel trotzdem einen Ausfall.

Schicht 2: CDN oder Reverse Proxy

Ein vorgeschalteter Dienst nimmt alle Anfragen an, liefert gecachte Inhalte direkt aus und reicht nur den Rest an Ihren Server weiter. Für den DDoS-Schutz bringt das mehrere Vorteile:

• Die Netzkapazität großer CDN-Anbieter ist um ein Vielfaches höher als die eines einzelnen Hosters.
• Die IP-Adresse Ihres Servers bleibt verborgen, solange sie nicht anderweitig bekannt ist.
• Statische Dateien und gecachte Seiten belasten den Server gar nicht mehr.
• Viele Anbieter bieten Bot-Erkennung, Herausforderungsseiten und Regeln nach Land oder Netz.

Damit die Schicht wirkt, darf Ihr Server nur noch Anfragen vom CDN annehmen. Achten Sie auch darauf, dass die echte Server-IP nicht über andere DNS-Einträge sichtbar ist, etwa über einen Mail-Eintrag, eine Subdomain ohne Proxy oder alte Einträge aus der Zeit vor dem CDN.

Schicht 3: Schutz auf Anwendungsebene

Hier geht es um die Frage, wie teuer jede einzelne Anfrage für Ihren Server ist.

Maßnahme	Wirkung	Aufwand
Seitencache	Fertige Seiten ohne PHP und Datenbank ausliefern	Gering, oft per Plugin oder beim Hoster
Rate Limiting	Viele Anfragen derselben Quelle in kurzer Zeit bremsen	Gering bis mittel, im CDN oder Webserver
Web Application Firewall	Typische Angriffsmuster und bekannte schädliche Bots blockieren	Gering mit vorgefertigten Regeln
Schutz der Anmeldeseite	Login-Versuche begrenzen, Zwei-Faktor-Anmeldung, ggf. Zugriff nur aus bekannten Netzen	Gering
Rechenintensive Funktionen absichern	Suche, Filter und Formulare mit Limits oder Captcha-Alternativen schützen	Mittel
Unnötige Endpunkte schließen	Nicht genutzte Schnittstellen wie XML-RPC in WordPress deaktivieren	Gering

Checkliste: DDoS-Grundschutz für kleine Websites

• Beim Hoster nachgefragt, welcher Netzwerkschutz enthalten ist und was bei Überlast passiert
• Seitencache aktiv, statische Dateien mit langen Cache-Laufzeiten
• CDN oder Reverse Proxy vorgeschaltet, Server nimmt nur Anfragen über den Proxy an
• Keine DNS-Einträge, die die Server-IP direkt verraten
• Rate Limiting für Login, Suche, Formulare und Schnittstellen
• Web Application Firewall mit gepflegten Regeln
• Externer Uptime-Monitor mit Benachrichtigung
• DNS bei einem Anbieter mit verteilter Infrastruktur, damit die Namensauflösung nicht der schwächste Punkt ist
• Notfallplan mit Ansprechpartnern bei Hoster und CDN

Wenn der Angriff läuft

1. Lage einschätzen: Ist die Website ganz weg oder nur langsam? Zeigen Logs oder CDN-Statistik ein Muster, etwa eine bestimmte URL, ein Land oder einen User-Agent?
2. Hoster informieren: Er sieht, ob der Angriff auf Netzwerkebene läuft, und kann filtern.
3. Schutzstufe erhöhen: Viele CDN-Dienste haben einen Modus, in dem jeder Besucher zunächst eine automatische Prüfung durchläuft. Das kostet etwas Komfort, hält aber viele Bots fern.
4. Gezielt blockieren: Regeln für auffällige Pfade, Netze oder Länder setzen, aus denen Sie keine echten Besucher erwarten.
5. Teure Funktionen vorübergehend abschalten: Suche, Filter oder Kommentarfunktion, bis sich die Lage beruhigt.
6. Dokumentieren: Zeiten, Muster, Erpressernachrichten. Das hilft bei einer Anzeige und bei der Nachbereitung.
7. Nicht zahlen: Bei Erpressung Anzeige erstatten; die Landeskriminalämter haben Ansprechstellen für Cybercrime.

Führt der Angriff zu ungewöhnlichem Verhalten jenseits der Überlastung, etwa zu veränderten Dateien oder neuen Administratoren, behandeln Sie den Vorfall als möglichen Einbruch. Den Ablauf dafür beschreibt der Ratgeber Website gehackt.

Kosten und Datenschutz

Einfacher DDoS-Schutz ist bei vielen Hostern und CDN-Anbietern im Grundpreis enthalten, teils auch in kostenlosen Tarifen. Erweiterte Funktionen wie fein einstellbare Firewall-Regeln, Bot-Management oder garantierte Reaktionszeiten kosten extra. Für kleine Websites reicht in aller Regel der Basisschutz in Kombination mit gutem Caching.

Beachten Sie bei jedem vorgeschalteten Dienst den Datenschutz: Er verarbeitet die IP-Adressen aller Besucher. Ein Vertrag zur Auftragsverarbeitung und ein Hinweis in der Datenschutzerklärung gehören dazu. Wie Sie DDoS-Schutz, Verfügbarkeitszusagen und Support zwischen Anbietern vergleichen, zeigt der Hosting-Vergleich.

Unterschied zu normalem Bot-Traffic

Nicht jede Lastspitze ist ein Angriff. Suchmaschinen, Monitoring-Dienste, Feedreader und eine wachsende Zahl von KI-Crawlern erzeugen regelmäßig Zugriffe, die in der Webanalyse oft nicht auftauchen. Bevor Sie von einem Angriff ausgehen, lohnt ein Blick in die Zugriffslogs: Gutartige Crawler geben sich meist im User-Agent zu erkennen und halten sich an die robots.txt. Wie viel Datenvolumen solcher Verkehr verursacht, erklärt der Ratgeber Traffic und Bandbreite.

Fragen an den Hoster vor Vertragsabschluss

Ob ein Anbieter bei Überlastung hilft oder abschaltet, erfahren Sie am besten vorher. Diese Fragen schaffen Klarheit:

• Ist ein Schutz gegen volumetrische Angriffe im Tarif enthalten, und gilt er für alle Dienste oder nur für das Web?
• Wird die betroffene IP-Adresse bei großen Angriffen vom Netz genommen, und wie lange?
• Lässt sich ein externes CDN problemlos vorschalten, und kann der Server auf dessen Adressbereiche beschränkt werden?
• Gibt es eine Web Application Firewall oder Rate Limiting auf Serverebene?
• Wie erreichen Sie den Support im Notfall außerhalb der Geschäftszeiten?

Fazit

Gegen große Angriffe auf Netzwerkebene schützt der Hoster oder ein CDN, nicht der eigene Server. Gegen die für kleine Websites typischeren Angriffe auf Anwendungsebene helfen Caching, Rate Limiting und eine Web Application Firewall. Mit einem vorgeschalteten Dienst, einer verborgenen Server-IP und einem kurzen Notfallplan ist eine kleine Website gut aufgestellt, ohne dass hohe Kosten entstehen.