Cloudflare-Bericht zur DDoS-Bedrohungslage im 3. Quartal 2026: Mehr Schwärme, weniger Giganten

Willkommen zur 26. Ausgabe des Cloudflare-Berichts zur DDoS-Bedrohungslage. Diese Ausgabe behandelt das dritte Quartal 2026 – also die Monate Juli, August und September. Nachdem wir das erste Halbjahr 2026 in einer gemeinsamen Ausgabe zusammengefasst haben, erscheint der Bericht nun wieder vierteljährlich. Die Analyse stammt von Cloudforce One, dem auf Bedrohungsinformationen spezialisierten Team von Cloudflare. Anhand von Daten aus dem Cloudflare-Netzwerk untersucht das Team umfassend, wie sich die Bedrohungslage durch Distributed-Denial-of-Service-Angriffe (DDoS) entwickelt.

Wichtigste Erkenntnisse

1. Kurze Angriffe mit geringer Bandbreite nahmen um 208 % zu. Diese Angriffe dauerten weniger als zehn Minuten und blieben unter 1 Gbit/s. Hypervolumetrische Angriffe mit mehr als 1 Tbit/s gingen dagegen gegenüber dem zweiten Quartal um fast 69 % zurück. Ein möglicher Grund sind Maßnahmen der Strafverfolgungsbehörden, die Anfang des Jahres gegen vier große Botnetze aus Geräten des Internets der Dinge (IoT) vorgingen. Allerdings entstehen weiterhin neue Varianten. IoT-Botnetze können enorme Mengen an Angriffs-Traffic erzeugen und bleiben damit eine anhaltende Bedrohung für die Netzwerkinfrastruktur.
2. Bei Angriffen, die Datenverkehr auf das Ziel umleiten und dabei verstärken, war ein deutlicher Strategiewechsel zu beobachten. CLDAP-Floods wurden kaum noch eingesetzt: Ihre Zahl brach gegenüber dem Vorquartal um 99,5 % ein. Angreifer wichen stattdessen verstärkt auf andere verbindungslose Protokolle aus. So stieg die Zahl der DNS-Amplification-Angriffe um 215 %, die der sonstigen UDP-Floods um 122 %.
3. Sowohl geografisch als auch nach Branchen streuten die Angreifer ihre Ziele deutlich breiter. Die USA standen wieder an der Spitze der am häufigsten angegriffenen Länder und verdrängten China auf den zweiten Platz. Besonders stark nahmen gezielte Angriffe auf Kanada und Israel zu. Die beiden Länder stiegen dadurch um zehn beziehungsweise sieben Plätze in der Rangliste. Dieser Anstieg fiel in eine Zeit geopolitischer Spannungen, anhaltender Handelskonflikte und umstrittener innenpolitischer Ereignisse. Auch der Branchenfokus verschob sich: Neben Medienunternehmen gerieten zunehmend weitere Branchen ins Visier, darunter Verbraucherdienstleistungen, Internetinfrastruktur und Erwachsenenunterhaltung.

Das dritte Quartal in Zahlen: 8.200 DDoS-Angriffe pro Stunde

Cloudflare stoppte im dritten Quartal 2026 vollautomatisch 18,2 Millionen DDoS-Angriffe auf Netzwerkebene. Hinzu kamen 14,4 Billionen abgewehrte HTTP-DDoS-Anfragen. Allein auf Netzwerkebene waren das im Schnitt etwa 8.226 Angriffe pro Stunde beziehungsweise 197.400 pro Tag. Damit wehrte Cloudflare alle 0,44 Sekunden einen Angriff ab. Das gesamte abgewehrte Datenvolumen belief sich auf 272,6 Petabyte auf Netzwerkebene und weitere 95,1 Petabyte auf HTTP-Ebene.

Mehr Angriffsschwärme, weniger Großangriffe

In diesem Quartal häuften sich kurze Angriffe mit mittlerer Bandbreite. Die hohe Zahl solcher Attacken ist charakteristisch für sogenannte Booter-Dienste: Anbieter, bei denen sich DDoS-Angriffe gegen Bezahlung in Auftrag geben lassen. Zu den Hauptzielen zählten Softwareunternehmen, Glücksspiel- und Casinoanbieter sowie die IT-Branche. Cloudflare stoppte im dritten Quartal 2026 automatisch und ohne menschliches Eingreifen 18,2 Millionen DDoS-Angriffe auf Netzwerkebene. Gegenüber dem dritten Quartal 2025 entspricht das einem Anstieg um 208 %:

• 96 % der Angriffe waren nach weniger als zehn Minuten vorbei.
• 98 % blieben unter 1 Gbit/s – auch solche Bandbreiten sind mehr als ausreichend, um einen Server oder eine Website zu überlasten.

Bei hypervolumetrischen Angriffen auf Netzwerkebene mit mehr als 1 Tbit/s kehrte sich der Trend dagegen um: Ihre Zahl sank von 805 im zweiten Quartal auf 251 im dritten Quartal. Dieser Rückgang folgte auf Maßnahmen der Strafverfolgungsbehörden, die Anfang 2026 vier der größten IoT-DDoS-Botnetze zerschlagen hatten: Aisuru, KimWolf, JackSkid und Mossad.

Dennoch bleiben IoT-Botnetze eine anhaltende Bedrohung durch enorme Angriffsdatenmengen. Immer wieder entstehen neue Varianten wie Dysphoria und Evooo1Bot. Das abgewehrte Datenvolumen von Angriffen, die als Mirai klassifiziert wurden, erreichte im August mit 57,23 Petabyte seinen Höchststand. Dies entsprach 46,5 % des gesamten im dritten Quartal auf Netzwerkebene abgewehrten Datenvolumens. An vier Tagen – dem 16., 19., 23. und 25. August – wurden jeweils mehr als drei Petabyte abgewehrt. Der längste ununterbrochene Mirai-Angriff des Quartals dauerte 49,7 Stunden und erstreckte sich vom 19. bis zum 21. August.

Angreifer setzen seltener auf CLDAP und häufiger auf andere UDP-Angriffe

Die stärkste Veränderung des Quartals zeigte sich beim Rückgang der CLDAP-Angriffe. Noch in der ersten Jahreshälfte war die Zahl dieser Angriffe gegenüber dem Vorquartal um 580 % gestiegen. Im dritten Quartal entfielen dagegen nur noch 0,05 % aller Angriffe auf CLDAP (Connectionless Lightweight Directory Access Protocol). Das Vorgehen dahinter: Angreifer schicken kleine Anfragen an öffentlich zugängliche Domain-Controller auf UDP-Port 389 und fälschen dabei die Absenderadresse. Sie tragen die IP-Adresse ihres Ziels ein, sodass die wesentlich größeren Antworten dort ankommen. Auf diese Weise vervielfachen sie die Datenmenge, die auf das Ziel einströmt.

Parallel dazu stieg die Zahl der DNS-Amplification-Angriffe um 215 %. Ihr Anteil an allen Angriffen auf Netzwerkebene lag damit bei 3,43 %. Hierfür missbrauchen Angreifer offene DNS-Resolver. Das Prinzip ähnelt dem von CLDAP-Angriffen: Kleine Anfragen mit vorgetäuschter Absenderadresse führen zu umfangreichen Antworten, die beim Angriffsziel landen. Auch sonstige UDP-Floods gewannen an Bedeutung. Ihr Anteil an den Angriffen auf Netzwerkebene erhöhte sich von 14,06 % auf 31,31 %. Da UDP ohne vorherigen Verbindungsaufbau auskommt, lässt es sich leicht für Angriffe mit großen Datenmengen nutzen. Angreifer überfluten dabei zufällige oder bestimmte Ports des Zielsystems mit UDP-Paketen. Das System muss daraufhin nachsehen, ob an diesen Ports eine Anwendung erreichbar ist, und gegebenenfalls eine Antwort senden. Diese Verarbeitung belastet sowohl das Netzwerk als auch die verfügbaren Rechenressourcen.

Am häufigsten angegriffene Branchen

Die Medien-, Produktions- und Verlagsbranche war auch im dritten Quartal 2026 am häufigsten von Angriffen betroffen. Ihr Anteil an allen Angriffen sank jedoch auf etwa ein Viertel des Vorquartalswerts. Insgesamt verteilten sich die Angriffe auf ein breiteres Branchenspektrum. Die Internetbranche, die zuvor außerhalb der Top 10 lag, rückte auf Platz 6 vor. Auch Verbraucherdienstleistungen und Unterhaltungsangebote für Erwachsene schafften es unter die zehn am häufigsten angegriffenen Branchen und belegten Platz 8 beziehungsweise 9.

Am häufigsten angegriffene Länder

Deutlich mehr Angriffe auf Kanada und Israel

Kanada kletterte in der Rangliste von Platz 16 auf Platz 6. Dahinter standen Angriffe auf Unternehmen aus dem Einzelhandel, der Telekommunikation, dem Bereich der Dienst- und Netzbetreiber sowie aus Marketing und Werbung. Die Angriffe belasteten das Land zusätzlich in einer Zeit, die bereits von bilateralen Handelskonflikten geprägt war.

Israel erreichte nach einem Anstieg um sieben Plätze Rang 10. Zurückzuführen war dies auf eine anhaltende Serie von DDoS-Angriffen Mitte September. In diese Zeit fielen umstrittene Entscheidungen vor den Parlamentswahlen und dem Feiertag Rosch Haschana. Zugleich gab es in diesem Jahr einen dokumentierten, starken Anstieg der gegen Israel gerichteten Cyberkriegsführung.

Top 10

Die USA waren im dritten Quartal 2026 das am häufigsten angegriffene Land, gefolgt von China auf Platz 2. Indonesien rückte mit einem Anteil von 2,93 % an allen Angriffen auf Platz 3 vor. Damit standen wie schon im ersten Halbjahr 2026 die USA und China an der Spitze – allerdings in umgekehrter Reihenfolge: Damals lag China auf Platz 1 und die USA auf Platz 2. Der Platzwechsel spiegelt wider, wie sich der Fokus und die bevorzugten Ziele der Angreifer verändern.

Die weltweite Abwehr stärken und das Internet schützen

Das Cloudflare-Netzwerk ist darauf ausgelegt, mit der zunehmenden Bedrohung durch DDoS-Angriffe Schritt zu halten. Jeder Dienst in unserem Netzwerk profitiert von kostenlosem DDoS-Schutz ohne Volumenbegrenzung. Dieser Schutz ist an unseren Standorten in mehr als 330 Städten weltweit aktiv und stützt sich auf eine Netzwerkkapazität von 500 Tbit/s. Entscheidend ist, dass unsere Systeme Angriffe selbstständig erkennen und abwehren – ohne menschliches Eingreifen. Das ist notwendig: Wie die Daten dieses Quartals zeigen, enden die meisten Angriffe, bevor ein Analyst die Warnmeldung überhaupt sehen könnte. Gleichzeitig gibt es weiterhin Hunderte Angriffe pro Quartal, deren Bandbreite jeweils 1 Tbit/s überschreitet.

Um Hosting-Anbietern, Cloud-Computing-Plattformen und Internet-Service-Providern bei der Identifizierung und Entfernung missbräuchlicher IP-Adressen  und Konten zu helfen, von denen diese Angriffe ausgehen, nutzen wir den einzigartigen Überblick von Cloudflare über DDoS-Angriffe für die Bereitstellung eines kostenlosen Feeds zu DDoS-Botnetz-Bedrohungen für Service-Provider.

Mehr als 800 Netzwerke weltweit haben sich für diesen Feed registriert. Bereits jetzt arbeitet die Community erfolgreich zusammen, um Botnetz-Knoten auszuschalten. Eine laufend aktualisierte Übersicht über Angriffstrends im Internet finden Sie auf Cloudflare Radar.

Über Cloudforce One

Cloudforce One will das Internet schützen und nutzt zur Analyse von Bedrohungen und zu gezielten Gegenmaßnahmen Telemetriedaten aus dem globalen Netzwerk von Cloudflare, das mehr als 20 Prozent des Internets schützt. So werden kritische Systeme von Millionen Unternehmen auf der ganzen Welt abgesichert.