Ein Online-Shop ist im Saisonpeak am verwundbarsten -- genau dann, wenn jede Minute Erreichbarkeit den meisten Umsatz bringt. Und genau dann wird angegriffen: Cloudflare hat 2025 rund 47,1 Millionen (Cloudflare) DDoS-Angriffe abgewehrt, ein Plus von 121 Prozent (Cloudflare) gegenüber dem Vorjahr. Für den Handel ist das keine abstrakte Zahl, denn nach Akamai entfielen 84 Prozent (Akamai) der Layer-7-DDoS-Last auf den Einzelhandel. Ein verteilter Überlastungsangriff macht den Shop nicht kaputt, er macht ihn unerreichbar -- Warenkorb, Login und Checkout laufen ins Timeout, während die Rechnung für Server und Werbung weiterläuft. Dieser Leitfaden zeigt, wie gemanagter DDoS-Schutz als fester Baustein der laufenden Shop-Wartung den Laden durch die umsatzstärkste Zeit erreichbar hält -- vom Angriffsmuster über die Schutzebenen bis zur Bereitschaft vor dem Peak.
Das Wichtigste in Kürze
- DDoS-Angriffe zielen auf Erreichbarkeit, nicht auf Daten: 47,1 Millionen (Cloudflare) abgewehrte Angriffe 2025 bedeuten ein Plus von 121 Prozent (Cloudflare) -- rund anderthalb Angriffe pro Sekunde rund um die Uhr.
- Der Handel ist Hauptziel: Commerce war 2025 die meistangegriffene Branche, und 84 Prozent (Akamai) der Layer-7-DDoS-Last trafen den Einzelhandel, häufig als Flut gegen APIs und Checkout in der Hochsaison.
- Der Peak zieht Angriffe an: Im Weihnachtsgeschäft 2025 machten bösartige Bots 43 Prozent (Radware) des Shop-Traffics aus, nach 31 Prozent (Radware) im Jahr davor -- Angriffslast und Kaufinteresse steigen gleichzeitig.
- Schutz arbeitet auf mehreren Ebenen: Ein Anycast-Netzwerk fängt volumetrische Fluten ab, eine Web Application Firewall und Rate-Limiting filtern Protokoll- und Anwendungsangriffe, Lastreserven halten echte Verkaufsspitzen aus.
- Bereitschaft entsteht vor dem Peak, nicht während des Angriffs: Filterregeln, Alarmierung und ein Notfallweg mit zugesagten Reaktionszeiten gehören in die Wartung, damit im Ernstfall keine Minute mit Suchen vergeht.
Warum DDoS-Angriffe den Saisonpeak treffen
Der deutsche Online-Handel setzte 2025 rund 83,1 Milliarden Euro (bevh) um, und ein überproportionaler Teil davon fällt in das vierte Quartal mit Black Friday, Cyber Monday und dem Weihnachtsgeschäft. Im Peak-Zeitraum Oktober und November 2025 legten die Umsätze um 2,9 Prozent (bevh) gegenüber dem Vorjahr zu -- das erste spürbar positive Weihnachtsgeschäft seit Jahren. Für Angreifer ist genau dieses Zeitfenster attraktiv: Ein Shop, der in der Hochsaison offline geht, verliert nicht nur laufende Bestellungen, sondern auch das teuer eingekaufte Werbebudget der Aktionstage. Der Druck, schnell wieder erreichbar zu sein, ist maximal -- und damit auch die Versuchung, im Ernstfall auf eine Erpressung einzugehen.
Die reine Angriffsmenge steigt seit Jahren. Angriffe auf Netzwerkebene haben sich 2025 auf 34,4 Millionen (Cloudflare) verdreifacht, und im Dezember 2025 -- mitten in der Hochsaison -- wehrte Cloudflare mit 31,4 Tbit/s (Cloudflare) den größten öffentlich dokumentierten Angriff dieser Art ab. Solche hypervolumetrischen Fluten sind selten, aber sie zeigen die Richtung. Für einen mittelgroßen Shop reicht bereits ein Bruchteil dieser Last, um den Server oder die Anbindung in die Knie zu zwingen. Und weil die Kosten für Angreifer durch Miet-Botnetze und einfache Werkzeuge sinken, geraten längst nicht mehr nur Konzerne ins Visier. Wie schnell aus Ausfallminuten echtes Geld wird, zeigt der Blick auf die Ausfallkosten im Online-Shop.
Was ein DDoS-Angriff ist -- und was nicht
Die drei Ebenen eines DDoS-Angriffs
Nicht jeder DDoS-Angriff sieht gleich aus. Fachlich unterscheidet man drei Ebenen, die sich in Ziel und Abwehr deutlich unterscheiden -- und wirksamer Schutz muss alle drei abdecken. Die folgende Übersicht stellt die Angriffsarten der passenden Verteidigung gegenüber, wie sie in einen gemanagten WAF- und Bot-Schutz einfließen.
Volumetrische Angriffe
Rohe Bandbreitenflut auf Netzwerkebene, gemessen in Gbit/s bis Tbit/s. Sie stopft die Leitung, bevor der Server überhaupt antwortet.
Protokoll-Angriffe
Missbrauch von Verbindungsmechanismen wie SYN-Floods, die Server- und Firewall-Ressourcen erschöpfen, ohne echte Inhalte anzufordern.
Anwendungsangriffe (Layer 7)
Massenhafte, echt aussehende HTTP-Anfragen auf teure Seiten wie Suche oder Checkout, schwer von echtem Verkehr zu trennen.
Anycast-Netzwerk
Der eingehende Verkehr verteilt sich auf viele Standorte statt auf einen Server. Volumetrische Fluten werden verteilt abgefangen, wo sie entstehen.
Rate-Limiting
Grenzwerte pro Adresse, Sitzung oder Endpunkt bremsen auffällige Anfragemuster aus, ohne echte Kundschaft auszusperren -- wichtig für Login, Suche und API.
Erkennung und Alarm
Kontinuierliche Beobachtung von Anfrageraten, Fehlerquoten und Antwortzeiten meldet einen beginnenden Angriff früh -- die Voraussetzung zum Reagieren.
Peak-Zeit ist Angriffszeit
Dass Angriffe und Kaufinteresse im selben Zeitfenster ihren Höhepunkt erreichen, ist kein Zufall. Nach dem E-Commerce-Bot-Report von Radware machten bösartige Bots im Weihnachtsgeschäft 2025 rund 43 Prozent (Radware) des Shop-Traffics aus -- nach 31 Prozent (Radware) ein Jahr zuvor. Zählt man gute und schlechte Bots zusammen, stammten sogar 57 Prozent (Radware) des Verkehrs von automatisierten Quellen, gegenüber 49 Prozent (Radware) im Vorjahr. Ein erheblicher Teil dieser Automatisierung ist harmlos, doch die Grenze zwischen aggressivem Scraping, Bot-Fraud und einem Layer-7-Angriff ist fließend. Wenn zur Hochsaison ohnehin ungewöhnlich viel Verkehr eingeht, verschwindet ein Angriff leichter im Rauschen -- und genau darauf setzen die Angreifer.
Besonders im Visier stehen die teuren, dynamischen Teile eines Shops: Suche, Warenkorb, Login und die APIs im Hintergrund. Akamai zählte 2025 fast 3 Billionen (Akamai) Layer-7-DDoS-Angriffe gegen den Handel, viele davon als gezielte Flut gegen Schnittstellen während der Verkaufsspitzen. Web- und API-Angriffe legten dabei um 9 Prozent (Akamai) gegenüber dem Vorjahr zu, und 85 Prozent (Akamai) der befragten Händler berichteten von mindestens einem API-Vorfall im vergangenen Jahr. Für die Wartung heißt das: Der Schutz muss nicht nur die Startseite, sondern die gesamte Kette bis zum Bestellabschluss abdecken. Wie belastbar diese Kette unter echter Verkaufsspitze ist, klärt ein Lasttest für Spitzenlast vor der Saison -- damit ein legitimer Ansturm nicht mit einem Angriff verwechselt wird und umgekehrt.
Erpressung mit Angriffsdrohung
Was Ausfall im Peak wirklich kostet
Die Rechnung ist unbequem einfach. Ein Shop, der an einem durchschnittlichen Tag einen bestimmten Umsatz macht, macht am Aktionswochenende ein Vielfaches davon -- und verliert bei einem Ausfall entsprechend mehr pro Minute. Dazu kommen zweite und dritte Effekte: Bezahltes Werbebudget läuft ins Leere, weil Klicks auf einer nicht erreichbaren Seite landen; Kundschaft, die einmal abspringt, kauft im Zweifel beim erreichbaren Anbieter; und Marktplätze wie Preisportale bewerten Verfügbarkeit mit. Ein einzelner längerer Ausfall in der Hochsaison kann so den Deckungsbeitrag mehrerer normaler Wochen kosten.
Deshalb lohnt es sich, die eigenen Ausfallkosten pro Stunde für den Peak einmal zu beziffern -- als Maßstab dafür, wie viel Schutz angemessen ist. Wer weiß, dass eine Stunde Ausfall am Aktionstag einen mittleren vierstelligen Betrag kostet, bewertet eine gemanagte Schutzschicht anders als jemand, der nur den Grundpreis sieht. Die laufende Verfügbarkeitsüberwachung liefert dafür die Datenbasis und erkennt zugleich einen beginnenden Angriff, bevor er den Umsatz trifft.
- Schutzebenen aktiv: Anycast-Verteilung, Web Application Firewall und Rate-Limiting sind eingerichtet und getestet.
- Lastreserven geprüft: Server, Datenbank und Caching halten die erwartete Verkaufsspitze plus Puffer aus.
- Kritische Pfade abgesichert: Suche, Login, Warenkorb, Checkout und die dahinterliegenden APIs sind gegen Massenanfragen geschützt.
- Alarmierung scharf: Schwellenwerte für Anfragerate, Fehlerquote und Antwortzeit lösen früh und an die richtige Person aus.
- Notfallweg definiert: Zuständigkeiten, Eskalation und zugesagte Reaktionszeit sind vor der Saison schriftlich geklärt.
- Kommunikation vorbereitet: Textbausteine für Statusseite und Kundschaft liegen bereit, falls es doch eng wird.
Wie gemanagter DDoS-Schutz funktioniert
Gemanagter DDoS-Schutz setzt vor dem Shop an. Der gesamte eingehende Verkehr läuft über eine vorgelagerte Schicht, die zwischen echter Kundschaft und Angriffsverkehr unterscheidet. Volumetrische Fluten werden in einem verteilten Netzwerk abgefangen, lange bevor sie die Leitung des Shops erreichen. Verdächtige Muster auf Protokoll- und Anwendungsebene -- etwa tausende identische Anfragen pro Sekunde aus einem Adressbereich -- werden gebremst oder blockiert, während normale Anfragen ungehindert durchlaufen. Der Shop selbst bekommt von einem abgewehrten Angriff im Idealfall nichts mit.
Der Unterschied zwischen einem einmal eingeschalteten Basisschutz und einer gemanagten Lösung liegt in der laufenden Pflege. Filterregeln müssen zum konkreten Shop passen: Ein aggressives Rate-Limit, das den Newsletter-Ansturm am Aktionstag für einen Angriff hält, schadet genauso wie ein zu laxes, das echte Fluten durchlässt. Deshalb werden die Regeln beobachtet, nachjustiert und vor jeder großen Aktion überprüft. Diese Feinabstimmung ist der eigentliche Wartungsanteil -- verwandt mit dem laufenden WAF- und Bot-Schutz, der dieselben Mechanismen für Fraud und Scraping nutzt.
| Angriffsebene | Typisches Muster | Risiko ohne Schutz |
|---|---|---|
| Volumetrisch (L3/L4) | Bandbreitenflut aus einem Miet-Botnetz | Leitung verstopft, Shop für alle unerreichbar |
| Protokoll | SYN-Flood erschöpft Verbindungstabellen | Server und Firewall geben auf, bevor Inhalte laden |
| Anwendung (L7) | Massenanfragen auf Suche und Checkout | Datenbank überlastet, Bestellabschluss bricht ab |
| Erpressung (RDoS) | Kurzer Ausfall plus Zahlungsforderung | Druck zur Zahlung statt technischer Abwehr |
Die Tabelle zeigt, warum ein einzelnes Werkzeug selten reicht. Jede Ebene braucht ihre eigene Antwort, und die Ebenen lassen sich kombinieren -- ein volumetrischer Angriff als Ablenkung, während parallel eine gezielte Anwendungsflut den Checkout lahmlegt. Ein durchdachter Schutz deckt dieses Zusammenspiel ab und wird als Ganzes gewartet, nicht als lose Sammlung von Einzelmaßnahmen.
So bereiten wir den Shop auf den Peak vor
Peak-Bereitschaft ist ein Ablauf mit klaren Schritten, der Wochen vor dem ersten Aktionstag beginnt. Ziel ist, dass im Ernstfall keine Minute mit Suchen, Zugängen oder Abstimmung vergeht -- weil alles vorab geklärt ist. Ein SLA-Wartungsvertrag legt die zugesagten Reaktionszeiten und Zuständigkeiten fest, damit die Reaktion nicht vom Zufall abhängt.
- Angriffsfläche aufnehmen: Welche Endpunkte, APIs und Formulare sind exponiert und besonders anfällig für Massenanfragen?
- Schutzebenen einrichten und testen: Anycast-Verteilung, Web Application Firewall und Rate-Limiting scharf schalten und mit kontrollierten Tests prüfen.
- Lastreserven sichern: Kapazität von Server, Datenbank und Caching an die erwartete Spitze plus Puffer anpassen.
- Alarmierung einstellen: Schwellenwerte für Anfragerate, Fehlerquote und Antwortzeit definieren und an die Bereitschaft koppeln.
- Notfallweg proben: Eskalation, Freigaben und Kommunikationsbausteine einmal durchspielen, bevor es ernst wird.
- Nach dem Peak auswerten: Angriffsversuche, Fehlalarme und Engpässe dokumentieren und die Regeln für die nächste Saison nachschärfen.
Der teuerste Zeitpunkt für Improvisation
Angriffe früh erkennen: Monitoring als Frühwarnung
Schutz und Erkennung gehören zusammen. Selbst die beste Filterschicht braucht ein Auge darauf, ob sie greift -- und ob ein neuer Angriffstyp durchrutscht. Eine kontinuierliche Beobachtung von Anfrageraten, Fehlerquoten und Antwortzeiten meldet einen beginnenden Angriff oft, bevor die ersten Kundinnen und Kunden ein Timeout sehen. Wer das Uptime-Monitoring richtig einrichtet, verkürzt die Zeit zwischen Angriffsbeginn und Reaktion deutlich.
Entscheidend ist, dass aus einer Meldung eine Handlung wird. Ein Alarm, der nachts um drei ungelesen im Postfach liegt, hilft im Peak niemandem. Deshalb koppeln wir die Erkennung an einen definierten Notfall-Support mit klaren Eskalationsstufen: Wer wird wann informiert, wer darf Schutzregeln verschärfen, und ab welchem Schwellenwert greift die höchste Stufe. So wird aus einem technischen Signal eine verlässliche Reaktion.
Ein DDoS-Angriff zerstört nichts -- er nimmt nur die Erreichbarkeit. Genau deshalb ist er im Saisonpeak so wirksam und die Vorbereitung so wertvoll: Wer vorher gefiltert, getestet und geprobt hat, verliert im Ernstfall Minuten statt Wochenumsätzen.
DDoS-Schutz gehört in die laufende Wartung
DDoS-Schutz ist kein Produkt, das man einmal kauft und dann vergisst, sondern ein Zustand, der gepflegt werden will. Angriffsmuster ändern sich, der Shop wächst, neue APIs kommen hinzu, und jede größere Aktion verschiebt die Lastkurve. Deshalb gehört die Schutzschicht in denselben Rhythmus wie Updates, Backups und Monitoring. Eng verwandt sind zwei weitere Bausteine, die dieselbe Angriffsfläche betreffen: der Schutz des Checkouts vor Card-Testing und Bot-Fraud und das saubere Rotieren von API-Schlüsseln und Secrets, damit missbrauchte Zugänge nicht selbst zur Last werden.
Für Betreiber, die nicht bei jeder Saison von vorn anfangen wollen, ist die naheliegende Antwort ein fester Rahmen: DDoS-Schutz, Lastreserven und Alarmierung als wiederkehrender Baustein der Wartungspakete, abgestimmt auf die eigene Peak-Kurve und die eigenen Ausfallkosten. Am Anfang steht eine nüchterne Bestandsaufnahme -- welche Schutzebenen greifen heute, wo sind die Lücken, und wie schnell wäre im Ernstfall jemand zur Stelle. Diese Analyse lässt sich unverbindlich anfragen, am besten mit genügend Vorlauf vor der nächsten Hochsaison.