Cloudflare hat seinen 26. DDoS-Bedrohungsbericht veröffentlicht, der das dritte Quartal 2026 abdeckt und eine deutliche Verschiebung in den Angriffsmustern aufzeigt, die durch häufigere, kleinere Schläge statt massiver volumetrischer Ereignisse gekennzeichnet ist. Während Juli, August und September milderte das Unternehmen autonom 18,2 Millionen DDoS-Angriffe auf Netzwerkebene und 14,4 Billionen HTTP-Anfragen ab. Dieses Volumen entspricht etwa 8.226 Angriffen auf Netzwerkebene pro Stunde oder einem Angriff alle 0,44 Sekunden, wobei der insgesamt abgemilderte Datenverkehr auf Netzwerkebene 272,6 Petabyte erreichte.
Die Daten deuten auf einen dramatischen Anstieg von kurzen, bandbreitenarmen Angriffen hin, die weniger als 10 Minuten dauern und unter 1 Gbps bleiben; diese stiegen im Vergleich zum gleichen Zeitraum im Jahr 2025 um 208 %. Diese schnellen Angriffe, die oft mit DDoS-for-Hire-Diensten in Verbindung gebracht werden, zielten hauptsächlich auf die Sektoren für Computersoftware, Glücksspiel und Informationstechnologie ab. Im Gegensatz dazu stürzten hypervolumetrische Angriffe von über 1 Tbps im Vergleich zum Vorquartal um fast 69 % ab und sanken von 805 Vorfällen im zweiten Quartal auf nur 251 im dritten Quartal. Dieser Rückgang fiel mit Strafverfolgungsmaßnahmen Anfang 2026 zusammen, bei denen vier große IoT-Botnetze zerschlagen wurden: Aisuru, KimWolf, JackSkid und Mossad.
Trotz der Reduzierung riesiger Botnetze bleiben IoT-basierte Bedrohungen beständig, da neue Varianten wie Dysphoria und Evooo1Bot auftauchen. Angriffe der Klasse Mirai erreichten im August ihren Höhepunkt und machten 46,5 % aller abgemilderten Bytes auf Netzwerkebene in diesem Quartal aus. Der längste anhaltende Mirai-Angriff, der in diesem Zeitraum aufgezeichnet wurde, dauerte fast 50 Stunden zwischen dem 19. und 21. August.
Auch die Angriffsvektoren durchliefen eine signifikante Transformation. CLDAP-Floods, die Anfang des Jahres stark zugenommen hatten, brachen quartalsweise um 99,5 % ein und machten im dritten Quartal nur noch 0,05 % der Angriffe aus. Bedrohungsakteure schwenkten stattdessen auf andere verbindungslose Protokolle um, was zu einem Anstieg von DNS-Verstärkungen um 215 % und einer Zunahme allgemeiner UDP-Floods um 122 % führte. Diese Methoden nutzen offene Resolver und die Natur des UDP-Protokolls aus, um Ressourcen der Zielobjekte zu verbrauchen, ohne Verbindungen herzustellen.
Geografisch und industriell erweiterte sich das Landschaftsbild erheblich. Die Vereinigten Staaten eroberten von China, das auf den zweiten Platz zurückfiel, wieder die Position des am häufigsten angegriffenen Standorts zurück, während Indonesien in die Top drei aufstieg. Kanada und Israel verzeichneten starke Anstiege bei gezielten Angriffen und sprangen jeweils um 10 bzw. 7 Plätze nach oben. Diese Anstiege in Kanada wurden mit Angriffen auf den Einzelhandels- und Telekommunikationssektor inmitten von Handelsstreitigkeiten in Verbindung gebracht, während der Anstieg in Israel in einer Zeit geopolitischer Spannungen und innerstaatlicher Ereignisse vor Parlamentswahlen stattfand.
Hinsichtlich der branchenspezifischen Ziele blieb der Sektor Medien, Produktion und Verlagswesen der am häufigsten angegriffene, verzeichnete jedoch einen Rückgang seines Anteils auf etwa ein Viertel des Niveaus des zweiten Quartals. Der Fokus verlagerte sich auf eine breitere Palette von Branchen, wobei die Internetinfrastruktur auf den sechsten Platz vorrückte, während Verbraucherdienste und Erwachsenenunterhaltung in die Top zehn eingestiegen sind. Cloudflare stellte fest, dass sein globales Netzwerk, das über 330 Städte mit einer Kapazität von 500 Tbps umfasst, für diese autonome Abmilderung ausgelegt ist, da die meisten Angriffe abgeschlossen sind, bevor menschliche Analyste eingreifen können.
Quellen: Cloudflare Blog.