DDoS-Angriff auf den Onlineshop: Was tun?

Bei einem DDoS-Angriff auf Ihren Onlineshop zählt die erste Stunde: Hoster anrufen und den Angriff bestätigen lassen, Logs sichern, eine Schutzschicht wie Cloudflare vor den Server schalten, die alte Server-IP schließen, Wawi-Abgleich und Zahlungs-Webhooks kontrollieren, Werbung pausieren, Kunden informieren und Anzeige bei der Zentralen Ansprechstelle Cybercrime erstatten. DDoS ist Computersabotage nach § 303b StGB. Stand: 5. September 2026.

1. Erkennen: DDoS, Bot-Welle oder Serverfehler?

Nicht jeder Ausfall ist ein Angriff, und nicht jeder Angriff ist ein DDoS. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt einen Denial of Service als Zustand, in dem Dienste, „die eigentlich über das Internet erreichbar sein sollten, nicht verfügbar sind“ — als Ursache kommen ebenso „eine ungewollte Überlastung des Systems oder aber ein mutwilliger Angriff“ in Frage (Quelle: BSI, Schutz vor DDoS-Angriffen, abgerufen am 5. September 2026, öffnet in neuem Tab). Die Gegenmaßnahmen unterscheiden sich grundlegend, deshalb lohnt der zweite Blick.

Ein DDoS-Angriff zeigt sich durch einen schlagartigen Ausfall ohne eigene Änderung, Tausende Anfragen pro Sekunde von vielen verschiedenen Adressen in den Logs und eine Hoster-Meldung über Netzlast. Eine Bot-Welle wirkt schleichend und trifft zuerst Filter- und Suchseiten, der Shop bleibt langsam erreichbar. Ein Serverfehler folgt meist auf ein Update und liefert eine Fehlerseite bei normaler Last.

Die Grenze ist fließend: Ein HTTP-Flood ist technisch eine Bot-Welle mit Wucht, und der längste JTL-Forum-Thread zum Thema begann mit „massiven KI-Bot-Zugriffen“. Im Zweifel behandeln Sie den Fall wie einen Angriff — die Sofortmaßnahmen schaden auch dann nicht, wenn am Ende ein Update die Ursache war.

2. Die erste Stunde: sieben Sofortmaßnahmen

Die Reihenfolge ist bewusst gewählt: erst wissen, dann sichern, dann handeln, dann reden. Das BSI stellt dafür die Checklisten „Organisatorisches“ und „Technik“ bereit — allgemein gehalten und vor allem für Unternehmen gedacht, „die noch keine Gelegenheit hatten, sich umfassend auf einen IT-Notfall vorzubereiten“. Für einen Shop unter Beschuss heißt das:

1. Hoster anrufen, nicht mailen: Fragen Sie konkret: Sehen Sie Angriffsverkehr auf meine IP? Haben Sie umgeleitet oder gesperrt? Welchen Schutz enthält mein Paket? Notieren Sie Uhrzeit und Gesprächspartner. Viele Hoster werten einen zusammengebrochenen Server als Problem der Anwendung — diese Einordnung entscheidet, wer Ihnen jetzt hilft.
2. Logs und Zeitstempel sichern: Kopieren Sie Webserver- und Firewall-Logs vom Server weg, bevor die Rotation sie überschreibt, dazu Screenshots der Hoster-Grafiken. Laut BSI sind extern gemeldete Angriffe ohne Logging nicht nachvollziehbar; wer Strafverfolgung will, braucht eine forensische Sicherung.
3. Schutzschicht vorschalten: Ein Dienst wie Cloudflare nimmt den Verkehr an, bevor er Ihren Server erreicht; der DDoS-Schutz ist dort in allen Plänen enthalten. Für den akuten Fall gibt es den Under-Attack-Modus mit einer Prüfseite für jeden Besucher — laut Cloudflare ein letztes Mittel, und genau dafür ist diese Stunde da.
4. Server-IP schließen: Der Angriff zielt auf eine IP-Adresse. Bleibt sie öffentlich erreichbar, läuft er an der Schutzschicht vorbei weiter. Lassen Sie die Firewall nur noch Verkehr aus den Netzen des Schutzdienstes durch; Cloudflare empfiehlt zudem einen IP-Wechsel, weil alte DNS-Einträge in öffentlichen Archiven weiterleben.
5. Wawi-Abgleich und Zahlungen prüfen: Ein Händler berichtet im JTL-Forum, dass während einer DDoS-Attacke Zahlungen ausgeführt wurden, der Server aber vor dem Bestellabschluss einen Fehler 500 lieferte — bezahlt, aber keine Bestellung in der Wawi. Gleichen Sie das Zahlungsanbieter-Backend gegen die Aufträge ab und prüfen Sie den Worker-Lauf.
6. Werbung pausieren: Jeder bezahlte Klick landet jetzt auf einer Fehlerseite. Pausieren Sie Google Ads, Shopping und Meta, bis der Shop stabil antwortet, und prüfen Sie danach die Produktfeeds. Das Werbebudget ist der einzige Kostenblock, den Sie in dieser Stunde direkt stoppen können.
7. Kommunizieren und melden: Legen Sie fest, wer entscheidet und wer nach außen spricht — die BSI-Checkliste nennt das Krisenstab und Kommunikationsverantwortlichen, auch bei zwei Personen. Informieren Sie Kunden per Social Media und Autoantwort, prüfen Sie Informationspflichten gegenüber Ihrer Versicherung und erstatten Sie Anzeige (Abschnitt 5).

Zum dritten Schritt der Wortlaut, weil er die Erwartung setzt: Cloudflare bietet laut Dokumentation „unmetered and unlimited“ DDoS-Schutz auf den Ebenen 3, 4 und 7 „to all customers on all plans and services“; der Under-Attack-Modus prüft jeden Browser in etwa fünf Sekunden und verzerrt solange die Statistik (Quelle: Cloudflare Docs, Under Attack mode, abgerufen am 5. September 2026, öffnet in neuem Tab). Ein Händler schildert im JTL-Forum im November 2025, dass zwei kleinere Shops im Free-Plan seither in diesem Modus laufen: „Das hat geholfen.“ Die Schutzschicht wirkt allerdings erst, wenn der Verkehr durch sie läuft — nach dem Wechsel der Nameserver, je nach Gültigkeitsdauer der alten DNS-Einträge. Wie ein vorbereitetes Setup für einen JTL-Shop aussieht, zeigt unsere Service-Seite zu Cloudflare für JTL-Shop.

3. Wie läuft ein DDoS-Angriff ab und wie lange dauert er?

Das BSI beschreibt den Mechanismus so: Eine mutwillige Überlastung wird „meist unter Zuhilfenahme eines Botnetzes hervorgerufen“ — „vorher gekaperte IT-Systeme“ werden „zeitgleich auf das Ziel losgelassen“. Manche Angreifer nutzen zusätzlich „gezielt Programmfehler im Zielsystem“ aus, sodass Dienste abstürzen statt nur langsam zu werden. Für Sie als Betreiber ist außerdem die Ebene entscheidend, auf der der Angriff ankommt:

Die meisten Angriffe sind kurz. Laut Cloudflare DDoS Threat Report für das erste Halbjahr 2026 endeten 90,6 Prozent der abgewehrten Netzwerk-Angriffe in unter zehn Minuten, und 96,6 Prozent blieben unter 500 Megabit pro Sekunde. Cloudflare betont zugleich, dass die meisten Internetdienste selbst diese kleinen Angriffe nicht aushalten und dass Nachwirkungen wie Verbindungsabbrüche und Timeouts „Stunden oder Tage“ anhalten können.

Zwei Folgerungen. Erstens: Bei kurzen Angriffen gibt es kein Zeitfenster für Menschen — laut Cloudflare erreicht der Alarm den Analysten oft erst nach dem Angriff; Schutz muss automatisch und dauerhaft laufen. Zweitens: Der Durchschnitt ist nicht Ihr Fall. Der JTL-Händler mit „1,5 Wochen DDos“ im Juni 2025 lag weit außerhalb der zehn Minuten. Planen Sie für den Zehn-Minuten-Schlag, den nur vorgeschalteter Schutz abfängt, und für die Belagerung über Tage, in der Kommunikation, Zahlungsabgleich und Personal entscheiden (Quelle: Cloudflare, DDoS Threat Report H1 2026, abgerufen am 5. September 2026, öffnet in neuem Tab). Und weil 34,3 Prozent der Netzwerk-Angriffe auf DNS zielten: Der Nameserver Ihrer Domain gehört zu einem Anbieter, der solche Lasten trägt — nicht auf den Shop-Server.

4. Was ein Angriff kostet — und warum wir keine Summe nennen

Ratgeber nennen gern Schadenssummen „pro Ausfallstunde“. Wir tun das nicht: Solche Zahlen stammen aus Konzern-Umfragen, Versicherungsstatistiken oder Anbieterstudien und sagen über einen mittelständischen Shop mit seiner Saison und Marge nichts aus. Seriös benennen lassen sich die Kostenblöcke — und ihre Reihenfolge.

• Entgangener Umsatz je Ausfallstunde — abhängig von Tageszeit, Saison und Wiederkehr der Kunden.
• Werbebudget auf einer Fehlerseite: Google Ads, Shopping und Meta klicken weiter, bis Sie pausieren.
• Nacharbeit: hängende Wawi-Abgleiche, Zahlungen ohne Auftrag, doppelte Zahlungserinnerungen.
• Personalzeit für Diagnose, Hoster-Telefonate, Kundenkommunikation und Anzeige.
• Zusatzkosten des Hosters: Traffic-Nachberechnung, erzwungener Tarifwechsel oder kostenpflichtiger Schutz.
• Erpressungsversuche: Das BKA nennt die Androhung oder Durchführung von DDoS-Attacken als Mittel digitaler Erpressung.

Der teuerste Posten ist oft nicht die Ausfallstunde, sondern die Nacharbeit: Zahlungen ohne Bestellung müssen einzeln gefunden, zugeordnet oder erstattet werden — Tage, nachdem der Shop wieder antwortet. Rechnen Sie mit drei eigenen Größen: Umsatz je Stunde in vergleichbaren Zeiträumen, Werbebudget je Stunde, Stundensatz für die Nacharbeit. Diese Zahlen kennen Sie; keine fremde Statistik kennt sie.

Der Gegenposten ist klein: Cloudflares DDoS-Schutz ist in allen Plänen enthalten, der Free-Plan kostet 0 USD, der Pro-Plan mit Ausnahmen für Wawi und Zahlungsanbieter 20 USD pro Monat bei Jahreszahlung (Stand: 5. September 2026). Was Ihr Hoster mitbringt, steht dagegen selten im Tarifnamen — wer bei einem Ausfall geradesteht, klärt unser Webhosting-Vergleich für Unternehmen.

5. Rechtliches: § 303b StGB, Strafanzeige und Meldewege

Ja, ein DDoS-Angriff ist strafbar. § 303b StGB stellt Computersabotage unter Strafe: bis zu drei Jahre Freiheitsstrafe oder Geldstrafe. Richtet sich die Tat gegen eine Datenverarbeitung, die für einen fremden Betrieb oder ein fremdes Unternehmen von wesentlicher Bedeutung ist, sind es bis zu fünf Jahre. Besonders schwere Fälle, etwa gewerbsmäßiges Handeln oder eine Bande, werden mit sechs Monaten bis zehn Jahren bestraft. Der Versuch ist strafbar.

Wortlaut § 303b Abs. 1 Nr. 2 und Abs. 2 StGB: „Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er … Daten (§ 202a Abs. 2) in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt …, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.“ — „Handelt es sich um eine Datenverarbeitung, die für einen fremden Betrieb, ein fremdes Unternehmen oder eine Behörde von wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe.“ (Quelle: § 303b StGB, gesetze-im-internet.de, abgerufen am 5. September 2026, öffnet in neuem Tab)

Das Tatbild — Daten in Masse übermitteln, um eine fremde Datenverarbeitung lahmzulegen — beschreibt einen DDoS-Angriff ziemlich genau; ob es im Einzelfall erfüllt ist, entscheiden Staatsanwaltschaft und Gericht. Absatz 4 nennt als Regelbeispiele einen „Vermögensverlust großen Ausmaßes“, gewerbsmäßiges Handeln und Banden. Das Bundeskriminalamt nennt zudem die „Androhung oder Durchführung von DDoS-Attacken“ als Mittel digitaler Erpressung und bittet, die Polizei „möglichst früh“ einzubinden — Straftaten gegen Unternehmen gelangen laut BKA „nur in wenigen Fällen zur Anzeige“ (Quelle: BKA, Handlungsempfehlungen für Wirtschaftsunternehmen, abgerufen am 5. September 2026, öffnet in neuem Tab).

Wo Sie Anzeige erstatten. Für Unternehmen gibt es die Zentralen Ansprechstellen Cybercrime der Polizeien, kurz ZAC — laut Polizei der „Kontaktpunkt für den Bereich Cybercrime – in akuten Fällen und zur Beratung“, mit erster Einschätzung und „Einleitung notwendiger Schritte zur Strafverfolgung“. Zuständig ist die ZAC des Bundeslandes, in dem Ihr Firmensitz liegt oder der Vorfall passiert ist; KRITIS-Betreiber und Bundesbehörden wenden sich an die ZAC des BKA, Privatpersonen an die Onlinewachen (Quelle: polizei.de, Zentrale Ansprechstellen Cybercrime, abgerufen am 5. September 2026, öffnet in neuem Tab). Nehmen Sie die gesicherten Logs mit — Ihre Rückverfolgung endet bei den gekaperten Geräten des Botnetzes, die Ermittlung dahinter ist Sache der Polizei.

Was Sie dem BSI melden können. Ohne Meldepflicht können Sie einen Vorfall freiwillig über das Melde- und Informationsportal des BSI melden — „um ein verlässliches und aussagekräftiges Lagebild zu erstellen“, auf Wunsch anonym. Für meldepflichtige Betreiber „existieren andere Meldewege“ (Quelle: BSI, Ich möchte einen IT-Sicherheitsvorfall melden, abgerufen am 5. September 2026, öffnet in neuem Tab); ob Ihr Unternehmen dazugehört, klärt unser Beitrag zu den NIS2-Pflichten für Unternehmen.

Zwei Punkte aus der BSI-Checkliste „Organisatorisches“ gehören noch in diese Stunde: Ist mit dem Angriff eine Datenschutzverletzung verbunden — bei reiner Überlastung in der Regel nicht, bei einem gleichzeitigen Einbruch schon —, ist die Datenschutzaufsicht zu informieren. Und prüfen Sie „vertragliche Informationspflichten“, etwa gegenüber Ihrer Versicherung. Beides ist im Einzelfall eine Rechtsfrage.

6. Prävention in Schichten

Eine einzelne Maßnahme reicht nicht, weil ein Angriff auf mehreren Ebenen ankommen kann. Bewährt hat sich ein Aufbau in Schichten, bei dem jede abfängt, was die vorherige durchlässt. Die Tabelle nennt nur belegbare Kosten — für Hoster-Pakete und Dienstleisterverträge stehen dort Prüffragen statt Beträge.

Die verborgene Server-IP ist die unterschätzte Schicht. Ein vorgeschalteter Dienst schützt nur den Verkehr, der durch ihn läuft. Cloudflare empfiehlt deshalb, alle DNS-Einträge über den Proxy zu führen, DNS-only-Einträge zu prüfen, den Mailserver getrennt zu betreiben und die Server-IP nach der Umstellung zu wechseln, weil „historical records“ öffentlich bleiben; die Firewall am Server sollte „all traffic that does not come from Cloudflare IP addresses“ blockieren (Quelle: Cloudflare Docs, Protect your origin server, abgerufen am 5. September 2026, öffnet in neuem Tab). Wer das auslässt, behält eine Hintertür.

Dieselbe Hintertür entsteht, wenn ein CDN nur Bilder, Skripte und Schriften über eine eigene Subdomain ausliefert. Das beschleunigt die Seite, doch die Hauptdomain zeigt weiter direkt auf Ihren Server — und genau dort kommt ein Angriff an. Worin sich die beiden Bauarten unterscheiden und welche Shop-Inhalte überhaupt in einen gemeinsamen Cache dürfen, erklärt unser Beitrag CDN erklärt: Proxy oder Datei-Subdomain.

Rate-Limits gegen den Anwendungs-Flood. Eine Rate-Limiting-Regel begrenzt, wie viele Anfragen eine Adresse je Zeitraum („Period“, „Requests per period“) an eine URL stellen darf, und sperrt sie danach für eine definierte Dauer. Free enthält eine Regel, Pro zwei, Business fünf; sinnvolle Ziele sind Login, Registrierung, Suche, Filter und Checkout. Ehrlicher Hinweis aus der Dokumentation: Rate-Limits sind „not designed to allow a precise number of requests“ — sie dämpfen, sie garantieren nichts.

Der Hoster als erste Schicht. Angriffe mit hoher Bandbreite fängt nur ab, wer die Bandbreite hat — das Rechenzentrum. Fragen Sie schriftlich, ob DDoS-Schutz auf Netzwerkebene enthalten ist und ob Ihre IP im Zweifel gesperrt wird; wie wir Server für Shops auslegen, zeigt unsere Webhosting-Beratung für NGINX und Apache.

Der Notfallplan auf Papier. Die BSI-Checkliste beginnt mit informierten Beteiligten und verteilten Rollen. Das gelingt nur, wenn der Plan existiert, bevor der Server steht — außerhalb des Servers, als Teil der Strategie aus unserem Beitrag zur IT-Sicherheit im Mittelstand. Für den DDoS-Fall gehört hinein:

• Telefonnummern von Hoster, Agentur und Zahlungsanbieter — ausgedruckt, nicht nur im Passwortmanager auf dem Server.
• Zugang zu Schutzdienst und DNS: Wer darf den Under-Attack-Modus einschalten, wer die Nameserver ändern?
• Eine vorformulierte Kundeninformation für Social Media, Autoantwort und Statusseite.
• Der Ablageort für Logs und Screenshots sowie die Regel „erst sichern, dann neu starten“.
• Kontakt der Zentralen Ansprechstelle Cybercrime Ihres Bundeslandes und der Link zum BSI-Meldeformular.

Für sehr große Shops mit eigenem Netz verweist das BSI auf „qualifizierte DDoS-Mitigation und APT-Dienstleister“ und führt eine Liste qualifizierter Anbieter „im Sinne § 3 BSIG“, Stand 15. Mai 2026 (Quelle: BSI, Liste qualifizierter DDoS-Mitigation-Dienstleister, abgerufen am 5. September 2026, öffnet in neuem Tab). Für den typischen JTL-Shop ist das die Ausnahme; die fünf Schichten sind die Regel.

Für den Zeitpunkt gilt eine einfache Regel: Schutzschichten gehören eingerichtet und getestet, bevor die erste bezahlte Kampagne startet. Mit dem Traffic steigt auch der automatisierte Zugriff, und die Ausnahmen für Warenwirtschafts-Abgleich und Zahlungs-Webhooks wollen geprüft sein, solange noch keine Bestellungen daran hängen. In welche Woche das gehört, ordnet unsere Checkliste zum Weihnachtsgeschäft 2026 ein.

7. JTL-Shop: Wawi-Abgleich, Zahlungs-Webhooks und Cache

Ein Shop hinter einer Schutzschicht ist kein alleinstehendes System: JTL-Wawi ruft ihn über /dbeS/ auf, Zahlungsanbieter melden per Server-Aufruf zurück, Feed-Werkzeuge laden Exporte. Keiner dieser Aufrufe kommt aus einem Browser — genau darauf prüfen Bot-Filter und der Under-Attack-Modus, dessen Prüfseite laut Cloudflare „your browser to support JavaScript“ verlangt. Wer den Schalter umlegt, ohne den Abgleich auszunehmen, legt die eigene Warenwirtschaft lahm.

Wawi-Abgleich. Im JTL-Forum ist das der häufigste Cloudflare-Fehler: „seitdem ich Cloudflare + JTL Shop nutze funktioniert der JTL Worker nicht mehr“. Drei Lösungen haben sich bewährt: eine IP-Zugriffsregel mit der Adresse des Worker-Servers und der Aktion „Zulassen“ — laut einem Nutzer auch bei aktivem Super Bot Fight Mode; ein hosts-Eintrag „Shop-IP Domain“ auf dem Wawi-Rechner, den ein JTL-Mitarbeiter beschreibt (der Shop braucht ein gültiges Zertifikat, „sonst gleicht die Wawi nicht ab“); und die ältere Page Rule für /dbeS/* ohne Sicherheitsprüfung aus einem Thread von 2020. Wir setzen Zugriffsregel plus Cache-Ausschluss und testen einen kompletten Abgleich, bevor der Schutz scharf geht.

Zahlungs-Webhooks. Ein Händler berichtet im September 2025, dass Mollie-Webhooks nicht durchkamen — „es werden z.B. Zahlungserinnerungen rausgeschickt, obwohl bezahlt ist“. Die Lösung im Thread: den User-Agent „Mollie HTTP client/1.0“ per Regel vom Super Bot Fight Mode ausnehmen; die Log-Suche unterscheidet dabei Groß- und Kleinschreibung. Nach jedem Angriff gehört der Abgleich zwischen Zahlungsanbieter-Backend und Auftragsliste auf die Liste — bei jeder Zahlart.

Cache. JTL-Shop liefert Seiten mit cache-control: no-store, no-cache, must-revalidate aus, weil beim ersten Aufruf ein Warenkorb-Cookie gesetzt wird. Zwingt man Cloudflare zum Cachen, erhalten Besucher fremde Warenkörbe oder einen „fehlerhaften Token“; ein Händler sah auf der Startseite eine Artikelseite und Bestellabbrüche und umging den Cache per Page Rule komplett. Regel: Bilder, Skripte und Stylesheets cachen, dynamische Seiten nicht — der Schutz funktioniert auch ohne Beschleunigung.

Echte Besucher-IP. Hinter einem Proxy sieht Ihr Server nur dessen Adressen. Die echte Adresse liefert Cloudflare im Header CF-Connecting-IP, für Apache dokumentiert über mod_remoteip (Quelle: Cloudflare Docs, Restoring original visitor IPs, abgerufen am 5. September 2026, öffnet in neuem Tab). Ohne diesen Schritt sind IP-Sperren im Shop wirkungslos und Ihre Logs für die Anzeige wertlos.

Vor dem Scharfschalten testen — unsere Liste aus Projekten:

• Wawi-Abgleich: Ausnahme für /dbeS/ per Konfigurations- oder IP-Zugriffsregel setzen und einen kompletten Abgleich laufen lassen.
• Jede Zahlart einmal testbestellen und im Anbieter-Backend prüfen, ob der Webhook ankommt — für Mollie laut Forum die Ausnahme für „Mollie HTTP client/1.0“.
• Google-Shopping- und Marktplatz-Feeds abrufen lassen: Ein Händler brauchte für den Export-Download eine eigene IP-Regel.
• Startseite, Kategorie und Warenkorb nach dem Einschalten des Caches prüfen: Zeigt die Startseite eine Artikelseite, cacht Cloudflare zu viel.
• Echte Besucher-IP im Server-Log kontrollieren: Steht dort nur die Cloudflare-Adresse, greifen weder Shop-Sperren noch Ihre Logauswertung.

Diese Tests dauern einen Nachmittag und ersparen die Nacharbeit, die das Forum über Monate beschreibt. Welche Plugins Ihres Shops Server-Aufrufe erzeugen, klären wir in der JTL-Shop Beratung; die Schutzschicht richten wir als Teil des Cloudflare-Setups für JTL-Shop ein.

8. Fazit: Der Notfallplan entsteht vor dem Angriff

Ein DDoS-Angriff ist kein exotisches Risiko — Cloudflare zählt im eigenen Netz rund 5.300 Netzwerk-Angriffe pro Stunde, und die kurzen lassen keine Zeit zum Nachdenken. Die gute Nachricht: Die wirksamste Schicht kostet im Einstieg nichts, der Rest ist Vorbereitung. Wer die Server-IP verborgen hat und die Ausnahmen für die eigene Warenwirtschaft kennt, verkürzt die erste Stunde auf Minuten.

Unser Rat aus Projekten: Schutzschicht in ruhigen Zeiten einrichten, Abgleich, Zahlarten und Feeds dahinter durchtesten, den Notfallplan mit Telefonnummern und ZAC-Kontakt ausdrucken. Und wenn es passiert: erst die Logs sichern, dann handeln, dann Anzeige erstatten. Der Angriff ist eine Straftat, kein Betriebsunfall — behandeln Sie ihn so.

Ein DDoS-Angriff ist allerdings nur einer von mehreren Wegen in den Stillstand. Fällt der Server der Warenwirtschaft aus oder verschlüsselt Ransomware die Datenbank, hilft keine Schutzschicht, sondern nur ein erprobter Wiederanlauf. Das BSI warnt dabei selbst, dass sich die geplanten Zeiten nach einem Cyberangriff meist nicht halten lassen. Wie Sie tragbare Ausfallzeiten festlegen und den Plan für alle Fälle aufbauen, zeigt unser Beitrag zu Business Continuity und IT-Notfallplan.

Alle Zahlen stammen aus dem Cloudflare DDoS Threat Report H1 2026, der Cloudflare-Dokumentation und Preisseite, dem Strafgesetzbuch sowie den Seiten von BSI, BKA und Polizei, jeweils abgerufen am 5. September 2026. Forum-Berichte sind Einzelfälle von Händlern, keine Statistik. Die vollständige Quellenliste steht am Ende des Beitrags.

Hinweis: Dieser Beitrag gibt den Stand vom 5. September 2026 wieder und ersetzt keine Rechtsberatung. Die Ausführungen zu § 303b StGB, zu Anzeige- und Meldewegen sowie zu Informationspflichten ordnen die Rechtslage allgemein ein; wie sie auf Ihren Fall zutreffen, klären Sie bitte mit einer auf IT-Recht spezialisierten Kanzlei oder der ZAC Ihres Bundeslandes.

9. Häufige Fragen zu DDoS-Angriffen auf Onlineshops

Was kann man gegen DDoS-Attacken machen?

Sofort: Hoster anrufen, Logs sichern, eine vorgeschaltete Schutzschicht wie Cloudflare aktivieren und Wawi-Abgleich sowie Zahlungs-Webhooks prüfen. Dauerhaft: DDoS-Schutz auf Netzwerk- und Anwendungsebene vor den Server legen, die Server-IP verbergen, Rate-Limits an Login, Suche und Checkout setzen und einen Notfallplan ausdrucken. Cloudflare liefert den DDoS-Schutz in allen Plänen ohne Volumenbegrenzung.

Wie erkenne ich eine DDoS-Attacke?

Der Shop wird schlagartig unerreichbar oder liefert Timeouts, obwohl niemand etwas geändert hat. In den Server-Logs stehen Tausende Anfragen pro Sekunde von vielen verschiedenen Adressen, oft auf dieselbe URL. Der Hoster meldet Netzlast oder sperrt die IP vorübergehend. Eine Bot-Welle wirkt dagegen schleichend, ein Serverfehler folgt meist auf ein Update.

Wie lange dauert ein DDoS-Angriff?

Meist kürzer als vermutet: Nach dem Cloudflare DDoS Threat Report für das erste Halbjahr 2026 endeten 90,6 Prozent der abgewehrten Netzwerk-Angriffe in unter zehn Minuten. Einzelne Angreifer halten jedoch tage- oder wochenlang durch — ein JTL-Händler berichtete im Forum von anderthalb Wochen. Die Nachwirkungen wie Timeouts und Abgleichsfehler dauern oft länger als der Angriff selbst.

Ist ein DDoS-Angriff strafbar?

Ja. § 303b StGB stellt Computersabotage unter Strafe: bis zu drei Jahre Freiheitsstrafe oder Geldstrafe, bei einem fremden Betrieb oder Unternehmen bis zu fünf Jahre, in besonders schweren Fällen sechs Monate bis zehn Jahre. Auch der Versuch ist strafbar. Betroffene Unternehmen erstatten Anzeige bei der Zentralen Ansprechstelle Cybercrime ihres Bundeslandes (Stand: 5. September 2026).

Wie kann man einen DDoS-Angriff zurückverfolgen?

Als Betroffener praktisch nicht. Die Anfragen kommen laut BSI von gekaperten Geräten eines Botnetzes, bei Reflection-Angriffen tragen sie gefälschte Absenderadressen. Die Adressen in Ihren Logs zeigen also Opfer, nicht Täter. Sichern Sie die Logs trotzdem beweisfest und übergeben Sie sie mit der Anzeige der Polizei — die Ermittlung von Auftraggebern ist Sache der Strafverfolgung.

Wie hoch sind die Kosten eines DDoS-Angriffs?

Eine belastbare Durchschnittszahl je Shop gibt es nicht, deshalb nennen wir keine. Die Kostenblöcke sind dagegen klar: entgangener Umsatz je Ausfallstunde, verpuffte Werbeklicks auf eine Fehlerseite, Handarbeit für hängende Abgleiche und Zahlungen ohne Auftrag, Personalzeit und mögliche Zusatzkosten des Hosters. Die Vorsorge kostet dagegen wenig: Cloudflares DDoS-Schutz ist im Free-Plan enthalten.

Welcher DDoS-Schutz ist der beste?

Es gibt keinen besten, nur den passenden für Ihre Größe. Für die meisten Shops reicht die Kombination aus einem Hoster mit Netzwerk-Schutz und einem vorgeschalteten Dienst wie Cloudflare, dessen DDoS-Schutz in allen Plänen enthalten ist — verbunden mit einer verborgenen Server-IP. Für große Unternehmen führt das BSI eine Liste qualifizierter DDoS-Mitigation-Dienstleister (Stand: 15. Mai 2026).

10. Quellen & offizielle Informationen

Alle Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 5. September 2026 abgerufen und im Text gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• Strafgesetzbuch, § 303b Computersabotage — Wortlaut der Absätze 1 bis 5: Strafrahmen bis drei Jahre, bei fremdem Betrieb oder Unternehmen bis fünf Jahre, Strafbarkeit des Versuchs, besonders schwere Fälle mit sechs Monaten bis zehn Jahren und deren Regelbeispiele.
• Strafgesetzbuch, § 303a Datenveränderung — Bezugsnorm aus § 303b Absatz 1 Nummer 1: Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern von Daten, Strafrahmen bis zwei Jahre.
• Polizei — Zentrale Ansprechstellen Cybercrime für Wirtschaftsunternehmen und Behörden — Aufgabe der ZAC (erste Einschätzung, Beratung, Einleitung der Strafverfolgung), Zuständigkeit nach Firmensitz oder Ort des Vorfalls, Sonderweg für KRITIS-Betreiber und Bundesbehörden, Onlinewachen für Privatpersonen.
• Bundeskriminalamt — Cybercrime: Handlungsempfehlungen für Wirtschaftsunternehmen — Erpressung durch Androhung oder Durchführung von DDoS-Attacken, geringe Anzeigequote, Bitte um frühe Einbindung der Polizei, Handreichung „Cyberattacke auf Ihr Unternehmen“.
• BSI — Schutz vor DDoS-Angriffen — Definition von DoS und DDoS, Botnetze aus gekaperten Systemen, Angriffe auf Programmfehler, Hinweis auf qualifizierte DDoS-Mitigation-Dienstleister und die Dokumente der Allianz für Cyber-Sicherheit.
• BSI — Ich möchte einen IT-Sicherheitsvorfall melden — Freiwillige Meldung über das Melde- und Informationsportal des BSI, Zweck Lagebild, Möglichkeit der anonymen Meldung, gesonderte Meldewege für meldepflichtige Unternehmen.
• BSI — IT-Sicherheitsvorfall: Checkliste Organisatorisches — Krisenstab und Rollen, Kommunikationsverantwortlicher, beweissicheres Vorgehen bei geplanter Strafverfolgung, vertragliche Informationspflichten, Meldung an die Datenschutzaufsicht bei Datenschutzverletzung.
• BSI — IT-Sicherheitsvorfall: Checkliste Technik — Firewall-Logging zur Nachvollziehbarkeit extern gemeldeter Angriffe, forensische Sicherung bei Strafverfolgung, dedizierte Protokollserver; Zielgruppe kleine und mittlere Unternehmen.
• BSI — Liste qualifizierter DDoS-Mitigation-Dienstleister (Stand 15.05.2026) — Existenz und Zweck der Liste qualifizierter DDoS-Mitigation-Dienstleister im Sinne von § 3 BSIG; die Liste selbst liegt als PDF vor.
• Cloudflare Docs — About DDoS protection — DDoS-Schutz auf Layer 3, 4 und 7 ohne Volumenbegrenzung für alle Kunden in allen Plänen; automatische Erkennung und Abwehr.
• Cloudflare Docs — Under Attack mode — Zusätzliche Prüfungen gegen Layer-7-Angriffe, Zwischenseite mit Prüfung innerhalb von fünf Sekunden, JavaScript-Voraussetzung, Einordnung als letztes Mittel, selektive Aktivierung über Konfigurationsregeln, Auswirkung auf Analytics.
• Cloudflare Docs — Protect your origin server — Verbergen der Server-IP über proxied DNS-Einträge, Prüfung von DNS-only-Einträgen, Trennung des Mailservers, IP-Wechsel nach der Umstellung wegen öffentlicher DNS-Historie, Sperren allen Verkehrs außerhalb der Cloudflare-Netze.
• Cloudflare Docs — Rate limiting rules — Parameter Zeitraum, Anfragen je Zeitraum und Sperrdauer; Hinweis, dass Rate-Limits keine exakte Anfragezahl garantieren und mit wenigen Sekunden Verzögerung greifen.
• Cloudflare Docs — Restoring original visitor IPs — Header CF-Connecting-IP mit der echten Besucheradresse und die Einrichtung über mod_remoteip für Apache sowie Anleitungen für weitere Webserver.
• Cloudflare — Pläne und Preise — Unmetered DDoS Protection in allen Plänen; Free 0 USD, Pro 20 USD pro Monat bei Jahreszahlung beziehungsweise 25 USD monatlich, Business 200 beziehungsweise 250 USD (Stand: 5. September 2026).
• Cloudflare Blog — DDoS Threat Report H1 2026 — 90,6 Prozent der Netzwerk-Angriffe unter zehn Minuten, 96,62 Prozent unter 500 Megabit pro Sekunde, 935 Angriffe über 1 Terabit pro Sekunde im ersten Halbjahr 2026, rund 5.343 Netzwerk-Angriffe pro Stunde, DNS-basierte Angriffe mit 34,3 Prozent, Nachwirkungen über Stunden oder Tage.
• JTL-Forum — „Cloudflare und JTL Shop – Problem oder zu empfehlen?“ (Januar 2025 bis August 2026) — Händlerbericht über anderthalb Wochen DDoS (27.06.2025), hosts-Eintrag und IP-Zugriffsregel für den Wawi-Worker, blockierte Mollie-Webhooks und die Ausnahme für den User-Agent „Mollie HTTP client/1.0“, Zahlungen ohne Auftrag während des Angriffs, Under-Attack-Modus im Free-Plan, Cache-Probleme mit Warenkorb und Startseite.
• JTL-Forum — „Cloudflare <-> JTL WAWI Abgleich“ (Dezember 2020) — Page Rule für den Pfad /dbeS/* mit deaktivierter Sicherheitsprüfung, damit der Wawi-Abgleich hinter Cloudflare durchläuft.