Cloudflare hat im dritten Quartal 2026 18,2 Millionen DDoS-Angriffe auf Netzwerkebene abgewehrt, 208 Prozent mehr als im Vorjahresquartal. Im Schnitt waren das 8.226 Angriffe pro Stunde oder einer alle 0,44 Sekunden. Hinzu kamen 14,4 Billionen HTTP-DDoS-Requests. Das zeigt der 26. DDoS Threat Report, den Cloudforce One, die Threat-Intelligence-Einheit von Cloudflare, auf Basis von Daten aus dem Cloudflare-Netzwerk erstellt hat. Insgesamt wehrte Cloudflare im Quartal 272,6 Petabyte auf Netzwerkebene und 95,1 Petabyte auf HTTP-Ebene ab.
Das Wachstum kommt vor allem von kurzen, vergleichsweise kleinen Angriffen. 96 Prozent endeten nach weniger als zehn Minuten, 98 Prozent blieben unter 1 Gbit/s. Laut Report reicht das dennoch aus, um einen Server oder eine Website lahmzulegen. Kurze Attacken mittlerer Größe in hoher Stückzahl gelten als typisches Muster sogenannter Booter, also DDoS-Angriffe als Dienstleistung. Sie richteten sich vor allem gegen Softwareunternehmen, Glücksspiel- und Casino-Anbieter und IT-Firmen.
Bei den ganz großen Angriffen kehrte sich der Trend dagegen um. Die Zahl hypervolumetrischer Attacken mit mehr als 1 Tbit/s sank von 805 im zweiten auf 251 im dritten Quartal, ein Rückgang um knapp 69 Prozent. Das fällt zeitlich mit dem Vorgehen der Strafverfolgungsbehörden Anfang 2026 zusammen, bei dem die vier größten IoT-DDoS-Botnetze Aisuru, KimWolf, JackSkid und Mossad zerschlagen wurden. Entwarnung gibt der Report trotzdem nicht. Mit Varianten wie Dysphoria und Evooo1Bot entstehen laufend neue Botnetze. Die Abwehr von Mirai-Angriffen erreichte im August mit 57,23 Petabyte ihren Höhepunkt, das sind 46,5 Prozent aller im Quartal abgewehrten Bytes auf Netzwerkebene. An vier Augusttagen lag das Volumen jeweils über drei Petabyte. Der längste Mirai-Angriff des Quartals dauerte 49,7 Stunden, vom 19. bis 21. August.
Deutlich verändert haben sich auch die Methoden. CLDAP-Angriffe waren im ersten Halbjahr noch um 580 Prozent gegenüber dem Vorquartal gestiegen. Bei dieser Technik bringen kleine Anfragen mit gefälschter Absenderadresse öffentliche Domain Controller dazu, stark verstärkte Antworten an das Opfer zu schicken. Im dritten Quartal brachen sie um 99,5 Prozent ein und machten nur noch 0,05 Prozent aller Angriffe aus. Die Angreifer wichen auf andere verbindungslose Protokolle aus: DNS-Amplification legte um 215 Prozent zu und kam auf 3,43 Prozent aller Angriffe auf Netzwerkebene. Der Anteil sonstiger UDP-Floods stieg von 14,06 auf 31,31 Prozent.
Auch die Ziele verteilen sich breiter. Medien, Produktion und Verlagswesen blieb die meistangegriffene Branche, ihr Anteil lag aber nur noch bei etwa einem Viertel des Vorquartals. Die Branche Internet rückte von außerhalb der Top 10 auf Platz 6 vor, Consumer Services auf Platz 8 und Adult Entertainment auf Platz 9. Bei den Ländern übernahmen die USA wieder den ersten Platz von China, Indonesien schob sich mit 2,93 Prozent aller Angriffe auf Rang drei. Besonders auffällig ist Kanada: Das Land sprang in einer Phase ohnehin angespannter Handelsstreitigkeiten von Platz 16 auf Platz 6. Betroffen waren vor allem Einzelhandel, Telekommunikation, Service-Provider und Carrier sowie Marketing und Werbung. Israel stieg nach anhaltender DDoS-Aktivität Mitte September um sieben Plätze auf Rang 10. In diese Zeit fielen umstrittene Entscheidungen vor den Parlamentswahlen und das Rosch-ha-Schana-Fest. Der Report verweist außerdem auf einen dokumentierten starken Anstieg feindlicher Cyberangriffe auf Israel in diesem Jahr.
Für Cloudflare unterstreichen die Zahlen, wie wichtig automatisierte Abwehr ist. Die meisten Angriffe sind vorbei, bevor ein Analyst den Alarm überhaupt sehen könnte. Zugleich gibt es weiterhin Hunderte Attacken pro Quartal mit mehr als 1 Tbit/s.
Den vollständigen Report finden Sie hier: https://blog.cloudflare.com/ddos-threat-report-2026-q3/
Weitere Artikel
Flughäfen im Visier: Warum Cyberresilienz kein Nice-to-have mehr ist
Realität Cyberwarfare: Prävention ist entscheidend
IGA als verkannter Wegbereiter: IT-Entscheider plagen manuelle Prozesse trotz steigender Budgets
95 Prozent der IT-Führungskräfte bewerten Identitätssicherheit als kritische Komponente der Cybersicherheitsstrategie