Cloudflare-DDoS-Bericht Q3 2026: rund 8.226 Netzwerkangriffe pro Stunde, mehr kurze Schübe, weniger Angriffe über 1 Tbps

Am 29. Oktober 2026 hat Cloudflare die 26. Ausgabe seines DDoS-Bedrohungsberichts veröffentlicht. Er deckt das dritte Quartal 2026 (Juli bis September) ab und stützt sich auf das eigene Netz. Nach eigenen Angaben wurden 18,2 Millionen DDoS-Angriffe auf der Netzwerkebene und 14,4 Billionen HTTP-DDoS-Anfragen automatisch abgewehrt, rund 8.226 Netzwerkangriffe pro Stunde. Der Haupttrend sind kürzere, häufigere Angriffe: Kurze Angriffe mit geringer Bandbreite unter 10 Minuten nahmen stark zu, hypervolumetrische Angriffe über 1 Tbps gingen deutlich zurück.

Zuerst die Summen. Der Wert der Netzwerkebene entspricht etwa 197.400 Angriffen am Tag, einem alle 0,44 Sekunden, und der abgewehrte Verkehr betrug 272,6 PB auf der Netzwerkebene und 95,1 PB auf der HTTP-Ebene. Der Bericht sagt, die 18,2 Millionen Angriffe lägen 208 Prozent über dem gleichen Quartal 2025; 96 Prozent endeten in unter 10 Minuten, 98 Prozent blieben unter 1 Gbps. Eine Vorsicht: Die 208 Prozent erscheinen zweimal mit unterschiedlichem Bezug. Im Text gelten sie für die Gesamtzahl der Netzwerkangriffe gegenüber dem dritten Quartal 2025, in der Liste der Kernaussagen für kurze Angriffe mit geringer Bandbreite, dort ohne Vergleichsbasis. Beim Zitieren sollte man sagen, welche Lesart man verwendet.

Hypervolumetrische Angriffe entwickelten sich gegenläufig. Netzwerkangriffe über 1 Tbps sanken von 805 im zweiten auf 251 im dritten Quartal, ein Rückgang von fast 69 Prozent. Der Bericht bringt das mit Strafverfolgungsmaßnahmen Anfang 2026 in Verbindung, die vier der größten IoT-DDoS-Botnetze zerschlugen, Aisuru, KimWolf, JackSkid und Mossad; die Kernaussagen formulieren das als „möglicherweise ein Spiegel“ und behaupten keine Ursache. IoT-Botnetze bleiben eine dauerhafte Bedrohung, mit neuen Varianten wie Dysphoria und Evooo1Bot. Die als Mirai eingestufte Abwehr erreichte im August mit 57,23 PB ihren Höchststand, darunter vier Tage, der 16., 19., 23. und 25. August, an denen jeweils drei Petabyte abgewehrt wurden, und der längste anhaltende Mirai-Angriff dauerte 49,7 Stunden vom 19. bis 21. August. Der Bericht bezeichnet 46,5 Prozent ausdrücklich als Anteil an den im dritten Quartal abgewehrten Netzwerk-Bytes. Die 57,23 PB vom August sind jedoch nur rund 21 Prozent der genannten Quartalssumme von 272,6 PB. So stimmen die Zahlen nicht überein; der Text erklärt die Abweichung nicht.

Auch die Methoden änderten sich. CLDAP-Reflexionsangriffe waren im ersten Halbjahr um 580 Prozent gegenüber dem Vorquartal gestiegen und fielen im dritten Quartal auf 0,05 Prozent der Angriffe, was der Bericht als Rückgang um 99,5 Prozent beziffert. DNS-Verstärkung stieg um 215 Prozent auf 3,43 Prozent der Netzwerkangriffe, und andere UDP-Floods wuchsen von 14,06 auf 31,31 Prozent, ein Plus von etwa 122 Prozent. UDP ist verbindungslos und eignet sich daher gut als Träger für rohen Massenverkehr.

Die Ziele streuten breiter. Medien, Produktion und Verlagswesen blieben die am stärksten angegriffene Branche, doch ihr Anteil beträgt etwa ein Viertel des Werts im zweiten Quartal. Internet stieg von außerhalb der Top Ten auf Platz sechs, Verbraucherdienste und Erwachsenenunterhaltung erreichten Platz acht und neun. Der Bericht sieht in dem Muster aus kurzen, mittelgroßen, zahlreichen Angriffen das Kennzeichen mietbarer „Booter“-Dienste, die vor allem Software, Glücksspiel und Casinos sowie Informationstechnik trafen. Nach Orten waren die USA am häufigsten Ziel, China folgte auf Platz zwei, und Indonesien kam mit 2,93 Prozent unter die ersten drei. Kanada sprang von Platz 16 auf 6, Israel stieg um sieben Plätze auf Platz 10.

Man sollte bedenken, dass dies die Statistik eines Schutzanbieters aus dem eigenen Netz ist: Die Rangfolgen zeigen Angriffe auf Cloudflare-Kunden, nicht auf das ganze Internet. Cloudflare fügt hinzu, der Schutz laufe in über 330 Städten mit 500 Tbps Kapazität, und mehr als 800 Netze hätten sich für den kostenlosen Botnetz-Bedrohungs-Feed für Diensteanbieter angemeldet. Für Betriebsteams lautet die Lehre: Die meisten Angriffe enden, bevor ein Mensch die Warnung lesen könnte, die Abwehr muss also automatisch sein, und die Zahl der Angriffe zählt ebenso wie die Größe des einzelnen Angriffs.