■ High IR Playbook

DDoS Attack

DDoS-Angriff

Response to flooding attacks and DDoS extortion: distinguish an attack from a fault, determine the layer, bring in the ISP and protection provider with reliable data, prioritize critical services and watch for accompanying attacks.

Reaktion auf Überlastungsangriffe und DDoS-Erpressung: Angriff von Störung unterscheiden, Ebene bestimmen, ISP und Schutzdienstleister mit belastbaren Daten einschalten, kritische Dienste priorisieren und auf Begleitangriffe achten.

Detect Contain Investigate Eradicate Recover Review

Erkennen Eindämmen Untersuchen Beseitigen Wiederanlauf Nachbereitung

Overview

Überblick

This playbook structures the response to a distributed denial-of-service attack against websites, APIs, VPN access, DNS, mail servers or entire internet connections. It also covers extortion with a DDoS threat.

DDoS is first and foremost an availability and coordination problem. The most effective countermeasures often sit with the internet service provider, CDN or DDoS protection provider, not in your own infrastructure alone.

The core of this playbook: First establish whether it is an attack and at which layer it happens, then bring in the right party with the right data. A DDoS can also be a distraction from a parallel intrusion.

Dieses Playbook strukturiert die Reaktion auf einen Distributed-Denial-of-Service-Angriff gegen Websites, APIs, VPN-Zugänge, DNS, Mailserver oder ganze Internetanbindungen. Es deckt auch Erpressungen mit DDoS-Androhung ab.

DDoS ist in erster Linie ein Verfügbarkeits- und Koordinationsproblem. Die wirksamsten Gegenmaßnahmen liegen häufig beim Internetanbieter, CDN oder DDoS-Schutzdienstleister und nicht allein in der eigenen Infrastruktur.

Der Kern dieses Playbooks: Zuerst klären, ob es ein Angriff ist und auf welcher Ebene er stattfindet, dann die richtige Stelle mit den richtigen Daten einschalten. Ein DDoS kann außerdem Ablenkung für einen parallelen Einbruch sein.

Scope & Severity

Anwendungsbereich & Schweregrad

Scope

Use this playbook if:

publicly reachable services are slow or unreachable and traffic or requests are unusually high
the internet service provider, CDN or protection provider reports an attack
firewall, load balancer or web server report bandwidth, CPU, connections or error rates at their limit
an extortion message with a DDoS threat arrives, even without an attack so far
hacktivist groups publicly name your organization, sector or region as a target

Boundaries:

Outages caused by your own changes, provider faults or legitimate load peaks are not attacks, but are ruled out systematically in phase 1 with this playbook.
If a DDoS is only cover for an intrusion, the matching incident playbook additionally takes the lead.

Severity

Medium: The attack is absorbed by existing protection, no noticeable impact
High: Noticeable impact or outage of non-critical services, or credible extortion
Critical: Outage of business-critical services, loss of the entire internet connection, or signs of a simultaneous intrusion

Anwendungsbereich

Verwenden Sie dieses Playbook, wenn:

öffentlich erreichbare Dienste langsam oder nicht erreichbar sind und Verkehr oder Anfragen ungewöhnlich hoch sind
Internetanbieter, CDN oder Schutzdienstleister einen Angriff melden
Firewall, Load Balancer oder Webserver Bandbreite, CPU, Verbindungen oder Fehlerraten am Limit melden
eine Erpressungsnachricht mit DDoS-Drohung eingeht, auch ohne bisherigen Angriff
Hacktivisten-Gruppen Ihre Organisation, Branche oder Region öffentlich als Ziel nennen

Abgrenzung:

Ausfälle durch eigene Änderungen, Anbieterstörungen oder legitime Lastspitzen sind kein Angriff, werden aber in Phase 1 mit diesem Playbook systematisch ausgeschlossen.
Wenn ein DDoS nur Deckung für einen Einbruch ist, führt zusätzlich das passende Incident-Playbook.

Schweregrad

Mittel: Angriff wird von bestehenden Schutzmaßnahmen abgefangen, keine spürbare Beeinträchtigung
Hoch: Spürbare Beeinträchtigung oder Ausfall nicht kritischer Dienste oder glaubhafte Erpressung
Kritisch: Ausfall geschäftskritischer Dienste, Ausfall der gesamten Internetanbindung oder Hinweise auf gleichzeitigen Einbruch

First 15 Minutes

Die ersten 15 Minuten

▶

▶ Act immediately

Name an incident lead, start the timeline and decision log.
Record affected services, target IP addresses, domains and the time the disruption began.
Quickly check whether a planned change, a known provider fault or a legitimate load peak explains it.
Review monitoring: bandwidth, packets per second, connections, requests per second, error rates, source countries, source ASNs, top URLs and user agents.
Check the CDN or protection service: is protection active, does the provider see the attack, does an emergency mode need to be activated?
If your own uplink is saturated, contact the ISP or carrier through the NOC or emergency number.
Explicitly ask security monitoring to keep watching for parallel anomalies.
Prepare communication for the status page, support and internal updates.

▸ Contacts and Escalation

Pre-fill these for your organization and keep them available offline:

Incident lead on call
ISP or carrier NOC
CDN, WAF and DDoS protection provider
DNS provider, registrar and certificate owners
Platform, network and application operations
Customer service, communications and legal
Police or cybercrime contact point: ZAC of the state criminal police office (DE), Federal Criminal Police Office (AT), cantonal police (CH)
Reporting bodies: BSI (DE), competent CSIRT (AT), NCSC/BACS (CH)

▶ Sofort handeln

Incident-Lead benennen, Timeline und Entscheidungsprotokoll starten.
Betroffene Dienste, Ziel-IP-Adressen, Domains und Zeitpunkt der Störung festhalten.
Schnell prüfen, ob eine geplante Änderung, bekannte Anbieterstörung oder legitime Lastspitze vorliegt.
Monitoring auswerten: Bandbreite, Pakete pro Sekunde, Verbindungen, Anfragen pro Sekunde, Fehlerraten, Quell-Länder, Quell-ASNs, häufigste URLs und User-Agents.
CDN- oder Schutzdienst prüfen: Ist Schutz aktiv, sieht der Anbieter den Angriff, muss ein Notfallmodus aktiviert werden?
Bei Überlastung der eigenen Anbindung ISP oder Carrier über die NOC- oder Notfallnummer kontaktieren.
Security-Monitoring für parallele Auffälligkeiten ausdrücklich weiterführen lassen.
Kommunikation für Statusseite, Support und interne Informationen vorbereiten.

▸ Kontakte und Eskalation

Diese Angaben organisationsspezifisch vorbelegen und offline verfügbar halten:

Incident-Lead on call
ISP oder Carrier NOC
CDN-, WAF- und DDoS-Schutzdienstleister
DNS-Provider, Registrar und Zertifikatsverantwortliche
Plattform-, Netzwerk- und Anwendungsbetrieb
Kundenservice, Kommunikation und Legal
Polizei bzw. Cybercrime-Ansprechstelle: ZAC des Landeskriminalamts (DE), Bundeskriminalamt (AT), Kantonspolizei (CH)
Meldestellen: BSI (DE), zuständiges CSIRT (AT), BACS (CH)

Objectives & Principles

Ziele & Prinzipien

▶

Purpose

Distinguish an attack from a technical fault, a load peak or a misconfiguration
Determine the type and layer of the attack
Activate defenses quickly through providers and your own measures
Keep critical services available by priority
Detect accompanying attacks
Handle extortion attempts correctly

Incident Objectives

Establish whether an attack is happening and at which layer.
Activate defenses through providers and your own measures.
Restore critical services by priority or run them in a stable degraded mode.
Detect accompanying attacks.
Inform customers, internal stakeholders and partners reliably.
Improve protection permanently.

Core Response Principles

Bring in providers early. Against volumetric attacks, almost only what happens before your own line helps.
Provide data, not just an outage report. Target IP, domain, time, layer, samples and measures already taken speed up every escalation.
Know priorities in advance. Not every service is equally important.
Do not block blindly. Blanket geo or IP blocks often hit legitimate users and only shift the problem.
Watch for distraction. While availability has everyone's attention, intrusions can go unnoticed.
Do not pay. Payments to DDoS extortionists do not prevent further attacks.
Record time consistently. Document the start of the attack, waves and escalations in UTC.

Zweck

Angriff von technischer Störung, Lastspitze oder Fehlkonfiguration unterscheiden
Angriffsart und -ebene bestimmen
Abwehr schnell über Anbieter und eigene Maßnahmen aktivieren
Kritische Dienste priorisiert verfügbar halten
Begleitende Angriffe erkennen
Erpressungsversuche richtig behandeln

Incident-Ziele

Feststellen, ob ein Angriff vorliegt und auf welcher Ebene.
Abwehr über Anbieter und eigene Maßnahmen aktivieren.
Kritische Dienste priorisiert wiederherstellen oder stabil eingeschränkt betreiben.
Begleitende Angriffe erkennen.
Kunden, interne Stakeholder und Partner verlässlich informieren.
Schutzmaßnahmen dauerhaft verbessern.

Zentrale Reaktionsprinzipien

Anbieter früh einschalten. Gegen volumetrische Angriffe hilft fast nur, was vor der eigenen Leitung geschieht.
Daten liefern, nicht nur den Ausfall melden. Ziel-IP, Domain, Zeitpunkt, Ebene, Beispiele und bereits getroffene Maßnahmen beschleunigen jede Eskalation.
Prioritäten vorher kennen. Nicht jeder Dienst ist gleich wichtig.
Nicht blind blocken. Pauschale Geo- oder IP-Sperren treffen oft legitime Nutzer und verschieben das Problem.
Wachsam für Ablenkung. Während Verfügbarkeit im Fokus steht, können Einbrüche unbemerkt bleiben.
Nicht zahlen. Zahlungen an DDoS-Erpresser verhindern weitere Angriffe nicht.
Zeit konsistent erfassen. Angriffsbeginn, Wellen und Eskalationen grundsätzlich in UTC dokumentieren.

Roles & Responsibilities

Rollen & Verantwortlichkeiten

▶

Incident lead

Steers the incident.
Prioritizes services and measures.
Decides on far-reaching steps such as geo-blocking, challenge modes or blackholing.

Network and operations

Analyze traffic.
Implement filters, rate limits and protection rules.
Stay in contact with the ISP, CDN and DDoS protection provider.

Application owners

Assess application load.
Activate caching, degradation, queueing or switch off expensive features.

Security / SOC

Monitor for accompanying attacks.
Assess extortion messages and suspicious sign-ins.

Communications and customer service

Maintain the status page.
Inform customers, internal stakeholders and support channels.

External parties

ISP, carrier, CDN, DDoS protection provider, DNS provider, CERT and, where needed, police

Incident-Lead

Steuert den Vorfall.
Priorisiert Dienste und Maßnahmen.
Entscheidet über weitreichende Schritte wie Geo-Blocking, Challenge-Modi oder Blackholing.

Netzwerk und Betrieb

Analysieren Verkehr.
Setzen Filter, Rate Limits und Schutzregeln um.
Halten Kontakt zu ISP, CDN und DDoS-Schutzdienstleister.

Anwendungsverantwortliche

Bewerten Anwendungslast.
Aktivieren Caching, Degradation, Queueing oder Abschaltung teurer Funktionen.

Security / SOC

Überwachen auf Begleitangriffe.
Bewerten Erpressungsnachrichten und verdächtige Logins.

Kommunikation und Kundenservice

Pflegen Statusseite.
Informieren Kunden, interne Stakeholder und Supportkanäle.

Externe

ISP, Carrier, CDN, DDoS-Schutzdienstleister, DNS-Provider, CERT und gegebenenfalls Polizei

Decision Model

Entscheidungsmodell

▶

Rule 1: Attack or fault?

Probably an attack if

traffic or requests jump without a business reason
many requests share the same characteristics, such as the same URL, user agent or protocol pattern
traffic comes from unusual countries, networks or reflection sources
there is a threat, a claim of responsibility or a public target announcement

Probably a fault if

changes were made shortly before the incident
the provider confirms an outage
traffic is normal, but backends or internal dependencies are slow

Rule 2: Which layer?

Layer	Typical characteristics	Most effective countermeasure
Volumetric (L3/L4)	Line saturated, lots of UDP, reflection traffic, high Gbit/s or PPS	ISP filtering, scrubbing center, CDN
Protocol (L4)	SYN flood, connection tables full, little bandwidth but many connections	Firewall and load balancer protection, SYN cookies, protection service
Application (L7)	Many seemingly legitimate HTTP requests against expensive functions	WAF rules, challenges, rate limits, caching, feature degradation

Rule 3: Geo-blocking or broad blocks?

Only apply if:

the attack sources are clearly concentrated in a region
no relevant customers, partners or employees are located there
the measure is time-limited, documented and agreed with the business

Targeted rules on characteristics of the attack traffic are almost always better.

Rule 4: Extortion?

Do not pay and do not negotiate.
Preserve the message completely: headers, wallet address, times, deadlines and wording.
Give the protection provider and ISP an early warning.
Inform the police or cybercrime contact point.
Many threats remain technically limited, but preparation is still mandatory.

Rule 5: When to activate other playbooks?

Identity compromise in parallel if suspicious sign-ins, MFA anomalies or admin access become visible during the attack.
Ransomware playbook, or the playbook matching the intrusion, takes the lead if the DDoS is evidently a distraction for an intrusion.
Data breach playbook in parallel if data exfiltration or misuse of personal data becomes visible at the same time.

Regel 1: Angriff oder Störung?

Wahrscheinlich Angriff, wenn

Verkehr oder Anfragen sprunghaft und ohne geschäftlichen Anlass steigen
viele Anfragen dieselben Merkmale tragen, etwa gleiche URL, User-Agent oder Protokollmuster
Verkehr aus ungewöhnlichen Ländern, Netzen oder Reflexionsquellen stammt
eine Drohung, ein Bekennerschreiben oder öffentliche Zielankündigung vorliegt

Wahrscheinlich Störung, wenn

kurz vor dem Vorfall Änderungen umgesetzt wurden
der Anbieter eine Störung bestätigt
der Verkehr normal ist, aber Backends oder interne Abhängigkeiten langsam sind

Regel 2: Auf welcher Ebene?

Ebene	Typische Merkmale	Wirksamste Gegenmaßnahme
Volumetrisch (L3/L4)	Leitung voll, viel UDP, Reflexionsverkehr, hohe Gbit/s oder PPS	ISP-Filterung, Scrubbing-Center, CDN
Protokoll (L4)	SYN-Flood, Connection-Tabellen voll, wenig Bandbreite bei hoher Verbindungszahl	Firewall- und Load-Balancer-Schutz, SYN-Cookies, Schutzdienst
Anwendung (L7)	Viele scheinbar legitime HTTP-Anfragen auf teure Funktionen	WAF-Regeln, Challenges, Rate Limits, Caching, Funktionsdegradation

Regel 3: Geo-Blocking oder breite Sperren?

Nur anwenden, wenn:

die Angriffsquellen klar regional konzentriert sind
dort keine relevanten Kunden, Partner oder Mitarbeiter sitzen
die Maßnahme befristet, dokumentiert und fachlich abgestimmt ist

Gezielte Regeln auf Merkmale des Angriffsverkehrs sind fast immer besser.

Regel 4: Erpressung?

Nicht zahlen und nicht verhandeln.
Nachricht vollständig sichern: Header, Wallet-Adresse, Zeitangaben, Fristen und Wortlaut.
Schutzdienstleister und ISP vorsorglich vorwarnen.
Polizei oder Cybercrime-Ansprechstelle informieren.
Viele Drohungen bleiben technisch begrenzt, Vorbereitung ist trotzdem Pflicht.

Regel 5: Wann andere Playbooks aktivieren?

Identitätskompromittierung parallel, wenn während des Angriffs verdächtige Logins, MFA-Auffälligkeiten oder Admin-Zugriffe sichtbar werden.
Ransomware-Playbook oder das zum Einbruch passende Playbook führend, wenn der DDoS erkennbar Ablenkung für einen Einbruch ist.
Datenpannen-Playbook parallel, wenn gleichzeitig Datenabfluss oder Missbrauch personenbezogener Daten sichtbar wird.

Service Prioritization

Service-Priorisierung

▶

Service class	Goal during the attack	Typical measure
Critical transactions	Maximum availability	Scrubbing, CDN/WAF emergency mode, prioritization
Customer portal	Keep running in degraded mode	Caching, challenge, limit expensive features
Public information pages	Reliable communication	Static CDN page, independent status page
Non-critical APIs	Reduce load	Temporary limits, queueing, strict rate limits
Admin and remote access	Prevent misuse	Separate access, strong authentication, strict rules

Dienstklasse	Ziel im Angriff	Typische Maßnahme
Kritische Transaktionen	Maximale Verfügbarkeit	Scrubbing, CDN/WAF-Notfallmodus, Priorisierung
Kundenportal	Degradiert weiterbetreiben	Caching, Challenge, teure Funktionen begrenzen
Öffentliche Informationsseiten	Verlässliche Kommunikation	Statische CDN-Seite, unabhängige Statusseite
Nicht kritische APIs	Last reduzieren	Temporäre Limits, Queueing, restriktive Rate Limits
Admin- und Fernzugänge	Missbrauch verhindern	Separater Zugang, starke Authentisierung, restriktive Regeln

Protecting Critical Trust Accounts

Schutz kritischer Vertrauenskonten

▶

During a DDoS attack, take particular care to secure:

DNS provider accounts
Registrar access and registry lock, where available
CDN and WAF admin accounts
Certificate management and CA or ACME accounts
Break-glass access for internet, DNS and CDN operations

Während eines DDoS-Angriffs besonders absichern:

DNS-Provider-Konten
Registrar-Zugänge und Registry Lock, falls verfügbar
CDN- und WAF-Admin-Konten
Zertifikatsverwaltung und CA- oder ACME-Konten
Break-Glass-Zugänge für Internet-, DNS- und CDN-Betrieb

1 · Detect and Triage

1 · Erkennen und Triage

▶

Distinguish an attack from a fault Determine layer and target Trigger escalation with reliable data

Assess attack versus fault according to rule 1.
Determine the layer according to rule 2.
Record affected services, target systems and possible origin exposure.
Preserve traffic data: NetFlow, firewall statistics, packet samples, web server logs, CDN and WAF analytics.
Check whether the origin IP is known or directly attackable even though a CDN sits in front.

▸ Data package for the ISP and protection provider

A provider can only help as quickly as the situation can be grasped technically. Prepare this information as a standard template where possible:

Affected target IP addresses, prefixes and domains
Start of the attack in UTC and recognizable waves
Bandwidth, packets per second, and for L7 requests per second
Protocols and ports
Sample source IP addresses, source ports, packet sizes
For L7: URLs, methods, header or user agent patterns
Measures already taken
Desired outcome: filter, scrub, challenge, limit or, as a last resort, blackhole
Business-critical services that must be protected or restored first
Contract or customer number and a reachable technical contact

Exit criteria

Attack confirmed or ruled out with a reliable justification
Layer and affected targets known
ISP or protection provider informed
First situation picture documented

Angriff von Störung abgrenzen Ebene und Ziel bestimmen Eskalation mit belastbaren Daten auslösen

Angriff versus Störung nach Regel 1 bewerten.
Ebene nach Regel 2 bestimmen.
Betroffene Dienste, Zielsysteme und mögliche Origin-Exposition erfassen.
Verkehrsdaten sichern: NetFlow, Firewall-Statistiken, Beispielpakete, Webserver-Logs, CDN- und WAF-Auswertungen.
Prüfen, ob die Origin-IP bekannt oder direkt angreifbar ist, obwohl ein CDN vorgeschaltet ist.

▸ Datenpaket für ISP und Schutzdienstleister

Ein Provider kann nur so schnell helfen, wie die Lage technisch greifbar ist. Diese Angaben deshalb möglichst als Standardvorlage vorbereiten:

Betroffene Ziel-IP-Adressen, Präfixe und Domains
Beginn des Angriffs in UTC und erkennbare Wellen
Bandbreite, Pakete pro Sekunde, bei L7 Anfragen pro Sekunde
Protokolle und Ports
Beispielhafte Quell-IP-Adressen, Quellports, Paketgrößen
Bei L7: URLs, Methoden, Header- oder User-Agent-Muster
Bereits getroffene Maßnahmen
Gewünschtes Ergebnis: filtern, scrubben, challengen, begrenzen oder im äußersten Fall blackholen
Geschäftskritische Dienste, die geschützt oder zuerst wiederhergestellt werden müssen
Vertrags- oder Kundennummer und erreichbare technische Kontaktperson

Exit-Kriterien

Angriff bestätigt oder mit belastbarer Begründung ausgeschlossen
Ebene und betroffene Ziele bekannt
ISP oder Schutzdienstleister informiert
Erstes Lagebild dokumentiert

2 · Contain

2 · Eindämmen

▶

Stabilize critical services Reduce attack surface and impact Do not overlook parallel attacks

Switch the protection service or CDN to emergency rules, challenge mode and rate limits.
Have the ISP filter or reroute traffic through scrubbing.
Protect your own infrastructure with rate limits, connection limits and targeted blocks on attack characteristics.
Limit expensive functions such as search, login or exports, or put them behind a challenge.
Provide a static emergency page via CDN or an independent status page.
Protect the origin IP; if necessary change the origin and only allow traffic from the protection service.
With cloud autoscaling, check budget limits and caps.
For attacks on authoritative DNS, activate secondary zones or a robust DNS provider.
Provide critical internal services through alternative paths if needed.
Use blackholing only as a last resort.

Do not

No permanent blanket blocks without documentation
Do not scale back security monitoring
Do not provoke the attackers publicly

Exit criteria

Critical services reachable again or stable in degraded mode
Protection measures active and documented
Monitoring for accompanying attacks continues

Kritische Dienste stabilisieren Angriffsfläche und Auswirkungen verkleinern Parallele Angriffe nicht übersehen

Schutzdienst oder CDN auf Notfallregeln, Challenge-Modus und Rate Limits umstellen.
Beim ISP Filterung oder Umleitung über Scrubbing veranlassen.
Eigene Infrastruktur mit Rate Limits, Connection-Limits und gezielten Merkmalssperren schützen.
Teure Funktionen wie Suche, Login oder Exporte begrenzen oder hinter Challenge legen.
Eine statische Notfallseite über CDN oder unabhängige Statusseite bereitstellen.
Origin-IP schützen; wenn nötig Origin wechseln und nur Verkehr vom Schutzdienst zulassen.
Bei Cloud-Autoscaling Budgetgrenzen und Obergrenzen prüfen.
Bei Angriffen auf autoritativen DNS sekundäre Zonen oder robusten DNS-Anbieter aktivieren.
Kritische interne Dienste bei Bedarf über alternative Wege bereitstellen.
Blackholing nur als letztes Mittel anwenden.

Nicht tun

Keine dauerhaften pauschalen Sperren ohne Dokumentation
Security-Monitoring nicht zurückfahren
Angreifer nicht öffentlich provozieren

Exit-Kriterien

Kritische Dienste wieder erreichbar oder stabil degradiert
Schutzmaßnahmen aktiv und dokumentiert
Monitoring auf Begleitangriffe läuft weiter

3 · Investigate

3 · Untersuchen

▶

Understand the course of the attack Detect or rule out accompanying attacks Turn causes into lasting fixes rather than only situational defense

Document the course: start, peaks, waves, changes of method and response times.
Check whether suspicious sign-ins, admin actions, malware findings or data exfiltration occurred in parallel.
Determine how the origin IP or target infrastructure became known.
Evaluate claims of responsibility, hacktivist channels and sector warnings.
Check whether the attack was limited to availability or served as a distraction.

Exit criteria

Course of the attack documented
Accompanying attack ruled out or handed over to another playbook
Findings for lasting protection measures recorded

Angriffsverlauf verstehen Begleitende Angriffe erkennen oder ausschließen Ursachen wirksamer machen als nur situative Abwehr

Verlauf dokumentieren: Beginn, Spitzen, Wellen, Methodikwechsel und Reaktionszeiten.
Prüfen, ob parallel verdächtige Anmeldungen, Admin-Aktionen, Malware-Befunde oder Datenabflüsse auftraten.
Ermitteln, wie Origin-IP oder Zielinfrastruktur bekannt wurden.
Bekennerschreiben, Hacktivisten-Kanäle und Branchenwarnungen auswerten.
Prüfen, ob der Angriff auf Verfügbarkeit beschränkt war oder als Ablenkung diente.

Exit-Kriterien

Angriffsverlauf dokumentiert
Begleitangriff ausgeschlossen oder an anderes Playbook übergeben
Erkenntnisse für dauerhafte Schutzmaßnahmen festgehalten

4 · Eradicate

4 · Beseitigen

▶

A DDoS usually leaves no persistence. Eradication here means closing the conditions that made the attack effective.

Fix origin exposure
Adopt proven WAF and rate limit rules permanently
Address capacity bottlenecks and single points of failure
Improve protection rules, routing or DNS design

Exit criteria

Origin only reachable in a controlled way
Sensible emergency rules adopted into the permanent configuration
Known weaknesses in the operating model addressed

DDoS hinterlässt in der Regel keine Persistenz. Beseitigung bedeutet hier, die Bedingungen zu schließen, die den Angriff wirksam gemacht haben.

Origin-Exposition beheben
Bewährte WAF- und Rate-Limit-Regeln dauerhaft übernehmen
Kapazitätsengpässe und Single Points of Failure adressieren
Schutzregeln, Routing oder DNS-Design verbessern

Exit-Kriterien

Origin nur noch kontrolliert erreichbar
Sinnvolle Notfallregeln in Dauerkonfiguration übernommen
Bekannte Schwachstellen im Betriebsmodell adressiert

5 · Recover

5 · Wiederanlauf

▶

Roll back emergency measures in a controlled way Detect a flare-up early

Withdraw emergency rules step by step and monitor the effect.
Maintain heightened readiness for at least 72 hours after the last attack traffic.
Update the status page.
Give internal and external stakeholders the all-clear only after a stable period.

Exit criteria

72 hours without renewed attack traffic, or stable defense
Emergency rules reviewed and withdrawn or deliberately kept
Communication updated

Notfallmaßnahmen kontrolliert zurückfahren Wiederaufflammen früh erkennen

Notfallregeln schrittweise zurücknehmen und Wirkung überwachen.
Erhöhte Bereitschaft für mindestens 72 Stunden nach letztem Angriffsverkehr aufrechterhalten.
Statusseite aktualisieren.
Interne und externe Stakeholder erst nach stabiler Phase entwarnen.

Exit-Kriterien

72 Stunden ohne erneuten Angriffsverkehr oder stabile Abwehr
Notfallregeln geprüft zurückgenommen oder bewusst beibehalten
Kommunikation aktualisiert

6 · Review

6 · Nachbereitung

▶

Measure the time to detection, escalation and effective defense.
Check whether emergency contacts, contracts and escalation paths were current and reachable.
Assess contractual protection in terms of bandwidth, L7 defense and response times.
Update runbooks, protection rules and communication templates.
Exercise the DDoS procedure regularly.

Zeit bis Erkennung, Eskalation und wirksamer Abwehr messen.
Prüfen, ob Notfallkontakte, Verträge und Eskalationswege aktuell und erreichbar waren.
Vertraglichen Schutz hinsichtlich Bandbreite, L7-Abwehr und Reaktionszeiten bewerten.
Runbooks, Schutzregeln und Kommunikationsvorlagen aktualisieren.
DDoS-Ablauf regelmäßig üben.

Evidence & Communication

Beweise & Kommunikation

▶

Evidence to Preserve

Monitoring graphs and raw data on bandwidth, PPS, requests and error rates
NetFlow, firewall and load balancer statistics
Web server, CDN and WAF logs with sample requests
Communication with ISP, carrier and protection provider, including ticket numbers
Extortion messages with full headers
Timeline and decision log

Communication Checklist

Update the status page early, factually and without speculation about the attackers
Equip customer service with agreed answers
Communicate internally which services are affected and which alternatives exist
In case of extortion, no public statement about demands without agreement from legal and the police

▸ Template: status update

We are currently seeing increased load on [service], which may cause delays and outages. Our team and our service providers are working on the defense. Based on what we know so far, there are no confirmed indications that confidentiality or integrity have been affected; the investigation is ongoing. Next update: [time].

Zu sichernde Beweise

Monitoring-Grafiken und Rohdaten zu Bandbreite, PPS, Anfragen und Fehlerraten
NetFlow-, Firewall- und Load-Balancer-Statistiken
Webserver-, CDN- und WAF-Logs mit Beispielanfragen
Kommunikation mit ISP, Carrier und Schutzdienstleister inklusive Ticketnummern
Erpressungsnachrichten mit vollständigen Headern
Timeline und Entscheidungsprotokoll

Kommunikations-Checkliste

Statusseite früh, sachlich und ohne Täter-Spekulation aktualisieren
Kundenservice mit abgestimmten Antworten versorgen
Intern kommunizieren, welche Dienste betroffen sind und welche Alternativen bestehen
Bei Erpressung keine öffentliche Aussage über Forderungen ohne Abstimmung mit Legal und Polizei

▸ Vorlage: Statusmeldung

Wir beobachten derzeit eine erhöhte Last auf [Dienst], die zu Verzögerungen und Ausfällen führen kann. Unser Team und unsere Dienstleister arbeiten an der Abwehr. Nach aktuellem Kenntnisstand liegen keine bestätigten Hinweise auf eine Beeinträchtigung der Vertraulichkeit oder Integrität vor; die Untersuchung läuft. Nächstes Update: [Uhrzeit].

Legal & Reporting (DACH)

Recht & Meldepflichten (DACH)

▶

Guidance, not legal advice (as of October 2026). Whether an obligation applies depends on the country, sector, size and role of the organization. Deadlines, reporting channels and contacts should be set in advance and confirmed with legal and data protection when an incident happens.

Reporting obligations for cybersecurity incidents

Germany — NIS2 (§ 32 BSIG, since 6 December 2025): Particularly important and important entities report significant security incidents to the BSI: early warning within 24 hours, notification within 72 hours, final report within one month.
Austria — NISG 2026 (since 1 October 2026): Essential and important entities report significant security incidents to the competent CSIRT: early warning within 24 hours, notification within 72 hours.
Switzerland — Information Security Act (ISA, since 1 April 2025): Operators of critical infrastructure report cyberattacks to the Federal Office for Cybersecurity (NCSC/BACS) within 24 hours.

Data protection

Germany and Austria — GDPR Art. 33/34: Report personal data breaches to the supervisory authority within 72 hours of becoming aware, unless the breach is unlikely to result in a risk to the individuals; if the risk is high, notify the individuals as well.
Switzerland — FADP Art. 24: Report to the FDPIC as soon as possible if the breach is likely to result in a high risk for the individuals.

All deadlines run from awareness of the incident, not from the end of the technical investigation. An incomplete early warning within the deadline is better than a complete report after it.

For this scenario

A DDoS without noticeable impact is usually not reportable. A significant outage of important services can be under NIS2 and the ISA.
A pure availability attack is usually not a personal data breach. A GDPR assessment becomes necessary if data that individuals depend on was unavailable, or if an accompanying attack is found.
Criminal complaint: Germany: Central Cybercrime Contact Point (ZAC) of the relevant state criminal police office; Austria: Federal Criminal Police Office or any police station; Switzerland: the cantonal police.
Check SLAs towards customers and claims against the ISP, CDN or protection provider.

Orientierung, keine Rechtsberatung (Stand: Oktober 2026). Ob eine Pflicht greift, hängt von Land, Sektor, Größe und Rolle der Organisation ab. Fristen, Meldewege und Ansprechpartner sollten vorab festgelegt sein und im Ernstfall mit Recht und Datenschutz bestätigt werden.

Meldepflichten für Cybersicherheitsvorfälle

Deutschland — NIS2 (§ 32 BSIG, seit 6. Dezember 2025): Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an das BSI: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
Österreich — NISG 2026 (seit 1. Oktober 2026): Wesentliche und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an das zuständige CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden.
Schweiz — Informationssicherheitsgesetz (ISG, seit 1. April 2025): Betreiber kritischer Infrastrukturen melden Cyberangriffe binnen 24 Stunden an das Bundesamt für Cybersicherheit (BACS).

Datenschutz

Deutschland und Österreich — DSGVO Art. 33/34: Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde melden, sofern ein Risiko für die Betroffenen nicht unwahrscheinlich ist; bei hohem Risiko auch die Betroffenen benachrichtigen.
Schweiz — DSG Art. 24: Meldung an den EDÖB so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt.

Alle Fristen laufen ab Kenntnis des Vorfalls, nicht erst ab Abschluss der technischen Untersuchung. Eine unvollständige Frühwarnung innerhalb der Frist ist besser als eine vollständige Meldung danach.

Für dieses Szenario

Ein DDoS ohne spürbare Auswirkung ist in der Regel nicht meldepflichtig. Ein erheblicher Ausfall wichtiger Dienste kann es nach NIS2 und ISG sein.
Ein reiner Verfügbarkeitsangriff ist meist keine Datenschutzverletzung. Die DSGVO-Bewertung wird nötig, wenn Daten nicht verfügbar waren, auf die Betroffene angewiesen sind, oder wenn ein Begleitangriff festgestellt wird.
Strafanzeige: Deutschland: Zentrale Ansprechstelle Cybercrime (ZAC) des jeweiligen Landeskriminalamts; Österreich: Bundeskriminalamt bzw. jede Polizeidienststelle; Schweiz: Polizei des Kantons.
SLAs gegenüber Kunden und Ansprüche gegenüber ISP, CDN oder Schutzdienstleister prüfen.

Prevention & References

Prävention & Referenzen

▶

Preventive Controls

DDoS protection for all business-critical public services
Documented and tested emergency contacts at the ISP, carrier and protection provider
Origin servers reachable only through the protection service
Robust DNS provider with a sensible architecture and TTL strategy
Rate limits for expensive functions and logins
Independent status page
Prioritized list of critical services with owners
Regular exercises of the DDoS procedure
Protection of highly privileged trust accounts for DNS, CDN and certificates

References

NIST SP 800-61 Rev. 3
CISA, FBI, MS-ISAC: Understanding and Responding to Distributed Denial-of-Service Attacks
BSI recommendations on defending against DDoS attacks
ENISA Threat Landscape on availability threats
MITRE ATT&CK: T1498, T1499

Disclaimer

This playbook is a practical community resource. It does not replace legal advice, the requirements of your service providers or organization-specific incident response planning.

Präventive Kontrollen

DDoS-Schutz für alle geschäftskritischen öffentlichen Dienste
Dokumentierte und getestete Notfallkontakte von ISP, Carrier und Schutzdienstleister
Origin-Server nur über Schutzdienst erreichbar
Robuster DNS-Anbieter mit sinnvoller Architektur und TTL-Strategie
Rate Limits für teure Funktionen und Logins
Unabhängige Statusseite
Priorisierte Liste kritischer Dienste mit Verantwortlichen
Regelmäßige Übungen für DDoS-Abläufe
Schutz hochprivilegierter Vertrauenskonten für DNS, CDN und Zertifikate

Referenzen

NIST SP 800-61 Rev. 3
CISA, FBI, MS-ISAC: Understanding and Responding to Distributed Denial-of-Service Attacks
BSI-Empfehlungen zur Abwehr von DDoS-Angriffen
ENISA Threat Landscape zu Availability Threats
MITRE ATT&CK: T1498, T1499

Disclaimer

Dieses Playbook ist eine praktische Community-Ressource. Es ersetzt keine Rechtsberatung, keine Vorgaben Ihrer Dienstleister und keine organisationsspezifische Incident-Response-Planung.

Threat Sentinel IR Playbook Library · CC BY 4.0

github.com/threat-sentinel/playbooks · threat-sentinel.com