„DDoS-Schutz“ steht im Vertrag, und trotzdem ist der Dienst beim Angriff weg. Der Grund steht selten im Datenblatt: Viele günstige Angebote „wehren“ einen Angriff ab, indem sie die angegriffene IP ins Blackhole routen. Der Angriff ist abgewehrt, der Dienst ist offline. Beides gleichzeitig.
Genau das ist RTBH-Blackholing. Es lohnt sich, vor dem Abschluss zu verstehen, was das wirklich bedeutet. Gerade unter NIS2.
Was RTBH wirklich macht
RTBH (Remotely Triggered Black Hole) funktioniert simpel: Wird eine IP angegriffen, wird sie per BGP an die Upstreams als „Blackhole" angekündigt. Ab dem Moment wird jeglicher Traffic zu dieser IP verworfen, der Angriff, aber genauso jede legitime Anfrage. Der Angriff erreicht Ihr Netz nicht mehr. Ihr Dienst aber auch niemand sonst.
Anders gesagt: Blackholing schützt das Netz drumherum und die anderen Kunden, nicht den angegriffenen Dienst. Für den ist es ein selbstverschuldeter Ausfall. Der Angreifer wollte Sie offline haben; das Blackhole erledigt das zuverlässig.
Warum das unter NIS2 kaum reicht
NIS2 (Art. 21 der Richtlinie bzw. § 30 BSIG) schreibt keine konkrete Technik vor. Es ist technologieneutral und risikobasiert. Der Maßstab ist aber klar: angemessene und verhältnismäßige Maßnahmen, um die Verfügbarkeit Ihrer Dienste zu schützen und die Auswirkungen von Vorfällen zu minimieren.
Genau daran scheitert RTBH als alleinige Maßnahme: Es minimiert die Auswirkung nicht, es ist die Auswirkung. Wenn Sie verpflichtet sind, Ihren Dienst verfügbar zu halten, ist „wir nehmen ihn bei Angriff selbst vom Netz" schwer als angemessen zu begründen. Das BSI erlaubt Blackholing zwar, aber die Auslösung muss automatisiert und dokumentiert sein, und Sie müssen belegen können, wie Sie Angriffe oberhalb Ihrer Kapazität handhaben. Genau das prüft ein Audit.
Wie man DDoS-Schutz überhaupt richtig dimensioniert. Auf das 99. Perzentil statt auf Schlagzeilen. Steht in Was DDoS-Angriffe wirklich kosten.
Wann Blackholing trotzdem sinnvoll ist
Als letzte Stufe. Wenn ein volumetrischer Angriff die eigene Scrubbing- und Filterkapazität übersteigt, ist ein kontrolliertes, automatisiertes Blackhole besser, als das gesamte Netz mitzureißen. Und für einen Netzbetreiber, der damit andere Kunden vor Kollateralschaden schützt, ist es völlig legitim.
Der Unterschied ist die Rolle im Gesamtbild: RTBH als dokumentierte Notreserve hinter echter Mitigation. Ja. RTBH als „das ist unser DDoS-Schutz". Nein.
ZERO-PROTECT hält den Dienst online
Zehn Mitigationsschichten von BGP Flowspec über JA4-Fingerprinting bis WAF. Echtes Scrubbing auf eigenem Netz (AS215197), BSI-qualifiziert.
Die eine Frage an Ihren Anbieter
Bevor Sie unterschreiben, stellen Sie die Frage, die im Datenblatt selten beantwortet wird: „Was passiert, wenn ich angegriffen werde. Haltet ihr meinen Dienst online, oder routet ihr meine IP ins Blackhole?“
Die Antwort entscheidet, ob Sie DDoS-Schutz gekauft haben oder eine automatisierte Abschaltung. Und ob die Maßnahme Ihre NIS2-Verfügbarkeitspflicht trägt, oder im Audit auffällt.