Ein DDoS-Angriff auf einen Onlineshop kostet nicht abstrakt Geld. Er kostet pro Minute. Solange der Shop offline ist, wird nicht bestellt, während das Anzeigen-Budget weiter auf eine tote Seite läuft. Und ein moderner Angriff ist kein kurzer Schauer: Erpressungskampagnen laufen in Wellen über zwei, drei Tage. Immer wieder genau dann, wenn der Traffic am wertvollsten ist.
Rechnen wir das einmal ehrlich durch.
Zwei, drei Tage in Zahlen
Nehmen wir einen Shop mit rund 18.000€ Umsatz an einem guten November-Tag. Ein anhaltender Angriff kommt in Wellen über zwei, drei Tage. Bevorzugt in den umsatzstärksten Abendstunden, und sobald der Shop wieder steht, kommt die nächste Welle. Fällt über diesen Zeitraum auch nur die Hälfte der Bestellungen aus, stehen rund 27.000€ im Feuer, mitten im Weihnachtsgeschäft.
Das ist der Teil, den man sofort sieht. Der Rest kommt später:
- Kunden, die im Checkout abgebrochen haben und nicht wiederkamen.
- Das Anzeigen-Budget, das über diese Tage weiter auf eine tote Seite läuft.
- Zwei Tage später die ersten „Ist Ihr Shop eigentlich sicher?“-Mails von Stammkunden.
Der reine Umsatzausfall war am Ende das kleinere Problem. Das Vertrauen zurückzuholen dauerte Wochen.
Warum es gerade Onlineshops trifft
Ein Shop ist ein öffentliches Ziel mit klarem Geldwert. Angreifer wissen das. Erpressung nach dem Muster „zahlt, sonst bleibt ihr offline“ ist keine Ausnahme mehr, sondern Geschäftsmodell. Und die Angriffe werden für die Angreifer nicht teurer. Gemietete Botnetze kosten wenig, der Schaden auf Ihrer Seite ist um Größenordnungen höher.
Dazu kommt: Die meisten Shop-Setups sind auf Traffic-Spitzen durch echte Kunden ausgelegt, nicht auf 50 Gbps Müll aus dem Nichts. Rate-Limits und ein bisschen Fail2ban reichen gegen einen ernsthaften Layer-7-Flood nicht. Und der typische Angriff, der den Mittelstand trifft, ist gar nicht spektakulär. Er ist nur groß genug, um ungeschützte Infrastruktur für Stunden lahmzulegen. Die Zahlen dazu haben wir in Was DDoS-Angriffe wirklich kosten aufgeschlüsselt.
Was DDoS-Schutz konkret ändert
Guter Schutz filtert den Angriff, bevor er Ihre Infrastruktur erreicht, nicht erst auf dem Webserver, wenn der schon brennt. Bei ZERO-PROTECT läuft das über zehn Mitigationsschichten auf unserem eigenen Netz (AS215197), von BGP Flowspec über JA4-Fingerprinting bis zu Proof-of-Work-Challenges gegen Bot-Fluten.
Zwei Dinge sind uns dabei wichtig, und beide zählen für einen deutschen Shopbetreiber:
BSI-qualifiziert. Wir sind vom Bundesamt für Sicherheit in der Informationstechnik als DDoS-Mitigationsdienstleister qualifiziert. Das ist kein Marketing-Siegel, sondern eine Prüfung. Was dahintersteckt, haben wir in Wie wir unseren DDoS-Schutz bewerten beschrieben.
DSGVO-konform, aus Deutschland. Ihr Traffic läuft über unser Rechenzentrum in Frankfurt, nicht über einen US-Anbieter. Kein Datenabfluss, ein deutscher Vertragspartner. Für einen Shop mit deutschen Kunden ist das kein Detail, sondern ein Verkaufsargument gegenüber den eigenen Kunden.
Das gilt genauso für API- und App-Betreiber: Wenn Ihre Schnittstelle unter einem L7-Flood zusammenbricht, brechen die SLAs Ihrer eigenen Kunden mit. Der Schutz sitzt an derselben Stelle. Vor Ihrer Infrastruktur, nicht darin.
Der NIS2-Nebeneffekt
Seit Dezember 2025 fallen deutlich mehr Unternehmen unter die BSI-Aufsicht. Ab 50 Mitarbeitenden oder 10 Mio.€ Umsatz in den betroffenen Sektoren. Wer darunter fällt, muss Risikomanagement nachweisen, und Angriffsabwehr gehört dazu.
Kurz: Wenn Sie ohnehin in den NIS2-Scope fallen, ist DDoS-Schutz kein „nice to have“ mehr, sondern ein Baustein, den Sie sowieso belegen müssen. Fallen Sie nicht darunter, bleibt das Argument von oben. Der Umsatz pro Minute.
ZERO-PROTECT: DDoS-Schutz aus Deutschland
BSI-qualifiziert, DSGVO-konform, zehn Mitigationsschichten auf eigenem Netz (AS215197). Standorte direkt an DE-CIX Frankfurt und AMS-IX. Self-Service-Portal, transparente Preise.
Rechnen Sie einmal ehrlich Ihren Umsatz pro Stunde in der Peak-Zeit aus. Das ist die Zahl, die bei der nächsten Attacke pro Stunde auf dem Spiel steht. Wenn sie größer ist als die monatlichen Kosten für Schutz (und das ist sie fast immer) dann ist die Entscheidung eigentlich schon gefallen.
Mit passendem Schutz sieht die Rechnung anders aus: Der Angriff wird gefiltert, bevor er den Shop erreicht. Aus drei Tagen Angriffswellen werden drei normale Geschäftstage. Das ist der Unterschied zwischen „abgewehrt“ und „online geblieben“.