DoS & DDoS Mitigation

Diese Anleitung erklärt, wie Sie Ihren Linux- oder Windows-Server mit serverseitigen Maßnahmen gegen DoS- und DDoS-Angriffe schützen: Rate-Limiting mit iptables und nftables, Fail2Ban, Nginx-Rate-Limiting und RDP-Beschränkung. Sie zeigt auch, wo serverseitiger Schutz an seine Grenzen stößt.

Auf dieser Seite

Schutzmaßnahmen im Überblick

Alle Maßnahmen auf einen Blick — welche Ebene sie schützen und für welches Betriebssystem.

Empfohlene Werte

Orientierungswerte für Webserver, Game Server, Mailserver und allgemeine VPS.

iptables Rate-Limiting Linux

SSH, HTTP/HTTPS und temporäres IP-Blocking mit dem limit- und recent-Modul.

nftables Rate-Limiting Linux

SSH-Brute-Force, HTTP-Flood und SYN-Flood-Schutz — moderner und übersichtlicher als iptables.

Fail2Ban Linux

Automatisches IP-Blocking bei zu vielen Fehlversuchen — ideal für SSH, HTTP und Mailserver.

Nginx Rate-Limiting Linux

HTTP-Schutz auf Anwendungsebene gegen Slowloris, API-Missbrauch und HTTP-Floods.

Windows Firewall & RDP Windows

RDP auf vertrauenswürdige IPs beschränken und Kontosperrungsrichtlinien konfigurieren.

Regeln persistent speichern Linux

iptables- und nftables-Regeln dauerhaft speichern, damit sie nach einem Neustart erhalten bleiben.

Externer DDoS-Schutz

Wenn serverseitige Maßnahmen nicht mehr ausreichen — CDN, Netzwerkschutz und Scrubbing.

DoS vs. DDoS: Ein einfacher DoS-Angriff kommt von einer einzelnen Quelle und kann effektiv auf dem Server selbst abgewehrt werden. Ein verteilter DDoS-Angriff mit Tausenden von Quell-IPs übersteigt die Kapazitäten eines einzelnen Servers — hier ist ein vorgelagerter DDoS-Schutzdienst die einzig wirksame Lösung.

Schutzmaßnahmen im Überblick

Ein vollständiger DoS-Schutz besteht aus mehreren Schichten. Die folgende Tabelle zeigt, welche Maßnahmen auf welcher Ebene wirken:

Maßnahme	Betriebssystem	Ebene	Schützt gegen
iptables / nftables Rate-Limit	Linux	Netzwerk	SYN-Floods, Verbindungsfluten
Fail2Ban	Linux	Anwendung	Brute-Force, SSH-Angriffe, HTTP-Scans
Nginx / Apache Rate-Limiting	Linux	HTTP	Slowloris, HTTP-Floods, API-Missbrauch
SSH härten / Port verlegen	Linux	Dienst	SSH-Brute-Force, automatisierte Scans
Windows Defender Firewall	Windows	Netzwerk	RDP-Brute-Force, Port-Scans
Abwehr auf Carrier-Ebene	Alle	Vorgelagert	Volumetrische DDoS-Angriffe

Empfohlene Werte nach Servertyp

Die richtigen Rate-Limit-Werte hängen vom Einsatzzweck ab. Diese Tabelle gibt Orientierungswerte — starten Sie großzügiger und beobachten Sie die Logs, zu strenge Limits blockieren legitime Nutzer.

Servertyp	SSH	HTTP/HTTPS	Hinweis
Webserver / WordPress	3/min, burst 5	20/s, burst 100	Zusätzlich Nginx Rate-Limiting empfohlen
Game Server	3/min, burst 5	—	Game-Ports (z. B. TCP 25565 für Minecraft) separat schützen, großzügigere Burst-Werte für Spieler
Mailserver	3/min, burst 5	—	SMTP (25), IMAP (993), POP3 (995) zusätzlich mit Fail2Ban schützen
VPS / Allgemein	3/min, burst 5	10/s, burst 50	Konservative Grundkonfiguration — je nach Dienst anpassen

1. Rate-Limiting mit iptables Linux

Mit den Modulen limit, hashlimit und recent können Sie die Anzahl neuer Verbindungen insgesamt oder pro IP und Zeitfenster begrenzen. Die Regeln setzen voraus, dass die ESTABLISHED,RELATED-Regel aus der iptables-Anleitung bereits aktiv ist.

SSH-Port absichern (Port 22)

Im Mittel maximal 3 neue SSH-Verbindungen pro Minute (Burst 5, insgesamt über alle IPs) — weitere Versuche werden verworfen:

Terminal

iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -m limit --limit 3/m --limit-burst 5 -j ACCEPT iptables -A INPUT -p tcp --dport 22 -j DROP

Webserver absichern (Port 80 / 443)

Verwirft neue Verbindungen einer einzelnen IP oberhalb von 20 pro Sekunde (Burst 100) — schützt gegen HTTP-Verbindungsfluten. Passen Sie den Wert an Ihren normalen Traffic an:

Terminal

iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW -m hashlimit --hashlimit-name web --hashlimit-mode srcip --hashlimit-above 20/second --hashlimit-burst 100 -j DROP iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT

Temporäres IP-Blocking mit dem recent-Modul

IPs, die innerhalb von 60 Sekunden mehr als 15 neue Verbindungen öffnen, werden automatisch blockiert:

Terminal

iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m recent --set iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m recent --update --seconds 60 --hitcount 15 -j DROP iptables -A INPUT -p tcp --dport 80 -j ACCEPT

2. Rate-Limiting mit nftables Linux

Mit nftables lässt sich Rate-Limiting direkt in der Konfigurationsdatei definieren — übersichtlicher und performanter als iptables.

SSH-Brute-Force-Schutz

Maximal 5 neue SSH-Verbindungen pro Minute (insgesamt, nicht pro IP). Fügen Sie diese Zeilen in den input-Block Ihrer nftables-Konfiguration ein:

/etc/nftables.conf

Terminal

tcp dport 22 ct state new limit rate 5/minute accept tcp dport 22 ct state new drop

HTTP-Flood-Schutz

Begrenzt neue HTTP/HTTPS-Verbindungen auf 100 pro Sekunde:

/etc/nftables.conf

Terminal

tcp dport { 80, 443 } ct state new limit rate 100/second accept tcp dport { 80, 443 } ct state new drop

SYN-Flood-Schutz

Verwirft eingehende SYN-Pakete (neue TCP-Verbindungsversuche) oberhalb von 1000 pro Sekunde (Burst 2000) — mindert die Wirkung von SYN-Floods:

/etc/nftables.conf

Terminal

tcp flags syn / fin,syn,rst,ack limit rate over 1000/second burst 2000 packets drop

Laden Sie die Konfiguration nach jeder Änderung mit nft -f /etc/nftables.conf neu.

3. Fail2Ban — automatisches IP-Blocking Linux

Fail2Ban überwacht Log-Dateien und sperrt automatisch IPs, die zu viele fehlgeschlagene Versuche produzieren. Es arbeitet nahtlos mit iptables und nftables zusammen.

Installation

Terminal

apt update && apt install fail2ban python3-systemd # AlmaLinux / Rocky Linux: # dnf install epel-release && dnf install fail2ban

SSH-Schutz konfigurieren

Erstellen Sie die folgende neue Datei. Sie legt fest, dass eine IP nach 5 fehlgeschlagenen SSH-Anmeldungen innerhalb von 10 Minuten für 1 Stunde gesperrt wird. backend = systemd liest das SSH-Log aus dem systemd-Journal, das aktuelle Debian-Versionen statt /var/log/auth.log verwenden:

Neue Datei erstellen: /etc/fail2ban/jail.local

Terminal

[sshd] enabled = true port = ssh backend = systemd maxretry = 5 bantime = 3600 findtime = 600

Dienst starten & Status prüfen

Terminal

systemctl enable --now fail2ban fail2ban-client status sshd

4. Nginx Rate-Limiting Linux

Nginx bietet integriertes Rate-Limiting auf HTTP-Ebene — ideal gegen Slowloris, API-Missbrauch und HTTP-Floods, die die Firewall bereits passiert haben.

Schritt 1: Rate-Limit-Zone definieren

Fügen Sie folgende Zeile in den http-Block Ihrer Nginx-Hauptkonfiguration ein:

/etc/nginx/nginx.conf — im http-Block

Terminal

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

Schritt 2: Rate-Limit auf einen Server-Block anwenden

Fügen Sie Folgendes in den location-Block Ihrer Site-Konfiguration ein:

/etc/nginx/sites-available/ihre-domain.conf — im server-Block

Terminal

server { location / { limit_req zone=one burst=20 nodelay; } }

rate=10r/s erlaubt 10 Anfragen pro Sekunde pro IP. burst=20 erlaubt kurze Spitzen — danach werden überschüssige Anfragen mit HTTP 503 abgelehnt.

5. Windows Defender Firewall & RDP absichern Windows

Unter Windows Server (verfügbar auf Server4You Dedicated Servern) erfolgt der Schutz über die Windows Defender Firewall und Kontorichtlinien. Der kritischste Angriffspunkt ist RDP (Port 3389).

RDP auf eine bestimmte IP einschränken

Erlaubt RDP-Zugriff ausschließlich von einer vertrauenswürdigen IP. Legen Sie keine zusätzliche Blockierregel für Port 3389 an — Blockierregeln haben Vorrang vor Zulassungsregeln und würden Sie aussperren. Die Standard-Eingangsrichtlinie blockiert alle anderen Quellen bereits:

PowerShell

New-NetFirewallRule -DisplayName "RDP von Admin-IP" -Direction Inbound -LocalPort 3389 -Protocol TCP -Action Allow -RemoteAddress 192.0.2.5 # Vordefinierte Remotedesktop-Regeln deaktivieren, die jede IP zulassen: Disable-NetFirewallRule -Group "@FirewallAPI.dll,-28752"

Empfohlene Werte für Windows-Server

Servertyp	RDP	Empfehlung
Webserver (IIS)	Nur Admin-IP	IIS Dynamic IP Restrictions Modul aktivieren
Game Server	Nur Admin-IP	Game-Ports explizit freigeben, alle anderen blockieren
Mailserver	Nur Admin-IP	SMTP/IMAP/POP3-Ports nur für notwendige Quellen öffnen

Kontosperrungsrichtlinie konfigurieren

Öffnen Sie secpol.msc → Kontorichtlinien → Kontosperrungsrichtlinie — wirkt wie Fail2Ban für RDP und lokale Anmeldungen:

Einstellung	Empfohlener Wert
Kontosperrungsschwellenwert	5 Fehlversuche
Kontosperrdauer	30 Minuten
Beobachtungsfenster	15 Minuten

6. Regeln persistent speichern Linux

iptables-Regeln gehen nach einem Neustart verloren — speichern Sie sie dauerhaft:

Debian / Ubuntu

Terminal

apt install iptables-persistent netfilter-persistent save

AlmaLinux / Rocky Linux

Terminal

dnf install iptables-services iptables-save > /etc/sysconfig/iptables systemctl enable --now iptables

nftables (alle Distributionen)

Terminal

nft list ruleset > /etc/nftables.conf systemctl enable --now nftables # AlmaLinux / Rocky Linux: the service loads /etc/sysconfig/nftables.conf

7. Externer DDoS-Schutz

Bei volumetrischen DDoS-Angriffen (mehrere Gbit/s) sind serverseitige Maßnahmen wirkungslos — die Leitung ist bereits überlastet, bevor Pakete den Server erreichen:

CDN mit DDoS-Schutz

Viele CDN-Anbieter bieten integrierten DDoS-Schutz — einfach durch DNS-Umstellung aktivierbar.

Server4You Netzwerkschutz

Volumetrische DDoS-Angriffe werden auf Carrier-Ebene abgewehrt, bevor der Datenverkehr unser Rechenzentrum und Ihren Server erreicht. Die serverseitigen Maßnahmen auf dieser Seite schützen zusätzlich vor kleineren, gezielten Angriffen.

Dedicated Scrubbing

Spezialisierte DDoS-Schutzdienste für Unternehmen mit besonders hohen Verfügbarkeitsanforderungen.

Weiterführende Firewall-Anleitungen

Für vollständige Firewall-Konfigurationen mit Default-Deny-Strategie empfehlen wir unsere detaillierten Anleitungen.

iptables-Anleitung

nftables-Anleitung