14.10.2026 • 34 Min.

Beide Leitungen sind dicht. Die Handscanner an den Standorten sind ausgefallen. Die Paketabwicklung ist eingestellt. Die Auslieferfahrer sind hilflos. Innerhalb von Minuten stand ein internationaler Logistikkonzern still – nicht durch einen hochkomplexen Hack, sondern durch einen DDoS-Angriff auf die Netzwerkleitungen. In dieser Folge von „Follow the White Rabbit” spricht Lisa Fröhlich mit Christof Weppler, Senior IT-Architekt bei GLS, über den Moment, in dem er zum ersten Mal live miterlebt hat, was passiert, wenn die Leitung zum Rechenzentrum einfach voll ist. Und was er seitdem verändert hat. Christof erklärt, warum eine Appliance im eigenen Netzwerk gegen DDoS-Angriffe so gut wie nichts bringt, denn wenn der Weg ins Rechenzentrum zugefahren ist, nutzt die beste Hardware dahinter nichts mehr. Er beschreibt, wie er damals mit BGP-Anpassungen versuchte, das Schlimmste zu verhindern, warum das langfristig keine Lösung war und wie er schließlich einen providerunabhängigen DDoS-Schutz eingeführt hat. Dazu gibt es einen ehrlichen Einblick in die interne Debatte bei GLS: Wer ist für den DDoS-Schutz zuständig – die Netzwerkeinheit oder die Security? Und warum ein Netzwerker unmöglich entscheiden kann, ob ein Request auf ein Webportal legitim ist oder nicht. Was diese Folge besonders macht: Christof spricht nicht aus der Theorie, sondern aus 22 Jahren Praxis in einem Unternehmen, das täglich Millionen von Paketen bewegt. Er erklärt, welche Aspekte IT-Architekten bedenken müssen, bevor sie einen Schutzanbieter kontaktieren, und warum die Frage, welche Prozesse an einer einzigen Netzwerkleitung hängen, viel zu selten gestellt wird – bis es zu spät ist. Takeaways: Eine Appliance im Rechenzentrum schützt nicht vor DDoS-Angriffen. Ist der Weg ins Rechenzentrum zugefahren, hilft auch die beste dahinterstehende Hardware nichts. Der Schutz muss daher bereits vor dem eigenen Netzwerk ansetzen, beispielsweise beim Provider oder einem spezialisierten Anbieter. BGP-Manipulation ist ein Notfallwerkzeug, aber kein Schutzkonzept. Traffic umzuleiten, kann kurzfristig helfen. Langfristig ist ein providerunabhängiger DDoS-Schutz erforderlich, der nicht von einem einzigen Internetanbieter abhängig ist. Netzwerker können nicht über Layer 7 entscheiden. Ob eine Anfrage an ein Webportal legitim ist, kann nur der Applikationsverantwortliche beurteilen. Ein DDoS-Schutz auf Anwendungsebene muss zwischen den Bereichen Security, Netzwerk und Portale koordiniert werden. Erst verstehen, was hängt dran – dann schützen. Bevor man einen Anbieter kontaktiert, sollte man sich folgende Fragen stellen: Welche Prozesse, Services und Kunden hängen an welcher Leitung? Wer diese Frage nicht beantworten kann, bemerkt den Schaden erst, wenn er bereits entstanden ist. Kommunikation auf Augenhöhe ist ein entscheidender Faktor. Beim Anbietervergleich hat nicht nur die Technik entschieden, sondern auch, ob man als Kunde wirklich erreichbar ist. Nicht jedes Unternehmen möchte bei einem Großanbieter nur eine kleine Nummer sein. Jetzt abonnieren – und keine Folge mehr verpassen Wenn dich diese Folge dazu gebracht hat, nachzufragen, welche Services an euren Netzwerkleitungen hängen, ist das gut. Dann abonniere Follow the White Rabbit, hinterlasse eine Bewertung und schicke die Folge an alle, die für die Netzwerkinfrastruktur verantwortlich sind – oder glauben, das tue jemand anderes. Links: Christof Weppler – Senior IT-Architekt, GLS | LinkedIn BSI - Bundesamt für Sicherheit in der Informationstechnik - Liste qualifizierter DDoS-Mitigation-Dienstleister; Stand: 15.05.2026 Link11 DDoS-Schutz – Technologie & Funktionsweise BGP – Border Gateway Protocol einfach erklärt ENISA Threat Landscape 2026 | ENISA