DDoSProtection.
DDoS Protection hält öffentliche Dienste gegen volumetrische, protokollbasierte und anwendungsnahe Überlastungsangriffe erreichbar. Die wirksame Lösung umfasst Verkehrsführung, Schutzaktivierung, Anwendungsschutz und einen getesteten Incidentweg.
Marktbild: hohe Priorität für öffentliche Webdienste, APIs, DNS und kritische externe Services. Der Markt ist sehr breit: Hyperscaler, CDN- und Edge-Anbieter, spezialisierte DDoS-Dienste und Netzwerkhersteller. Dieser Vergleich umfasst zehn Plattformen.
Verfügbarkeit verteidigen.
Die Klasse schützt die Erreichbarkeit, nicht die Anwendung insgesamt. Für APIs und Webdienste sind Layer-7-Regeln, Rate Limits und WAF-Funktionen oft ebenso wichtig wie Schutz gegen Volumenangriffe.
Benötigt werden öffentliche Endpunkte, DNS- und Routingwege, normaler Traffic und klare Eskalationswege. Der Schutzpunkt muss vor dem zu schützenden Origin liegen.
Erreichbar bleiben, wenn alle kommen.
Ein DDoS-Angriff (Distributed Denial of Service) überlastet einen Dienst mit Verkehr aus vielen Quellen, meist aus Botnetzen. Man unterscheidet zwei Ebenen. Auf Layer 3 und 4 füllen volumetrische Angriffe wie UDP-Floods oder DNS-Amplification die Leitung, Protokollangriffe wie SYN-Floods erschöpfen Zustandstabellen von Firewalls und Lastverteilern. Auf Layer 7 schicken Angreifer scheinbar normale HTTP-Anfragen in grosser Zahl, die Webserver und Datenbanken auslasten; sie lassen sich nur mit Wissen über die Anwendung von echtem Verkehr unterscheiden.[1,2]
Gegen volumetrische Angriffe hilft nur Kapazität vor dem eigenen Anschluss. Cloud-Scrubbing leitet den Verkehr zu den Reinigungszentren eines Anbieters, der schädliche Pakete verwirft und sauberen Verkehr per GRE-Tunnel oder Direktverbindung zurückgibt. Die Umleitung geschieht für ganze Netze über BGP: Der Anbieter kündigt die Präfixe der Kundin an. Webanwendungen werden über eine DNS-Änderung hinter einen Reverse Proxy gestellt, der die Adresse des Ursprungsservers verbirgt. Edge- und CDN-Netze prüfen den Verkehr direkt an ihren Standorten, ohne zentrales Scrubbing-Zentrum. Die Anbieter nennen Abwehrkapazitäten von rund 15 bis über 500 Tbps; entscheidend ist, ob diese Kapazität in der Nähe der eigenen Nutzer verfügbar ist.[3,4,5,6,7]
Always-on bedeutet, dass der Verkehr dauerhaft durch die Abwehr läuft; Angriffe werden in Sekunden erkannt, dafür hängt der Normalbetrieb am Anbieter. On-Demand leitet erst um, wenn ein Angriff erkannt ist, etwa durch eine BGP-Ankündigung oder ein vorkonfiguriertes Standby-Abonnement; das spart Latenz und Kosten, lässt aber eine Lücke bis zur Umschaltung. Hyperscaler schützen ihre eigenen Ressourcen automatisch auf Layer 3/4 und bieten Layer-7-Schutz über ihre WAF.[8,9,10]
Appliances im eigenen Rechenzentrum stehen zwischen Internet-Router und Firewall. Sie fangen kleine, kurze und anwendungsnahe Angriffe ab, die vorgelagerte Dienste übersehen, schützen die Firewall selbst und melden grosse Angriffe automatisch an den Cloud-Dienst. Diese Kopplung heisst hybride Abwehr. Sie verbindet die schnelle, lokale Reaktion der Appliance mit der Kapazität der Cloud, setzt aber voraus, dass die Signalisierung im Ernstfall funktioniert und regelmässig geprüft wird.[11,12]
| Modell | Wie der Verkehr läuft | Worauf achten |
|---|---|---|
| Always-on Cloud | Dauerhaft über Scrubbing oder Edge-Netz | Latenz, Datenstandort, Abhängigkeit im Normalbetrieb |
| On-Demand Cloud | Umleitung per BGP erst im Angriffsfall | Zeit bis zur Umschaltung, geübter Ablauf |
| Reverse Proxy für Web | DNS zeigt auf den Proxy, Ursprung verborgen | Direkter Zugriff auf die Ursprungs-IP muss gesperrt sein |
| Hyperscaler-Dienst | Automatisch für Ressourcen der eigenen Cloud | Layer 7 nur mit WAF, keine Ressourcen ausserhalb |
| Appliance vor Ort | Inline vor der Firewall | Leitungskapazität begrenzt die Abwehr |
| Hybrid | Appliance vor Ort, Cloud für grosse Angriffe | Automatische Signalisierung testen |
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Direkt erreichbarer Ursprung | Ist die Ursprungs-IP bekannt oder über alte DNS-Einträge auffindbar, umgehen Angreifer den Proxy. Ursprung nur für die Adressen des Schutzanbieters öffnen und alte Einträge bereinigen.[1] |
| Neue Angriffsvektoren | Im August 2023 nutzten Angreifer eine Schwäche im HTTP/2-Protokoll (Rapid Reset, CVE-2023-44487) für Rekordangriffe mit einem vergleichsweise kleinen Botnetz. Webserver zeitnah patchen und vom Anbieter Abwehr für neue Vektoren verlangen.[14,15] |
| Ungeübte Umschaltung | On-Demand-Schutz scheitert, wenn im Angriff niemand weiss, wer die BGP-Ankündigung auslöst. Ablauf, Kontakte und Freigaben dokumentieren und jährlich testen.[9] |
| Layer 7 nicht konfiguriert | Mehrere Dienste schützen Anwendungen erst, wenn eine Richtlinie oder WAF aktiv ist. Schutz je Anwendung prüfen statt nur je Netz.[16] |
| Kosten im Angriff | Automatisch skalierende Cloud-Ressourcen erzeugen bei Angriffen hohe Rechnungen. Kostenschutz oder Abrechnung nur für legitimen Verkehr vertraglich regeln.[13,5] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Welche Dienste sind geschützt, und welche nicht? | Die Antwort sollte Webanwendungen, APIs, DNS, VPN-Gateways und ganze IP-Netze getrennt aufführen. |
| Always-on oder On-Demand, und wie schnell wirkt die Abwehr? | Erwartet werden zugesicherte Zeiten bis zur Abwehr je Angriffsart im Vertrag. |
| Wo wird der Verkehr gereinigt und entschlüsselt? | Gefragt sind Standorte der Scrubbing-Zentren, Umgang mit TLS-Schlüsseln und Datenverarbeitung im Land. |
| Wer handelt im Angriffsfall? | Gute Antworten nennen ein SOC rund um die Uhr, Eskalationswege und die Rolle des eigenen Teams. |
| Wie lässt sich der Schutz testen? | Erwartet werden zugelassene Lasttests oder Übungen und ein Bericht über die Abwehrwirkung. |
| Was kostet ein Angriff? | Die Antwort sollte Mehrverkehr, Überkapazität und Skalierungskosten ausschliessen oder begrenzen. |
Betrieb und Verantwortung
Netzwerkbetrieb und Security legen gemeinsam fest, welche Dienste geschützt werden und wie umgeschaltet wird; der Anbieter betreibt die Abwehr, das eigene Team entscheidet über Eskalation und Kommunikation. DDoS gehört in den Incident- und Notfallplan, mit Kontakten zum Anbieter und zum Internetprovider. Sinnvolle Kennzahlen sind der Anteil der öffentlich erreichbaren Dienste mit Schutz, die Zeit bis zur Abwehr im letzten Angriff oder Test, die Ausfallzeit durch Angriffe und das Datum des letzten Umschalttests.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A über 8.6 «Capacity management», 8.14 «Redundancy of information processing facilities», 8.20 «Networks security» und 5.30 «ICT readiness for business continuity». NIS2 nennt in Art. 21 Abs. 2 lit. c Betriebskontinuität und Krisenmanagement; DORA verlangt in Art. 11 eine IKT-Geschäftsfortführungsleitlinie, die kritische oder wichtige Funktionen auch bei Störungen aufrechterhält.[17,18,19,20,21,22]
Quellen: [1] imperva.com · [2] developers.cloudflare.com · [3] akamai.com · [4] developers.cloudflare.com · [5] fastly.com · [6] netscout.com · [7] cloudflare.com · [8] f5.com · [9] developers.cloudflare.com · [10] learn.microsoft.com · [11] netscout.com · [12] myrasecurity.com · [13] aws.amazon.com · [14] nvd.nist.gov · [15] blog.cloudflare.com · [16] cloud.google.com · [17] isms.online · [18] isms.online · [19] isms.online · [20] hightable.io · [21] nis-2-directive.com · [22] digital-operational-resilience-act.com
Dreizehn Werkzeuge im Vergleich.
DDoS-Abwehr gibt es als Cloud-Scrubbing, bei dem der Verkehr über BGP oder DNS zu den Reinigungszentren eines Anbieters geführt wird, als Schutz im Edge- oder CDN-Netz, der Webanwendungen und APIs dauerhaft vorgelagert ist, als Dienst der Hyperscaler für die eigenen Cloud-Ressourcen und als Appliance im eigenen Netz, die mit einem Cloud-Dienst zu einer hybriden Abwehr verbunden werden kann. Cloud-Angebote unterscheiden sich vor allem darin, ob der Verkehr ständig (Always-on) oder nur im Angriffsfall (On-Demand) umgeleitet wird. Mit Link11 und Myra Security sind Anbieter aus Deutschland vertreten; beide stehen wie mehrere internationale Anbieter auf der BSI-Liste qualifizierter DDoS-Mitigation-Dienstleister. Imperva gehört seit dem 04.12.2023 zu Thales, und Akamai bietet mit Prolexic On-Prem eine Appliance-Variante auf Basis von Corero an.
Layer 3/4: Layer 3/4 · L7-Kontrolle: Layer 7 · Always-on: Always-on · On-Demand: On-Demand-Umleitung · Appliance: On-Prem-Appliance · Hybrid: Hybrid Appliance und Cloud · Bot-Abwehr: Bot-Abwehr. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Cloudflare DDoS Protection (mit Magic Transit)
Cloudflare
Schutz für Websites, Anwendungen und ganze Netze auf Layer 3/4 und Layer 7; Magic Transit schützt Netze, Rechenzentren und Infrastruktur on-premises, in der Cloud und hybrid.
Automatische Erkennung und Abwehr über verwaltete Regelsätze, die sich anpassen lassen; bei Magic Transit werden die eigenen IP-Präfixe per BGP über das Cloudflare-Netz angekündigt.
Erkennt auch Out-of-State-TCP-Angriffe wie zufällige und gefälschte ACK-Floods sowie SYN- und SYN-ACK-Floods; eigene eBPF-Paketlogik für UDP-basierte Protokolle ist möglich.
Cloudflare Network Interconnect verbindet das eigene Netz direkt; Bot Management ergänzt den Schutz von Webanwendungen.
Standardschutz ohne Volumenbegrenzung (unmetered) für Layer 3 bis 7; Netzkapazität laut Hersteller 500 Tbps; Hotline und 24/7-Support im Angriffsfall.
Organisationen, die Webangebote und ganze IP-Netze über denselben Anbieter schützen; Magic Transit On-Demand kündigt Präfixe nur während eines Angriffs an.
Ein Netz schützt Webangebote und ganze IP-Präfixe, dauerhaft oder nur im Angriffsfall.
Magic Transit On-Demand lässt sich nicht mit von Cloudflare gemieteten IP-Adressen nutzen; eine eigene Appliance vor Ort gehört nicht zum Angebot.
Akamai Prolexic (mit Prolexic On-Prem)
Akamai
DDoS-Schutz für Netze und Rechenzentren über IPv4- und IPv6-Verkehrsflüsse mit über 20 Tbps dedizierter Abwehrkapazität.
Wahlweise Always-on, bei dem der gesamte eingehende Verkehr über Prolexic läuft, oder On-Demand; bei Routed GRE werden die Netze per BGP angekündigt.
Dynamische Abwehrkontrollen, die Kapazität je Angriff skalieren; Abwehr mit «Zero-Second-SLA».
Prolexic On-Prem auf Basis von Corero lässt sich mit der Cloud-Plattform zu einer hybriden Abwehr für sehr grosse Angriffe verbinden.
Rund um die Uhr betriebenes Security Operations Command Center mit über 225 Mitarbeitenden in der Abwehr; SLA für 100 Prozent Plattformverfügbarkeit.
Unternehmen und kritische Dienste, die ganze Netzbereiche durch einen verwalteten Dienst schützen lassen.
Verwalteter Dienst mit Wahl zwischen Always-on, On-Demand und hybrider Abwehr.
Schutz auf Anwendungsebene und Bot-Abwehr gehören zu separaten Akamai-Produkten (App & API Protector, Bot Manager), die auf der Prolexic-Seite nicht beschrieben sind.
Imperva DDoS Protection
Imperva (Thales)
Schutz für Websites, Netze und einzelne IP-Adressen gegen Angriffe auf Layer 3/4 (etwa UDP- und SYN-Floods, DNS-Amplification) und Layer 7 (etwa HTTP-Floods, Slowloris).
Für Websites läuft der gesamte HTTP/S-Verkehr nach einer DNS-Änderung über den Proxy, der die Origin-IP verbirgt; für Netze schützt ein Scrubbing-Netz mit 13 Tbps Kapazität.
Always-on-Schutz erkennt und blockiert Angriffe auf Anwendungsebene automatisch; vertraglich zugesicherte Abwehr innert drei Sekunden für Layer 3/4.
Arbeitet mit der Cloud-WAF zusammen, die Angriffe und schädliche Bots blockiert.
Selbst-Onboarding und Verwaltung über ein Self-Service-Portal, danach vollautomatische Abwehr.
Webanwendungen und APIs, die DDoS-Schutz, WAF und Bot-Abwehr aus einer Hand beziehen.
DDoS-Schutz, WAF und Bot-Abwehr laufen über denselben Proxy.
Ein On-Demand-Modell beschreibt die Seite nur allgemein im FAQ, nicht als eigenes Angebot; eine Appliance vor Ort gehört nicht zum Produkt.
Fastly DDoS Protection
Fastly
Schutz von Anwendungen und APIs gegen DDoS auf Anwendungs- und Netzebene, integriert in die Edge-Plattform.
Erkennung und Abwehr sitzen am Netzrand statt in einem zentralen Scrubbing-Zentrum; Nicht-HTTP/HTTPS-Verkehr wird verworfen.
Analysiert Verkehrsmuster laufend, unterscheidet legitime Lastspitzen von Botnetzen und erstellt Signaturen nahezu in Echtzeit.
Teil der Edge-Plattform mit verwalteter WAF, Bot- und DDoS-Abwehr rund um die Uhr.
Abrechnung nur für legitimen Verkehr, Angriffsvolumen erzeugen keine Auslieferungs- oder Egress-Gebühren.
Web- und API-Angebote auf der Fastly-Plattform, die Abwehr ohne eigenes Tuning automatisch zuschalten.
Abwehr in Sekunden direkt am Netzrand, ohne Umweg über Scrubbing-Zentren.
Ausgelegt auf HTTP/HTTPS-Anwendungen über die Fastly-Plattform; Schutz ganzer IP-Netze und Appliances vor Ort beschreibt die Seite nicht.
Link11 DDoS Protection
Link11
Schutz von Netzinfrastrukturen über BGP und von Webanwendungen über Web DDoS Protection als Teil der WAAP-Lösung.
Always-on-Variante über BGP mit automatischer Erkennung und Abwehr ohne menschliches Eingreifen; Netflow-Analyse erkennt komplexe Angriffe.
Selbstlernende KI aus allen abgewehrten Angriffen; vertraglich zugesicherte Abwehr innert 0 bis 3 Sekunden für alle Angriffsvektoren.
Web DDoS Protection ist Bestandteil der Link11-WAAP-Lösung für Webanwendungen.
Always-on ohne Zusatzkosten mit 24/7-Support; vom BSI als qualifizierter DDoS-Mitigation-Dienstleister gelistet (laut Hersteller «BSI-zertifiziert»).
Unternehmen und Betreiber in Deutschland und Europa, die einen vom BSI als qualifiziert gelisteten DDoS-Mitigation-Dienstleister verlangen.
Always-on ohne Zusatzkosten mit vertraglich zugesicherter Abwehrzeit für alle Vektoren.
Appliances vor Ort, hybride Modelle und Bot-Abwehr sind auf der DDoS-Seite nicht beschrieben.
Myra DDoS Protection (Web und Network)
Myra Security
DDoS-Schutz auf Layer 7 für Websites, Portale und APIs sowie auf Layer 3/4 für IP-Subnetze und Infrastruktur.
Layer-7-Schutz mit Fingerprinting, Blocklisten und Request-Limits; Myra kann die TLS-Verbindung terminieren und den Verkehr tief prüfen.
Automatisierte, KI-gestützte Abwehr; der Hersteller nennt eine Abwehrleistung von bis zu 1 Tbps und 250 Millionen Paketen pro Sekunde.
Network DDoS Protection als Cloud-, On-Prem- oder Hybridvariante; im Hybridbetrieb filtert die Appliance vor Ort, die Cloud übernimmt Angriffe über der Uplink-Kapazität.
Entwicklung und Betrieb in Deutschland, Datenverarbeitung auf Wunsch ausschliesslich in Deutschland; vom BSI als qualifizierter DDoS-Mitigation-Dienstleister gelistet, laut Hersteller ISO 27001 auf Basis von IT-Grundschutz und BSI C5 Typ 2.
Regulierte Organisationen und Provider im Umfeld von NIS2, DORA und DSGVO; ein Provider bietet damit KMU einen hybriden Schutz an.
Cloud-, Appliance- und Hybridvariante aus deutschem Betrieb mit Bot Manager.
Ob die Netz-Varianten dauerhaft oder nur im Angriffsfall umleiten, beschreiben die geprüften Seiten nicht.
AWS Shield (Standard und Advanced)
Amazon Web Services
Shield Standard schützt alle AWS-Kunden ohne Aufpreis gegen häufige Angriffe auf Netz- und Transportschicht; Shield Advanced erweitert den Schutz für EC2, ELB, CloudFront, Global Accelerator und Route 53.
Always-on-Überwachung der Netzflüsse mit Signaturen und Anomalie-Algorithmen; Shield Advanced passt die Erkennung an die Verkehrsmuster der geschützten Ressourcen an.
Shield Advanced wehrt Layer-7-Angriffe automatisch über AWS-WAF-Regeln ab und bezieht Health Checks aus Route 53 in die Erkennung ein.
AWS Firewall Manager verteilt Shield-Advanced- und WAF-Schutz über die ganze Organisation; Meldungen über Amazon CloudWatch.
Das Shield Response Team (SRT) unterstützt vor, während und nach Angriffen; Kostenschutz gegen DDoS-bedingte Skalierungsgebühren.
Workloads auf AWS, deren öffentliche Endpunkte über die AWS-Dienste geschützt werden.
Grundschutz für alle AWS-Kunden und Kostenschutz bei Angriffen mit Shield Advanced.
Schützt nur Ressourcen in AWS; Layer-7-Schutz setzt AWS WAF voraus.
Azure DDoS Protection (Network und IP Protection)
Microsoft
Schutz von Azure-Ressourcen in virtuellen Netzen gegen Angriffe auf Layer 3 und 4.
Verkehrsmuster werden rund um die Uhr überwacht, erkannte Angriffe sofort und automatisch abgewehrt; der Schutz ist automatisch auf die einzelnen Ressourcen abgestimmt.
Mit aktiviertem Network Protection sind alle Ressourcen eines virtuellen Netzes ohne weitere Konfiguration geschützt.
Für Layer 7 wird eine Web Application Firewall kombiniert.
Network Protection mit Zugang zum DDoS Rapid Response Team und Kostenschutz; IP Protection pro geschützter IP-Adresse ohne diese Zusatzleistungen.
Workloads in Azure, ein Schutzplan für mehrere Subscriptions eines Tenants.
Automatischer Schutz ganzer virtueller Netze ohne Regelpflege.
Deckt nur Layer 3 und 4 ab; Layer 7 erfordert eine WAF, und geschützt werden nur Azure-Ressourcen.
Google Cloud Armor
Google Cloud
Automatischer Schutz gegen volumetrische und protokollbasierte Angriffe auf Layer 3/4 sowie Schutz gegen Layer-7-Bedrohungen.
Cloud Armor Enterprise bietet Always-on-Schutz; Advanced Network DDoS Protection überwacht Angriffe dauerhaft und alarmiert.
Adaptive Protection erkennt verdächtige Angriffe, schlägt Regeln vor oder wendet sie automatisch an.
Vorkonfigurierte WAF-Regeln und Bot Management im selben Dienst.
Layer-7-Schutz gegen HTTP-Floods setzt eine vom Benutzer konfigurierte Sicherheitsrichtlinie voraus.
Anwendungen und Dienste, die in Google Cloud betrieben werden und dort WAF- und DDoS-Schutz aus einer Hand erhalten.
DDoS-Schutz, WAF-Regeln und Bot Management in einem Dienst.
Layer-7-DDoS-Schutz wirkt erst mit konfigurierter Richtlinie; Appliances vor Ort gehören nicht zum Angebot.
NETSCOUT Arbor (Edge Defense, Sightline, Arbor Cloud)
NETSCOUT
Arbor Edge Defense (AED) als Inline-Appliance am Netzrand, Arbor Sightline für Provider und grosse Netze, Arbor Cloud als verwalteter Scrubbing-Dienst.
AED steht zwischen Internet-Router und Firewall und arbeitet zustandslos; Arbor Cloud verfügt über 16 Scrubbing-Zentren mit über 15 Tbps Kapazität.
AED stoppt automatisch kleine, kurze Angriffe auf Anwendungs- und Zustandsebene, die vorgelagerte Cloud-, CDN- oder ISP-Abwehr übersieht; Erkennung mit KI und ML.
Cloud Signaling verbindet die Abwehr vor Ort automatisch mit der Cloud-Abwehr; der ATLAS Intelligence Feed liefert aktuelle Angriffsdaten.
AED kann TLS-verschlüsselten Verkehr entschlüsseln, um verdeckte Angriffe sichtbar zu machen.
Unternehmen und Service Provider, die lokale Abwehr mit Cloud-Scrubbing für volumetrische Angriffe kombinieren.
Inline-Appliance und Cloud-Scrubbing sind über Cloud Signaling automatisch gekoppelt.
Die Appliance bindet eigenes Betriebspersonal; eine On-Demand-Umleitung und Bot-Abwehr sind auf den geprüften Seiten nicht beschrieben.
Radware DefensePro (mit Cloud DDoS Protection Service)
Radware
Abwehr von DDoS-Angriffen auf Netz- und Anwendungsebene, einschliesslich verschlüsselter Web-DDoS- und DNS-DDoS-Angriffe.
DefensePro schützt vor Ort und wird mit einem Cloud-Dienst ergänzt, der bei Bedarf aktiviert wird.
KI-gestützte, verhaltensbasierte Erkennung in Echtzeit, die Fehlalarme minimieren soll.
Cloud-basierte, Hardware- und Hybridlösungen sowie virtuelle Bereitstellung.
Schutz auch vor Zero-Day-Angriffen durch laufend angepasste Erkennung.
Rechenzentren, die lokale Abwehr mit einem Cloud-Dienst für grosse Angriffe verbinden.
Lokale Appliance und Cloud-Dienst sind als hybrides Modell vorgesehen.
Bot-Abwehr nennt die Seite nur für die Cloud-Engines von Radware, nicht für DefensePro.
F5 Distributed Cloud DDoS Mitigation und BIG-IP AFM
F5
Volumetrischer Schutz auf Layer 3/4 und Abwehr fortgeschrittener Layer-7-Angriffe über ein globales Scrubbing-Netz, ergänzt um BIG-IP Advanced Firewall Manager vor Ort.
Abo «Always On» leitet den Verkehr dauerhaft über die Distributed-Cloud-Plattform; Abo «Always Available» ist vorkonfiguriert und wird im Angriffsfall aktiviert.
Layer-7-DoS-Schutz, WAF, Bot-Schutz und Threat Intelligence in den Anwendungssicherheitsdiensten.
Inline-, Out-of-Band- und Hybridbereitstellung; Schutz auch auf NGINX Plus und Ingress Controller.
Teilweise selbst verwaltet oder als Managed Service mit 24×7-Betrieb im F5-SOC und 99,99 Prozent Verfügbarkeits-SLA.
Organisationen mit F5-Anwendungsbereitstellung, die lokalen und Cloud-Schutz kombinieren.
Always-on, Standby-Abo, Appliance und Hybridbetrieb aus einem Portfolio.
Der Umfang verteilt sich auf mehrere Produktlinien (Distributed Cloud, BIG-IP, NGINX), die einzeln lizenziert werden.
A10 Defend (Produktseite Thunder TPS)
A10 Networks
DDoS-Abwehr mit Komponenten für Erkennung (Detector), Abwehr (Mitigator) und Steuerung (Orchestrator), skalierbar von 1 Gbps bis über 1 Tbps.
Inline für latenzkritische Dienste wie Gaming, DNS oder Sprache, oder Out-of-Band mit automatischer BGP-Umleitung nur bei erkannter Bedrohung.
Verhaltensbasierte Erkennung statt starrer Signaturen; laufende Analyse der Verkehrsmuster in Echtzeit.
FPGA-Beschleunigung für hohe Paketraten.
Die Abwehr-Hardware steht im eigenen Netz, inline oder getrennt vom Alltagsverkehr.
Service Provider, Rechenzentren und Anbieter latenzkritischer Dienste.
Wahl zwischen Inline-Betrieb und reaktiver BGP-Umleitung mit derselben Lösung.
Ein eigener Cloud-Scrubbing-Dienst und Layer-7-Abwehr sind auf der Produktseite nicht ausdrücklich beschrieben.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Corero SmartWall ONE: Appliance-Lösung, auch Grundlage von Akamai Prolexic On-Prem
- Check Point DDoS Protector: Appliance im Check-Point-Portfolio
- Swisscom DDoS Protection Service und weitere Provider-Dienste: Schutz über den Internetanbieter
- Gcore DDoS Protection: europäischer Edge-Anbieter
- AWS WAF Bot Control, Azure Web Application Firewall: Layer-7- und Bot-Schutz der Hyperscaler als eigene Produkte neben dem DDoS-Dienst
Verfügbarkeit braucht mehrere Kontrollen.
Firewalls und IPS steuern Netzgrenzen. Das Secure Web Gateway aus SASE und SSE schützt ausgehenden Webzugriff. WAF, DNS und Incident Management und On-Call gehören in den Reaktionsweg.
- Ein ungeschützter Origin, fehlerhaftes DNS oder eine direkte IP kann die Edge-Abwehr umgehen.
- Layer-7-Angriffe verlangen andere Regeln als reine Bandbreitenüberlastung.
- Teste Schutzaktivierung, API-Rate-Limit, Kommunikation mit dem Provider und einen Wiederanlauf. Die Verantwortung für Entscheidung und Eskalation muss klar sein.
Security Tool Navigator · Gebiet 05
Im Gebiet Network Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Network Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.