DDoS-Angriffe auf Threema

Wenn Sie Threema rege nutzen, ist Ihnen womöglich aufgefallen, dass der Dienst letzten Dienstagabend und am Mittwochmorgen zwischenzeitlich nicht oder nur eingeschränkt verfügbar gewesen ist. Grund dafür war eine Serie von DDoS-Angriffen. Im Folgenden erläutern wir die Hintergründe und legen die getroffenen Massnahmen dar. Was ist ein DDoS-Angriff? Bei einem «Denial of Service»-Angriff (DoS) sendet ein Angreifer eine unverhältnismässig grosse Zahl von Anfragen bzw. Datenpaketen an einen Online-Dienst, um dadurch dessen Infrastruktur zu überlasten und ihn für Benutzer vorübergehend unerreichbar zu machen. Erfolgt der Angriff gleichzeitig von einer Vielzahl verschiedener (und ggf. wechselnder) Quellen, spricht man von einem «Distributed Denial of Service»-Angriff (DDoS). Diese Vorgehensweise erschwert die Abwehr deutlich, zumal nicht einfach eine Quelle blockiert werden kann. Vereinfacht gesagt kommt es zu einem Kräftemessen zwischen Angreifer und Dienstbetreiber: Der Angreifer versucht, mehr Datenverkehr zu erzeugen, als die Infrastruktur des Dienstbetreibers verarbeiten kann bzw. die eingesetzten Schutzmechanismen abzuwehren (d.h. zu filtern) in der Lage sind. Gleichzeitig analysiert der Dienstbetreiber den Angriff, passt die Abwehrmassnahmen an und versucht, illegitimen Datenverkehr zu blockieren, ohne dabei den legitimen zu beeinträchtigen. Weil versierte Angreifer ihre Methoden, Quellen und Angriffsmuster während einer Attacke laufend ändern, entsteht ein Katz-und-Maus-Spiel, bei dem beide Seiten fortwährend auf die Massnahmen der Gegenseite reagieren. Selbst mit wirksamen DDoS-Abwehrmechanismen lassen sich daher bei Attacken mit grossem Volumen und sich sehr schnell ändernden Angriffsmustern vorübergehende Beeinträchtigungen nicht immer vollständig verhindern. Das gilt umso mehr, wenn ein Angreifer über beträchtliche technische und finanzielle Ressourcen verfügt, wie es z. B. bei staatlichen Akteuren der Fall sein kann. Die kürzlichen DDoS-Angriffe auf Threema Wie bei den meisten Online-Diensten kommt es auch bei Threema immer wieder zu DDoS-Angriffen. In den allermeisten Fällen bemerken Threema-Nutzer jedoch (fast) nichts davon, weil die Abwehrmechanismen greifen oder die Anpassung an veränderte Angriffsmuster so schnell erfolgt, dass ein Serviceunterbruch höchstens sehr kurz und meistens nicht flächendeckend ist (wenn z.B. nur einzelne Dienste kurzzeitig unerreichbar sind oder die Website langsamer lädt). Diese Woche erfolgte jedoch eine Serie von DDoS-Attacken grösseren Ausmasses auf Threema sowie unseren Colocation-Partner (Nine). Es ist nicht ganz klar, ob Threema im Fokus des Angriffs stand oder sich dieser auf mehrere Ziele gerichtet hat. Die Angreifer waren jedenfalls äusserst hartnäckig: Sie haben nicht abgelassen und ihre Attacken laufend angepasst, was die Abwehr erschwerte. Infolge dieser Attacken war Threema am Dienstag zwischen 19:30 und 23:30 Uhr MESZ nicht verfügbar. Die Seite, welche Auskunft über den aktuellen Systemstatus gibt, wurde aufgrund eines vom Angriff unabhängigen technischen Problems zunächst nicht aktualisiert, weshalb sie vorübergehend vom Netz genommen wurde, bis das Problem behoben war. Am Mittwochmorgen haben sich die Angriffe fortgesetzt, und das eingangs erwähnte Katz-und-Maus-Spiel hat seinen Lauf genommen. Dadurch ist es im Verlauf des Vormittags zwischenzeitlich immer wieder zu kurzen Serviceunterbrüchen gekommen. Ab 12:23 Uhr war der normale Betrieb wiederhergestellt, und seither sind alle Dienste wieder vollständig verfügbar. Getroffene Massnahmen Der gesamte Verlauf der Serviceunterbrüche wurde – schrittweise, gemäss jeweils aktuellem Kenntnisstand – auf unseren Social-Media-Kanälen kommuniziert. Unternehmenskunden, welche Threema Work verwenden, wurden am Mittwochvormittag per E-Mail über die instabilen Servicebedingungen informiert, und bei Anfragen haben Account Manager über die aktuelle Lage Auskunft gegeben.