Zusammenfassung

  • Die Steigerung um 1.286 Prozent vergleicht 1.095 Angriffe oberhalb mindestens einer der beiden Grenzen im ersten Halbjahr 2026 mit 79 im ersten Halbjahr 2025. Die veröffentlichte Rechnung stimmt; sie zählt Schwellenüberschreitungen, nicht Datenverkehr, Betroffene, Ausfälle, Ausgaben oder Umsätze.
  • Netzbetreiber können den Wert zum Anlass nehmen, Bandbreite und Paketverarbeitung getrennt zu prüfen. Er verrät weder, wie oft ein bestimmtes Netz angegriffen wurde, noch ob die Abwehr funktionierte oder welcher Käufer zusätzliche Kapazität braucht.
  • Die NETSCOUT-Seiten weisen für die Gesamtzahl der Angriffe unterschiedliche Werte aus: mehr als 9,1 Millionen im Bericht, 9.146.021 in der Infografik und 4.267.744 auf der Live-Seite Global Highlights für Januar bis Juni 2026. Eine öffentliche Erklärung fehlt. Die Differenz betrifft den Gesamtwert, nicht automatisch die separat genannte Zahl von 1.095.

Ein großer Prozentsatz mit eng begrenzter Maßeinheit

Die Rechnung ist einfach: (1.095 − 79) ÷ 79 × 100 ergibt rund 1.286 Prozent. Der jüngere Halbjahreswert ist etwa 13,9-mal so hoch wie der ältere. Die Infografik zur Ausgabe 17 von NETSCOUT zählt Angriffe, die 1 Tbit/s oder 1 Gpps überschritten. Daraus folgt nicht, dass die gesamte DDoS-Lage dreizehnmal größer wurde, alle Netzbetreiber denselben Anstieg sahen oder die Angriffe dreizehnmal mehr Schaden anrichteten.

Der Nenner ist klein. Bei 79 Fällen kann schon eine Zunahme um einige Dutzend die Prozentzahl stark verschieben. Die 1.095 Beobachtungen bleiben dennoch ein relevantes Betriebssignal: In der NETSCOUT-Telemetrie traten Angriffe dieser Größenordnung häufiger auf. Die Quote ist aber kein allgemeiner Risikofaktor, den sich auf jedes Netz übertragen lässt.

Die beiden Grenzwerte stehen für unterschiedliche Belastungen. Terabit pro Sekunde beschreibt den Datenstrom; eine Milliarde Pakete pro Sekunde die Verarbeitungslast. Eine Flut kleiner Pakete kann Geräte anders beanspruchen als ein bandbreitenintensiver Strom. Die Infografik fasst beide Kriterien zusammen, veröffentlicht aber keine Aufteilung nach Bandbreitengrenze, Paketgrenze oder beiden. Auch bleibt offen, wie ein Angriff behandelt wird, der beide überschreitet. Aus der Sammelzahl lässt sich keine Kapazität für nur eine der beiden Dimensionen ableiten.

Das erste Halbjahr 2026 umfasste 181 Tage. Der grobe Durchschnitt beträgt damit 6,0 qualifizierende Angriffe pro Tag, gegenüber 0,44 im ebenfalls 181-tägigen ersten Halbjahr 2025. Das ist lediglich die Halbjahressumme geteilt durch die Kalendertage. Eine gleichmäßige Verteilung, gleichzeitige Ereignisse oder Sichtbarkeit auf dem Netz eines bestimmten Kunden folgen daraus nicht. „Mehrmals täglich“ in der Infografik ist keine tägliche Zeitreihe.

Eine Schwellenüberschreitung ist kein Dienstausfall

Die Zählung beschreibt Ereignisse in den beobachteten NETSCOUT-Daten, nicht die Zahl ausgefallener Unternehmen. Ein Angriff kann einen Grenzwert überschreiten und trotzdem von einer geschützten Infrastruktur abgefangen werden. Ein kleinerer kann Verbindungszustände oder Anwendungskapazität erschöpfen. Die Berichtseite weist selbst darauf hin, dass ein Dienst vor der Sättigung des Anschlusses beeinträchtigt werden kann und verteilte Ziele hostbezogene Schwellen umgehen können. Das spricht für mehr als eine Betrachtung der Spitzenbandbreite; es belegt keine 1.095 daraus entstandenen Ausfälle.

NETSCOUT zufolge entfielen 64,40 Prozent der beobachteten Angriffe auf direkte Pfade. Der Anteil der Angriffe mit höchstens einer Minute Dauer stieg von 1,6 Prozent im zweiten Halbjahr 2025 auf 3,1 Prozent im ersten Halbjahr 2026. Beides betrifft die breitere beobachtete Mischung. Für die 1.095 Angriffe oberhalb der Kapazitätsschwellen gibt es keine gesonderte Aufschlüsselung. Daraus lässt sich nicht schließen, sie seien alle kurz oder direkt gewesen.

Die Empfehlungen zeigen den Marktbezug des Berichts: dedizierte Abwehr an Netzrändern, gezielte Reaktion und Reserven für gleichzeitige Ereignisse; lokale Systeme und Cloud-Mitigation seien ergänzend. Das sind nachvollziehbare Architekturvarianten, die ein Betreiber prüfen kann. NETSCOUT verkauft jedoch selbst Bedrohungsinformationen und DDoS-Schutz. Dieses geschäftliche Interesse gehört zur Einordnung, beweist aber nicht, dass die Messung falsch ist.

Die Infografik nennt außerdem monatliche Preise für gemietete Angriffe von kostenlos bis zu fünfstelligen Beträgen und sagt, verkauft werde die Auslieferung, nicht das Volumen. Das ist die Darstellung des Unternehmens, keine Erhebung tatsächlich gezahlter Preise, typischer Tarife oder Vertragsbedingungen. Preise für Abwehrdienste fehlen. Eine verfügbare Umsatzchance für Anbieter lässt sich daraus nicht ableiten.

Käufer müssen die Zahl auf ihr eigenes Netz übertragen

Eine Kapazitätsprüfung beginnt mit den Eintrittspunkten des Verkehrs und den Diensten hinter den jeweiligen Leitungen. Relevant sind die dauerhaft verfügbare Bandbreite am betroffenen Netzrand und die Paketmenge, die der Abwehrpfad prüfen und filtern kann. Betreiber müssen wissen, wie viel bereinigten Verkehr sie weiterleiten können, welcher Upstream- oder Cloud-Dienst Überlast auffängt und wie schnell sich dieser einschalten lässt. Ebenso wichtig ist, wie viel legitimer Verkehr bei strengeren Filtern verloren geht.

Der Nennwert eines einzelnen Geräts bestimmt die Architektur nicht. Ein Betreiber kann ständig aktive Erkennung am eigenen Rand, die gezielte Umleitung zu einem Scrubbing-Dienst oder eine Kombination einsetzen. Die passende Mischung hängt von Netztopologie, Kundenverträgen, Latenztoleranz, gleichzeitiger Nachfrage, vorhandener Kapazität und den Kosten falscher Treffer ab. NETSCOUTs globaler Gesamtwert beschreibt keine dieser Bedingungen für einen bestimmten Käufer.

Für die Beschaffung zählen Ergebnisse nahe am Betrieb: Erkennungs- und Abwehrzeit, verworfener legitimer Verkehr, Aufrechterhaltung des Dienstes bei parallelen Angriffen, zugesagte Kapazität, Preise für Überschreitungen und die Qualität der Vorfallberichte. Verträge sollten festhalten, wer bereinigten Verkehr liefert, welche Kapazität und Reaktionszeit garantiert sind, wie Mehrbedarf abgerechnet wird und welche Nachweise der Anbieter nach einem Vorfall bereitstellt.

Ohne diese Verbindung zwischen Ereignis, Leistung und Vertrag kann eine steigende Grenzwertzählung eine Überprüfung begründen, aber kein Budget festlegen. Sie kann auf einen einzigen Upstream-Pfad oder undokumentierte Paketgrenzen aufmerksam machen. Sie belegt nicht, dass ein Betreiber weitere Terabit kaufen, den Anbieter wechseln oder einen mehrjährigen Cloud-Vertrag abschließen muss.

Die breitere Angriffszahl ist öffentlich nicht abgeglichen

Der Vergleich der Angriffe mit hoher Kapazität lässt sich getrennt von einer Unstimmigkeit beim Gesamtwert bewerten. NETSCOUTs Seite zur Ausgabe 17 meldet mehr als 9,1 Millionen Angriffe im ersten Halbjahr 2026; die Infografik nennt exakt 9.146.021. Auf der Live-Seite Global Highlights stehen für Januar bis Juni 4.267.744 und eine Veränderung von 14,13 Prozent gegenüber den vorangegangenen sechs Monaten. Eine Erklärung für die Abweichung ist dort nicht veröffentlicht.

Die Differenz ist zu groß für Rundung. Abweichende Definitionen, Abdeckungen, Aktualisierungen oder Aggregationen wären denkbar, doch das geprüfte öffentliche Material bestätigt keine davon. Es wäre unbegründet, einen der Werte auszuwählen und damit das Gesamtwachstum von DDoS zu berechnen. Die Abweichung macht die Messgrenzen für Vergleiche wichtiger; sie widerlegt nicht automatisch die separat ausgewiesenen 1.095 Grenzwertüberschreitungen.

Die belastbare Marktaussage fällt enger aus als die Schlagzeile: NETSCOUT beobachtete im ersten Halbjahr 2026 mehr Angriffe oberhalb ausgewählter Kapazitätsgrenzen als im Vergleichszeitraum. Betreiber können das als Anlass für einen Bereitschaftstest nehmen. Für Aussagen zu Schäden, Käufen oder Branchenumsätzen braucht es andere Belege: konkrete Vorfälle, Mitigationsergebnisse, Verträge, Preise und Umsätze.

Was die öffentlichen Quellen tragen

Der tragfähige Befund ist spezifisch: NETSCOUT zählte im ersten Halbjahr 2026 mehr Angriffe oberhalb der ausgewählten Hochkapazitätsgrenzen. Das ist ein Anlass für bessere Betriebsfragen, keine Schadenszählung und keine Prognose der Sicherheitsausgaben.