🛡️ DDoS-Resilienzmodus | SeenSecure Hilfe

Was ist das und wie unterscheidet es sich von der Ratenbegrenzung?

DDoS bedeutet "Distributed Denial of Service": viele verschiedene Computer (manchmal Tausende, in einem "Botnet") greifen Ihre Website gleichzeitig an, um sie zu überlasten und lahmzulegen.

🐘 Warum WordPress ein besonders leichtes Ziel ist

Eine statische Datei (ein Bild, ein PDF, eine reine HTML-Seite) wird direkt von der Festplatte ausgeliefert: Der Server liest sie und sendet sie, ohne nachzudenken. Eine WordPress-Seite funktioniert nicht so. Jeder Besuch zwingt PHP, von Grund auf neu zu starten: den WordPress-Kern, die aktiven Plugins, das Theme zu laden und mehrere Datenbankabfragen (MySQL) auszuführen, um diese konkrete Seite mit ihren Produkten, Kommentaren oder ihrem Menü zusammenzustellen. Das macht jede Anfrage zu CPU- und Datenbankarbeit, nicht nur zu Bandbreite.

Deshalb kann ein Server, der mühelos Tausende Anfragen pro Sekunde für eine statische Datei bewältigen würde, bereits bei wenigen Dutzend oder wenigen Hundert Anfragen pro Sekunde an ungecachte WordPress-Seiten ausfallen: Die Datenbank erreicht ihr Verbindungslimit lange bevor die Netzwerkverbindung gesättigt ist. Wenn das passiert, reagiert die Website nicht mehr, selbst für echte Besucher, obwohl der Angriff im Vergleich zu einem klassischen netzwerkbasierten DDoS eine relativ bescheidene Anzahl von Anfragen umfassen kann.

⚖️ Warum reicht die Ratenbegrenzung nicht aus?

Ratenbegrenzung zählt Anfragen pro IP: Überschreitet eine IP das Limit, wird diese IP blockiert. Bei einem echten DDoS kommt der Angriff jedoch nicht von 1 IP — er kommt von Hunderten oder Tausenden verschiedener IPs gleichzeitig. Jede neue IP startet ihren eigenen Zähler bei null, sodass sie nie das individuelle Limit überschreitet und der Angriff unbemerkt bleibt.

🧮 Wie löst das dieses Problem?

Statt pro IP zu zählen, wird der GESAMTE Datenverkehr Ihrer Website gezählt (alle IPs zusammen). Steigt diese Gesamtzahl sprunghaft an, wird der "Flood-Modus" aktiviert: Jeder neue Besucher (unabhängig von der IP) wird gebeten, eine kleine mathematische Berechnung per JavaScript zu lösen, bevor er die Seite sehen darf.

✅ Für den echten Besucher: es löst sich automatisch, in unter einer Sekunde, ohne dass er es merkt. Für einen Angriffs-Bot (ohne JavaScript-Engine): er antwortet nie korrekt und bleibt draußen, egal von welcher IP.

Wie es intern funktioniert

SeenSecure zählt, wie viele Anfragen die gesamte Website in kurzen Zeitfenstern erhält.
Übersteigt diese Gesamtzahl den konfigurierten Schwellenwert, wird der "Flood-Modus" für eine Mindestzeit (Abkühlung) aktiviert, damit die Herausforderung nicht ständig ein- und ausgeschaltet wird, wenn der Verkehr genau am Limit liegt.
Solange der Flood-Modus aktiv ist, erhält jeder neue Besucher die Verifizierungsseite statt der echten Seite, bis er die Berechnung löst (automatisch, per JavaScript).
Nach der Verifizierung kann der Besucher für die konfigurierte Zeit (Pass-Dauer) normal navigieren, ohne erneut gefragt zu werden.

💥 Reales Beispiel: ein Botnet aus etwa 4.000 verschiedenen IPs feuert plötzlich 15.000 Anfragen/Minute auf die Startseite eines WordPress-Shops ohne vollständigen Seiten-Cache ab. Jede dieser Anfragen führt PHP und mehrere SQL-Abfragen aus, um Warenkorb, Menü und vorgestellte Produkte zusammenzustellen. Innerhalb von Sekunden erreicht MySQL sein Limit an gleichzeitigen Verbindungen und beginnt, 500-Fehler zurückzugeben — nicht nur an die Bots, sondern auch an echte Kunden, die gerade einkauften. Mit aktiviertem DDoS-Resilienzmodus erkennt SeenSecure, dass der Gesamtverkehr der Website den konfigurierten Schwellenwert überschreitet (z.B. 15.000 Anfragen/Min gegenüber einem Limit von 600-1000), und aktiviert den Flood-Modus: Neue Besucher erhalten die leichte Verifizierungsseite statt der echten WordPress-Seite, eine Seite, die weder vollständiges PHP noch die Datenbank berührt. Die Angriffs-Bots bleiben dort ohne JavaScript-Engine stecken, ohne echte Last zu erzeugen; der Druck auf MySQL sinkt innerhalb von Sekunden, und der Shop reagiert wieder normal für Kunden, die die Verifizierung tatsächlich lösen.

🔒 Sie werden nie aus Ihrer eigenen Website ausgesperrt: bereits angemeldete Administratoren, IPs auf Ihrer Whitelist und wp-admin/login/cron sehen die Herausforderung nie, egal was mit dem Datenverkehr passiert.

Einstellungen in diesem Abschnitt

Schwellenwert (Anfragen/Min für die gesamte Website)

Die GESAMTE Verkehrsmenge, ab der ein möglicher Angriff angenommen wird. Beginnen Sie hoch (600-1000) und senken Sie nur, wenn Ihre Website echte Angriffe erleidet; zu niedrig eingestellt kann die Herausforderung bei normalen Verkehrsspitzen auslösen (z.B. viraler Social-Media-Beitrag).

Pass-Dauer (Minuten)

Wie lange ein Besucher, der die Berechnung bereits gelöst hat, weiter navigieren kann, ohne erneut gefragt zu werden.

Abkühlung (Minuten)

Nach der Aktivierung, wie lange der Flood-Modus nach einem Rückgang des Verkehrs eingeschaltet bleibt, bevor er sich selbst abschaltet. Verhindert ständiges Ein-/Ausschalten, wenn der Verkehr genau am Limit liegt.

💡 Empfehlung: lassen Sie es deaktiviert, wenn Sie noch nie diese Art von Angriff erlitten haben. Aktivieren Sie es nur, wenn Ihre Website durch plötzliche Verkehrsüberlastung ausgefallen ist, oder vorsorglich bei einem erwarteten Spitzenwert (Start, Kampagne, viraler Beitrag).

Was es NICHT tut (ehrliche Grenzen)

Es schützt keine Formulare, Zahlungen oder API-Aufrufe (Nicht-"GET"-Anfragen) — sie mittendrin zu unterbrechen wäre schlimmer als der Angriff selbst, daher werden sie ungeprüft durchgelassen.
Es ersetzt keinen CDN (wie Cloudflare) gegen Angriffe auf Netzwerk-/Verbindungsebene — dies schützt auf Anwendungsebene (Webseiten), nicht den rohen Netzwerkverkehr.

⚠️ Keine Herausforderung ist 100% narrensicher: dieser Mechanismus filtert die überwiegende Mehrheit generischer Flood-Bots heraus (die kein JavaScript ausführen), aber ein sehr engagierter Angreifer, der Ihre Website gezielt untersucht, könnte theoretisch die Berechnung ohne JS-Ausführung reproduzieren. Für den realen Fall einer kleinen bis mittleren WordPress-Website ist dies eine solide, ehrliche Verbesserung, kein Versprechen totaler Unverwundbarkeit.

❓ FAQ — Häufig gestellte Fragen

🔹 Sollte ich das immer aktiviert haben?

Für die meisten Websites nicht notwendig. Aktivieren Sie es, wenn Ihre Website bereits durch plötzliche Verkehrsüberlastung ausgefallen ist, oder vorbeugend vor einem Ereignis, bei dem Sie starken Verkehr erwarten (Start, Werbekampagne, viraler Beitrag).

🔹 Könnte es meine echten Kunden während eines Verkaufsspitzenwerts blockieren?

Es blockiert sie nicht — es bittet sie um eine Sekunde automatischer Verifizierung (für sie unsichtbar), bevor die Seite angezeigt wird, nur solange der Flood-Modus aktiv ist. Ein echter Kunde mit einem normalen Browser besteht dies, ohne es zu bemerken. Es ist wahrscheinlicher, dass der Flood-Modus bei einem legitimen Verkehrsspitzenwert ausgelöst wird, wenn der Schwellenwert zu niedrig eingestellt ist — deshalb wird empfohlen, hoch zu beginnen (600-1000 Anfragen/Minute).

🔹 Wo aktiviere ich das im Panel?

Unter Firewall → Rate Limiting, in der Karte "🛡️ DDoS-Resilienz-Modus" (direkt unter der Karte "🚀 Erste Linie"). Im FREE-Tarif verfügbar, keine PRO-Lizenz nötig. Verwechseln Sie die beiden Karten nicht: "Erste Linie" läuft, BEVOR WordPress überhaupt lädt, und funktioniert auch weiter, wenn die Datenbank überlastet ist, während der "DDoS-Resilienz-Modus" INNERHALB von WordPress mit einem konfigurierbaren Schwellenwert pro Minute läuft. Beide sind voneinander unabhängig; es wird empfohlen, beide aktiviert zu lassen.

💡 Tipp: Wenn Sie eine Kampagne starten, von der Sie erwarten, dass sie sehr beliebt wird, erhöhen Sie vorübergehend den Schwellenwert (oder deaktivieren Sie den Modus) während des Ereignisses und aktivieren Sie ihn danach wieder.