DDoS-Angriffe auf Threema
Wenn Sie Threema rege nutzen, ist Ihnen womöglich aufgefallen, dass der Dienst letzten Dienstagabend und am Mittwochmorgen zwischenzeitlich nicht oder nur eingeschränkt verfügbar gewesen ist. Grund dafür war eine Serie von DDoS-Angriffen. Im Folgenden erläutern wir die Hintergründe und legen die getroffenen Massnahmen dar.
Was ist ein DDoS-Angriff?
Bei einem «Denial of Service»-Angriff (DoS) sendet ein Angreifer eine unverhältnismässig grosse Zahl von Anfragen bzw. Datenpaketen an einen Online-Dienst, um dadurch dessen Infrastruktur zu überlasten und ihn für Benutzer vorübergehend unerreichbar zu machen.
Erfolgt der Angriff gleichzeitig von einer Vielzahl verschiedener (und ggf. wechselnder) Quellen, spricht man von einem «Distributed Denial of Service»-Angriff (DDoS). Diese Vorgehensweise erschwert die Abwehr deutlich, zumal nicht einfach eine Quelle blockiert werden kann.
Bei einem DoS-Angriff ist die Verfügbarkeit eines Online-Diensts im Visier, nicht dessen Sicherheit. Auch bei einem erfolgreichen DoS-Angriff erlangen die Angreifer dadurch keinen Zugriff auf Systeme oder Daten.
Vereinfacht gesagt kommt es zu einem Kräftemessen zwischen Angreifer und Dienstbetreiber: Der Angreifer versucht, mehr Datenverkehr zu erzeugen, als die Infrastruktur des Dienstbetreibers verarbeiten kann bzw. die eingesetzten Schutzmechanismen abzuwehren (d.h. zu filtern) in der Lage sind. Gleichzeitig analysiert der Dienstbetreiber den Angriff, passt die Abwehrmassnahmen an und versucht, illegitimen Datenverkehr zu blockieren, ohne dabei den legitimen zu beeinträchtigen.
Weil versierte Angreifer ihre Methoden, Quellen und Angriffsmuster während einer Attacke laufend ändern, entsteht ein Katz-und-Maus-Spiel, bei dem beide Seiten fortwährend auf die Massnahmen der Gegenseite reagieren.
Selbst mit wirksamen DDoS-Abwehrmechanismen lassen sich daher bei Attacken mit grossem Volumen und sich sehr schnell ändernden Angriffsmustern vorübergehende Beeinträchtigungen nicht immer vollständig verhindern. Das gilt umso mehr, wenn ein Angreifer über beträchtliche technische und finanzielle Ressourcen verfügt, wie es z. B. bei staatlichen Akteuren der Fall sein kann.
Die kürzlichen DDoS-Angriffe auf Threema
Wie bei den meisten Online-Diensten kommt es auch bei Threema immer wieder zu DDoS-Angriffen. In den allermeisten Fällen bemerken Threema-Nutzer jedoch (fast) nichts davon, weil die Abwehrmechanismen greifen oder die Anpassung an veränderte Angriffsmuster so schnell erfolgt, dass ein Serviceunterbruch höchstens sehr kurz und meistens nicht flächendeckend ist (wenn z.B. nur einzelne Dienste kurzzeitig unerreichbar sind oder die Website langsamer lädt).
Diese Woche erfolgte jedoch eine Serie von DDoS-Attacken grösseren Ausmasses auf Threema sowie unseren Colocation-Partner (Nine). Es ist nicht ganz klar, ob Threema im Fokus des Angriffs stand oder sich dieser auf mehrere Ziele gerichtet hat. Die Angreifer waren jedenfalls äusserst hartnäckig: Sie haben nicht abgelassen und ihre Attacken laufend angepasst, was die Abwehr erschwerte.
Infolge dieser Attacken war Threema am Dienstag zwischen 19:30 und 23:30 Uhr MESZ nicht verfügbar. Die Seite, welche Auskunft über den aktuellen Systemstatus gibt, wurde aufgrund eines vom Angriff unabhängigen technischen Problems zunächst nicht aktualisiert, weshalb sie vorübergehend vom Netz genommen wurde, bis das Problem behoben war.
Am Mittwochmorgen haben sich die Angriffe fortgesetzt, und das eingangs erwähnte Katz-und-Maus-Spiel hat seinen Lauf genommen. Dadurch ist es im Verlauf des Vormittags zwischenzeitlich immer wieder zu kurzen Serviceunterbrüchen gekommen. Ab 12:23 Uhr war der normale Betrieb wiederhergestellt, und seither sind alle Dienste wieder vollständig verfügbar.
Getroffene Massnahmen
Der gesamte Verlauf der Serviceunterbrüche wurde – schrittweise, gemäss jeweils aktuellem Kenntnisstand – auf unseren Social-Media-Kanälen kommuniziert. Unternehmenskunden, welche Threema Work verwenden, wurden am Mittwochvormittag per E-Mail über die instabilen Servicebedingungen informiert, und bei Anfragen haben Account Manager über die aktuelle Lage Auskunft gegeben.
Weil Organisationen, die Threema OnPrem einsetzen, ihre eigene Infrastruktur verwenden, waren sie nicht von dieser Angriffswelle betroffen und konnten ihre Threema OnPrem-Instanzen zu jeder Zeit wie gewohnt ohne Unterbrüche nutzen.
In Ergänzung zu den bestehenden Abwehrmechanismen integrieren wir nun als zusätzliche Massnahme einen spezialisierten DDoS-Schutz, welcher den Angriffsverkehr vorgelagert filtert und so unsere eigene Infrastruktur entlastet. Sobald die letzten Stabilitätstests abgeschlossen sind – womit in den nächsten Stunden zu rechnen ist –, wird dieser Mechanismus im Produktivsystem aufgeschaltet.
Zudem werden wir in den kommenden Tagen die Status-Seite erweitern. Zu den Erweiterungen gehören eine Incident History sowie ein RSS-Feed, den interessierte Nutzer und Threema Work-Administratoren abonnieren können, um umgehend auf einem unabhängigen Kanal Informationen zum System-Status zu erhalten.
Wir entschuldigen uns für die entstandenen Unannehmlichkeiten und danken für Ihr Verständnis.
