Grossanlässe sind zum Auslöser für DDoS-Angriffe auf Organisationen im Gastgeberland geworden. Gipfeltreffen, Sportveranstaltungen und Gesangswettbewerbe waren alle davon begleitet. Die Angreifer zielen meist auf das, was sichtbar ist und mit dem Gastgeberland in Verbindung steht, und weniger auf die Veranstaltung selbst.
Die Schweiz hat dieses Muster in drei Jahren mehrfach erlebt. Während des World Economic Forum in Davos im Januar 2025 zählte NETSCOUT innerhalb von fünf Tagen mehr als 1’400 DDoS-Angriffe auf Schweizer Ziele, rund doppelt so viele wie in vergleichbaren Zeiträumen im Dezember.
Das Wichtigste in Kürze
- Die Termine sind im Voraus bekannt und damit auch das Risiko. Hacktivistengruppen wählen Tage, an denen die Welt hinschaut, weil über einen Ausfall an diesen Tagen berichtet wird.
- Ziel ist das Gastgeberland, nicht nur die Veranstaltung. Rund um frühere Anlässe in der Schweiz trafen die Angriffe Websites des Bundes, kantonale Portale, Gemeinden und Banken, die meisten davon ohne Bezug zur Veranstaltung.
- Die Zahl der Angriffe kann sich verdoppeln. Während des WEF 2025 mass NETSCOUT doppelt so viele Angriffe wie üblich auf Schweizer Ziele, dazu am Tag vor der Eröffnung des Forums einen Angriff mit 426 Gbit/s.
- Die Schweiz startet von einem hohen Grundniveau. NETSCOUT verzeichnete 54’885 DDoS-Angriffe auf Schweizer Ziele im ersten Halbjahr 2026, zweieinhalbmal so viele wie die 21’798 in Österreich, und die Angriffe dauerten mehr als doppelt so lange.
- Ein bekannter Termin ist ein Vorteil. Die Zeit vor einem Anlass reicht, um zu testen, nachzubessern und erneut zu testen.
Warum nehmen DDoS-Angriffe rund um Grossanlässe zu?
Hacktivistische DDoS-Kampagnen sind auf Aufmerksamkeit ausgelegt. Das Bundesamt für Cybersicherheit (BACS) hielt das zu den Angriffen während des WEF 2025 ausdrücklich fest: «Diese Angriffe haben zum Ziel, mediale Aufmerksamkeit zu erhalten und führen zu keinem Datenabfluss.»
Ein Grossanlass liefert diese Aufmerksamkeit gleich mit. Die internationalen Medien berichten bereits, Spitzenpolitiker halten Reden, und jeder Ausfall, der in diese Tage fällt, wird Teil der Berichterstattung. Die Angreifer müssen die Systeme der Veranstaltung gar nicht erreichen. Eine langsame Behördenwebsite oder eine Bank, deren Login-Seite in der Woche des Anlasses ausfällt, wird im selben Atemzug genannt.
Das Motiv ist meist politisch. Die Gruppe, die sich zu den meisten Angriffen in der Schweiz bekannt hat, das prorussische Kollektiv NoName057(16), hat wiederholt eine Rede oder einen Gast als Grund genannt. Im Januar 2024 verwies sie auf die Teilnahme des ukrainischen Präsidenten Zelensky am WEF.
Was die bisherigen Fälle zeigen
Das Muster ist weder auf ein Land noch auf eine Art von Veranstaltung beschränkt. Die französische Cybersicherheitsbehörde ANSSI zählte 548 Cybersicherheitsereignisse, die zwischen Mai und September 2024 Organisationen im Umfeld der Olympischen und Paralympischen Spiele Paris 2024 betrafen. Bei fast der Hälfte davon waren Dienste nicht mehr verfügbar, unter anderem wegen DDoS-Angriffen.
In der Schweiz haben die Behörden die folgenden wichtigsten Angriffsfälle erfasst:
- Juni 2023, Videoansprache von Zelensky vor der Bundesversammlung. Vom 7. bis 19. Juni 2023 wurden Schweizer Domains, darunter die Website des Parlaments, mit DDoS-Angriffen überlastet, wie die Bundesanwaltschaft festhält. Im Juli 2025 erliess sie Haftbefehle gegen drei mutmassliche Hauptakteure von NoName057(16).
- Januar 2024, WEF in Davos. Am 17. Januar 2024 war der Zugang zu mehreren Websites der Bundesverwaltung wegen eines DDoS-Angriffs vorübergehend gestört. Das BACS hatte die Betreiberinnen kritischer Infrastrukturen eine Woche zuvor gewarnt.
- Juni 2024, Bürgenstock-Konferenz zum Frieden in der Ukraine. Das BACS koordinierte einen Cyberlageverbund mit fast 100 Fachleuten. Es ordnete die Angriffe NoName057(16) zu und hielt fest, dass sie «lediglich zu kleineren Störungen von IT-Infrastrukturen» führten.
- Januar 2025, WEF in Davos. Das BACS bestätigte DDoS-Angriffe auf Schweizer Websites im Zusammenhang mit dem Forum. Schweizer Medien nannten die Zürcher und die Waadtländer Kantonalbank sowie kantonale und kommunale Websites unter den Betroffenen.
- Mai 2025, Eurovision Song Contest in Basel. Am 16. Mai 2025 meldete das BACS, dass DDoS-Angriffe auf Schweizer Websites im Zusammenhang mit dem Wettbewerb eingesetzt hatten.
- Juni 2026, G7-Gipfel in Évian, Frankreich. Vor dem Gipfel hielt das BACS fest: «Insbesondere mit sogenannten Distributed-Denial-of-Service-Angriffen (DDoS) auf Schweizer Organisationen ist zu rechnen.» Die Veranstaltung fand jenseits der Grenze statt, Schweizer Organisationen standen trotzdem auf der Liste.
Inzwischen veröffentlicht das BACS solche Hinweise vor grossen Anlässen routinemässig. Das zeigt, wie vorhersehbar das Muster geworden ist.
Ein Beispiel im Detail: das WEF 2025
Das ASERT-Team von NETSCOUT hat eine detaillierte Auswertung der Forumswoche veröffentlicht. Zwischen dem 20. und 24. Januar 2025 beobachtete es mehr als 1’400 DDoS-Angriffe auf Schweizer Ziele, rund doppelt so viele wie in vergleichbaren Zeiträumen im Dezember. Der grösste Angriff traf am 19. Januar das Netz eines grossen Schweizer Dienstleisters mit 426 Gbit/s.
Die Angreifer wechselten zudem von Tag zu Tag die Methode. Am Anfang stand DNS Reflection Amplification, danach folgte eine Mischung verschiedener Reflection-Vektoren, dann überwiegend TCP-basierte Angriffe und DNS Query Floods, zuletzt TCP SYN Floods und SYN/ACK Amplification. Eine Abwehr, die auf die erste Welle eingestellt ist, kann untätig bleiben, während die dritte durchkommt.
Das Ergebnis war trotzdem eher ein Ärgernis als ein Ausfall. In seinem Halbjahresbericht für das erste Halbjahr 2025 schreibt das BACS, dass gezielte Präventions- und Abwehrmassnahmen sowohl beim WEF als auch beim Eurovision Song Contest grössere Auswirkungen verhindert haben. Den Unterschied machte die Vorbereitung.
Wie hoch ist das DDoS-Grundniveau in der Schweiz?
Die Spitzen rund um Anlässe setzen auf einem Niveau auf, das bereits hoch ist. Die ATLAS-Telemetrie von NETSCOUT für Januar bis Juni 2026 zeigt, wie die Schweiz im Vergleich mit ihren DACH-Nachbarn dasteht:
- Schweiz: 54’885 DDoS-Angriffe, durchschnittliche Dauer 121,6 Minuten.
- Österreich: 21’798 Angriffe, durchschnittliche Dauer 42,3 Minuten.
- Deutschland: 277’080 Angriffe, durchschnittliche Dauer 51,0 Minuten.
Österreich hat eine ähnliche Einwohnerzahl wie die Schweiz und verzeichnete weniger als halb so viele Angriffe. Deutschland hat rund neunmal so viele Einwohner und verzeichnete nur etwa fünfmal so viele Angriffe. Pro Kopf ist die Schweiz damit das am stärksten angegriffene der drei Länder, und ihre Angriffe dauern mehr als doppelt so lange.
Die am häufigsten angegriffenen Schweizer Branchen in diesem Zeitraum waren Mobilfunkanbieter (29’638 Angriffe) und Festnetzanbieter (17’067), gefolgt von Hosting- und Datenverarbeitungsdienstleistern. Das betrifft auch alle anderen: Der DDoS-Schutz einer Bank hängt oft von einem Netz- oder Hosting-Anbieter ab, der in derselben Woche selbst unter Beschuss steht.
Der weltweite Trend zeigt in dieselbe Richtung. Der Bericht von NETSCOUT für das erste Halbjahr 2026 zählt weltweit mehr als 9,1 Millionen Angriffe, einen Anstieg von 1’286 % gegenüber dem Vorjahr bei Angriffen über 1 Tbit/s oder 1 Gpps, und Residential-Proxy-Netze, die Angriffsverkehr von gewöhnlichen IP-Adressen privater Haushalte beisteuern.
So bereiten Sie Ihre DDoS-Abwehr auf einen Grossanlass vor
Eine Institution mit einem Vertrag für DDoS-Schutz geht in der Regel davon aus, dass sie abgesichert ist. In der Woche eines Grossanlasses wird diese Annahme schliesslich auf die Probe gestellt. Die folgenden vier Fragen sollten Sie vorher beantworten.
1. Wer fängt den volumetrischen Datenverkehr ab, und wie schnell?
Reflection- und Amplification-Angriffe, wie NETSCOUT sie während des WEF beobachtet hat, sind ein Bandbreitenproblem, und Bandbreite wird vorgelagert gelöst: bei Ihrem Netzanbieter oder Ihrem Scrubbing-Dienstleister. Prüfen Sie, ob der Vertrag die Dienste abdeckt, auf die es ankommt, wie die Abwehr aktiviert wird und wer wen anruft, wenn sie nicht von selbst greift.
2. Hält die Anwendungsebene realistischem Verkehr stand?
Volumetrisches Scrubbing richtet wenig gegen Anfragen aus, die legitim aussehen. Floods aus korrekt aufgebauten HTTP-Requests, langsame Verbindungen, die Server-Worker binden, und vollständige TLS-Handshakes, die CPU verbrauchen, passieren den Netzrand bauartbedingt. Ob Ihre WAF, Ihr Rate Limiting, Ihr Load Balancer und Ihre Anwendung damit zurechtkommen, lässt sich nur mit einem Test gegen Ihre eigene Infrastruktur beantworten. Unsere Übersicht der DDoS-Angriffsarten erklärt, welche Schutzmassnahmen welche Art von Angriff erkennen.
3. Gibt es einen Prozess, um auf Warnungen zu reagieren?
Dashboards, die in einem unbeobachteten Kanal rot werden, zählen nicht. In der Woche eines Anlasses sollten Alarmierung, Eskalationswege und Pikettdienst getestet und besetzt sein, und es sollte klar entschieden sein, wer den Abwehrmodus umschalten darf.
4. Können Sie es hinterher belegen?
Für FINMA-beaufsichtigte Institute gelten die Erwartungen des Rundschreibens 2023/1 «Operationelle Risiken und Resilienz – Banken» auch in der Woche eines Grossanlasses. Ein dokumentierter Test, vorher durchgeführt, ist ein Nachweis.
Warum ein Test aus einer einzigen Quelle das falsche Ergebnis liefert
Viele Organisationen prüfen ihren Schutz mit einem Lasttest von einem einzigen Standort oder einer Handvoll Cloud-Server aus. Das Ergebnis ist beruhigend, kann aber in die Irre führen. Rate Limiting pro IP-Adresse, Bot-Erkennung und IP-Reputation erkennen eine einzelne Quelle innert Sekunden, also wirkt die Abwehr stark.
Ein Botnetz von Hacktivisten oder Verkehr, der über Residential Proxies geleitet wird, sieht anders aus. Er kommt gleichzeitig von Tausenden Adressen in vielen Ländern, und jede davon sendet nur eine überschaubare Zahl von Anfragen. Die Schutzmassnahmen, die den Test aus einer Quelle blockiert haben, greifen dann womöglich nie.
DDoS-Angriffe rund um einen Grossanlass sind keine Überraschung. Der Termin steht im Kalender, und die Behörden warnen jedes Mal davor. Offen ist nur, ob Ihre Abwehr getestet wurde, bevor jemand anderes sie testet.
Wie Obsidio die Resilienz testet
Obsidio führt kontrollierte, autorisierte DDoS-Simulationen gegen Ihre eigene Infrastruktur durch, und zwar aus einem Netz echter, verteilter Geräte: Hardware und Smartphones, keine Rechenzentrums-IPs. Dadurch sieht der Verkehr aus wie die verteilten Angriffe, die rund um Grossanlässe eintreffen, und das kann ein Test aus einer einzigen Quelle nicht nachbilden.
Nichts läuft, bevor Sie die Domain-Inhaberschaft für das Ziel über einen DNS-TXT-Eintrag nachgewiesen haben. Sie wählen einen von zehn Simulationstypen, gruppiert in Floods auf Anwendungsebene, langsame Angriffe, Verbindungserschöpfung sowie protokollspezifische oder skriptbasierte Tests, und legen dann Umfang, Geografie und Dauer fest. Die meisten Institute beginnen in einem kontrollierten Zeitfenster mit bewusst niedrig gesetzten Limits und steigern dann, und Live-Messwerte erlauben einen sofortigen Abbruch.
Das Ergebnis ist ein Bericht, der FINMA, DORA und NIS2 zugeordnet ist. Er zeigt, welche Teile der Kette gehalten haben und wo der Dienst nachgelassen hat, damit die Lücken vor dem Anlass geschlossen werden können und nicht währenddessen. Die interne Seite, also ob Ihr SIEM angeschlagen hat und ob der Pikettdienst alarmiert wurde, sehen Sie in Ihren eigenen Konsolen. Während des Testfensters sollte deshalb auch dort jemand hinschauen.
Volumetrische Reflection- und Amplification-Angriffe gehören nicht zu dem, was Obsidio simuliert. Dafür sind Ihr Netzanbieter und Ihr Scrubbing-Dienstleister zuständig. Deshalb geht es bei Frage 1 oben um den Vertrag und nicht um einen Test. Unser Leitfaden, wie Sie Ihren DDoS-Schutz testen, zeigt, wie die Teile zusammenpassen.
Der nächste Termin steht schon im Kalender
Grossanlässe werden Monate im Voraus geplant, und das nächste WEF Annual Meeting findet vom 18. bis 22. Januar 2027 statt. Damit bleibt genug Zeit, die Simulationen in einem ruhigen Zeitfenster durchzuführen, zu beheben, was nicht hält, und sie vor Beginn der Woche des Anlasses erneut durchzuführen.
Um einen Resilienztest vor einem Anlass zu planen, kontaktieren Sie uns oder schreiben Sie an [email protected].
Unabhängig, neutral, überprüfbar: Resilienz, die Sie belegen können.