Definitie
DDoS staat voor Distributed Denial of Service: een aanval waarbij grote aantallen apparaten tegelijkertijd verkeer naar een doelwit sturen om het onbereikbaar te maken. Niet om binnen te dringen, maar om de stekker eruit te trekken. De server, website of dienst raakt overbelast en valt uit voor echte gebruikers.
Het “distributed” deel maakt het lastig: het verkeer komt vaak van duizenden besmette apparaten over de hele wereld, soms inclusief koelkasten, routers en bewakingscamera’s die onderdeel zijn van een botnet. Er valt geen enkele bron uit te schakelen, want de bron is gespreid en wisselt continu.
Waarom het ertoe doet voor MKB
Vroeger waren DDoS-aanvallen voorbehouden aan banken en grote platformen. Dat tijdperk is voorbij. Aanvalsdiensten zijn online te huren voor een paar tientjes, en MKB-bedrijven worden steeds vaker doelwit, soms door concurrenten, soms door afpersers, soms uit baldadigheid. De drempel om te starten is lager dan de drempel om je te verweren.
Voor een webshop is een dag uit de lucht direct omzetverlies plus reputatieschade. Voor een SaaS-leverancier breekt het SLA’s, voor een installatiebedrijf met een online portal storten klantcontacten in. Tijdens spitsdagen (Black Friday, prijswijzigingen, productlanceringen) is de schade onevenredig groter dan tijdens een rustige dinsdagavond.
Concreet voorbeeld
Een webshop voor sportartikelen draaide een grote campagne in de aanloop naar december. Een dag voor de actie begon, ging de site offline door een DDoS-aanval die ruim 14 uur aanhield. Vermoedelijke afperser eiste €2.500 in cryptocurrency om de aanval te stoppen. Directe omzetderving: circa €38.000, plus de campagnekosten die zonder bestemming verdampten.
Na het incident verhuisde de site achter een DDoS-beschermingsdienst (CDN met ingebouwde filtering) voor €120 per maand. Het verkeer wordt nu gefilterd voordat het de eigen servers bereikt en automatische detectie schaalt op bij verdachte pieken. Twee maanden later kwam een vergelijkbare aanval terug, deze keer met meer volume, en bleef de site online. De ondernemer noemt het achteraf “verzekeringspremie waar je tenminste iets ziet gebeuren”.
Misverstanden en valkuilen
- “Onze hosting heeft toch wel DDoS-bescherming.” Soms wel, vaak niet, of pas vanaf een hoger pakket. Lees de kleine letters: standaard wordt vaak alleen het hostingplatform beschermd, niet jouw individuele site.
- “Een grotere server lost het op.” Schalen helpt tegen een drukke dag, niet tegen een gerichte aanval. Aanvallers schalen mee en zijn vaak goedkoper uit dan jij.
- “Wij zijn te klein voor zo’n aanval.” Dat is precies wat de meeste slachtoffers achteraf zeggen. Geautomatiseerde aanvalsdiensten zoeken niet op grootte, ze zoeken op kwetsbaarheid en betaalbereidheid.
- “Een firewall stopt DDoS.” Een klassieke firewall raakt zelf overbelast door het volume. DDoS-bescherming hoort bovenop het netwerk te zitten (cloud-laag), niet als laatste verdediging op de eigen server.
Wanneer moet je hiervan wakker liggen, wanneer niet
Wakker liggen: als omzet of dienstverlening direct afhankelijk is van een continu bereikbare website, portal of API. Een webshop, online boekingsysteem, klantenportal of SaaS-product hoort DDoS-bescherming in de basis te hebben. Helemaal bij seizoenspieken of campagnes wordt het verschil tussen wel en niet beschermd snel pijnlijk concreet.
Niet wakker liggen: als jouw bedrijf een eenvoudige etalage-website heeft zonder transacties en zonder operationele afhankelijkheid. Een dag uit de lucht is dan vervelend, geen ramp. Een standaard CDN met basisfiltering volstaat doorgaans en kost weinig.
Gerelateerde termen
- CDN: content delivery netwerk dat naast snelheid ook DDoS-filtering aan de rand van het internet biedt.
- SLA: afspraken over beschikbaarheid die door DDoS-aanvallen onder druk komen te staan.
- Cloud computing: cloud-platforms hebben vaak ingebouwde DDoS-bescherming die on-premise systemen missen.
- Penetration testing: aanvullende toets op de weerbaarheid van jouw platform, breder dan alleen volumetrische aanvallen.
- NIS2: voor bepaalde sectoren wordt aantoonbare bescherming tegen verstoringen verplicht.