Websites herunterladen, die DDoS-Guard nutzen

Über DDoS-Guard

Erreicht eine Anfrage eine geschützte Website, ist der erste Rechner, der antwortet, nicht die Website selbst. Ihr ist ein Scrubbing-Netzwerk vorgeschaltet, das den Traffic, den es für feindlich hält, abfängt und den Rest durchlässt. Die Technologie, die wir erkennen, ist also der Schutzschild und nicht der Server. So sollte man jede Zeile zu DDoS-Guard lesen. Der Anbieter steht vor der Domain, und wo die Inhalte tatsächlich liegen, ist eine eigene Frage, die unsere Erkennung nicht beantwortet.

Das Auffällige an diesem Eintrag ist die Geografie. Stand Oktober 2026 führt die Datei 260.289 Websites hinter dem Dienst, 214.679 davon verorten wir in Russland, und die Endung, die wir am häufigsten sehen, ist .ru. Eine Konzentration in diesem Ausmaß macht den Anbieter weniger zu einem Technologiesignal als zu einem Signal für regionale Infrastruktur. Der Einsatz zeigt, auf welchem Markt eine Website tätig ist, welche Zahlungs- und Supportbeziehungen für ihren Inhaber praktikabel waren und oft auch, unter welcher Rechtsordnung sich ihre Betreiber wohlfühlen.

Der Anbieter hat auch über seinen Heimatmarkt hinaus Aufmerksamkeit erregt, weil Websites, die andere Netzwerke abgelehnt oder entfernt hatten, hinter ihm wieder aufgetaucht sind. Analysten, die Missbrauchsinfrastruktur verfolgen, beobachten seine Verbreitung aus genau diesem Grund. Eine Erkennung sagt nichts über eine bestimmte Domain aus, und ein redlicher Umgang mit der Liste ist das Gegenteil von Sippenhaft. Die Liste bietet einen Bestand zum Prüfen, kein Urteil, das man an einen Namen heftet. Das Unternehmen wurde 2011 gegründet und hat um das Scrubbing herum den üblichen Schutz-Stack aufgebaut, darunter eine Web Application Firewall, TLS-Terminierung und Content-Delivery, sodass ein Kunde neben Schutz auch Performance und Bequemlichkeit einkauft.

Es gibt noch einen Grund, die Verbreitung zu messen, statt sie bloß anzunehmen. Schutzdienste werden unter Druck gekauft, meist nach einem Vorfall. Ihre Kundenlisten halten deshalb fest, wo Angriffe tatsächlich eingeschlagen sind, und nicht, wo Inhaber sie vermutet hätten. Eine Karte der Geschützten ist indirekt eine Karte der Angegriffenen, und diese Information veröffentlicht keine Website über sich selbst.

Zwei Einschränkungen wiegen hier schwerer als in den meisten Kategorien. Websites wechseln schnell zwischen Schutzanbietern, manchmal mitten in einem Angriff, manchmal wenige Tage danach. Eine Zeile ist also ein Snapshot zum Zeitpunkt des Crawls, und das Crawl-Datum zählt ebenso viel wie der Wert in der Zeile. Und weil der Proxy die Verbindung terminiert, liefert eine adressbasierte Analyse der Domain den Anbieter statt des Ursprungsservers. Dadurch verschwimmen tatsächlich unterschiedliche Konfigurationen zu einer einzigen Bezeichnung, und die Spalten zur begleitenden Infrastruktur sind für diese Domains weniger verlässlich als für Domains ohne Proxy.

Threat-Intelligence-Teams, Markenschutz-Teams, Compliance-Abteilungen, die Lieferanten überprüfen, und Forschende, die untersuchen, welche Dienste dem Web vorgeschaltet sind, brauchen alle dasselbe Material, und eine Domain-Abfrage liefert nichts davon. Mit einer herunterladbaren Liste können Sie den Bestand zählen, nach Land und Endung aufschlüsseln, mit einer bereits gepflegten Watchlist abgleichen und aufeinanderfolgende Snapshots vergleichen, um zu sehen, welche Domains hinzugekommen und welche weggefallen sind. Die Bewegung zwischen Anbietern ist in dieser Kategorie der eigentliche Befund, und sichtbar wird sie nur, wenn Sie den ganzen Datensatz besitzen statt immer nur eine einzelne Antwort.