Wat is een DDoS-aanval? Uitleg en bescherming

Een DDoS-aanval is een poging om een website, online dienst of internetverbinding onbereikbaar te maken door die te overspoelen met verkeer uit veel bronnen tegelijk. DDoS staat voor distributed denial of service: de dienst wordt geweigerd aan de mensen die hem nodig hebben. Komt het verkeer uit één bron, dan heet het een DoS-aanval.

Zo’n aanval is hinderlijk, maar het is geen inbraak. Er wordt niet in uw systemen ingebroken en er worden geen gegevens gestolen, zo benadrukken ook de Rijksoverheid en het NCSC. Het risico zit in uitval: klanten die niet kunnen bestellen, en medewerkers die niet bij hun applicaties kunnen.

Hieronder leest u hoe een aanval werkt, welke soorten er zijn, waarom organisaties doelwit worden en hoe u zich voorbereidt. DDoS is een van de vormen van cybercrime waarbij voorbereiding het grootste verschil maakt.

Hoe een DDoS-aanval werkt

Elke server en elke internetverbinding heeft een beperkte capaciteit. Bij een DDoS-aanval sturen veel apparaten tegelijk verkeer naar hetzelfde doel, soms duizenden. Zo raakt die capaciteit vol, en komen echte bezoekers er niet meer doorheen.

Die apparaten zijn meestal niet van de aanvaller. Het zijn computers, camera’s, routers en andere internetapparatuur die met malware zijn besmet en samen een botnet vormen: een netwerk dat op afstand wordt aangestuurd. De eigenaren merken er vaak niets van.

Een aanval uitvoeren vraagt weinig kennis. Er zijn criminele diensten die DDoS-aanvallen op bestelling uitvoeren, volgens het NCSC soms compleet met een eigen helpdesk. Daardoor kan ook een organisatie zonder bekende vijanden een keer doelwit worden.

Drie soorten DDoS-aanvallen

Het NCSC maakt onderscheid tussen een aanval op uw internetverbinding en een aanval op uw website of webapplicatie. Technici splitsen de eerste vaak nog in tweeën, zodat er drie soorten ontstaan.

• Volumetrisch. De aanval vult de bandbreedte: de hoeveelheid data die tegelijk over uw verbinding kan. Alles wat over die verbinding loopt, valt dan weg.
• Protocol. De aanval misbruikt de manier waarop netwerkverbindingen worden opgezet. Daardoor raakt apparatuur als firewalls en verdelers van verkeer (load balancers) overbelast.
• Applicatielaag. De aanval richt zich op één onderdeel van uw website, zoals een inlogpagina of zoekfunctie, met verkeer dat op gewoon bezoek lijkt. Er is weinig verkeer voor nodig, en het is lastig te herkennen.

Waarom organisaties doelwit worden

De motieven lopen uiteen. De Nationale Anti-DDoS-Coalitie noemt persoonlijke motieven, zoals verveling of wrok van een oud-medewerker, financiële motieven en politieke of ideologische motieven. In de praktijk ziet u vooral deze vier.

• Afpersing. Criminelen dreigen met een aanval tenzij u betaalt. De politie adviseert daar nooit op in te gaan.
• Hacktivisme. Groepen die met aanvallen een politiek punt willen maken. Rond de NAVO-top in juni 2025 waren een tiental Nederlandse organisaties doelwit, waaronder gemeenten, meldde de Rijksoverheid. Een pro-Russische groep eiste de aanvallen op. Volgens het NCSC bleef de impact beperkt.
• Concurrentie of wrok. Een aanval die is ingehuurd tegen een concurrent, of uitgevoerd door iemand met een persoonlijke rekening.
• Afleiding. Volgens de politie gebruiken criminelen een DDoS-aanval soms als afleiding, bijvoorbeeld om ondertussen via phishing gegevens buit te maken.

Een aanval zegt dus weinig over hoe goed uw beveiliging is. Ook goed beveiligde organisaties worden doelwit. Het verschil zit in hoe snel ze weer bereikbaar zijn.

De gevolgen van een DDoS-aanval

De directe gevolgen zijn een trage of onbereikbare website, een webshop waar niemand kan afrekenen of medewerkers die niet bij hun applicaties kunnen. Hoe groot de schade is, hangt af van hoe afhankelijk u bent van wat er onbereikbaar wordt.

Voor een organisatie die vooral offline werkt en een website als visitekaartje heeft, blijft de impact meestal beperkt. Voor een webshop, een online platform of een organisatie die klanten via een portaal bedient, ligt dat anders. Valt de verbinding van uw kantoor zelf weg, dan ligt ook het werk stil dat via de cloud loopt.

Daarom hoort DDoS thuis in uw plan voor bedrijfscontinuïteit. Bepaal welke diensten bereikbaar moeten blijven, hoe lang ze mogen uitvallen en wat u doet als dat gebeurt. Valt u onder de Cyberbeveiligingswet (CBW), dan kan langdurige uitval bovendien een significant incident zijn dat onder de NIS2 meldplicht valt.

Bescherming tegen een DDoS-aanval

Een DDoS-aanval is niet te voorkomen, maar wel af te slaan. Het meeste werk gebeurt buiten uw eigen netwerk. De meeste routers en firewalls kunnen maar beperkt iets doen tegen zo’n aanval, schrijft het NCSC. U bent dus afhankelijk van uw internetaanbieder of hostingpartij, en daar begint de bescherming.

• Weet wat cruciaal is. Bepaal welke onderdelen van uw dienstverlening echt bereikbaar moeten blijven, en waar die kwetsbaar zijn.
• Leg de verantwoordelijkheid vast. Check wat u met uw internetaanbieder, hostingpartij en IT-leverancier heeft afgesproken over DDoS-bescherming. Wie grijpt in, hoe snel, en wat valt er buiten het contract?
• Laat verkeer filteren. Een wasstraat, ook wel scrubbing genoemd, leidt verkeer tijdens een aanval langs speciale apparatuur. Alleen schoon verkeer komt daarna bij u aan.
• Maak websites schaalbaar. Een content delivery network (CDN) serveert uw website vanaf servers verspreid over de wereld. Zo’n netwerk vangt een deel van de aanvallen op voordat ze uw server bereiken.
• Bescherm de applicatielaag. Begrens het aantal verzoeken per bezoeker en zet een webapplicatiefirewall in, die verdachte verzoeken aan uw website tegenhoudt.
• Houd het verkeer in de gaten. Hoe eerder u een aanval ziet, hoe sneller u de juiste mensen belt. Dat kan met security monitoring.

Wat u doet tijdens een DDoS-aanval

Signalen zijn een traag of onbereikbaar netwerk, een verbinding die wegvalt, of een website waarop bijvoorbeeld inloggen niet meer werkt. Uw IT-leverancier ziet daarbij vaak ongewone pieken in het verkeer.

Neem bij een aanval op uw verbinding direct contact op met uw internetaanbieder, die het verkeer vaak kan omleiden of filteren. Gaat het om uw website, bespreek dan met uw hostingpartij of IT-leverancier of de capaciteit tijdelijk omhoog kan en welke filters aan kunnen. Bewaar de logbestanden van het netwerkverkeer, want die zijn nodig voor onderzoek.

Kijk ook verder dan de aanval zelf. Een DDoS-aanval kan als afleiding dienen, dus controleer tegelijk of er niets anders gebeurt, zoals verdachte inlogpogingen of phishingmails. Ziet u dat wel, volg dan de stappen uit gehackt, wat nu.

Een DDoS-aanval is strafbaar, dus doe aangifte bij de politie. Informeer klanten intussen via kanalen die niet afhangen van de getroffen dienst, zoals mail of social media.

Een draaiboek maken en oefenen

Een deel van de maatregelen is niet op korte termijn te regelen, schrijft het NCSC. Een contract voor een wasstraat of een CDN sluit u niet af terwijl de aanval loopt. Daarom loont het om vooraf een kort draaiboek te maken.

Daarin staat wie de aanval vaststelt en wie de internetaanbieder en hostingpartij belt, met welk nummer. Ook staat erin welke diensten voorrang hebben en wie de klanten informeert. Zo’n draaiboek past goed in uw incident response plan.

Oefen het draaiboek ook. In Nederland doen overheid, internetaanbieders en banken dat samen in de Nationale Anti-DDoS-Coalitie. Dat samenwerkingsverband van twintig organisaties deelt kennis en kenmerken van aanvallen. Ook oefent het minstens één keer per jaar met echte DDoS-aanvallen, onder gecontroleerde omstandigheden. Voor uw eigen organisatie volstaat een kleinere versie: een cybercrisisoefening waarin u het scenario één keer doorloopt.

Veelgestelde vragen over een DDoS-aanval

Kan een DDoS-aanval gegevens stelen?

Nee. Zo’n aanval maakt een dienst onbereikbaar, maar er wordt niet ingebroken. Wel kan hij dienen als afleiding voor iets anders, zoals phishing. Controleer daarom tijdens een aanval ook of er verder niets gebeurt.

Is een DDoS-aanval strafbaar?

Ja. Ook dit is een vorm van cybercrime en dus strafbaar. Doe aangifte bij de politie en neem de logbestanden en een tijdlijn van de aanval mee.

Hoe lang duurt een DDoS-aanval?

Dat verschilt sterk. Sommige aanvallen duren minuten, andere komen in golven terug over meerdere dagen. Rond de NAVO-top verwachtte het NCSC bijvoorbeeld dat de aanvallen dagen zouden aanhouden. Ga er bij uw voorbereiding dus niet van uit dat het na een uur voorbij is.

Wat is het verschil tussen een DoS- en een DDoS-aanval?

Bij een DoS-aanval komt het verkeer uit één bron, bij een DDoS-aanval uit veel bronnen tegelijk, vaak besmette apparaten in een botnet. Eén bron is makkelijker te blokkeren. Bij duizenden bronnen is blokkeren op afzender meestal niet genoeg.

Kunnen wij een aanval zelf tegenhouden?

Meestal niet met alleen uw eigen apparatuur. Routers en firewalls kunnen maar beperkt iets doen als de verbinding zelf volloopt. U bent dus afhankelijk van uw internetaanbieder, hostingpartij of een filterdienst. Maak die afspraken daarom vooraf.