Azure

Azure DDoS Protection

Allgemeine Infos

Jede öffentliche IP in Azure ist durch die Infrastruktur-Grundabsicherung gegen DDoS-Angriffe geschützt, ohne Konfiguration und ohne Zusatzkosten. Diese Grundabsicherung schützt allerdings vor allem die Plattform und ist nicht auf das Verkehrsprofil Deiner Anwendung abgestimmt.

Azure DDoS Protection erweitert diesen Schutz in zwei kostenpflichtigen Tarifen. IP Protection wird pro geschützter öffentlicher IP aktiviert und eignet sich für wenige exponierte Adressen. Network Protection ist ein Plan, den Du mit VNets verknüpfst. Er schützt alle öffentlichen IPs in diesen Netzen und bringt zusätzlich DDoS Rapid Response (Unterstützung durch Microsoft während eines Angriffs), Kostenschutz bei angriffsbedingter Skalierung und einen Rabatt auf die WAF.

Abgrenzung: DDoS Protection wirkt auf Layer 3 und 4. Angriffe auf Anwendungsebene (Layer 7, etwa HTTP-Floods) wehrt eine Web Application Firewall auf Application Gateway oder Front Door ab.

Funktionsweise & Details

Der Schutz arbeitet mit adaptiven Profilen:

  1. Der Dienst lernt das normale Verkehrsmuster jeder geschützten öffentlichen IP und leitet daraus Schwellenwerte ab.
  2. Überschreitet der Verkehr diese Werte, startet die Abwehr automatisch und filtert schädliche Pakete am Rand des Microsoft-Netzes.
  3. Metriken, Angriffsberichte und Flow-Logs fließen in Azure Monitor und lassen sich an Log Analytics oder Microsoft Sentinel weiterleiten.
  4. Alarmregeln auf die Metrik „Under DDoS attack or not“ benachrichtigen das Team über Aktionsgruppen.

Laut Microsoft-Vergleich deckt IP Protection nur öffentliche IPs der Standard-SKU ab, Network Protection zusätzlich Basic-IPs. Beide bieten Monitoring, Layer-3/4-Abwehr, Berichte und Integration in Firewall Manager und Sentinel.

Vorteile & Nutzen

  • Abwehr ist auf Deine Anwendung abgestimmt, weil die Schwellenwerte aus dem tatsächlichen Verkehrsprofil gelernt werden.
  • Telemetrie und Angriffsberichte liefern Belege für Nachbereitung und Meldepflichten, etwa nach NIS2.
  • Network Protection begrenzt das Kostenrisiko, da Microsoft angriffsbedingte Mehrkosten für Skalierung erstattet.
  • DDoS Rapid Response gibt Dir im Ernstfall Zugriff auf Spezialisten, statt allein über Supporttickets zu arbeiten.
  • Mit IP Protection lassen sich wenige kritische IPs gezielt schützen, ohne einen Plan für ganze Netze zu buchen.

Praxisbeispiel

Ein Onlinehändler für Ersatzteile mit 120 Mitarbeitenden betreibt Shop und Händlerportal in Azure hinter Application Gateway mit WAF. Nach einem Angriff auf einen Wettbewerber prüft die IT ihr Risiko und stellt fest, dass nur zwei öffentliche IPs exponiert sind. Sie aktiviert IP Protection für beide Adressen, richtet Alarme an das Bereitschaftsteam ein und leitet die Angriffsberichte an Sentinel weiter. Die WAF bleibt für Layer-7-Angriffe zuständig, die Kosten bleiben überschaubar, weil kein Plan für das gesamte Netz nötig ist.

Worauf sollte man achten?

  • Vergleiche die Zahl der öffentlichen IPs mit den Tarifen: Ab einer größeren Zahl geschützter IPs ist Network Protection meist günstiger als IP Protection.
  • Kombiniere DDoS Protection immer mit einer WAF, da Layer-7-Angriffe nicht abgedeckt sind.
  • Lege Alarme und ein Playbook (Wer wird informiert, wer eskaliert an Microsoft) vor dem Ernstfall fest.
  • Simulationen und Lasttests sind nur mit von Microsoft zugelassenen Testpartnern erlaubt.
  • Prüfe, ob noch öffentliche IPs der Basic-SKU im Einsatz sind. IP Protection schützt diese nicht.

Lizenz & Verfügbarkeit

Grundabsicherung kostenlos für alle Azure-Ressourcen mit öffentlicher IP. IP Protection wird pro geschützter IP abgerechnet, Network Protection als Plan, abgerechnet je 100 geschützte öffentliche IPs. Rapid Response, Kostenschutz und WAF-Rabatt gibt es nur bei Network Protection. Stand: Oktober 2026.

Fazit

DDoS Protection lohnt sich für öffentlich erreichbare, geschäftskritische Dienste. Wähle den Tarif nach Zahl der IPs und Supportbedarf und kombiniere ihn mit einer WAF.

Weiterführende Links

Verwandte Artikel