Kaspersky DDoS Protection Ultimate Level

Was ist im „Kaspersky DDoS Protection Ultimate Level“ enthalten?

Traffic-Sensor – Läuft in Ihrem eigenen Netzwerk oder in der Kaspersky-Cloud.
EU-Scrubbing-Zentren – Filterknoten in Amsterdam und Frankfurt entfernen Angriffsverkehr.
Always-On und On-Demand – Der Datenverkehr wird dauerhaft oder nur während eines Angriffs umgeleitet.
Emergency Response Team – Kaspersky-Spezialisten überwachen rund um die Uhr Anomalien und wehren Angriffe ab.
Berichterstattung nach einem Angriff – Schriftliche Analyse nach jedem Angriff für Ihre Vorfalldokumentation.
Wichtig – Ein Schutz für Endgeräte, Server oder E-Mail-Postfächer ist hier nicht enthalten.

Was sind die wichtigsten Vorteile von „Kaspersky DDoS Protection Ultimate Level“?

Kaspersky DDoS Protection ist ein verwalteter Cloud-Dienst, der öffentlich zugängliche Dienste während eines Denial-of-Service-Angriffs erreichbar hält. Kaspersky führt die Erkennung und Abwehr von seinem eigenen Security Operations Center aus, sodass auf Ihrer Seite keine Verwaltungskonsole erforderlich ist. „Ultimate Level“ bezeichnet die Lizenzkapazitätsstufe, während das Umleitungsschema separat als „KDP Connect“, „KDP Control“ oder „KDP Connect+“ ausgewählt wird.

Keine dedizierte Appliance – Der Sensor läuft auf einem Standard-x86-Server oder einer virtuellen Maschine.
Europäischer Scrubbing-Pfad – Der Angriffsverkehr wird in Amsterdam und Frankfurt gefiltert, nicht in Übersee.
Verwaltete Abwehr – Kaspersky-Techniker starten und optimieren die Filterung während des Angriffs.
Nicht-inline-Erkennung – Der Sensor überwacht den Datenverkehr, ohne sich in dessen Pfad zu befinden.
Zwei Umleitungsrouten – DNS-basierte oder BGP-basierte Umleitung, je nach Ihrem Netzwerk ausgewählt.
Dokumentierter Angriffsverlauf – Berichte nach dem Angriff erfassen, was wann gefiltert wurde.

Für welche Unternehmensgröße eignet sich „Kaspersky DDoS Protection Ultimate Level“?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob Sie öffentliche Dienste betreiben, die Verluste verursachen oder eine Meldepflicht auslösen, sobald sie offline gehen. Ein Unternehmen mit einer reinen Prospekt-Website benötigt keine Scrubbing-Kapazität; ein Online-Shop, ein Kundenportal, eine Zahlungsschnittstelle oder eine gehostete API hingegen schon. Die BGP-basierte Umleitung erfordert zudem einen eigenen IP-Bereich, über den die meisten kleinen Unternehmen nicht verfügen.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Wie Ausfallkosten berechnet werden und welche Massnahmen einen Ausfall tatsächlich verkürzen.

Erfüllt Kaspersky DDoS Protection Ultimate Level die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Das revidierte Informationssicherheitsgesetz (ISG) verpflichtet Betreiber kritischer Infrastrukturen seit dem 1. April 2025, Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, wobei 14 Tage Zeit bleiben, um einen zunächst unvollständigen Bericht zu vervollständigen. Dies betrifft die Energie- und Wasserversorgung, den Verkehr, Krankenhäuser, den Finanzsektor, Telekommunikation, Cloud- und Rechenzentrumsanbieter sowie kantonale und kommunale Verwaltungen, vorbehaltlich der Ausnahmegrenzen in der Cybersicherheitsverordnung. Kaspersky DDoS Protection unterstützt diese Pflicht auf konkrete Weise: Der Sensor versieht den Beginn einer Anomalie mit einem Zeitstempel, und der Bericht nach dem Angriff gibt an, was gefiltert wurde – wodurch Sie die im Berichtsformular abgefragten Angaben zu Angriffstyp, Zeitpunkt und Gegenmaßnahmen erhalten. Den übrigen Teil der Meldepflicht deckt die Lösung nicht ab, da sie lediglich den Netzwerkverkehr zu den geschützten Ressourcen erfasst und daher nicht feststellen kann, ob Daten manipuliert oder abgezogen wurden, ob der Angriff mit Erpressung einherging oder ob an anderer Stelle in Ihrer Umgebung ein unbefugter Zugriff unentdeckt blieb. Die Meldepflicht gilt zudem für die Organisation, nicht für die Software; daher muss eine Person damit beauftragt werden, die Meldung innerhalb von 24 Stunden zu erstellen, unabhängig davon, welche Tools eingesetzt werden. Dieser Text stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihrem eigenen Rechtsbeistand klären.

Erfüllt „Kaspersky DDoS Protection Ultimate Level“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt macht ein Unternehmen NIS-2-konform, da sich die Richtlinie auf organisatorische Maßnahmen und die Verantwortlichkeit des Managements bezieht und nicht auf Softwarefunktionen. NIS 2 verlangt von den betroffenen Einrichtungen die Aufrechterhaltung von Risikoanalysen und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Lieferkettensicherheit, Sicherheit bei der Beschaffung und Wartung von Netzwerk- und Informationssystemen, Verfahren zur Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung. Kaspersky DDoS Protection deckt drei dieser Bereiche ab: Es handelt sich um eine Maßnahme zur Netzwerkanwendbarkeit, es trägt zur Geschäftskontinuität bei, indem es Dienste während volumetrischer Angriffe und Angriffen auf Anwendungsebene erreichbar hält, und seine Berichte nach einem Angriff fließen in die Dokumentation der Vorfallbearbeitung ein. Es leistet keinen Beitrag zur Kryptografie, Zugangskontrolle, Bestandsverwaltung, Multi-Faktor-Authentifizierung, Mitarbeiterschulung oder zum Umgang mit Schwachstellen auf Endgeräten und Servern, und es stellt selbst einen Bestandteil der Lieferkette dar, den Ihre eigene Risikobewertung abdecken muss. Betroffene Käufer sollten diese Lizenz als eine Maßnahme innerhalb eines umfassenderen Programms betrachten und nicht als eigenständigen Baustein zur Einhaltung von Vorschriften.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei offizielle Maßnahmen bezüglich des Anbieters sind in Kraft und für eine Kaufentscheidung relevant. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 15. März 2022 eine Warnung bezüglich der Antivirensoftware von Kaspersky herausgegeben; sie ist nach wie vor veröffentlicht und fällt nach Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 nun unter § 13 des BSI-Gesetzes statt unter § 7. Das US-Handelsministerium erließ am 20. Juni 2024 eine endgültige Entscheidung, die Kaspersky die Lieferung von Cybersicherheits- und Antivirenprodukten sowie -dienstleistungen an US-Personen untersagt, wobei das vollständige Verbot am 29. September 2024 in Kraft trat, und fügte AO Kaspersky Lab, OOO Kaspersky Group und Kaspersky Labs Limited in die Entity List aufgenommen. Kaspersky vertritt den Standpunkt, dass die Warnung des BSI ungerechtfertigt sei und nicht auf einer objektiven technischen Analyse seiner Software beruhe, und verweist auf seine Transparenz und sein Audit-Programm. Beide Maßnahmen beziehen sich eher auf Antiviren- und Cybersicherheitssoftware als speziell auf diesen „Scrubbing“-Dienst, und keine der beiden Behörden hat technische Erkenntnisse zu „Kaspersky DDoS Protection“ als solchem veröffentlicht; Vergaberegeln sind jedoch in der Regel auf Anbieterebene formuliert und treffen diese Unterscheidung nicht für Sie. In der Praxis ist dies vor allem dann von Bedeutung, wenn Sie sich um öffentliche Aufträge bewerben, die deutsche Bundesverwaltung oder deren Lieferanten beliefern, US-Personen beschäftigen oder US-Tochtergesellschaften betreiben oder Fragebögen zur Lieferkette ausfüllen, in denen das Herkunftsland des Anbieters abgefragt wird. Wenn keiner dieser Punkte auf Sie zutrifft, haben die Maßnahmen möglicherweise keine operativen Auswirkungen auf Ihr Unternehmen; diese Einschätzung müssen Sie selbst vornehmen.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich beider Anbieter für Käufer, die einen Wechsel in Erwägung ziehen.

Hilft „Kaspersky DDoS Protection Ultimate Level“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und es wird zudem eine neue Frage aufwerfen, die Sie beantworten müssen. Es deckt den Bereich „Verfügbarkeit und Ausfallsicherheit“ direkt ab: Sie können angeben, dass öffentliche Dienste hinter einem verwalteten Scrubbing-Dienst stehen, dass die Erkennung rund um die Uhr von einem Anbieter-SOC aus erfolgt, dass die Abwehrmaßnahmen je nach Modell entweder automatisch oder auf Ihre Anweisung hin ausgelöst werden und dass die Filterung in EU-Einrichtungen in Amsterdam und Frankfurt stattfindet, was die anschließende Frage zum Datenstandort beantwortet. Berichte nach Angriffen liefern Ihnen datierte Nachweise anstelle bloßer Behauptungen – und genau das ist es, was die meisten Fragebögen tatsächlich verlangen. In den Blöcken „Endgeräte“, „Identität“ und „Daten“ wird nichts beantwortet: keine Antimalware-Abdeckung, kein Patch-Status, keine Verschlüsselung, keine Multi-Faktor-Authentifizierung, keine Kontrolle privilegierter Zugriffe, keine Datensicherung, keine Sensibilisierungsschulungen und kein Bestandsverzeichnis der Ressourcen. Außerdem löst dies in Fragebögen von Kunden mit US-Exposition oder Verpflichtungen im öffentlichen Sektor die Frage nach der Herkunft des Anbieters und der Sanktionsprüfung aus. Was die Lücken bei Endgeräten und der Verwaltung betrifft, ist es in der Regel kostengünstiger, innerhalb des Kaspersky-Portfolios zu bleiben, als verschiedene Anbieter zu mischen, da der Betrieb einer Konsole und eines Supportvertrags weniger kostet als der von zwei; die Frage nach der Herkunft des Anbieters lässt sich hingegen nicht durch einen Wechsel der Edition lösen und muss auf der Grundlage der Sachlage beantwortet werden.

Was ist der Unterschied zwischen KDP Connect, KDP Control und KDP Connect+?

Der entscheidende Unterschied besteht darin, wer die Abwehrmaßnahmen einleitet und wie schnell der Datenverkehr umgeleitet werden kann: Bei Connect und Connect+ beginnt die Abwehr automatisch, sobald das SOC einen Angriff erkennt, während Sie bei Control selbst entscheiden, wann die Filterung startet – was für Organisationen geeignet ist, deren Änderungsrichtlinien keine automatische Umleitung zulassen. Der zweite Unterschied besteht in der Umleitungsmethode: DNS-basiert bei „Connect“ und BGP-basiert bei „Control“ und „Connect+“; für die BGP-Ankündigung müssen Sie Ihren eigenen IP-Bereich verwalten. Beachten Sie, dass es sich bei diesen drei Optionen um Bereitstellungsmodelle handelt, nicht um Kapazitätsstufen; die „Ultimate-Stufe“ beschreibt die lizenzierte Scrubbing-Kapazität und wird zusätzlich zum Modell ausgewählt. Die jeder Stufe zugewiesene reservierte Bandbreite sollte anhand der aktuellen Preisliste für Ihre Region überprüft werden und nicht aus Angaben für andere Märkte abgeleitet werden.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Der Dienst steht US-Personen nicht zur Verfügung: Das Verbot des Handelsministeriums gilt für US-Bürger und Personen mit Wohnsitz in den USA, unabhängig von ihrem Aufenthaltsort. Daher muss ein Schweizer oder EU-Konzern mit einer US-Tochtergesellschaft oder Mitarbeitern in den USA vor Vertragsunterzeichnung prüfen, inwieweit er davon betroffen ist. Kaspersky betreibt seine Reinigungszentren in Amsterdam und Frankfurt; es gibt also keine Reinigungsanlage in der Schweiz, und der Schweizer Datenverkehr wird im Falle eines Angriffs innerhalb der EU gefiltert – dies ist der Punkt, der in den meisten Schweizer Datenschutzprüfungen als Erstes angesprochen wird. Der Schutzumfang endet am Netzwerkrand: Alles auf Ihren Endgeräten, Servern und E-Mail-Postfächern fällt nicht darunter, sodass eine Ransomware-Infektion oder ein kompromittiertes Administratorkonto von dieser Lizenz nicht abgedeckt ist. Kaspersky listet WAF, Bot-Schutz und Caching als separate Technologien innerhalb der DDoS-Schutz-Produktreihe auf; ob diese Teil Ihres spezifischen Pakets sind, sollte schriftlich mit dem Vertriebspartner abgeklärt werden und nicht allein aus der Produktseite abgeleitet werden. Die häufigsten Zusatzkäufe sind Endgeräteschutz und ein WAF, in dieser Reihenfolge.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Warum Schutz auf Netzwerkebene eine ordnungsgemäße Endgerätesicherheit auf Arbeitsstationen und Servern nicht ersetzen kann.

Häufig gestellte Fragen zu Kaspersky DDoS Protection Ultimate Level

Müssen wir unsere privaten SSL-Schlüssel herausgeben?

Nicht unbedingt. Kaspersky bietet die Filterung von HTTPS-Datenverkehr ohne Offenlegung des SSL-Zertifikats an; und wo eine gemeinsame Nutzung von Zertifikaten nicht möglich ist, besteht die Alternative in einem lokalen Sensor in Ihrer eigenen Infrastruktur, wobei der Datenverkehr über GRE-Tunnel oder dedizierte Leitungen zurückgeleitet wird. Klären Sie vor Vertragsunterzeichnung, welche der beiden Optionen auf Ihre Konfiguration zutrifft, da dies ausschlaggebend dafür ist, was Ihre Sicherheitsprüfung genehmigen muss.

Befindet sich der Sensor im Pfad unseres Produktionsdatenverkehrs?

Nein. Der Sensor arbeitet nicht inline: Er beobachtet den Datenverkehr und erstellt Verhaltensprofile, ohne ihn abzufangen. Daher führt ein Sensorausfall nicht zu einem Ausfall Ihrer Dienste, wie es bei einer Inline-Appliance der Fall sein kann. Er läuft auf einem Standard-x86-Server oder einer virtuellen Maschine oder alternativ in der DDoS-Protection-Cloud von Kaspersky.