3 min readAktualisiert 7. Mai 2026

Was ist ein ICMP Flood? Ping-Flood-DDoS-Angriffe erklärt

ICMP-Flood-Angriffe können Netzwerke überlasten. Erfahren Sie, wie sie funktionieren und wie Sie ihre Auswirkungen begrenzen.

Von SentinelOne

Was ist ein ICMP Flood? Ping-Flood-DDoS-Angriffe erklärt

ICMP-Flood-Angriffe, auch Ping Floods genannt, sind DDoS-Angriffe, die ein Ziel mit ICMP Echo Request-Paketen überlasten. Dieser Leitfaden erklärt, wie die Angriffe funktionieren, wie sie die Netzwerkleistung beeinträchtigen und wie Sie sie abwehren.

Erfahren Sie, welche Anwendungen und Techniken Angreifer nutzen und wie Sie Ihr Netzwerk vor diesen Bedrohungen schützen. Wer ICMP-Flood-Angriffe versteht, kann die Sicherheit und Verfügbarkeit seines Netzwerks besser gewährleisten.

ICMP Flood - Featured Image | SentinelOne

Was ist ein ICMP-Flood-DDoS-Angriff (Ping Flood)?

Ein ICMP Flood, auch Ping Flood genannt, ist ein DDoS-Angriff. Dabei nutzen Angreifer das Internet Control Message Protocol (ICMP), um ein Ziel mit großen Mengen Netzwerkverkehr zu überlasten. So stören sie dessen Onlinedienste und machen sie für legitime Nutzer unerreichbar.

Das Internet Control Message Protocol (ICMP) – ICMP ist ein Protokoll der Netzwerkschicht. Netzwerkgeräte wie Router und Switches nutzen es, um Fehlermeldungen und Betriebsinformationen auszutauschen. ICMP-Nachrichten wie „Destination Unreachable“ oder „Time Exceeded“ unterstützen Netzwerkadministratoren dabei, Netzwerkprobleme zu erkennen und zu beheben.
ICMP Echo Request und Echo Reply – Ein ICMP Echo Request, allgemein als „Ping“ bekannt, ist eine Nachricht, die ein Gerät an ein anderes sendet, um die Netzwerkverbindung zu prüfen. Das empfangende Gerät antwortet mit einer ICMP Echo Reply-Nachricht und bestätigt damit seine Erreichbarkeit im Netzwerk.

Wie funktioniert ein ICMP-Flood-DDoS-Angriff (Ping Flood)?

Bei einem ICMP-Flood-Angriff sendet der Angreifer sehr viele ICMP Echo Request-Nachrichten an das Ziel. Das überlastet dessen Netzwerkressourcen und Bandbreite. Das Ziel kann legitime Anfragen nicht mehr verarbeiten, sodass Dienste gestört werden oder ausfallen.

Gefälschte IP-Adressen – Angreifer verwenden bei ICMP-Flood-Angriffen häufig gefälschte IP-Adressen, um einer Erkennung und Rückverfolgung zu entgehen. Dadurch lässt sich der Ursprung des Angriffs schwerer bestimmen und Gegenmaßnahmen lassen sich schwerer einleiten.
Botnets – Angreifer können auch Botnets – Netzwerke kompromittierter Geräte, die mit Malware infiziert sind – für groß angelegte ICMP-Flood-Angriffe einsetzen. Durch den gleichzeitigen Einsatz mehrerer Geräte verstärken sie die Wirkung des Angriffs und erschweren seine Abwehr.

Techniken zur Abwehr von ICMP-Flood-DDoS-Angriffen (Ping Floods)

Mit verschiedenen Techniken und Strategien können Sie ICMP-Flood-Angriffe abwehren und Ihre Cloud-Infrastruktur vor ihren Auswirkungen schützen:

Filterung des Netzwerkverkehrs – Filterregeln erkennen und blockieren schädlichen ICMP-Verkehr, während legitime Anfragen passieren können.
Ratenbegrenzung – Eine Ratenbegrenzung begrenzt die Anzahl der ICMP Echo Request-Nachrichten, die Ihr Netzwerk empfängt. So verringert sie die Auswirkungen von ICMP-Flood-Angriffen.
Anomalieerkennung – Systeme zur Anomalieerkennung überwachen Muster im Netzwerkverkehr und erkennen ungewöhnliche Aktivitäten. Ein plötzlicher Anstieg des ICMP-Verkehrs kann beispielsweise auf einen laufenden ICMP-Flood-Angriff hinweisen.

Schützen Sie Ihre Cloud-Infrastruktur mit SentinelOne Singularity XDR

SentinelOne Singularity XDR ist eine fortschrittliche Cybersecurity-Plattform zum Schutz Ihrer Cloud-Infrastruktur.

• KI-gestützte Bedrohungserkennung – SentinelOne Singularity XDR nutzt KI und maschinelles Lernen, um Bedrohungen in Echtzeit zu erkennen und darauf zu reagieren. Die Technologie erkennt ICMP-Flood-Angriffe und andere schädliche Aktivitäten, damit Gegenmaßnahmen schnell greifen.

• Analyse des Netzwerkverkehrs – Durch die kontinuierliche Analyse des Netzwerkverkehrs erkennt SentinelOne Singularity XDR ungewöhnliche Muster und Anomalien, die auf einen laufenden ICMP-Flood-Angriff hinweisen können.

• Integrierte Endpoint- und Cloud-Sicherheit – SentinelOne Singularity XDR vereint Endpoint- und Cloud-Sicherheit auf einer Plattform. So schützt sie Ihre Infrastruktur umfassend vor ICMP-Flood-Angriffen und anderen Cyberbedrohungen.

• Automatisierte Reaktion und Behebung – SentinelOne Singularity XDR reagiert automatisch auf erkannte Bedrohungen. So begrenzt die Plattform die Auswirkungen von ICMP-Flood-Angriffen und minimiert Ausfallzeiten in Ihrem Unternehmen.

KI-gestützte Endpoint Detection and Response.

SentinelOne Singularity platform demo covering alert triage, investigation, threat hunting, and remediation using AI-assisted endpoint and cloud defense.

Open alerts are accessible from the left side menu. Selecting a ransomware alert for GPAgentInstaller.exe shows a natural language summary generated by Purple AI. Static AI identifies a ransomware file on user JeanLuc's desktop. The Graph view displays related entities, alerts, and misconfigurations, revealing that the endpoint TheBorg has multiple related alerts including a Lateral Movement alert. Purple AI summarizes the Lateral Movement alert, noting suspicious file manipulation, execution of malicious shellcode, and correlation to multiple MITRE ATT&CK indicators with severity tags.

The Storyline view organizes all atomic endpoint events into a single narrative describing the full chain of events on an endpoint. Nodes in Storyline can be expanded to show details such as command line arguments and network connections. Alert details include the detection engine that generated the alert, first-seen and last-updated timestamps, and an Alert Footprint showing how many times the malware has been seen across the organization. In this case the malware was first seen in 2024 and has impacted over 2,600 machines.

Singularity Threat Intelligence, an optional add-on, integrates Google Threat Intelligence context. Over 8,000 events were scanned with potential indicators found at 100 risk scores. The RACCOON malware family is identified as data-mining malware targeting Windows, with associated malware families and targeted industries listed. Searching for RACCOON indicators by hash in the Singularity Data Lake returns over 6,700 matching records including behavior indicators, network actions, and registry changes. Purple AI analyzes event properties and generates a summary identifying 9 defense evasion indicators.

Purple AI includes Quick Starts with pre-populated threat hunts and common support questions. Purple AI for Support is an always-on agent trained on SentinelOne technical documentation to answer administration questions. Selecting a hunt for MITRE ATT&CK T1140 (Deobfuscate/Decode Files), Purple AI automatically translates natural language into structured PowerQueries. The query returns 48 matching results in the Singularity Data Lake within the last 72 hours. Purple AI summarizes a selected event, identifying obfuscated PowerShell commands used to execute malicious code while evading detection. Purple AI also provides follow-up question recommendations to continue the hunt. A follow-up query for common T1140 indicators returns 4 results, the most common being suspicious shellcode followed by the obfuscated PowerShell command. Purple AI can generate an email summary of the hunt and supports full multilingual translation for globally dispersed SOC teams. Hunt findings can be saved as a named Notebook and shared with team members for collaborative review.

For remediation, multiple mitigation options are available and can be automated via policy to reduce attacker dwell time. The Kill action stops all running processes associated with the threat. The Quarantine action encrypts and moves threat executables to prevent further infection. The Remediate action deletes all system and file changes including persistence mechanisms. SentinelOne's 1-click Rollback restores files and configurations altered by the attacker, including files encrypted during a ransomware event. Mitigation is applied within milliseconds. Singularity Hyperautomation extends mitigation to third-party tools via customizable automation workflows with over 100 pre-built integrations for SaaS applications.

Alerts can be grouped into Incidents, either automatically through built-in correlation or manually. Incidents provide a higher-level view of all related alerts within an attack campaign and include related artifacts, assets, and all observed MITRE ATT&CK tactics. Incident names are generated automatically upon creation.

Fazit

ICMP-Flood-DDoS-Angriffe (Ping Floods) können Ihre Onlinedienste erheblich stören und die Sicherheit Ihrer Cloud-Infrastruktur gefährden. Wenn Sie diese Angriffe verstehen und wirksame Gegenmaßnahmen umsetzen, können Sie ihre Auswirkungen auf Ihr Unternehmen minimieren. Schützen Sie sich mit fortschrittlichen Sicherheitsfunktionen vor ICMP-Flood-Angriffen und anderen Cyberbedrohungen. So bleiben Ihre kritischen Systeme und Daten sicher und verfügbar.

Bleiben Sie Cyberbedrohungen einen Schritt voraus: Investieren Sie in leistungsfähige Cybersecurity-Produkte. Wenn Sie Unterstützung benötigen, kontaktieren Sie SentinelOne noch heute.

KI-gestützte Cybersicherheit

Verbessern Sie Ihre Sicherheitslage mit Echtzeit-Erkennung, maschineller Reaktion und vollständiger Transparenz Ihrer gesamten digitalen Umgebung.

Demo anfordern

Häufige Fragen zu ICMP Flood

Was ist ein ICMP-Flood-Angriff?

Bei einem ICMP-Flood-Angriff treffen massenhaft Ping-Pakete (ICMP Echo Request) auf ein Ziel. Es kann nicht mehr auf alle antworten. Da das Ziel jeden Ping verarbeiten und beantworten muss, erschöpft der Angreifer die Netzwerkbandbreite oder Systemressourcen. Ist die Flut groß genug, gehen legitime Datenpakete verloren und Dienste werden langsam oder fallen aus. Es ist, als würde jemand so laut an jede Tür klopfen, dass sich keine mehr normal öffnen lässt.

Wie funktioniert ein ICMP Flood?

Angreifer senden schnell und fortlaufend ICMP Echo Request-Nachrichten an die IP-Adresse eines Ziels. Jede Anfrage erfordert eine Echo Reply. Das Ziel verbraucht deshalb CPU-Zeit und Bandbreite für die Antworten. Übersteigt die Zahl der Anfragen die Kapazität des Hosts deutlich, wird sein Netzwerk-Stack überlastet. Pakete stauen sich, Router verwerfen neuen Datenverkehr und die Antwortzeiten steigen stark an. Die Flut hält an, bis der Angreifer aufhört oder Schutzmaßnahmen greifen.

Wie verstärken Angreifer ICMP Floods?

Um die Wirkung zu verstärken, fälschen Angreifer die IP-Adresse des Ziels und senden ICMP-Anfragen an andere Hosts. Diese antworten an die gefälschte Adresse. Jede Antwort trifft damit das Ziel. Das nennt man einen ICMP-Amplification-Angriff. Manche Router oder Server mit unzureichender Filterung antworten mit größeren Paketen und vervielfachen so den Datenverkehr. Indem der Angreifer viele solcher Hosts gleichzeitig einsetzt, verstärkt er die Flut, ohne sein eigenes Netzwerk zusätzlich zu belasten.

Was sind typische Anzeichen für einen laufenden ICMP Flood?

Der eingehende ICMP-Datenverkehr steigt plötzlich stark an—oft auf Zehntausende Pakete pro Sekunde. Netzwerk-Monitoring-Anwendungen melden möglicherweise eine hohe Auslastung von Verbindungen, ohne dass entsprechende ausgehende Datenströme vorliegen. Angegriffene Server zeigen eine steigende CPU-Auslastung bei der Verarbeitung von Pings, wachsende Paketwarteschlangen und verworfene Pakete. Nutzer bemerken Verzögerungen oder Zeitüberschreitungen. Die Flut hält oft an, bis sie gefiltert oder gedrosselt wird.

Wie wirkt sich ein ICMP Flood auf die Netzwerkleistung aus?

Während eines ICMP Floods belegen bösartige Pings die Bandbreite. Legitime Anfragen kommen dadurch nur schwer durch. Die Puffer von Routern und Switches füllen sich und die Latenz steigt. Kritische Dienste wie Webanwendungen oder VoIP können durch Zeitüberschreitungen ausfallen. Auch die CPU-Auslastung des Ziels kann durch die Verarbeitung jeder Echo-Anfrage stark steigen und Anwendungen verlangsamen. Ohne Gegenmaßnahmen kann der Paketverlust 100 % erreichen und das System praktisch offline setzen.

Welche Gegenmaßnahmen schützen vor ICMP Floods?

Begrenzen Sie auf Routern oder Firewalls die ICMP-Rate und damit die Zahl der Echo-Anfragen pro Sekunde. Konfigurieren Sie Ingress- und Egress-Filterung (BCP 38), um gefälschte Quell-IP-Adressen zu blockieren. Nutzen Sie Netzwerk-ACLs oder DDoS-Schutzdienste, um überschüssige Pings abzuweisen, bevor sie Ihr Kernnetzwerk erreichen. Aktivieren Sie in Cloud-Umgebungen Schutzmaßnahmen gegen volumetrische Angriffe. Überwachen Sie außerdem den ICMP-Datenverkehr und richten Sie Schwellenwert-Alerts ein, damit Sie schnell handeln können.

Was ist ein ICMP Flood? Ping-Flood-DDoS-Angriffe erklärt

Was ist ein ICMP-Flood-DDoS-Angriff (Ping Flood)?

Wie funktioniert ein ICMP-Flood-DDoS-Angriff (Ping Flood)?

Techniken zur Abwehr von ICMP-Flood-DDoS-Angriffen (Ping Floods)

Schützen Sie Ihre Cloud-Infrastruktur mit SentinelOne Singularity XDR