Hvad betyder “DDoS” – og hvorfor spørgsmålet ikke er helt simpelt

DDoS står for Distributed Denial of Service. Det er en situation, hvor mange kilder sender trafik eller laver forespørgsler med det formål (eller den virkning), at en tjeneste bliver utilgængelig eller væsentligt forringes. Det afgørende for juraen er ikke kun hvem der “ejer” målet, men også hvordan handlingen påvirker netværk, tjenester og eventuelle tredjeparter.

Selv hvis du bruger dit eget udstyr, dit eget domæne eller dine egne konti, kan testen stadig blive vurderet som skadelig eller som misbrug, hvis den forstyrrer drift, rammer andre systemer via forbindelser, eller ligner handlinger, der normalt er forbudt.

Hvornår kan “DDoS mod dig selv” blive ulovligt

Som udgangspunkt er det ofte ikke lovligt at udføre bevidst tjenestenægtelse eller at sende trafik med henblik på at gøre en tjeneste utilgængelig, medmindre der er en gyldig retlig hjemmel eller et tydeligt samtykke.

Der er flere typiske grunde til, at en “selvtest” kan ende som et problem:

  • Manglende samtykke fra dem, der reelt påvirkes. Hvis din tjeneste kører på infrastruktur, du ikke fuldt ud kontrollerer (fx hos en tredjeparts leverandør), kan leverandørens vilkår og regler stadig være relevante.
  • Driftsforstyrrelser. Selv interne eller korte afbrydelser kan give ansvar, hvis de påvirker tilgængelighed, brugerdata, sikkerhed eller andre systemer.
  • Tredjepartsnetværk og routing-effekter. Trafik kan i praksis passere andre net end dem, du forestiller dig, og der kan opstå uønsket effekt.
  • Adfærd, der ligner angreb. Juridisk vurdering kan tage udgangspunkt i handlingens karakter. “Det var for at teste” ændrer ikke nødvendigvis vurderingen, hvis teknikken og virkningen ligner et DDoS-angreb.

Da der ikke er angivet en bestemt lovtekst her, bør du regne med, at lovligheden varierer efter land og konkrete omstændigheder.

Hvornår kan det være lovligt (eller i hvert fald mindre risikabelt)

Lovlighed afhænger typisk af, om du har en klar og lovlig ramme for testen. Det kan i praksis handle om:

  • Test i et kontrolleret miljø, hvor der ikke påvirkes eksterne tjenester eller rigtige brugere (fx et lokalt lab, en isoleret testopsætning eller et separat staging-miljø).
  • Samtykke og kontraktmæssig accept, hvis noget drives via en tredjepart. I så fald er det ikke nok, at du “har adgang”; der skal være en aftalt ret til at udføre belastningstests på den måde.
  • Proportionalitet og sikkerhed: Du tester uden at skabe unødig afbrydelse, uden at udløse brede netværkseffekter, og med tydelige grænser for varighed og omfang.

Hvis din test er designet som en legitim belastnings- eller robusthedstest i et miljø, der er lavet til formålet, er risikoen typisk lavere end ved “angrebsteknikker” mod et fungerende system.

Eenvoudigt model til afgrænsning: “hvem påvirkes?” og “hvad er virkningen?”

Brug en enkel kontrolmodel, før du overvejer noget, der ligner DDoS:

  1. Hvilke systemer påvirkes? Kun dit eget isolerede lab, eller også produktion, hosting eller netværk med tredjeparter?
  2. Hvad er den forventede virkning? En målbar performance-test i et kontrolleret miljø, eller utilgængelighed/tab af respons.
  3. Har du hjemmel eller samtykke? Ejer du infrastrukturen fuldt ud, eller er der en aftalt ret til at udføre netværksbelastning?
  4. Hvordan ligner det et angreb? Hvis du bruger teknikker, der typisk forbindes med DDoS, kan den juridiske vurdering blive mere restriktiv.

Jo flere svar der peger på kontrolleret miljø og begrænset, planlagt påvirkning, desto bedre står du. Jo tættere på reelle tjenestenægtelseshandlinger mod et driftssystem, desto større er den juridiske og praktiske risiko.

Hvad du kan gøre i stedet for “DDoS” for at teste modstandsdygtighed

Hvis målet er at forstå, hvor robust en tjeneste er, findes der ofte mere passende og mindre risikable testformer:

  • Belastnings- og performance-tests i staging for at måle kapacitet og flaskehalse.
  • Failover- og resistensøvelser i et kontrolleret setup (fx skaleringsadfærd, timeouts og køhåndtering).
  • Rate limiting og kapacitetsplanlægning i stedet for at skabe utilgængelighed.

I den virkelige verden kan “DDoS mod dig selv” være svært at skelne fra et angreb, især hvis teknikken og virkningen er den samme. Derfor er det ofte bedre at bruge metoder, der er målrettet robusthed og belastningskontrol.

Hvis du vil have et sikkert svar i din konkrete situation, bør du sammenholde din plan med den relevante lovgivning i dit land samt de vilkår, der gælder for den infrastruktur, du faktisk bruger—og overveje juridisk rådgivning.