Wer am 8. Oktober 2026 versucht hat, ubuntu.com zu öffnen, landete womöglich vor einer sehr langsamen oder gar nicht ladenden Seite. Der Grund: Canonical, das Unternehmen hinter Ubuntu, meldete einen sogenannten volumetrischen Angriff — eine klassische Flut aus automatisiertem Datenverkehr, die Server mit schierer Masse überlastet.
WAS GENAU BETROFFEN WAR — UND WAS NICHT
Laut Canonicals eigener Statusmeldung traf der Angriff gezielt die öffentlichen Webseiten: canonical.com, ubuntu.com, blog.ubuntu.com, developer.ubuntu.com sowie die Security-Notices-Seiten und die zugehörige API. Rund vier Stunden und zwölf Minuten lang waren diese Dienste zeitweise nicht oder nur sehr langsam erreichbar, bevor die Lage sich wieder normalisierte.
Für Nutzer, die tatsächlich mit Ubuntu arbeiten, war das in der Praxis kaum spürbar: Die APT-Paketquellen (verteilt über ein weltweites Spiegelserver-Netz), PPAs, der CD-Image-Server, Launchpad, der Snap Store und Ubuntu SSO liefen die gesamte Zeit über ohne Einschränkung. Wer also gerade ein System aktualisiert, ein Paket installiert oder sich über Snap eine App geholt hat, hat vom Angriff vermutlich nichts gemerkt.
SCHON DER ZWEITE GROSSE ANGRIFF IN DIESEM JAHR
Es ist nicht das erste Mal: Bereits im Mai 2026 traf ein deutlich umfangreicherer, grenzüberschreitender Angriff Canonicals Infrastruktur — damals waren zusätzlich auch Mailinglisten, Signierschlüssel-Infrastruktur und zeitweise auch Launchpad-PPAs sowie Ubuntu SSO betroffen. Canonical hat nach diesem ersten Vorfall offenbar nachgebessert: Die Infrastruktur-Härtung scheint beim zweiten Angriff gewirkt zu haben, denn diesmal blieb der Schaden auf die reinen Marketing- und Info-Webseiten begrenzt, während die eigentliche Paketversorgung durchgehend stabil blieb.
Zur Täterschaft kursiert eine Reklamation: Berichte amerikanischer Fachmedien bringen eine iranische Gruppierung namens „313 Team“ (auch als „Islamic Cyber Resistance“ bekannt) mit dem Angriff in Verbindung — diese Gruppe habe die Verantwortung für sich beansprucht. Eine offizielle Bestätigung durch Canonical selbst zu dieser Zuordnung liegt bislang nicht vor, daher gilt das vorerst als unbestätigter Anspruch und nicht als gesicherte Tatsache.
WARUM DAS AUCH FÜR SELBSTHOSTER INTERESSANT IST
Der Vorfall zeigt ein Muster, das für jeden relevant ist, der eigene Infrastruktur betreibt: Trennung zahlt sich aus. Weil Canonical Website-Hosting und die eigentliche Paket- und Software-Auslieferung technisch voneinander getrennt hat — unter anderem über verteilte Spiegelserver statt einer zentralen Quelle —, blieb der Kernbetrieb stabil, während nur die vergleichsweise unkritischen Info-Seiten litten. Wer selbst Dienste wie einen eigenen Paketspiegel, eine Nextcloud-Instanz oder einen Git-Server betreibt, kann daraus eine einfache Lehre ziehen: Kritische Dienste gehören nicht hinter denselben Eingang wie die Marketing-Webseite.
FAZIT: Ärgerlich, aber ohne echten Schaden
Der Angriff war real und für vier Stunden durchaus spürbar — aber eben nur für Website-Besucher, nicht für die eigentliche Ubuntu-Nutzung. Die gehärtete Infrastruktur nach dem Mai-Vorfall hat sich offenbar gelohnt. Wer ohnehin gerade kein Update gefahren hat, hat von dem ganzen Vorfall vermutlich überhaupt nichts bemerkt.