TMW Shield DDoS-Schutz – Leistungsbeschreibung und Lizenzbedingungen

2.1 Der Anbieter erbringt DDoS-Schutz für die Geschützten Assets gemäß Serviceauftrag und technischer Leistungsbeschreibung (z. B. L3/L4-Volumen-Mitigation, Always-on- oder On-Demand-Modi, BGP-Umleitung, GRE/IPIP-Tunnel oder direkte Übergabe im Netz des Anbieters).

2.2 Der Service überwacht den Traffic zu den Geschützten Assets auf Anomalien und DDoS-Muster und versucht bei Erkennung, verdächtigen Traffic von Sauberem Traffic zu trennen und bösartige Flows zu verwerfen oder zu ratenbegrenzen.

2.3 Der Service ist ein Mitigations- und Risikoreduktionsdienst, keine absolute Garantie ununterbrochener Verfügbarkeit; Restauswirkungen (z. B. teilweiser Paketverlust, erhöhte Latenz, Kollateralsperrung legitimen Traffics) können während Mitigation-Ereignissen auftreten.

3.1 Der Service kann erbracht werden als:

• Zusatzleistung zu IP-Transit, Hosting oder Remote-Schutz des Anbieters, oder
• eigenständiger DDoS-Schutzdienst (z. B. Remote GRE/BGP-Scrubbing).

3.2 Ist der Service mit Netzwerk- oder Hosting-Produkten gebündelt, darf die Laufzeit dieser Leistungsbeschreibung die Laufzeit der zugrunde liegenden Konnektivitäts- oder Hosting-Vereinbarung nicht überschreiten, sofern nicht ausdrücklich schriftlich anders vereinbart.

3.3 Zusätzliche Konnektivität, Hosting oder Professional Services unterliegen ihren jeweiligen Leistungsbeschreibungen und sind nicht in diese Leistungsbeschreibung einbezogen, sofern nicht ausdrücklich referenziert.

4.1 Voraussetzung der Aktivierung ist, dass der Kunde alle für die Erbringung des Service erforderlichen technischen Informationen bereitstellt, einschließlich (je nach Anwendung) ASN, IP-Präfixlisten, BGP-Konfigurationsdetails, Tunnel-Endpunkte, Kontaktdaten und Eskalationswege.

4.2 Der Anbieter implementiert in Abstimmung mit dem Kunden die erforderliche Routing- und Filterkonfiguration, um Traffic für Geschützte Assets durch den Service zu leiten (z. B. Anpassung von BGP-Ankündigungen, statischen Routen und/oder Tunnelkonfigurationen).

4.3 Der Kunde ist verpflichtet, den Anbieter unverzüglich über wesentliche Änderungen seiner Netzwerktopologie, IP-Adressierung oder seines Routings zu informieren, die die Geschützten Assets oder die Wirksamkeit des Service beeinträchtigen können.

4.4 Testtraffic und kontrollierte Simulationen können einvernehmlich zur Validierung von Konfiguration und Erkennungsschwellen durchgeführt werden; jeder DDoS-Test oder Penetrationstest unter Einbeziehung des Service muss vorab mit dem Anbieter abgestimmt werden, einschließlich Datum, Uhrzeit und erwarteter Muster.

5.1 Sofern im Serviceauftrag nicht anders festgelegt, betreibt der Anbieter den Service auf Best-Effort-Basis mit wirtschaftlich vertretbarem Aufwand zur zeitnahen Erkennung und Mitigation von DDoS-Angriffen gemäß Branchenpraxis.

5.2 Vereinbaren die Parteien quantitative SLA-Ziele (z. B. Time-to-Detect, Time-to-Mitigate, maximale ungemilderte Angriffsgröße), werden diese im Serviceauftrag oder einem separaten SLA-Dokument festgehalten. Derartige Ziele, Service Credits und Ausschlüsse sind nur dann Bestandteil dieser Leistungsbeschreibung, wenn ausdrücklich referenziert.

5.3 Etwaige Service Credits sind der alleinige und ausschließliche Rechtsbehelf bei Nichterfüllung vereinbarter SLA-Ziele und werden als zukünftige Gutschriften (keine Barauszahlungen) gemäß den im SLA definierten Bedingungen und Anmeldeverfahren gewährt.

6.1 Der Kunde hat:

• aktuelle und korrekte technische Informationen gemäß Abschnitt 4 vorzuhalten;
• sicherzustellen, dass seine Systeme die vom Anbieter mitgeteilten Mindestanforderungen erfüllen (z. B. BGP-Fähigkeit, Tunnel-Endpunkte, Routing-Richtlinien, Firewall-Regeln); und
• einen erreichbaren 24/7-NOC- oder Notfallkontakt für DDoS-bezogene Eskalationen vorzuhalten.

6.2 Bei BGP-basierter Bereitstellung muss der Kunde die Routing-Richtlinien des Anbieters befolgen (z. B. Ankündigung bestimmter Präfixe nur über den Anbieter zum Schutz), um ordnungsgemäße Umleitung und Mitigation von Angriffstraffic sicherzustellen.

6.3 Der Kunde muss bei aktiven Vorfällen mit dem Anbieter zusammenarbeiten, einschließlich Umsetzung empfohlener Änderungen, Bereitstellung von Logs oder Paketaufzeichnungen und Freigabe temporärer Maßnahmen (z. B. temporäres Blackholing oder strengere Filterung), wenn dies zur Stabilisierung des Netzwerks erforderlich ist.

6.4 Der Kunde ist allein verantwortlich für Sicherheit, Konfiguration und Verfügbarkeit seiner eigenen Anwendungen, Betriebssysteme und Infrastrukturkomponenten, die nicht ausdrücklich Teil des Service sind (z. B. Webserver-Härtung, Application-Layer-WAF, Ratenbegrenzung auf Origin-Servern).

7.1 Der Kunde darf den Service oder die zugrunde liegende Infrastruktur nicht für rechtswidrige Zwecke oder unter Verstoß gegen geltendes Recht nutzen, einschließlich, aber nicht beschränkt auf Angriffe auf Drittsysteme, Verbreitung von Malware oder Hosting illegaler Inhalte.

7.2 Der Kunde darf nicht vorsätzlich DDoS-Traffic erzeugen oder in Auftrag geben (außer kontrollierten Tests gemäß Abschnitt 4.4) für andere Zwecke als den Schutz eigener Dienste und darf den Service nicht als DDoS-„Stresser/Booter" oder vergleichbares Angebot weiterverkaufen oder bereitstellen.

7.3 Der Anbieter kann den Service mit oder ohne vorherige Ankündigung sperren oder einschränken, wenn die Nutzung des Service durch den Kunden:

• gegen diese Leistungsbeschreibung oder den Hauptvertrag verstößt;
• ein wesentliches Risiko für die Infrastruktur des Anbieters oder Dritte darstellt; oder
• den vernünftigen und erwarteten Gebrauch erheblich überschreitet (z. B. wiederholter abnormer Traffic für nicht legitime Zwecke).

8.1 Der Service ist darauf ausgelegt, DDoS-Angriffe bis zu den im Serviceauftrag und/oder der technischen Dokumentation des Anbieters beschriebenen Schwellen und Kapazitäten zu mildern. Angriffe über diese Grenzen hinaus können zu reduzierter Wirksamkeit, Restauswirkungen oder Notfallmaßnahmen (z. B. Traffic-Blackholing) führen.

8.2 Die Wirksamkeit des Service hängt von Faktoren außerhalb der unmittelbaren Kontrolle des Anbieters ab, einschließlich Upstream-Carriern, Drittnetzwerken und dem Verhalten intermediärer Systeme auf dem Pfad zwischen Endnutzern und den Geschützten Assets.

8.3 Der Anbieter garantiert nicht die Mitigation jedes möglichen Angriffsvektors oder Zero-Downtime; ausgefeilte Angriffe, Zero-Day-Vektoren oder kombinierte Multi-Layer-Angriffe können trotz aktiver Mitigation zu teilweiser oder temporärer Unverfügbarkeit führen.

9.1 Zum Schutz der Stabilität seines Netzwerks und anderer Kunden kann der Anbieter in gutem Glauben:

• Traffic zu bestimmten Präfixen oder Protokollen temporär blockieren oder ratenbegrenzen;
• bestimmte Routen null-routen oder zurückziehen; oder
• den Service für bestimmte Geschützte Assets oder Tunnel temporär deaktivieren,

wenn dies zur Bewältigung extremer oder unerwarteter Ereignisse erforderlich ist, einschließlich, aber nicht beschränkt auf DDoS-Angriffe über die Auslegungskapazität hinaus.

9.2 Der Anbieter wird, soweit zumutbar, Notfallmaßnahmen mit dem Kunden abstimmen und den Normalbetrieb so bald wie praktikabel wiederherstellen, sobald die Situation stabilisiert ist.

9.3 Wiederholter Missbrauch oder Verstoß gegen die Regeln zur zulässigen Nutzung kann zur fristlosen Kündigung gemäß Hauptvertrag führen.

10.1 Die Vergütung für den Service (wiederkehrende Entgelte, Einrichtungsgebühren, Burst- oder Overage-Gebühren und Professional Services) ist im Serviceauftrag definiert.

10.2 Sofern nicht anders vereinbart, werden wiederkehrende Entgelte für jede Abrechnungsperiode im Voraus berechnet; variable oder verbrauchsabhängige Komponenten können nachträglich auf Basis der Messsysteme des Anbieters abgerechnet werden.

10.3 Bei Nichtzahlung oder erheblichem Zahlungsverzug kann der Anbieter den Service gemäß Hauptvertrag nach etwaiger erforderlicher Fristsetzung sperren oder kündigen.

11.1 Zur Erbringung und Verbesserung des Service kann der Anbieter Netzwerk-Telemetrie und Sicherheitsdaten zu den Geschützten Assets erheben, speichern und verarbeiten, einschließlich, aber nicht beschränkt auf Flow-Records, Paketproben, Angriffs-Fingerprints und Alert-Logs.

11.2 Soweit solche Daten personenbezogene Daten im Sinne geltenden Datenschutzrechts umfassen (z. B. IP-Adressen, die Personen zugeordnet werden können), verarbeitet der Anbieter diese als Auftragsverarbeiter oder Verantwortlicher (je nach Anwendung) gemäß Hauptvertrag und etwaigem separaten Auftragsverarbeitungsvertrag.

11.3 Der Anbieter darf aggregierte und anonymisierte Statistiken aus Angriffs- und Traffic-Daten (z. B. Angriffsvolumen-Trends, Vektoren) für Reporting, Kapazitätsplanung und Verbesserung des Service nutzen, sofern keine kundenidentifizierenden Informationen ohne Zustimmung des Kunden an Dritte offengelegt werden.

12.1 Alle Rechte des geistigen Eigentums am Service, einschließlich Filterlogik, Regelsätze, eBPF/XDP-Programme, Konfigurationsvorlagen, Management-Portale und Dokumentation, verbleiben allein beim Anbieter oder seinen Lizenzgebern.

12.2 Vorbehaltlich vollständiger Zahlung der anfallenden Entgelte und Einhaltung des Hauptvertrags und dieser Leistungsbeschreibung gewährt der Anbieter dem Kunden eine nicht-exklusive, nicht übertragbare, beschränkte Lizenz zur Nutzung des Service für die im Serviceauftrag genannte Laufzeit, ausschließlich zum Schutz der Geschützten Assets.

12.3 Der Kunde darf Software oder Filterlogik des Service nicht reverse engineeren, dekompilieren oder versuchen, den Quellcode abzuleiten, außer in dem durch zwingendes Recht zulässigen Umfang.

13.1 Die Haftungsbestimmungen des Hauptvertrags und/oder der allgemeinen Geschäftsbedingungen des Anbieters gelten für den Service.

13.2 Insbesondere und unbeschadet zwingenden Rechts kann die Haftung des Anbieters bei leichter Fahrlässigkeit auf vorhersehbare, vertragstypische Schäden beschränkt werden, und jede Haftung für mittelbare oder Folgeschäden (wie entgangenen Gewinn, Datenverlust oder Verlust des Geschäftsvertrauens) kann im gesetzlich zulässigen Umfang ausgeschlossen werden.

13.3 Der Kunde erkennt an, dass der Service darauf ausgelegt ist, die Wahrscheinlichkeit und Auswirkung von DDoS-Angriffen zu reduzieren, jedoch nicht alle Risiken ausschließt; die Zuweisung des Restrisikos und interne Business-Continuity-Maßnahmen des Kunden verbleiben in der Verantwortung des Kunden.

14.1 Die anfängliche Laufzeit des Service und etwaige Verlängerungen sind im Serviceauftrag festgelegt.

14.2 Jede Partei kann den Service gemäß den im Hauptvertrag festgelegten Kündigungsfristen und Kündigungsrechten kündigen, einschließlich aus wichtigem Grund bei wesentlicher Vertragsverletzung.

14.3 Die Beendigung des Service berührt nicht andere Leistungen, die unter separaten Aufträgen oder Leistungsbeschreibungen fortbestehen, sofern nicht ausdrücklich anders angegeben.

15.1 Sofern im Hauptvertrag nicht anders vereinbart, unterliegt diese Leistungsbeschreibung dem Recht der Bundesrepublik Deutschland unter Ausschluss der Kollisionsnormen und des UN-Übereinkommens über Verträge über den internationalen Warenkauf (CISG).

15.2 Soweit rechtlich zulässig, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dem Service der eingetragene Sitz des Anbieters.