Erste Störungen meldeten Nutzer am Dienstag gegen 18 Uhr UTC. Rund eine Stunde später erklärte Threema zunächst, nach damaligem Kenntnisstand liege die Ursache in einem Netzwerkausfall beim Colocation-Partner. Etwa drei Stunden danach teilte das Unternehmen mit, man arbeite daran, alle Dienste wiederherzustellen, nachdem der Partner gemeldet habe, das Netzwerkproblem sei behoben.
Am folgenden Tag berichteten Nutzer aus der Schweiz, Indien und China weiterhin von Ausfällen, obwohl die Statusseite von Threema keine Probleme anzeigte. Kurz darauf bestätigte das Unternehmen jedoch, dass eine Serie von DDoS-Angriffen abgewehrt werde, und warnte vor weiteren zeitweiligen Unterbrechungen.
Threema beschreibt die Angriffe als so groß angelegt, dass sie sowohl den Messenger-Dienst selbst als auch den Colocation-Partner Nine trafen. Normalerweise ließen sich DDoS-Angriffe ohne spürbare Auswirkungen abwehren, weil Schutzmechanismen ihre Reaktion an die Angriffsmuster anpassen, erklärte das Unternehmen. In diesem Fall sei die Verteidigung aber besonders anspruchsvoll gewesen, weil die Attacken über längere Zeit anhielten und der Bedrohungsakteur seine Vorgehensweise fortlaufend verändert habe, um Gegenmaßnahmen zu umgehen.
Nach Darstellung des Anbieters war der Dienst deshalb am Dienstagabend und Mittwochmorgen „vorübergehend nicht verfügbar oder nur teilweise verfügbar“. Unklar bleibt laut Threema, ob der Dienst selbst das primäre Ziel war oder ob die Angriffe gleichzeitig auf mehrere Ziele gerichtet waren.
Erschwert wurde die Lage durch ein von den DDoS-Angriffen unabhängiges technisches Problem: Die aktuelle Systemstatus-Seite ließ sich nicht aktualisieren. Threema nahm sie deshalb vorübergehend vom Netz, bis der Fehler behoben war. Geschäftskunden, die Threema Work nutzen, wurden laut Unternehmen am Mittwochmorgen per E-Mail über die instabile Lage informiert. Zudem hätten Account-Manager auf Anfragen hin über den aktuellen Stand Auskunft gegeben.
Threema ist ein kostenpflichtiger Messenger des gleichnamigen Schweizer Technologieunternehmens und setzt nach eigenen Angaben stark auf Sicherheit und Datenschutz. Der Dienst nutzt eine eigene Serverinfrastruktur an verschiedenen Standorten in der Schweiz und wirbt damit, keine Werbung, kein Profiling und keine versteckten Datenauswertungen einzusetzen.
Um ähnliche Vorfälle künftig abzufedern, hat das Unternehmen nach eigenen Angaben zusätzlich einen spezialisierten DDoS-Schutz eingeführt. Dieser soll Angriffsverkehr bereits vorgelagert filtern und so die Last auf der eigenen Infrastruktur reduzieren.