Hoe kan dit dan?
Hebben ze niet meer genoeg firewall capaciteit om dit op te vangen?

Een DDoS aanval wordt voor zover ik weet niet gedetecteerd als netwerkverkeer waarbij een Firewall in actie komt.
Het zijn zéér veel adresseringen tegelijkertijd vanaf evenzoveel IP adressen (zombies) gericht op een (1) IP adres.

Kent Nederland locale CDN's?

Die firewall heeft een verbinding met het internet die een bepaalde bandbreedte heeft. Als de aanval meer verkeer op de verbinding afvuurt dan die bandbreedte aankan dan zit het lijntje vol en komt legitiem verkeer er nauwelijks of niet meer tussen, ongeacht wat de firewall er vervolgens mee doet. Verkeer dat door de firewall wordt tegengehouden moet nog steeds eerst over die lijn om de firewall te bereiken en consumeert dus bandbreedte.

Om dan een DDOS-aanval tegen te houden heb je voorzieningen nodig die je niet zelf op je eigen firewall regelt maar die op netwerkniveau zijn ingericht. Partijen als Cloudflare bieden dat soort diensten, en een kleine zoekactie leert dat bijvoorbeeld KPN en Odido dat ook doen. Hoe goed die allemaal zijn overzie ik niet, dat is niet mijn vakgebied.

Bedenk dat de eerste D in DDOS voor "Distributed" staat. Daar wordt mee bedoeld dat de aanval gedistribueerd wordt over een enorm aantal aanvallende computers, die ieder voor zich een beperkte bandbreedte hebben op hun internetverbinding en ieder voor zich het slachtoffer niet plat zouden weten te krijgen, maar bij elkaar opgeteld hebben ze een gigantische bandbreedte tot hun beschikking en kunnen ze de bandbreedte die het slachtoffer heeft totaal overrompelen.

meestal heb je veeel meer bandbreedte nodig om een aanval af te slaan
als je een filter op amsix zou kunnen zetten die verkeer wat slimmer doorlaat kun je een bypass maken voor legitiem vs ddos verkeer als je dat kan identificerenc

Moderne ddos kan makkelijk enkele 10-tallen 100derden Gbps verkeer genereren Cloudflare heeft in 2024 een ddos aanval van 5.6Tbps kunnen filteren daar doe je als eindpunt met 1Gbps niets tegen... je ISP waarschijnlijk ook niet.