DNS-Schutz

Was ist DNS-Schutz?

DNS-Schutz ist die Gesamtheit der Maßnahmen, die das Domain Name System vertrauenswürdig und verfügbar halten: die Einträge Ihrer Domain vor Manipulation schützen, dafür sorgen, dass Resolver echte Antworten liefern, Nameserver unter Last erreichbar halten und Abfragen auf bekannte schädliche Domains filtern. DNS übersetzt Namen wie example.com in IP-Adressen; wird es gekapert, vergiftet oder ist nicht erreichbar, landen Nutzer auf dem falschen Server oder nirgends. Keine einzelne Funktion deckt alles ab, jede Maßnahme adressiert ein Risiko.

Was schiefgehen kann

• DNS-Hijacking: Ein Angreifer ändert Ihre Einträge oder die Nameserver-Delegation, meist über gestohlene Zugangsdaten bei Registrar oder DNS-Anbieter, und leitet Verkehr auf eigene Server um.
• Cache Poisoning: Gefälschte Antworten landen im Cache eines Resolvers, sodass dessen Nutzer bis zum Ablauf des Eintrags auf die falsche Adresse geschickt werden.
• Angriffe auf die Verfügbarkeit: Abfrageflut überlastet Nameserver oder wird auf ein Opfer reflektiert. Siehe DNS-DDoS-Angriffe und DNS-Amplification-Angriffe.
• Schädliche Abfragen: Nutzer oder Schadsoftware lösen Phishing-, Malware- oder Command-and-Control-Domains auf.
• Mithören: Klartext-DNS-Abfragen sind auf dem Netzwerkpfad lesbar.

Maßnahmen: was jede leistet und was nicht

Das Konto schützen, das Ihre Einträge ändert

Die CISA-Warnung zum DNS-Infrastruktur-Hijacking empfiehlt, Passwörter von Konten zu ändern, die DNS-Einträge ändern dürfen, Multi-Faktor-Authentifizierung bei Registrar-Konten zu aktivieren, öffentliche DNS-Einträge zu prüfen und nach für Ihre Domains ausgestellten Zertifikaten zu suchen (CISA AA19-024A). Eine Registry- oder Registrar-Sperre schützt zusätzlich vor unbefugten Transfers oder Änderungen.

DNSSEC

DNSSEC signiert DNS-Daten, sodass validierende Resolver prüfen können, woher eine Antwort stammt und dass sie nicht verändert wurde (RFC 4033). Es belegt auch, dass ein Name nicht existiert. Es bietet keine Vertraulichkeit, und RFC 4033 hält fest, dass es keinen Schutz vor Denial-of-Service-Angriffen bietet. Auch Hijacking über ein gestohlenes Konto verhindert es nicht, weil der Angreifer gültig signierte Einträge veröffentlichen kann.

Verschlüsseltes DNS (DoH und DoT)

DNS over HTTPS (RFC 8484) und DNS over TLS (RFC 7858, Port 853) verschlüsseln Abfragen zwischen Client und Resolver und verhindern so Mithören und Manipulation auf dem Pfad. Die Antwort selbst validieren sie nicht: RFC 8484 weist darauf hin, dass DoH keine Integrität der Antwort bietet und DNSSEC ein eigener Mechanismus ist. Der Resolver-Betreiber sieht Ihre Abfragen weiterhin.

Resolver härten

Wer einen rekursiven Resolver betreibt, sollte ihn nicht für das gesamte Internet öffnen. RFC 5358 beschreibt, wie sich verhindern lässt, dass standardkonfigurierte rekursive Server als Reflektoren in Denial-of-Service-Angriffen missbraucht werden. Beschränken Sie die Rekursion auf eigene Clients und nutzen Sie Response Rate Limiting auf autoritativen Servern.

Verfügbarkeit der eigenen Zone

Nutzen Sie mindestens zwei Nameserver in getrennten Netzen, idealerweise bei einem Anbieter, der sie auf mehrere Standorte verteilt, und setzen Sie TTLs bewusst: kurz genug für schnelle Änderungen, lang genug, um einen Anbieteraussetzer zu überstehen. Der breitere Ansatz steht unter DDoS-Angriffe stoppen.

Schützendes DNS-Filtering

Ein filternder Resolver blockiert Abfragen von Domains, die für Phishing oder Malware bekannt sind. Das verringert das Risiko für Nutzer, tut aber nichts für die Integrität Ihrer eigenen Zone.

Beispiel

Ein Unternehmen aktiviert MFA und eine Registrar-Sperre, signiert seine Zone mit DNSSEC, betreibt zwei unabhängige autoritative Anbieter und richtet einen Alarm für jede Änderung an A- und MX-Einträgen ein. Wird ein Passwort gestohlen, verkleinern Sperre und Alarm das Zeitfenster. Wird ein Anbieter von einer Flut getroffen, antwortet der andere weiter.

Häufige Fehler

• Glauben, DNSSEC schütze vor DDoS. Tut es nicht, wie RFC 4033 ausdrücklich sagt.
• Glauben, DoH mache Abfragen durchgehend manipulationssicher. Es schützt nur die Strecke zum Resolver.
• Registrar-Konten mit gemeinsam genutzten Passwörtern und ohne MFA lassen, der einfachste Weg zum Hijacking.
• Einen offenen rekursiven Resolver betreiben, den Angreifer als Reflektor nutzen können.
• Alle Nameserver bei einem Anbieter oder in einem Netz halten.
• DNSSEC-Signaturen oder DS-Einträge ablaufen lassen oder falsch pflegen. Validierende Resolver liefern dann Fehler, und die Domain wirkt offline.

DNS-Schutz, Tests und Monitoring

Was man nicht beobachtet, kann man nicht schützen. Das API-Monitoring von LoadFocus enthält DNS-Monitore mit Eintragsprüfungen und Alarmen: Sie bestätigen aus 25 Regionen, dass Ihre Einträge auf die richtigen Werte auflösen, und erkennen so auch Propagierungsprobleme nach einer Änderung. LoadFocus ist ein Monitoring- und Test-Werkzeug, kein Produkt für DNS-Schutz oder Sicherheit. Werkzeugoptionen zeigt die besten API-Monitoring-Tools, die allgemeine Praxis Netzwerküberwachung.

Häufige Fragen

Was ist der Unterschied zwischen DNS-Schutz und DNSSEC?

DNS-Schutz ist das ganze Maßnahmenbündel. DNSSEC ist eine davon: Es authentifiziert DNS-Daten und erkennt Manipulation, verschlüsselt aber keine Abfragen und wehrt keinen Denial of Service ab.

Stoppt DNSSEC DDoS-Angriffe?

Nein. RFC 4033 hält fest, dass DNSSEC keinen Schutz vor Denial-of-Service-Angriffen bietet. Verfügbarkeit entsteht durch Redundanz, Kapazität, Ratenbegrenzung und einen sauber betriebenen Resolver.

Was ist DNS over HTTPS und reicht es aus?

DNS over HTTPS sendet DNS-Abfragen in HTTPS an einen Resolver und verbirgt sie so vor dem lokalen Netz. Es validiert keine Antworten und schützt nicht die Einträge Ihrer Domain; es ergänzt also DNSSEC und Kontosicherheit, ersetzt sie aber nicht.

Wie verhindere ich DNS-Hijacking?

Sichern Sie Registrar- und DNS-Anbieter-Konten mit eigenen Passwörtern und Multi-Faktor-Authentifizierung, aktivieren Sie eine Registrar-Sperre, prüfen Sie Ihre Einträge regelmäßig und lassen Sie sich bei Änderungen alarmieren.

Woran merke ich, dass sich meine DNS-Einträge unerwartet geändert haben?

Überwachen Sie sie. Eine DNS-Prüfung, die aufgelöste Werte mit den erwarteten vergleicht und regelmäßig von mehreren Standorten läuft, alarmiert Sie bei Abweichungen.