DNS-Sicherheit: Bewährte Verfahren und Checkliste zur Absicherung

DNS-Sicherheit umfasst eine Reihe von Maßnahmen, die dafür sorgen, dass die DNS-Einträge Ihrer Domain korrekt und verfügbar bleiben und unter Ihrer Kontrolle stehen, sodass Angreifer Ihren Datenverkehr nicht umleiten, sich nicht als Ihre Domain ausgeben oder diese offline schalten können.

Im Folgenden erläutern wir, warum DNS-Sicherheit für moderne Infrastrukturen von grundlegender Bedeutung ist, klären die Verwechslungsgefahr zwischen allgemeiner DNS-Sicherheit und DNSSEC, stellen eine praxisorientierte 12-Punkte-Checkliste zur Absicherung bereit und legen einen nach Prioritäten geordneten Plan vor, der aufzeigt, welche Maßnahmen zuerst umgesetzt werden sollten.

Was ist DNS-Sicherheit?

DNS steht hinter jeder Webanfrage, jedem API-Aufruf und jeder E-Mail-Zustellung, wurde jedoch ohne integrierte Authentifizierung oder kryptografische Überprüfung entwickelt. DNS-Sicherheit umfasst die Richtlinien, Konfigurationen, Protokolle und Überwachungsmaßnahmen, die erforderlich sind, um Domainnamen und die Nameserver-Infrastruktur vor unbefugten Manipulationen, Abhörversuchen und Betriebsstörungen zu schützen.

Anstatt sich auf ein einziges Tool zu verlassen, erfordert eine wirksame DNS-Sicherheit Schutzmaßnahmen auf vier verschiedenen operativen Ebenen:

1. Registrar-Ebene: Kontrollen, die Ihre Domain-Registrierung, die Einträge zum Domain-Eigentümer sowie die Zugangsdaten für die Verwaltung sichern, um unbefugte Kontoübernahmen zu verhindern.
2. Ebene der autoritativen Nameserver: Sicherheitsmaßnahmen für die autoritativen Server, auf denen Ihre öffentlichen Zonendateien gehostet werden, um eine ausfallsichere Verfügbarkeit, Redundanz und kontrollierte Zonenübertragungen zu gewährleisten.
3. Auflösungs- und Transportschicht: Maßnahmen, die auf rekursive Resolver und den Abfrageverkehr angewendet werden, um Suchanfragen vor Abhörversuchen auf dem Übertragungsweg, Manipulationen und der Manipulation lokaler Caches zu schützen.
4. Datensatz- und Identitätsschicht: In Ihrer Zone veröffentlichte kryptografische Datensätze und Sicherheitsrichtlinien, darunter DNSSEC-Signaturen, CA-Autorisierungsrichtlinien und E-Mail-Authentifizierungsstandards.

Die meisten Sicherheitsverletzungen beginnen mit einer vermeidbaren Schwachstelle in einer dieser Schichten. Das Verständnis dafür, wie diese Schichten zusammenwirken, hilft Sicherheitsteams dabei, latente DNS-Schwachstellen zu beseitigen, bevor Angreifer sie entdecken und ausnutzen können. Unternehmen, die formelle Compliance-Programme befolgen, können zudem auf die NIST-Richtlinien zur DNS-Sicherheit als Grundlage für die grundlegenden Anforderungen auf Bundesebene heranziehen.

Warum ist DNS-Sicherheit wichtig?

Da das Kernprotokoll des Domain Name System (DNS) Anfragen im Klartext ohne kryptografische Herkunftsprüfung überträgt, vertraut der DNS-Rohverkehr von Natur aus den eingehenden Antworten. Unternehmen investieren oft erhebliche Mittel in Firewalls, Web-Application-Firewalls (WAFs) und Endpunkt-Erkennungsagenten, während ihre DNS-Zonen weitgehend unüberwacht bleiben.

Wenn Angreifer das DNS manipulieren, umgehen sie die Perimeter-Abwehr vollständig. Durch die Kompromittierung einer DNS-Zone kann ein Angreifer den Web-Datenverkehr eines Unternehmens auf bösartige Replikate umleiten, gültige TLS-Zertifikate für Ihre Marke ausstellen oder vertrauliche E-Mail-Kommunikation abfangen, ohne jemals mit Ihren physischen Netzwerkservern in Berührung zu kommen.

Ohne umfassende DNS-Sicherheit sind Unternehmen mit schwerwiegenden Sicherheitsrisiken konfrontiert:

• DNS-Hijacking und Kompromittierung von Registraren: Angreifer erlangen Zugriff auf die Anmeldedaten der Registrare oder nutzen Social-Engineering-Methoden, um autoritative Nameserver auf betrügerische Hosts umzuleiten.
• DNS-Spoofing und Cache-Poisoning: Angreifer fügen betrügerische Ressourceneinträge in anfällige rekursive Resolver ein und leiten Nutzer so auf Seiten um, auf denen Anmeldedaten abgegriffen werden.
• DNS-Amplifikation und DDoS: Offene rekursive Resolver werden missbraucht, um Antworten mit hohem Datenvolumen auf ein Opferziel zurückzuwerfen, wodurch die Bandbreite überlastet und ganze Dienste lahmgelegt werden.
• „Dangling Records“ und die Übernahme von Subdomains: Verwaiste DNS-Einträge, die auf deaktivierte Cloud-Ressourcen oder Hosting-Buckets verweisen, werden von externen Akteuren missbraucht, um unter Ihrem Markennamen schädliche Inhalte zu hosten.
• E-Mail-Spoofing durch schwache DNS-Einträge: Fehlende oder falsch konfigurierte SPF-, DKIM- und DMARC-Richtlinien ermöglichen es Betrügern, Spear-Phishing-E-Mails zu versenden, die vorgeben, von Ihrer Unternehmensdomain zu stammen.

Eine umfassende Übersicht über die Angriffsmethoden finden Sie in unserem Leitfaden zu den 10 Arten von DNS-Angriffenund testen Sie Ihre Domain mit unserem kostenlosen DNSSEC-Checker.

DNS-Sicherheit vs. DNSSEC

Ein häufiges Missverständnis unter IT-Teams ist, dass DNS-Sicherheit und DNSSEC als synonyme Begriffe behandelt werden. Das sind sie jedoch nicht.

DNSSEC (Domain Name System Security Extensions) ist eine spezifische technische Maßnahme innerhalb eines umfassenderen Sicherheitsrahmens. DNSSEC nutzt die Kryptografie mit öffentlichen Schlüsseln, um DNS-Einträge in einer Zonendatei digital zu signieren. Wenn ein validierender Resolver eine signierte Domain überprüft, vergleicht er die Signatur anhand einer Vertrauenskette, die bis zur Root-Zone zurückreicht, und stellt so sicher, dass die empfangene Antwort während der Übertragung nicht verändert wurde.

Umfassende DNS-Sicherheit umfasst den gesamten Verwaltungslebenszyklus und die gesamte Abwehrarchitektur. DNSSEC gewährleistet zwar die Authentizität und Integrität von Einträgen, bietet jedoch keinen Schutz vor allen Bedrohungen:

• DNSSEC verschlüsselt den Abfrageverkehr nicht und bietet keinen Schutz vor unbefugtem Zugriff durch Lauscher.
• DNSSEC schützt nicht vor Angreifern, die Ihr Registrar-Konto übernehmen und Ihre öffentlichen Delegationsdatensätze ändern.
• DNSSEC schützt nicht vor volumetrischen DDoS-Angriffen und verhindert auch nicht, dass offene Resolver an Amplifikationsstürmen beteiligt sind.
• DNSSEC erkennt keine „dangling“ CNAME-Einträge, die auf stillgelegte Cloud-Ressourcen von Drittanbietern verweisen.

DNSSEC ist ein unverzichtbarer Bestandteil einer abgesicherten Infrastruktur, muss jedoch zusammen mit Registrar-Sperren, Transportverschlüsselung, strengen E-Mail-Kontrollen und einer kontinuierlichen Zonenüberwachung zum Einsatz kommen. Erfahren Sie in unserem Leitfaden mehr darüber, wie die kryptografische Validierung funktioniert: DNSSEC.

Bewährte Verfahren für die DNS-Sicherheit: Die Checkliste zur Absicherung 

Die Absicherung Ihrer Domain erfordert strukturierte, reproduzierbare Betriebsabläufe. Die folgende Checkliste umfasst 12 wesentliche Kontrollmaßnahmen, die nach Infrastrukturebenen und Implementierungskomplexität gegliedert sind.

1. Sperren Sie Ihre Domain auf Ebene des Registrars

Nicht authentifizierte Übertragungsanfragen stellen eine der größten Sicherheitslücken für kritische Domänenressourcen dar. Wenden Sie clientTransferProhibited und clientUpdateProhibited auf Ihre Domains an.

Für hochwertige Unternehmensdomains sollten Sie bei Ihrem Registrar eine Registry-Sperre beantragen. Eine Registry-Sperre erfordert eine Offline-Überprüfung, beispielsweise eine telefonische Bestätigung durch zuständige Mitarbeiter, bevor Änderungen an den Nameserver-Delegierungen oder den administrativen WHOIS-Ansprechpartnern vorgenommen werden können.

2. Setzen Sie bei Ihrer Registrierungsstelle die Zwei-Faktor-Authentifizierung (MFA) und den rollenbasierten Zugriff durch

Stellen Sie sicher, dass Administratorkonten bei Ihrem Domain-Registrar und Ihrem DNS-Hosting-Anbieter nicht ausschließlich auf Passwörtern basieren. Setzen Sie eine hardwarebasierte Multi-Faktor-Authentifizierung (MFA) mithilfe von FIDO2-/WebAuthn-Sicherheitsschlüsseln durch.

Bewahren Sie die Anmeldedaten für die Registrierungsstelle nicht in gemeinsam genutzten Team-Posteingängen auf. Führen Sie eine strenge rollenbasierte Zugriffskontrolle (RBAC) ein, sodass normale IT-Mitarbeiter nur Lesezugriff haben und die Berechtigungen zur Domainverwaltung ausschließlich bestimmten Domain-Administratoren vorbehalten sind.

3. Zonenübertragungen einschränken (AXFR)

Autoritative DNS-Server nutzen vollständige Zonentransfers (AXFR), um DNS-Daten zwischen Primär- und Sekundärservern zu replizieren. Wenn Ihr Nameserver uneingeschränkte AXFR-Anfragen von beliebigen IP-Adressen zulässt, können Angreifer Ihre gesamte Zonendatei herunterladen. Dadurch werden interne Hostnamenstrukturen, Staging-Server und versteckte Netzwerkinfrastruktur offengelegt.

Konfigurieren Sie Ihre primären Nameserver so, dass AXFR-Übertragungen nur an die ausdrücklich angegebenen IP-Adressen Ihrer autorisierten sekundären Nameserver zugelassen werden. Sie können Ihre Konfiguration über die Terminaleingabe überprüfen:

dig AXFR deine-domain.com @ns1.deine-domain.com

Wenn der Server Ihre vollständige Liste der DNS-Einträge zurückgibt, anstatt einen „Transfer Failed“- oder „REFUSED“-Fehler anzuzeigen, sind Ihre Zonentransfer-Einstellungen offen und müssen umgehend eingeschränkt werden.

4. Redundante autoritative Nameserver in verschiedenen Netzwerken bereitstellen

Die Abhängigkeit von einem einzigen DNS-Anbieter oder einem einzigen physischen Rechenzentrum führt zu einem Single Point of Failure. Sollte Ihr Anbieter Opfer eines DDoS-Angriffs oder eines Netzwerkausfalls werden, ist Ihr gesamter Online-Auftritt nicht mehr erreichbar.

Stellen Sie mindestens zwei autoritative Nameserver bereit, die über separate ASN (Autonomous System Numbers) und geografisch verteilte Netzwerke gehostet werden. Durch den Einsatz eines autoritativen DNS-Modells mit zwei Anbietern wird sichergestellt, dass Ihr sekundärer Anbieter die Abfragen nahtlos weiterbearbeitet, falls bei einem Anbieter ein Infrastrukturausfall auftritt.

5. DNSSEC mit moderner Kryptografie implementieren

DNSSEC versieht Ihre DNS-Einträge mit digitalen Signaturen. Wenn ein rekursiver Resolver eine DNSSEC-fähige Zone abfragt, überprüft er die kryptografischen Signaturen (RRSIG-Einträge) anhand einer Vertrauenskette, die bis zur Root-Zone zurückreicht. Dadurch wird sichergestellt, dass die Antwort während der Übertragung nicht verändert wurde.

Befolgen Sie bei der Implementierung von DNSSEC die aktualisierten Richtlinien gemäß NIST SP 800-81r3:

• Verwenden Sie moderne Kryptografie auf Basis elliptischer Kurven wie ECDSA mit der Kurve P-256 oder Ed25519 anstelle veralteter RSA-Schlüssel. Kleinere Schlüsselgrößen verringern das Risiko der Paketfragmentierung bei UDP.
• Halten Sie die Gültigkeitsdauer von Signaturen zwischen 5 und 7 Tagen ein, um das Zeitfenster zu begrenzen, in dem ein kompromittierter Schlüssel Missbrauch ermöglichen könnte.
• Planen Sie alle 1 bis 3 Jahre eine Erneuerung der Zone-Signing-Schlüssel (ZSK) ein und speichern Sie die Key-Signing-Schlüssel (KSK) nach Möglichkeit in sicheren Hardwarekonfigurationen.

Sie können überprüfen, ob die kryptografische Kette Ihrer Domain intakt ist, indem Sie Ihre Domain durch einen speziellen DNSSEC-Prüfprogramm.

6. Einen CAA-Eintrag (Certificate Authority Authorization) veröffentlichen

A CAA-Eintrag ermöglicht es Domaininhabern, festzulegen, welche Zertifizierungsstellen (CAs) berechtigt sind, digitale TLS-Zertifikate für ihre Domain und Subdomains auszustellen.

Vor der Ausstellung eines Zertifikats müssen öffentliche Zertifizierungsstellen das DNS der Domain auf CAA-Einträge überprüfen. Liegt ein CAA-Eintrag vor, dürfen nur die darin benannten Stellen (beispielsweise Let’s Encrypt oder DigiCert) Ausstellungsanfragen bearbeiten. Dadurch wird verhindert, dass böswillige Mitarbeiter oder kompromittierte Systeme von Drittanbietern über nicht zugelassene Anbieter unbefugte Zertifikate anfordern.

Fügen Sie in Ihren CAA-Eintrag ein „iodef“-Tag ein, das auf eine aktive E-Mail-Adresse des Sicherheitsansprechpartners verweist, um sofort benachrichtigt zu werden, falls eine nicht autorisierte Zertifizierungsstelle eine Zertifikatsanforderung für Ihre Domain erhält. Überprüfen Sie die Syntax Ihres Eintrags mit unserem CAA-Prüfprogramm.

7. Überprüfung auf fehlende und verwaiste Datensätze

Überprüfen Sie regelmäßig Ihren Bestand an veröffentlichten Einträgen, um veraltete Hostnamen zu identifizieren. Achten Sie dabei besonders auf CNAME-Einträge, die auf Cloud-Hosts von Drittanbietern verweisen, auf Subdomains, die auf stillgelegte E-Mail-Anbieter verweisen, sowie auf veraltete A-Einträge, die auf nicht mehr verwendete IP-Adressen verweisen.

Bevor Sie strukturelle Änderungen vornehmen, überprüfen Sie Ihre veröffentlichten Einträge mithilfe eines zuverlässigen DNS-Eintrag-Suchtool . Überprüfen Sie verschiedene Arten von DNS-Einträgen über alle aktiven Subdomains hinweg hilft dabei, eine versehentliche Anfälligkeit für Subdomain-Takeover-Angriffe zu vermeiden.

8. Sinnvolle TTL-Werte festlegen und die Ausbreitungsfenster verfolgen

Die Time-To-Live-Einstellungen (TTL) legen fest, wie lange rekursive Resolver einen DNS-Eintrag zwischenspeichern, bevor sie eine neue Kopie von Ihrem autoritativen Nameserver anfordern.

• Standardvorgänge: Legen Sie Standard-TTLs zwischen 3.600 Sekunden (1 Stunde) und 86.400 Sekunden (24 Stunden) fest. Dies sorgt für ein Gleichgewicht zwischen Serverauslastung und Abfragelatenz.
• Vor der Migration oder bei der Reaktion auf Vorfälle: Senken Sie Ihre TTL-Werte mindestens 24 bis 48 Stunden vor geplanten Infrastrukturänderungen auf 300 Sekunden (5 Minuten).

Durch die vorzeitige Senkung der TTL-Werte wird sichergestellt, dass der Cache bei allen globalen Resolvern schnell abläuft, falls Sie den Datenverkehr von einem betroffenen Server umleiten müssen. Mit einem Echtzeit- DNS-Propagations-Checkersüberwachen.

9. Verschlüsselung des Datenverkehrs zwischen Client und Resolver (DoH / DoT / DoQ)

Standardmäßige DNS-Abfragen werden im Klartext über den UDP- und TCP-Port 53 übertragen, wodurch Nutzer der lokalen Überwachung, der Nachverfolgung durch Internetdienstanbieter, dem Abhören sowie Manipulationen entlang der Übertragungsstrecke über lokale Netzwerkknoten hinweg ausgesetzt sind.

Moderne Protokolle sichern die Übertragungsstrecke zwischen Client und Resolver mithilfe bewährter kryptografischer Verfahren:

• DNS über HTTPS (DoH): Bündelt DNS-Anfragen in Standard-HTTPS-Sitzungen über Port 443 und verbirgt so den Abfrageverkehr inmitten gewöhnlicher Webanfragen.
• DNS über TLS (DoT): Leitet DNS-Abfragen über einen dedizierten, verschlüsselten TLS-Tunnel auf Port 853 weiter, wodurch DNS-Transaktionen isoliert und gleichzeitig eine starke Endpunkt-Authentifizierung gewährleistet wird. Um zu verstehen, wie die zugrunde liegenden Verschlüsselungsprotokolle Datenströme schützen, lesen Sie unsere Einführung zum Unterschied zwischen SSL und TLS.
• DNS über QUIC (DoQ): Überträgt Abfragen über QUIC (UDP-Port 853), wodurch der Aufwand für den Verbindungsaufbau minimiert und gleichzeitig das „Head-of-Line-Blocking“ vermieden wird.

Konfigurieren Sie interne Unternehmensendpunkte, Betriebssysteme und lokale Netzwerk-Forwarder so, dass die Upstream-Auflösung ausschließlich über sichere Resolver erfolgt, die DoH oder DoT erzwingen.

10. Lokale Resolver- und Nameserver-Software absichern

Wenn Ihr Unternehmen interne rekursive Resolver betreibt oder dedizierte autoritative Nameserver-Instanzen mit BIND, Unbound, PowerDNS oder Windows Server DNS verwaltet, sollten Sie strenge Maßnahmen zur Systemabsicherung befolgen:

• Offene Rekursion deaktivieren: Stellen Sie sicher, dass rekursive Resolver nur Anfragen verarbeiten, die aus vertrauenswürdigen internen Netzwerkbereichen stammen. Wenn Sie Resolver für beliebige Internetanfragen offen lassen, setzen Sie Ihre Infrastruktur Verstärkungsangriffen über offene Resolver aus.
• Getrennte Rollen: Führen Sie autoritative Hosting- und rekursive Auflösungsdienste niemals auf derselben Server-Software-Instanz aus.
• Sicherheitsupdates umgehend installieren: Abonnieren Sie die Sicherheitshinweise Ihrer Softwareanbieter. In älteren DNS-Paketen werden regelmäßig Schwachstellen wie Cache-Fehler, Pufferüberläufe und Speicherlecks entdeckt. Überwachen Sie nicht gepatchte DNS-Software kontinuierlich und schließen Sie Sicherheitslücken umgehend.
• Softwareversionen verbergen: Deaktivieren Sie öffentliche Versionsabfragen (wie beispielsweise die CHAOS-TXT-Abfrage „version.bind“ von BIND), um Aufklärungsscannern den Einblick in Ihre spezifische Softwareversion zu verwehren.
• Antwortratenbegrenzung (RRL) aktivieren: Implementieren Sie RRL auf autoritativen Servern, um schnelle, wiederholte Abfragefluten, die auf identische Domänen abzielen, zu drosseln und so die Beteiligung an Reflection-Angriffen einzudämmen.

11. Response Policy Zones (RPZ) implementieren

Response Policy Zones, oft auch als DNS-Firewalls bezeichnet, ermöglichen es Administratoren rekursiver Resolver, benutzerdefinierte Bedrohungsdaten-Feeds über die standardmäßige Namensauflösung zu legen.

Wenn ein Client-Gerät versucht, eine Domain aufzulösen, von der bekannt ist, dass sie Malware, Command-and-Control-Server (C2) oder Phishing-Seiten hostet, unterbrechen die RPZ-Regeln die Auflösung. Der Resolver gibt einen NXDOMAIN oder leitet den Benutzer auf eine interne Sperrseite weiter.

12. E-Mail-Authentifizierungsprotokolle durchsetzen: SPF, DKIM und DMARC

Die E-Mail-Authentifizierung erfolgt direkt über spezielle TXT-Einträge, die in Ihrer DNS-Zone veröffentlicht sind. Ohne ordnungsgemäß gepflegte E-Mail-Einträge kann jeder externe Absender betrügerische E-Mails versenden, die vorgeben, von Ihrer Domain zu stammen.

Eine umfassende E-Mail-Sicherheitsstrategie erfordert drei miteinander verknüpfte Standards:

1. SPF (Sender Policy Framework): Veröffentlicht eine autorisierte Liste von Server-IP-Adressen und Drittanbieter-Relay-Anbietern, die E-Mails für Ihre Domain versenden dürfen. Informieren Sie sich über die grundlegenden Konzepte in unserem Leitfaden zu SPF, DKIM und DMARC.
2. DKIM (DomainKeys Identified Mail): Verwendet Public-Key-Kryptografie, um den Kopfzeilen ausgehender E-Mails eine digitale Signatur hinzuzufügen. Sie veröffentlichen den öffentlichen Schlüssel in Ihrer DNS-Zone, sodass Empfänger überprüfen können, ob der Inhalt der Nachricht während der Übertragung nicht manipuliert wurde.
3. DMARC (Domain-based Message Authentication, Reporting, and Conformance): Vereinheitlicht SPF und DKIM unter einer zentralen Richtlinie, die unter _dmarc veröffentlicht wird. DMARC bietet Einblick in die Versandaktivitäten und gibt den Mail-Servern der Empfänger Anweisungen, wie nicht konforme E-Mails zu behandeln sind.

Umstellung auf eine verbindliche DMARC-Richtlinie (p=quarantine oder p=reject) stellt sicher, dass die Mailserver der Empfänger nicht autorisierte Nachrichten, die Ihre Identität missbrauchen, zurückweisen oder isolieren. Überprüfen Sie Ihre aktuelle Konfiguration mit unserem DMARC-Eintrag-Checkerund befolgen Sie unsere technische Anleitung, um einen DMARC-Eintrag zu veröffentlichen.

DNS-Überwachung: Eine Maßnahme, die die meisten Teams vernachlässigen

Die Implementierung von Sicherheitsmaßnahmen ist keine einmalige Angelegenheit. DNS-Einträge verändern sich im Laufe der Zeit, wenn Teams temporäre Marketingkampagnen starten, E-Mail-Anbieter wechseln, Nameserver-Delegierungen rotieren lassen und veraltete Infrastruktur stilllegen. Ohne automatisierte Transparenz können unbefugte Änderungen oder unbeabsichtigte Fehlkonfigurationen monatelang unentdeckt bleiben.

Im Rahmen einer systematischen DNS-Überwachung sollten folgende Aspekte kontinuierlich überwacht werden:

• Änderungen an Nameservern und Delegierungen: Sofortige Erkennung von Änderungen an NS-Einträgen oder Glue-Einträgen der übergeordneten Zone, die auf eine Kompromittierung des Kontos hindeuten könnten.
• MX- und SPF-Drift: Einblick in neu veröffentlichte E-Mail-Korrespondenz oder Änderungen an SPF-Absendermechanismen.
• DNSSEC-Validierungsstatus: Automatisierte Überprüfungen, die bestätigen, dass Schlüsselsignaturen, RRSIG-Einträge und DS-Ketten aktiv bleiben und nicht ablaufen.
• Ausnutzung von Zone-Transfer-Schwachstellen: Protokollierung wiederholter AXFR-Übertragungsanfragen, die von externen, nicht autorisierten Netzwerken aus versucht wurden.
• Registrierung und Ablauf von Zertifikaten: Proaktive Überwachung der Verlängerungstermine für Domains und der Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate, um versehentliche Ausfälle zu verhindern.
• Aktivierung von Look-Alike-Domains: Überwachung auf neu registrierte Homoglyphen- oder Typo-Squatting-Domains, die aktive MX-Einträge einrichten, um sich als Ihre Marke auszugeben.

Managed DNS und Filterung auf DNS-Ebene: Wo sie zum Einsatz kommen

Moderne Unternehmen setzen häufig verwaltete DNS-Plattformen und Sicherheitsfilter auf DNS-Ebene ein, um den Betrieb zu vereinfachen und die Transparenz hinsichtlich von Bedrohungen zu verbessern.

Renommierte Anbieter von Managed-DNS-Diensten

Anbieter von verwalteten DNS-Diensten für Unternehmen betreiben globale Anycast-Netzwerke, die Ihre autoritative Zonendatei auf Hunderte von Edge-Standorten verteilen. Die Anycast-Infrastruktur bietet integrierten DDoS-Schutz und fängt massive volumetrische Angriffe ab, bevor diese Ihr Kernnetzwerk erreichen. Verwaltete Plattformen automatisieren zudem die DNSSEC-Schlüsselverwaltung und die Pflege der DNS-Einträge.

Rekursive Filterung auf DNS-Ebene (Protective DNS)

PDNS-Lösungen (Protective DNS) arbeiten auf der Ebene des rekursiven Resolvers. Anstatt Anfragen lediglich zu beantworten, gleichen PDNS-Lösungen jede Anfrage mit dynamischen Bedrohungsdatenbanken ab.

Wenn ein Mitarbeiter auf einen Link klickt, der zu einer neu registrierten Phishing-Domain führt, oder wenn eine infizierte Nutzlast versucht, Kontakt zu einem C2-Server aufzunehmen, blockiert der Schutz-Resolver die Auflösung auf Netzwerkebene.

Weder verwaltetes DNS noch DNS-Filterung ersetzen die ordnungsgemäße Verwaltung durch den Domain-Registrar oder die korrekte Konfiguration der Einträge. Sie dienen als ergänzende Ebenen innerhalb einer umfassenderen Zero-Trust-Sicherheitsarchitektur.

Was zuerst geprüft werden sollte: Priorisierter Aktionsplan

Die Behebung aller 12 Kontrollpunkte der Checkliste in einem Domain-Portfolio kann zunächst entmutigend wirken. Halten Sie sich an diesen nach Prioritäten geordneten Zeitplan, um kritische Schwachstellen zuerst zu beheben:

1. Tag 1: Sicherstellung der Kontoinhaberschaft
   • Aktivieren Sie die Hardware-MFA im Portal Ihres Domain-Registrars.
   • Aktivieren Sie die Registrar-Sperre für alle registrierten Domains.
   • Entfernen Sie veraltete, nicht zugewiesene Administrator-Anmeldungen.
2. Tag 2: Schutz der zentralen Verkehrswege
   • Zone-Transfers (AXFR) auf verifizierte sekundäre Nameserver beschränken.
   • Überprüfen Sie Ihre öffentlichen Zonendateien auf frei schwebende CNAME-, A- oder NS-Einträge, die auf nicht beanspruchte Cloud-Dienste verweisen.
   • Schließen Sie offene Rekursionen auf allen Unternehmens-Resolvern, die mit dem Internet verbunden sind.
3. Woche 1: Bereitstellung einer kryptografischen Identität
   • Veröffentlichen Sie einen CAA-Eintrag, in dem Sie die von Ihnen ausgewählten Zertifizierungsstellen angeben.
   • Konfigurieren und signieren Sie Ihre Produktionszonen mithilfe moderner DNSSEC-Algorithmen, um sicherzustellen, dass die DS-Einträge bei der übergeordneten Registrierungsstelle bestätigt werden.
4. Woche 2: E-Mail-Authentifizierung durchsetzen
   • Überprüfen Sie Ihre aktiven SPF-Mechanismen und entfernen Sie nicht mehr genutzte Anbieter.
   • Implementieren Sie DKIM-Schlüssel auf allen Gateways für ausgehende E-Mails.
   • Veröffentlichen Sie einen DMARC-Eintrag und richten Sie die Berichterstellung ein, um die Übereinstimmung der Authentifizierung zu überwachen.
5. Laufend: Einrichtung einer kontinuierlichen Überwachung
   • Änderungen an den Track Records, Ablaufdaten von Zertifikaten und den Status der DNSSEC-Signaturen werden automatisch erfasst.

Sie sind sich nicht sicher, wo Sie stehen? Nutzen Sie unseren kostenlosen Domain-Analyse-Tool , um den Gesundheitszustand Ihrer Domain zu bewerten.

Häufig gestellte Fragen

Was ist die wichtigste Maßnahme zur DNS-Sicherheit?

Die Durchsetzung strenger Zugriffskontrollen für Registrare, einschließlich einer hardwaregestützten Multi-Faktor-Authentifizierung und Sperren auf Registrar- oder Registry-Ebene, ist die mit Abstand wichtigste Maßnahme. Sollte ein Angreifer Ihr Registrar-Konto kompromittieren, kann er Ihre autoritativen Nameserver vollständig ersetzen, wodurch alle nachgelagerten Zonenkonfigurationen und DNSSEC-Schlüssel unbrauchbar werden.

Wie kann ich feststellen, ob mein DNS gekapert wurde?

Zu den Anzeichen für DNS-Hijacking zählen plötzliche Einbrüche beim Traffic legitimer Websites, unerwartete SSL/TLS-Zertifikatswarnungen, die den Nutzern angezeigt werden, unbefugte Änderungen in den Audit-Protokollen Ihres Registrars, unerklärliche Rückläufer bei der E-Mail-Zustellung oder externe Resolver, die unbekannte IP-Adressen für Ihre Domain zurückgeben.

Ist DNS-Sicherheit nur für große Unternehmen notwendig?

Nein. Angreifer haben es häufig auf kleine und mittlere Unternehmen abgesehen, da deren Registrar-Portale und DNS-Zonen oft nicht überwacht werden. Angreifer kapern regelmäßig Domains kleiner Unternehmen, um Phishing-Kampagnen durchzuführen, bösartige Weiterleitungsketten zu hosten und sich als Führungskräfte des Unternehmens auszugeben.

Verschlüsselt DNSSEC DNS-Abfragen?

Nein. DNSSEC gewährleistet Datenintegrität und kryptografische Herkunftsauthentifizierung und belegt damit, dass ein empfangener DNS-Eintrag vom rechtmäßigen Eigentümer stammt und auf dem Übertragungsweg nicht verändert wurde. Es verschlüsselt jedoch weder DNS-Abfragen noch gewährleistet es Vertraulichkeit. Zur Verschlüsselung des Abfrageverkehrs sind Transportprotokolle wie DNS over HTTPS (DoH) oder DNS over TLS (DoT) erforderlich.

Was ist der Unterschied zwischen autoritativer und rekursiver DNS-Sicherheit?

Bei der autoritativen DNS-Sicherheit liegt der Schwerpunkt auf dem Schutz der veröffentlichten Einträge Ihrer Domain, der Verfügbarkeit der Nameserver und der Zonendateien, damit weltweit korrekte Antworten zu Ihren Diensten bereitgestellt werden. Bei der rekursiven DNS-Sicherheit liegt der Schwerpunkt darauf, Client-Geräte in Ihrem Netzwerk vor manipulierten Antworten zu schützen, bösartige Domains zu blockieren und den Datenverkehr zu externen Resolvern zu verschlüsseln.

Wie oft sollte ein Unternehmen seine DNS-Einträge überprüfen?

Unternehmen sollten öffentliche Zonendateien mindestens vierteljährlich überprüfen, um nicht mehr verwendete Hostnamen zu bereinigen und ungültige Verweise zu entfernen. Eine automatisierte Überwachung sollte jedoch täglich stattfinden, um unbefugte Änderungen an Einträgen, Änderungen an Nameservern oder ablaufende DNSSEC-Schlüssel in Echtzeit zu erkennen.

Ist 1.1.1.1 DNS sicher?

Ja. Der öffentliche DNS-Resolver 1.1.1.1 von Cloudflare ist sicher und unterstützt moderne verschlüsselte Transportprotokolle, darunter DNS über HTTPS (DoH), DNS über TLS (DoT) und DNSSEC-Validierung. Außerdem gewährleistet er strenge Datenschutzmaßnahmen und verpflichtet sich, die Protokolle der Nutzeranfragen innerhalb von 24 Stunden zu löschen.

Ist DNS-Sicherheit dasselbe wie ein VPN?

Nein. Ein VPN (Virtual Private Network) erstellt einen verschlüsselten Tunnel für den gesamten Netzwerkverkehr zwischen Ihrem Gerät und einem entfernten privaten Netzwerk und verbirgt so Ihre IP-Adresse vor den Zielservern. Die DNS-Sicherheit schützt insbesondere die Übersetzung von Domainnamen in IP-Adressen und stellt sicher, dass Ihre Anfragen authentisch, manipulationssicher und widerstandsfähig gegen Spoofing sind.

Abschließende Worte

Die Absicherung Ihres Domain Name Systems ist ein unverzichtbarer Bestandteil moderner Cybersicherheitsmaßnahmen. Wird das DNS nicht ordnungsgemäß verwaltet, entsteht eine weitreichende Angriffsfläche, die es Angreifern ermöglicht, herkömmliche Schutzmaßnahmen für Endgeräte, Firewalls und Webanwendungen zu umgehen.

Durch die systematische Anwendung dieser 12-Punkte-Checkliste zur Absicherung, die Sicherung Ihres Registrar-Kontos, die Implementierung von DNSSEC und die Durchsetzung strenger E-Mail-Authentifizierung schafft Ihr Unternehmen einen robusten Schutz vor Traffic-Hijacking, Markenmissbrauch und kostspieligen Dienstunterbrechungen.