Einführung von DNS-Takeover-Warnmeldungen: Die Lücke schließen, die DMARC nicht abdecken kann
von
Zuletzt aktualisiert:
5 Lesezeit: 5 Minuten
Ihr Unternehmen hat die harte Arbeit geleistet. Sie haben SPF, DKIM und DMARC für alle versendenden Domains implementiert und die Einstellung „p=reject“ aktiviert. Auf dem Papier ist Ihre E-Mail-Authentifizierung damit abgeschlossen.
Es gibt jedoch eine Möglichkeit für einen Angreifer, E-Mails im Namen Ihrer Marke zu versenden, die die SPF-Prüfung und die DMARC-Übereinstimmung bestehen und ungehindert im Posteingang landen, ohne dass sie zu irgendeinem Zeitpunkt erkannt werden. Diese Technik wird als „Subdomain-Takeover“ bezeichnet, und die DMARC-Durchsetzung kann sie nicht verhindern.
Heute stellen wir in PowerAlerts einen neuen Alarmtyp vor, der speziell dafür entwickelt wurde, solche Vorfälle zu erkennen: DNS-Takeover-Alarme.
Das Problem: Ein Angriff, für dessen Abwehr DMARC nie konzipiert wurde
DMARC in der Durchsetzungsphase gilt weithin als der Goldstandard bei der E-Mail-Authentifizierung – und das aus gutem Grund. Es überprüft, ob eine E-Mail, die angeblich von einer bestimmten Domain stammt, tatsächlich autorisiert ist, und weist empfangende Server an, alle nicht autorisierten E-Mails zurückzuweisen. Dieser Schutz stützt sich jedoch vollständig auf DNS-Einträge, und diese Einträge können bei Änderungen an der Infrastruktur leicht übersehen werden.
Stellen Sie sich ein Szenario vor, das häufiger vorkommt, als den meisten Teams bewusst ist. Ihr Unternehmen erreicht den Status „p=reject“ für alle sendenden Domains. Monate später nimmt ein Entwickler eine Staging-Umgebung außer Betrieb, entfernt jedoch nicht deren CNAME-Eintrag, der weiterhin auf eine Cloud-Ressource verweist, die nicht mehr existiert. Ein Angreifer entdeckt den verwaisten DNS-Eintrag, beansprucht dieselbe Cloud-Ressource für sich, richtet einen Mailserver ein und beginnt, Phishing-E-Mails von @staging.yourcompany.com zu versenden.
Die Phishing-Nachrichten passieren die SPF- und DMARC-Prüfungen und gelangen unter dem Namen Ihrer Marke in die Posteingänge. Dies ist kein rein theoretisches Problem. Die „SubdoMailing“-Kampagne vom Februar 2024 hat diese Technik in großem Maßstab demonstriert: Dabei wurden Millionen betrügerischer E-Mails von gekaperten Subdomains versendet, die zu Marken gehörten, bei denen DMARC vollständig durchgesetzt wurde. Durch die bloße Durchsetzung allein bleibt diese Angriffsfläche völlig unüberwacht.
Die Lösung: Einführung von DNS-Takeover-Warnmeldungen
„DNS-Takeover-Warnungen“ ist ein neuer Warnungstyp innerhalb unserer PowerAlerts-Funktion, der Ihre Domain-Infrastruktur kontinuierlich auf DNS-Konfigurationsfehler überwacht, die eine Übernahme von Subdomains ermöglichen. Wenn ein Risiko erkannt wird, erhalten Sie umgehend eine Benachrichtigung mit einer leicht verständlichen Erklärung des Problems und der entsprechenden Abhilfemaßnahme, sodass Sie das Problem beheben können, bevor ein Angreifer es entdeckt.
Diese Funktion ist direkt in das PowerAlerts-Modul integriert, das Sie bereits nutzen. Sie ergänzt Ihre bestehenden DNS-, Schwellenwert- und forensischen Warnmeldungen und folgt demselben Konfigurationsablauf, sodass Sie sich nicht in ein neues Tool einarbeiten müssen und kein separates Dashboard überwachen müssen.
So konfigurieren Sie Warnmeldungen bei DNS-Übernahmen
Die Einrichtung erfolgt in drei einfachen Schritten; den Rest übernimmt die Plattform:
Schritt 1: Domänen/Domänengruppen auswählen
Wählen Sie die Domains oder Domain-Gruppen aus, die Sie auf Übernahme-Risiken überwachen möchten. Wählen Sie einzelne Domains aus oder wenden Sie eine Gruppe an, um mehrere Domains gleichzeitig abzudecken.
Schritt 2: Wählen Sie die Art der Benachrichtigung aus
Wählen Sie „DNS-Übernahme“ aus der Liste der Alarmtypen aus, die neben Ihren bestehenden DNS-, Schwellenwert- und forensischen Alarmen aufgeführt ist.
Schritt 3: Alarmbedingungen festlegen
Aktivieren Sie die Prüftypen, die Sie ausführen möchten – von „Dangling NS“ und „MX“ bis hin zu „CNAME“, „SPF“ und „A/AAAA“ – oder schalten Sie alle fünf ein, um eine vollständige Abdeckung zu gewährleisten.
Schritt 4: Benachrichtigungsgruppen auswählen
Legen Sie das Team oder die Ansprechpartner fest, die benachrichtigt werden sollen, wenn ein Risiko erkannt wird, damit die richtigen Personen sofort handeln können, sobald eine Warnmeldung ausgelöst wird.
Fünf Prüfschritte, die die gesamte Angriffsfläche abdecken
Viele Plattformen, die sich mit diesem Risiko befassen, decken nur die gängigsten Fälle ab. Die DNS-Takeover-Warnmeldungen von PowerDMARC bieten fünf verschiedene Prüftypen, darunter zwei, die von keiner anderen DMARC-Plattform überwacht werden.
1. Ungeklärtes NS (kritisch)
Nameserver-Einträge, die auf einen Server verweisen, der nicht mehr existiert. Wenn ein Angreifer den abgelaufenen Nameserver registriert, erlangt er die vollständige DNS-Kontrolle über die Subdomain. Dies ist das Szenario mit dem höchsten Risiko.
2. Übernahme einer SPF-Subdomain (kritisch)
SPF-Einträge mit den Anweisungen „include:“ oder „redirect=“, die auf abgelaufene Domains verweisen. Ein Angreifer kann die Domain registrieren, deren SPF-Eintrag manipulieren und in Ihrem Namen authentifizierte E-Mails versenden. Diese Prüfung wird für alle fünf Mechanismen durchgeführt: „include“, „redirect“, „a“, „mx“ und „exists“.
3. Offenes MX-Eintrag (kritisch)
MX-Einträge, die auf einen Hostnamen eines E-Mail-Servers verweisen, der nicht mehr aufgelöst werden kann. Ein Angreifer kann unter diesem Hostnamen einen E-Mail-Server einrichten und Ihre eingehenden E-Mails abfangen oder sich als Absender ausgeben.
4. Ungewiesener CNAME (Hoch)
CNAME-Einträge, die auf einen Hostnamen verweisen, der nicht mehr aufgelöst werden kann – eine häufige Folge der Löschung von Cloud-Ressourcen oder der Kündigung von SaaS-Diensten. Ein Angreifer kann unter derselben Adresse eine Ressource einrichten und die Subdomain für sich beanspruchen.
5. Hängende A/AAAA (Warnung)
A- oder AAAA-Einträge, die auf IP-Adressen verweisen, die möglicherweise nicht mehr unter Ihrer Kontrolle stehen und von einem Dritten zurückerobert werden könnten.
Die Vorteile von PowerDMARC
Die beiden letzten Prüfungen, „Dangling MX“ und „Dangling A/AAAA“, decken Bereiche ab, die sonst auf dem DMARC-Markt nicht abgedeckt sind.
Warum das wichtig ist
Die Durchsetzung von DMARC bildet eine entscheidende Grundlage, da sie sicherstellt, dass Ihre legitimen Absender einheitlich und autorisiert sind. DNS-Takeover-Warnungen erweitern diesen Schutz auf die umgebende DNS-Infrastruktur und bieten Ihnen so einen umfassenderen Schutz:
- Fehlerhafte Konfigurationen sollten erkannt und behoben werden, bevor ein Angreifer sie ausnutzen kann, anstatt erst zu reagieren, nachdem bereits eine betrügerische E-Mail versendet wurde.
- Fünf Prüftypen überwachen das gesamte Spektrum an „Dangling Records“, einschließlich „Dangling MX“- und „Dangling A/AAAA“-Szenarien, die an anderer Stelle auf dem DMARC-Markt nicht abgedeckt sind.
- Beim Speichern wird sofort ein erster Scan durchgeführt, und durch die fortlaufende Überwachung werden Änderungen Ihrer DNS-Einträge im Laufe der Zeit kontinuierlich verfolgt.
- Jede Warnmeldung enthält den Schweregrad, die betroffene Subdomain und eine leicht verständliche Beschreibung, aus der genau hervorgeht, was zu beheben ist.
- Die Funktion ist in dem PowerAlerts-Modul integriert, das Sie bereits nutzen – Sie müssen also kein neues Tool erlernen und kein separates Dashboard überwachen.
Verfügbarkeit
DNS-Takeover-Warnmeldungen sind in den PowerDMARC Enterprise-Tarifen verfügbar. Um loszulegen, öffnen Sie das PowerAlerts-Modul, erstellen Sie eine neue DNS-Takeover-Warnmeldung und führen Sie Ihren ersten Scan durch, oder wenden Sie sich an unser Team, um weitere Informationen zu erhalten.
Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC
Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.
Neueste Beiträge von Ahona Rudra (alle anzeigen)
- Einführung von DNS-Takeover-Warnmeldungen: Schließung der Lücke, die DMARC nicht abdecken kann – 27. Juli 2026
- Die besten DMARC-KI-Tools im Jahr 2026: Welche Anbieter setzen KI tatsächlich ein (und wie)? – 27. Juli 2026
- Was ist ARF? Format zur Meldung von Missbrauch und DMARC-Fehlerberichte (RFC 5965) – 24. Juli 2026
