DNS-Sicherheitslücken: 10 häufige Schwachstellen und wie man sie behebt

Eine DNS-Sicherheitslücke ist eine Schwachstelle in der Konfiguration, dem Hosting oder der Verwaltung des DNS einer Domain, die ein Angreifer ausnutzen kann, beispielsweise ein offener Resolver, eine fehlende DNSSEC-Signatur oder ein vergessener CNAME-Eintrag. Die meisten dieser Schwachstellen sind eher auf Fehlkonfigurationen und veraltete Einträge als auf Softwarefehler zurückzuführen, sodass Sie sie aufspüren und beheben können, bevor es zu einem Vorfall kommt.

Was sind DNS-Schwachstellen?

Eine DNS-Sicherheitslücke ist ein betrieblicher, architektonischer oder konfigurationsbedingter Fehler in Ihrer DNS-Implementierung, der die Vertraulichkeit, Integrität oder Verfügbarkeit Ihres Netzwerkverkehrs beeinträchtigt.

Diese Schwachstellen treten in der Regel auf vier entscheidenden operativen Ebenen auf:

1. Registrar und Kontoverwaltung: Gemeinsam genutzte Anmeldedaten, fehlende Multi-Faktor-Authentifizierung und unterlassene Registrierungssperren, wodurch die Kontrolle über Ihre Nameserver ungeschützt bleibt.
2. Autoritative Nameserver: Locker gefasste Regeln für den Zonentransfer, nicht gepatchte Server-Daemons, fehlende Begrenzungen der Abfragefrequenz oder fehlende Redundanz bei den Anbietern.
3. Resolver und Transport: Rekursive Resolver, die über das öffentliche Internet zugänglich sind, unverschlüsselte Übertragung über UDP im Klartext oder unzureichend zufällig generierte Transaktions-IDs.
4. DNS-Einträge: Verwaiste CNAME-Einträge, die auf stillgelegte Infrastruktur verweisen, fehlende DNSSEC-Kryptografieketten oder fehlende E-Mail- und Zertifikatsdatensätze.

Es ist wichtig, zwischen Sicherheitslücken und Angriffen zu unterscheiden. Eine Sicherheitslücke ist ein zugrunde liegender Fehler oder eine Fehlkonfiguration in Ihrer Systemumgebung. Ein Angriff ist die gezielte Ausnutzung dieser Schwachstelle durch einen böswilligen Dritten. Das Verständnis dieses Unterschieds ermöglicht es Sicherheitsteams, Schwachstellen zu beseitigen, bevor DNS-Angriffe stattfinden können.

10 häufige DNS-Sicherheitslücken

Die folgenden zehn Sicherheitslücken stellen die häufigsten Schwachstellen dar, die in DNS-Implementierungen von Unternehmen festgestellt werden.

1. Open-DNS-Resolver {#open-dns-resolvers}

Ein offener rekursiver Resolver ist ein mit dem öffentlichen Internet verbundener DNS-Server, der rekursive Abfragen für jeden auflöst, anstatt die Auflösung auf autorisierte lokale Clients zu beschränken.

• Was damit möglich ist: Angreifer fälschen die Quell-IP-Adresse des Opfers und senden Abfragen an offene Resolver, wodurch massive Antwortdatenmengen erzeugt werden, die das Opfer durch verteilte DNS-Amplifikations- DDoS-Angriffen.
• So überprüfen Sie dies: Führen Sie von einem externen Netzwerk aus eine Abfrage an die Adresse Ihres öffentlichen Servers durch:

dig @<your-server-ip> example.com

• Wenn der Server eine Antwort mit dem Flag „ra“ (Rekursion verfügbar) gesetzt ist, ist Ihr Resolver anfällig für unbefugte öffentliche Rekursion.
• Behebung: Deaktivieren Sie die Rekursion auf autoritativen Servern vollständig oder beschränken Sie sie mithilfe von Zugriffskontrolllisten gemäß unseren Bewährten Verfahren für DNS-Sicherheit.

2. Fehlendes oder fehlerhaftes DNSSEC

DNSSEC (Domain Name System Security Extensions) nutzt kryptografische Signaturen, um die Authentizität von DNS-Daten zu überprüfen. Wird DNSSEC nicht eingesetzt oder werden kryptografische Konfigurationen zugelassen, die abgelaufene RRSIG-Einträge oder nicht übereinstimmende DS-Einträge beim Registrar umgehen, bleiben die Auflösungen unüberprüft.

• Was dies ermöglicht: Ohne kryptografische Überprüfung können rekursive Resolver gefälschte Antwortpakete akzeptieren, die von Angreifern auf dem Netzwerkpfad eingeschleust wurden, was zu Cache-Poisoning und einer Umleitung des Datenverkehrs.
• So überprüfen Sie dies: Überprüfen Sie die kryptografische Kette Ihrer Domain mit unserem kostenlosen, browserbasierten DNSSEC-Checkeroder erfahren Sie in unserer Einführung zu DNSSEC.
• Behebung: Signieren Sie Ihre Zonendateien, veröffentlichen Sie entsprechende Delegation-Signer-Einträge (DS) bei Ihrem Domain-Registrar und implementieren Sie automatisierte Verfahren zur Schlüsselerneuerung, um Validierungsausfälle zu verhindern.

3. Uneingeschränkte Zonenübertragungen (AXFR)

Ein „Asynchronous Full Transfer“ (AXFR) ist ein Protokollmechanismus, der dazu dient, Zonendaten zwischen primären und sekundären Nameservern zu synchronisieren. Bei einem uneingeschränkten Zonentransfer kann jeder Nutzer im Internet die gesamte Zonendatei anfordern und herunterladen.

• Was dies ermöglicht: Aufdeckung von Sicherheitslücken. Angreifer erhalten einen vollständigen Überblick über Ihre digitale Angriffsfläche und decken dabei interne Namenskonventionen, Staging-Server, VPN-Gateways und nicht gelistete Subdomains auf.
• So überprüfen Sie dies: Führen Sie eine Zone-Transfer-Abfrage direkt bei Ihrem autoritativen Nameserver durch:

dig AXFR example.com @ns1.example.com

• Ein sicherer Server antwortet mit „Übertragung fehlgeschlagen“ oder lehnt die Verbindung ab. Wenn der Befehl eine vollständige Datensatzliste zurückgibt, sind Ihre Übertragungseinstellungen offen.
• Behebung: Beschränken Sie AXFR-Anfragen ausschließlich auf explizite IP-Adressen, die zu authentifizierten sekundären Nameservern gehören, und zwar mithilfe strenger Zugriffskontrolllisten (ACLs).

4. Ungeklärte DNS-Einträge

Ein „dangling DNS-Eintrag“ liegt vor, wenn ein Eintrag in Ihrer Zone (z. B. ein CNAME-, A- oder NS-Eintrag) auf eine externe Cloud-Ressource, einen Webhost oder einen Speicher-Bucket verweist, der außer Betrieb genommen oder gelöscht wurde, ohne dass der entsprechende DNS-Verweis entfernt wurde.

• Was dies ermöglicht: Angreifer identifizieren den aufgegebenen Zielnamen, richten genau diesen Ressourcennamen auf der Anbieterplattform (wie AWS, Azure, GitHub Pages oder Heroku) ein und übernehmen die Kontrolle über Ihre Subdomain im Rahmen einer Subdomain-Übernahme. 
• So gehen Sie vor: Exportieren Sie Ihre Zone mithilfe unserer umfassenden DNS-Eintrag-Suchtool und stellen Sie sicher, dass jeder externe Endpunkt, jedes CNAME-Ziel und jeder Cloud-Host weiterhin aktiv von Ihrer Organisation beansprucht wird.
• Maßnahme: Führen Sie automatisierte Stilllegungsprotokolle ein, um entsprechende DNS-Einträge zu löschen, sobald Cloud-Infrastrukturen oder Webdienste von Drittanbietern außer Betrieb genommen werden.

5. Mangelhafte Sicherheit bei Registrar-Konten

Domain-Registrare verwalten die Apex-Nameserver-Delegierungen für Ihre Domains. Die Absicherung Ihres Registrar-Portals mit Ein-Faktor-Anmeldedaten, gemeinsam genutzten Administrator-E-Mail-Postfächern oder die Nichtaktivierung von Schutzsperren auf Registrar-Ebene führt zu einem Single Point of Failure.

• Was dadurch möglich wird: Angreifer kompromittieren die Anmeldedaten des Registrars, ändern die Delegierungen Ihrer autoritativen Nameserver und leiten den gesamten globalen Web- und E-Mail-Verkehr in einem verheerenden DNS-Hijacking-Vorfall .
• So überprüfen Sie dies: Überprüfen Sie in Ihrer Registrar-Konsole, ob eine hardware- oder anwendungsbasierte die Multi-Faktor-Authentifizierung für alle Administrator-Zugänge erzwungen wird und ob die Flags „Registry Lock“ oder „Registrar Lock“ aktiv sind.
• Maßnahme: Setzen Sie die Multi-Faktor-Authentifizierung für alle Registrierungsanmeldungen durch, wenden Sie „Registry Lock“-Statuscodes auf kritische Domains an und richten Sie einen dedizierten, rollenbasierten Zugriff für Unternehmen ein.

6. Falsch konfigurierte DNS-Server und Zugriffskontrollen

Standardmäßige Softwareinstallationen werden häufig mit weitreichenden Zugriffseinstellungen, für das Internet zugänglichen Verwaltungsschnittstellen und Versionsangaben ausgeliefert, die als Antwort auf einfache Abfragen übermittelt werden.

• Was dies ermöglicht: Angreifer ermitteln die Server-Software und den Patch-Stand durch Banner-Abfragen wie version.bind, identifizieren ungepatchte Schwachstellen und nutzen schwache Zugriffskontrollen aus, um Konfigurationsparameter zu manipulieren. Lesen Sie unseren grundlegenden Leitfaden zum Thema Was ist ein DNS-Server? , um sichere Betriebsgrundlagen zu verstehen.
• So überprüfen Sie dies: Rufen Sie die Server-Identitätszeichenfolge über ein Terminal ab:

dig version.bind CHAOS TXT @ns1.example.com

• Ein abgesicherter Server unterdrückt diese Informationen oder gibt eine allgemeine Antwort zurück.
• Behebung: Serverversionsangaben ausblenden, Verwaltungsschnittstellen auf administrative VPNs beschränken, Response Rate Limiting (RRL) implementieren und das Prinzip der geringsten Berechtigungen in allen Konfigurationsdateien durchsetzen.

7. Single Point of Failure beim DNS-Hosting

Die Unterbringung aller autoritativen Nameserver bei einem einzigen DNS-Anbieter oder die Bereitstellung von Nameservern innerhalb desselben physischen autonomen Systems (AS) führt zu einer gefährlichen Anfälligkeit des Betriebs.

• Was dies bewirkt: Ein gezielter DDoS-Angriff, ein Ausfall des Providers oder ein Routing-Fehler kann Ihre autoritativen Nameserver vollständig lahmlegen, wodurch Ihre Websites, APIs und geschäftlichen E-Mail-Adressen völlig unerreichbar werden, wie der großflächige Dyn-Ausfall im Jahr 2016 gezeigt hat. 
• So überprüfen Sie dies: Überprüfen Sie die NS-Einträge Ihrer Domain, um sicherzustellen, dass Ihre Nameserver auf unterschiedliche Netzwerkblöcke und unabhängige autonome Systeme verweisen.
• Lösung: Richten Sie eine sekundäre DNS-Architektur mit zwei Anbietern ein, bei der die autoritative Auflösung auf zwei separate, geografisch verteilte DNS-Dienste verteilt wird.

8. Unverschlüsselter DNS-Datenverkehr

Herkömmliche DNS-Abfragen und -Antworten werden über Port 53 im Klartext per UDP und TCP übertragen. Ohne Verschlüsselung kann jede Domain-Abfrage von lokalen Netzwerken, Internetdienstanbietern und Transit-Anbietern eingesehen werden.

• Was dies ermöglicht: Abhören auf dem Übertragungsweg, Erstellung von Nutzerprofilen und Manipulation auf dem Übertragungsweg, bei der Angreifer Klartext-Abfragen abfangen und gefälschte Antworten zurücksenden.
• So überprüfen Sie dies: Überprüfen Sie die Endpunkt- und Router-Einstellungen, um festzustellen, ob die Auflösungen über DNS über HTTPS (DoH), DNS über TLS (DoT) oder DNS über QUIC (DoQ) statt über den reinen UDP-Port 53 weitergeleitet werden.
• Behebung: Konfigurieren Sie lokale Resolver, Endpunkte und Forwarder so, dass eine moderne Transportverschlüsselung unter Verwendung von Standard- TLS-Kryptografieprotokolle.

9. Nicht gepatchte DNS-Software

DNS-Daemons wie BIND, Unbound, PowerDNS und Windows Server DNS erfordern regelmäßige Sicherheitspatches. Der Betrieb veralteter Daemon-Versionen setzt Netzwerke bekannten Sicherheitslücken aus, die in öffentlichen CVE-Datenbanken dokumentiert sind.

• Was dadurch ermöglicht wird: Remote-Codeausführung, Speicherbeschädigungen und Angriffe auf die algorithmische Komplexität, die Nameserver zum Stillstand bringen, wie beispielsweise die KeyTrap-Sicherheitslücke (CVE-2023-50387) in DNSSEC-Validierungsmodulen oder der SAD-DNS-Cache-Poisoning-Vektor (CVE-2020-25705).
• So überprüfen Sie dies: Vergleichen Sie die Build-Strings der laufenden Daemons mit den Sicherheitshinweisen der Anbieter und abonnieren Sie die Benachrichtigungsfeeds der wichtigsten DNS-Softwareentwickler.
• Maßnahme: Halten Sie aktive Patching-Zeitpläne ein, isolieren Sie DNS-Dienste in eingeschränkten Containern oder minimalen Betriebsumgebungen und überprüfen Sie Builds anhand der aktuellen Sicherheitsupdates.

10. Fehlende Sicherheits- und E-Mail-Aufzeichnungen

Wenn Sie keine positiven Sicherheitsdatensätze in Ihrer DNS-Zonendatei veröffentlichen, ist Ihre Domain anfällig für die unbefugte Ausstellung von Zertifikaten und das Spoofing ausgehender E-Mails.

• Was es ermöglicht: Ohne einen CAA-Eintragkann jede öffentliche Zertifizierungsstelle SSL/TLS-Zertifikate für Ihren Domainnamen ausstellen. Ebenso führt das Weglassen von SPF, DKIM und strengen DMARC-Richtlinien ermöglicht es Spammern, betrügerische Nachrichten zu versenden, in denen sie sich direkt als Ihre Marke ausgeben.
• So überprüfen Sie dies: Überprüfen Sie Ihre aktuellen Sicherheitskonfigurationen mit unserem kostenlosen CAA-Checkerund überprüfen Sie Ihre Authentifizierungsrichtlinien mit unserem DMARC-Record-Checkeroder führen Sie eine umfassende Bewertung über den Domain-Analysatordurch.
• Maßnahme: Veröffentlichen Sie restriktive CAA-Einträge, in denen autorisierte Zertifikatsaussteller aufgeführt sind, und setzen Sie DMARC durch bei p=reject für alle Domains und Subdomains der Organisation durchzusetzen.

Sicherheitsrisiken im DNS: Was Sie diese Schwachstellen kosten

Werden DNS-Sicherheitslücken nicht behoben, entstehen direkte geschäftliche Risiken in den Bereichen Finanzen, Betrieb und Regulierung.

• Ausfallzeiten und Umsatzverluste: Konfigurationen mit einem einzigen Anbieter und ungeminderte Verstärkungsrisiken bergen die Gefahr von Ausfällen, die den Webbetrieb und kommerzielle Plattformen lahmlegen.
• Abfangen von Anmeldedaten und betrügerische Weiterleitungen: Durch Cache-Poisoning und DNS-Hijacking werden Besucher auf gefälschte Server umgeleitet, die darauf ausgelegt sind, Anmeldedaten von Unternehmen abzugreifen.
• Exfiltration von Unternehmensdaten: Uneingeschränkte Resolver und falsch konfigurierte Forwarder ermöglichen es Angreifern, Firewalls zu umgehen und interne Daten zu exfiltrieren.
• Markenbetrug und E-Mail-Betrug in Unternehmen: Fehlende SPF-, DKIM- und DMARC-Einträge ermöglichen es Angreifern, Kunden, Partner und Mitarbeiter mit gefälschten E-Mails zu täuschen.
• Erstellung betrügerischer Zertifikate: Das Weglassen von CAA-Einträgen erhöht die Wahrscheinlichkeit der Erstellung betrügerischer TLS-Zertifikate und untergräbt damit die Annahmen zur Transportsicherheit.
• Mängel bei der Prüfung und behördliche Sanktionen: Nicht verwaltete DNS-Ressourcen verstoßen häufig gegen die verbindlichen Kontrollanforderungen gemäß den Standards SOC 2, ISO 27001 und PCI DSS.

Die folgende Tabelle fasst zusammen, inwiefern gängige Schwachstellen in der DNS-Konfiguration direkt mit den Cyberangriffsvektoren zusammenhängen, die sie ermöglichen:

So überprüfen Sie Ihre Domain auf DNS-Sicherheitslücken 

Die Durchführung eines strukturierten Audits in Ihrer gesamten Domänenlandschaft deckt Fehlkonfigurationen auf, bevor Angreifer sie entdecken:

1. Führen Sie einen Basis-Domain-Scan durch: Geben Sie Ihre Apex-Domain in unseren kostenlosen Domain-Analysator ein, um Ihre allgemeine Sicherheitslage zu überprüfen und fehlende Konfigurationen zu identifizieren.
2. Überprüfen Sie Ihre DNSSEC-Kette: Testen Sie Ihre Root- und delegierten Schlüssel mit unserem DNSSEC-Checker, um sicherzustellen, dass die Signaturen gültig sind und die Schlüssel nicht abgelaufen sind.
3. Test authoritative zone transfer restrictions: Execute dig AXFR example.com @<nameserver> against every authoritative host to confirm that public zone dumping is rejected.
4. Überprüfen Sie die Berechtigungen für die rekursive Auflösung: Fragen Sie Ihre autoritativen Server von außerhalb Ihres Unternehmens-IP-Bereichs ab, um sicherzustellen, dass die rekursive Auflösung deaktiviert ist.
5. Überprüfen Sie die Active-Zone-Einträge auf „Dangling Pointer“: Exportieren Sie alle veröffentlichten Einträge mithilfe unserer DNS-Eintragssuche und stellen Sie sicher, dass alle externen Cloud-Ressourcen und CNAME-Ziele weiterhin gültig sind.
6. Zertifikate und E-Mail-Sicherheitsmaßnahmen prüfen: Überprüfen Sie autorisierte Zertifizierungsstellen mit unserem CAA-Checker und vergewissern Sie sich mit unserem DMARC-Record -Checker, dass die Durchsetzungsrichtlinien eingehalten werden.
7. Sicherheitseinstellungen des Registrars überprüfen: Überprüfen Sie die Zugriffslisten für Administratoren, vergewissern Sie sich, dass die Multi-Faktor-Authentifizierung eingerichtet ist, und stellen Sie sicher, dass die Registrierungssperren weiterhin aktiviert sind.

Eine einmalige Infrastrukturprüfung liefert einen Momentaufnahmen des aktuellen Zustands, doch um einen dauerhaften Überblick zu gewährleisten, ist eine kontinuierliche Überwachung der DNS-Sicherheit erforderlich, um Abweichungen in Echtzeit zu erkennen.

So beheben Sie DNS-Sicherheitslücken

Zur Behebung von DNS-Sicherheitslücken müssen administrative und strukturelle Konfigurationen mit hoher Auswirkung vorrangig behandelt werden:

1. Sichern Sie die Verwaltungsebene: Setzen Sie die Multi-Faktor-Authentifizierung bei Domain-Registraren und Cloud-DNS-Portalen durch, weisen Sie Rollen mit möglichst geringen Berechtigungen zu und aktivieren Sie unverzüglich den Registrar-Lock-Schutz.
2. Netzwerkzugriff einschränken: Beschränken Sie Zonentransfers ausschließlich auf festgelegte sekundäre IP-Adressen, deaktivieren Sie die Rekursion auf autoritativen Servern und implementieren Sie eine Ratenbegrenzung.
3. Verwaiste Datensätze entfernen: Löschen Sie nicht mehr verwendete CNAME-, A- und NS-Einträge, die auf aufgegebene Infrastruktur oder stillgelegte Cloud-Anwendungen von Drittanbietern verweisen.
4. Kryptografische Überprüfung implementieren: Signieren Sie Ihre Zonen mit DNSSEC, überprüfen Sie die DS-Einträge des Registrars und setzen Sie eine strenge E-Mail-Authentifizierung über DMARC, SPF und DKIM durch.

Um sich einen Überblick über unseren gesamten Prozess zur administrativen Absicherung zu verschaffen, lesen Sie die offiziellen NIST-Richtlinien zur DNS-Sicherheit.

Häufig gestellte Fragen

Was ist die häufigste DNS-Sicherheitslücke?

Die häufigste DNS-Sicherheitslücke ist eine fehlerhafte Konfiguration. Zu freizügige Einstellungen wie offene rekursive Resolver, nicht authentifizierte Zonenübertragungen, vergessene „Dangling Records“ und schwache Zugriffskontrollen für Administratoren sind für weitaus mehr Sicherheitsvorfälle verantwortlich als Zero-Day-Exploits.

Was ist der Unterschied zwischen einer DNS-Sicherheitslücke und einem DNS-Angriff?

Eine DNS-Sicherheitslücke ist eine zugrunde liegende Schwachstelle, eine Fehlkonfiguration oder eine architektonische Lücke in Ihrem Domänensystem. Ein DNS-Angriff ist der aktive Versuch eines Angreifers, diese Sicherheitslücke auszunutzen, um Daten zu stehlen, Datenverkehr umzuleiten oder Ausfallzeiten zu verursachen. 

Stellt Port 53 ein Sicherheitsrisiko dar?

Port 53 ist an sich nicht bösartig; er ist der Standardport für DNS über UDP und TCP. Wenn Port 53 jedoch für rekursive Abfragen aus der Öffentlichkeit offen gelassen wird, wird der Server zu einem offenen Resolver, der für Amplifikationsangriffe und Überwachung anfällig ist.

Wie oft sollte ich das DNS auf Schwachstellen überprüfen?

Sie sollten Ihre DNS-Konfigurationen kontinuierlich überprüfen. Während manuelle Überprüfungen der Berechtigungen der Registrare und der Zonendateien mindestens vierteljährlich erfolgen sollten, wird eine automatisierte Überwachung empfohlen, um unbefugte Änderungen an Einträgen, ablaufende Zertifikate und „dangling“ Hostnamen sofort zu erkennen, sobald sie auftreten.

Abschließende Worte

DNS-Sicherheitslücken bieten Angreifern Möglichkeiten, Datenverkehr abzufangen, Denial-of-Service-Angriffe zu starten und Unternehmensmarken zu fälschen. Da die meisten DNS-Sicherheitsprobleme eher auf routinemäßige administrative Versäumnisse und Konfigurationsabweichungen als auf Zero-Day-Code-Exploits zurückzuführen sind, lassen sich durch proaktive Überprüfungen und regelmäßige Wartungsmaßnahmen Ihre Angriffsfläche insgesamt erheblich verringern.