NIST SP 800-81r3: DNS-Sicherheitsrichtlinien für E-Mails

Nach Angaben der Polizei von Singapur überwies ein in Singapur ansässiges Rohstoffhandelsunternehmen im April 2026 6,6 Millionen US-Dollar auf ein betrügerisches Bankkonto in Oman. Der Grund dafür war weder ein ausgeklügelter Netzwerkangriff noch ein direkter Hackerangriff. Stattdessen nutzten die Angreifer einen klassischen „Domain-Typosquatting“-Trick und versendeten E-Mails von einer Domain, bei der lediglich zwei Buchstaben vertauscht waren. Die gefälschte Adresse sah praktisch identisch aus wie die des echten Lieferanten des Unternehmens.

Dieser verheerende Vorfall verdeutlicht, warum die Betrachtung des Domain Name Systems (DNS) als passive Infrastruktur ein enormes Sicherheitsrisiko darstellt. Um genau diese Lücken zu schließen, hat das National Institute of Standards and Technology (NIST) am 19. März 2026 die Norm NIST SP 800-81r3 verabschiedet. Diese Veröffentlichung stellt die erste größere Aktualisierung der DNS-Sicherheitsrichtlinien des NIST für Bundesbehörden seit 13 Jahren dar und stuft das DNS damit offiziell von einer im Hintergrund laufenden Netzwerkkomponente zu einer aktiven Sicherheitsmaßnahme an vorderster Front ein. Für IT- und Sicherheitsteams, die sich mit E-Mail-Authentifizierung befassen, bedeutet dies eine erhebliche Veränderung im Umgang mit dem DNS.

Was ist NIST SP 800-81r3?

Die NIST Special Publication (SP) 800-81 gilt als maßgeblicher Referenzstandard für die sichere DNS-Bereitstellung. Die vorherige Fassung, Revision 2, wurde bereits im Jahr 2013 veröffentlicht. In den vergangenen 13 Jahren hat sich die Technologielandschaft in Unternehmen durch den Aufstieg von Cloud-Architekturen, die Verbreitung von Ransomware, verschlüsselte Protokolle und Zero-Trust-Frameworks grundlegend verändert.

Das kürzlich fertiggestellte NIST SP 800-81r3-Rahmenwerk, das von Scott Rose vom NIST gemeinsam mit den Infoblox-Experten Cricket Liu und Ross Gibson verfasst wurde, modernisiert diese Richtlinien. Die Einhaltung dieser Vorgaben ist für US-Bundesbehörden zur Erfüllung moderner Verordnungen zur Cybersicherheit zwar zwingend vorgeschrieben, dient aber auch international als Maßstab. So können beispielsweise europäische Organisationen es als grundlegenden technischen Standard für die NIS2-Richtlinie (Netz- und Informationssicherheit 2) der EU betrachten.

NIST SP 800-81r3: Strategie zur Kernarchitektur

Drei Säulen, die das DNS als aktive Sicherheitsmaßnahme neu definieren

Der grundlegende Wandel bei dieser Überarbeitung ist einfach: DNS ist kein Dienst mehr, den man einmal einrichtet und dann vergisst. Das moderne Rahmenwerk verlangt von Unternehmen, dass sie DNS als dynamischen Sicherheitskontrollpunkt betrachten, der Bedrohungen aktiv abwehren, Telemetriedaten an den Sicherheitsbetrieb weiterleiten und einer kontinuierlichen Überprüfung unterzogen werden muss.

Fünf wesentliche Änderungen in SP 800-81r3

1. Schutz-DNS – Vom passiven Resolver zum aktiven Filter

Die bedeutendste konzeptionelle Neuerung in den neuen Leitlinien ist die formelle Einführung des „Protective DNS“ (PDNS). Ein Protective-DNS-Dienst fungiert nicht als einfaches Tool zur Verzeichnisabfrage, sondern als aktiver Sicherheitsfilter. Er überprüft alle ausgehenden DNS-Abfragen, gleicht sie mit Bedrohungsdaten ab und blockiert Verbindungen zu bekannten bösartigen Domains oder Phishing-Infrastrukturen.

• Flexibilität bei der Bereitstellung: Das NIST empfiehlt ein hybrides Infrastrukturmodell und strebt an, skalierbare, cloudbasierte PDNS-Lösungen mit lokalen DNS-Firewall-Fallbacks zu kombinieren, um die Ausfallsicherheit zu gewährleisten.
• Proaktive Risikominderung: PDNS mindert Risiken aktiv, indem es verhindert, dass Benutzer und Geräte eine Verbindung zu gefährlichen Hosts herstellen.
• Lookalike-Betrug verhindern: Im Zusammenhang mit dem Fall von Business Email Compromise (BEC) in Singapur kann eine aktive PDNS-Ebene die Auflösung neu registrierter Lookalike-Domains vollständig blockieren.

2. Verschlüsseltes DNS – DoT, DoH und DoQ

Herkömmliche DNS-Abfragen werden im Klartext über das Internet übertragen, wodurch Angreifer den Datenverkehr abhören und die internen Ressourcen oder externen Partnerschaften eines Unternehmens in Erfahrung bringen können. Die aktualisierte Richtlinie empfiehlt offiziell die Verwendung verschlüsselter DNS-Protokolle, um die Vertraulichkeit der Abfragen zu gewährleisten.

• Unterstützte Protokolle: Das Update standardisiert DNS über Transport Layer Security (DoT), DNS über HTTPS (DoH) und DNS über QUIC (DoQ).
• Schutz vor Abhörversuchen: Durch die Verschlüsselung dieser Kanäle wird verhindert, dass externe Angreifer Systemanfragen abhören können.
• Aufklärungsblock: Dieser verhindert direkt, dass Angreifer ausgehende E-Mail-Sicherheitsabfragen abfangen, die sie häufig dazu nutzen, Zielnetzwerke zu kartieren, bevor sie Spear-Phishing-Kampagnen starten.

3. DNS als Durchsetzungspunkt für Zero-Trust-Richtlinien

In einer Zero-Trust-Architektur wird standardmäßig keinem Benutzer und keinem Gerät vertraut, und jede einzelne Zugriffsanfrage muss ausdrücklich validiert werden. Die neuen Richtlinien erheben das DNS zu einem zentralen Zero-Trust-Policy-Enforcement-Point (PEP).

• Sicherheit vor dem Verbindungsaufbau: Da die DNS-Auflösung bereits vor dem Aufbau einer Netzwerkverbindung erfolgt, stellt sie die frühestmögliche Ebene dar, um unbefugte Kommunikation zu blockieren.
• Kontextbezogene Informationen: Abfragedaten liefern wichtige kontextbezogene Informationen, die es Sicherheitsteams ermöglichen, das Verhalten von Geräten anhand der Domänen zu analysieren, auf die diese zugreifen wollen.
• Infrastrukturisolierung: Wenn ein System versucht, eine Verbindung zu einem als bösartig bekannten Command-and-Control-Server herzustellen, kennzeichnet die DNS-Ebene das Gerät und unterbricht die Kommunikation sofort.

4. Verbesserte DNSSEC-Implementierung

DNSSEC schützt die Integrität von DNS-Daten, indem es Einträge mit kryptografischen Signaturen versieht. Die aktualisierte Version enthält wichtige Neuerungen, die DNSSEC sicherer und effizienter machen.

• Moderne Kryptografie: Das NIST hebt Überlegungen zu modernen DNSSEC-Algorithmen hervor und weist darauf hin, dass Algorithmen wie ECDSA und Ed448 in vielen Anwendungsfällen gegenüber RSA vorzuziehen sind, da sie kleinere Schlüssel und Signaturen erzeugen.
• QNAME-Minimierung: Resolver senden nun nur noch den unbedingt notwendigen Teil einer Domainnamenabfrage an die übergeordneten Ebenen der Lookup-Kette weiter.
• „Compact Denial-of-Existence“: Diese Funktion reduziert die Menge an Strukturinformationen, die Angreifern zugänglich sind, wenn ein Server eine NXDOMAIN-Antwort (Domäne existiert nicht) zurückgibt.

5. DNS-Protokollierung, SIEM-Integration und OT/IoT-Anwendungsbereich

Das letzte große Update konzentriert sich vor allem auf die Transparenz und die Ausweitung der Sicherheitsmaßnahmen auf nicht-traditionelle Umgebungen.

• SIEM-Erfassung: Autoritative und rekursive DNS-Protokolle müssen direkt in Security Information and Event Management (SIEM)-Systeme eingespeist werden.
• IP-Korrelation: Unternehmen müssen DNS-Protokolle mit DHCP-Lease-Daten (Dynamic Host Configuration Protocol) abgleichen, um böswillige Abfragen genau physischen Geräten zuordnen zu können.
• OT- und IoT-Abdeckung: Das Rahmenwerk führt explizite Sicherheitsanforderungen ein, die speziell auf Geräte der Betriebstechnik (OT) und des Internets der Dinge (IoT) zugeschnitten sind, denen häufig integrierte Sicherheitsfunktionen fehlen.

Warum SP 800-81r3 für DMARC, SPF und DKIM von Bedeutung ist

Wenn Sie eine IT-Abteilung leiten, betrachten Sie E-Mail-Sicherheit und DNS-Sicherheit möglicherweise als völlig getrennte Projekte. Das ist ein gefährlicher Fehler. Tatsächlich ist Ihre gesamte E-Mail-Authentifizierung nur so stabil wie die zugrunde liegende DNS-Infrastruktur, auf der sie aufbaut.

SPF, DKIM und DMARC sind DNS-Einträge

Jedes einzelne E-Mail-Authentifizierungsprotokoll stützt sich vollständig auf das DNS-Verzeichnis. Wenn ein entfernter Mailserver eine Nachricht von Ihrer Domain erhält, führt er sofort mehrere DNS-Abfragen durch:

1. Es fragt Ihre SPF-TXT-Einträge ab, um zu prüfen, ob die Absender-IP-Adresse autorisiert ist.
2. Es ruft Ihren öffentlichen DKIM-Schlüssel mithilfe eines bestimmten DNS-Selektors ab, um die kryptografische Signatur der E-Mail zu überprüfen.
3. Es überprüft Ihren DMARC-Policy-Eintrag, um festzustellen, wie im Falle eines Fehlschlags dieser Überprüfungen vorgegangen werden soll.

Wenn ein Angreifer diese Abfragen durch DNS-Cache-Poisoning oder einen Hijacking-Angriff manipuliert, bricht Ihre E-Mail-Sicherheit zusammen. Ein gefälschter SPF-Eintrag kann den betrügerischen Server eines Angreifers autorisieren, während ein manipulierter DMARC-Eintrag dazu führen kann, dass Ihre Durchsetzungsrichtlinie von „Ablehnung“ auf „keine Durchsetzung“ herabgestuft wird. Das neue Rahmenwerk weist ausdrücklich auf diese Abhängigkeit hin und warnt davor, dass die E-Mail-Authentifizierung eine verifizierte DNS-Integrität erfordert, um zuverlässig zu funktionieren.

DNSSEC schützt E-Mail-Authentifizierungsdatensätze

Die Einführung der DMARC -Durchsetzung ohne Absicherung Ihrer DNS-Zone lässt eine kritische Sicherheitslücke offen. Ohne DNSSEC kann ein rekursiver Resolver nicht überprüfen, ob eine DNS-Antwort während der Übertragung verändert wurde.

In einem typischen Cache-Poisoning-Szenario schleust ein Angreifer gefälschte Einträge in den Cache eines lokalen DNS-Servers ein. Wenn dieser Cache einen gefälschten, uneingeschränkten SPF-Eintrag an ein empfangendes E-Mail-Gateway übermittelt, akzeptiert das Gateway gefälschte E-Mails als völlig legitim. Indem Sie Ihre Zone gemäß den neuen Richtlinien mit modernen ECDSA-Algorithmen signieren, stellen Sie sicher, dass empfangende Server Ihre unveränderten, authentischen E-Mail-Richtlinien erhalten.

Das Problem der ähnlich klingenden Domains

Der Fall des Rohstoffunternehmens aus Singapur verdeutlicht genau, wo die herkömmliche E-Mail-Authentifizierung an ihre strukturellen Grenzen stößt. Die Angreifer haben in diesem Fall weder den Domainnamen des Opfers direkt gefälscht, noch haben sie eine bestehende DMARC-Richtlinie umgangen. Stattdessen haben sie einen völlig separaten, dem Original ähnlichen Domainnamen registriert.

Da sie Eigentümer dieser ähnlich klingenden Domain waren, konnten ihre E-Mails ihre eigenen SPF- und DMARC- Prüfungen problemlos bestehen.

Aus diesem Grund legt das aktualisierte Rahmenwerk Wert darauf, E-Mail-Protokolle mit aktiver DNS-Hygiene zu kombinieren. Während DMARC Ihre genaue Domain-Identität absichert, bietet eine schützende DNS-Ebene den notwendigen Schutz vor gefälschten Domains, indem der Zugriff der Nutzer blockiert wird, bevor es zu einer Interaktion kommt.

SP 800-81r3 – Checkliste zur Einhaltung der Vorschriften für E-Mail-Sicherheitsteams

Nutzen Sie diese praxisorientierte, technische Checkliste, um Ihre Infrastruktur an moderne Bedrohungsmodelle und bundesstaatliche Richtlinien anzupassen.

1. Aktivieren und validieren Sie DNSSEC für Ihre Domain

• Signieren Sie Ihre autoritativen DNS-Zonen mit den empfohlenen ECDSA-Schlüsselalgorithmen.
• Stellen Sie sicher, dass Ihre SPF-, DKIM- und DMARC-TXT-Einträge vollständig durch Ihre DNSSEC-Signaturen abgedeckt sind.
• Setzen Sie die QNAME-Minimierung auf Ihren rekursiven Resolvern ein, um den Verlust von ausgehenden Informationen zu reduzieren.

2. DMARC über die Überwachung hinaus durchsetzen

• Lassen Sie Ihre Domain nicht auf unbestimmte Zeit ungeschützt, indem Sie eine passive Überwachungsrichtlinie (p=none) anwenden.
• Erstellen Sie einen klaren Fahrplan für die Umstellung, um den Durchsetzungsstatus „DMARC p=reject “ zu erreichen.
• Nutzen Sie eine spezielle DMARC-Analyzer -Plattform, um die aggregierten Telemetriedaten kontinuierlich zu überwachen und gültige ausgehende E-Mail-Ströme während Ihrer Umstellung sicher zu autorisieren.

3. Überprüfung und Bereinigung von SPF- und DKIM-Einträgen

• Überprüfen Sie Ihre SPF -Konfigurationen, um sicherzustellen, dass sie das Standardlimit von 10 Lookups strikt einhalten.
• Stellen Sie sicher, dass jeder aktive E-Mail-Anbieter einen eindeutigen DKIM- Selektor-Schlüssel verwendet, und widerrufen Sie veraltete oder ungenutzte öffentliche Schlüssel umgehend.
• Stellen Sie sicher, dass sich alle öffentlich zugänglichen TXT-Einträge vollständig innerhalb von DNSSEC-geschützten Zonen befinden, um Manipulationen im weiteren Verlauf der Übertragungskette zu verhindern.

4. Schutzorientierte DNS-Architektur implementieren

• Implementieren Sie eine PDNS-Lösung der Enterprise-Klasse unter Verwendung eines hybriden Bereitstellungsmodells, um sicherzustellen, dass die Bedrohungsinformationen aus der Cloud durch lokale Kontrollmaßnahmen abgesichert werden.
• Richten Sie explizite Sicherheitswarnungen für Suchanfragen ein, die auf neu registrierte Domains oder bekannte Typosquatting-Varianten Ihres Markennamens verweisen.

5. Umstellung auf verschlüsselten DNS-Transport

• Setzen Sie DoT- oder DoH-Konfigurationen auf allen internen rekursiven Resolvern des Unternehmens durch, um den Datenschutz bei Abfragen zu gewährleisten.
• Priorisieren Sie DoT in verwalteten Unternehmensnetzwerken, um die Standard-Portüberwachung und die Firewall-Filterung zu vereinfachen.

6. Zentralisieren Sie die DNS-Telemetrie in Ihrem SIEM

• Leiten Sie alle Protokolle zu autoritativen und rekursiven DNS-Abfragen an Ihre zentrale SIEM-Plattform weiter.
• Konfigurieren Sie Echtzeit-Betriebswarnungen für ungewöhnliche Aktivitäten, wie beispielsweise unerwartete Änderungen an MX-Einträgen, plötzliche Änderungen an TXT-Einträgen oder interne Clients, die versuchen, bekannte Phishing-Infrastrukturen aufzulösen.

Geltungsbereich der Compliance-Vorschriften: Für wen gilt dies?

Abschließende Worte

Die Fertigstellung von NIST SP 800-81r3 verdeutlicht eine entscheidende Tatsache: Eine starke E-Mail-Authentifizierung und eine sichere DNS-Bereitstellung sind Sicherheitsmaßnahmen, die untrennbar miteinander verbunden sind. Ein zuverlässiger und sicherer E-Mail-Betrieb ist schlichtweg nicht möglich, wenn das zugrunde liegende Netzwerkverzeichnis anfällig für Manipulationen ist. Der Vorfall in Singapur, bei dem ein Unternehmen durch Business-E-Mail-Compromise einen Schaden in Millionenhöhe erlitten hat, beweist, dass es zum Schutz eines Unternehmens nicht mehr ausreicht, sich auf eine grundlegende Sichtbarkeit der Domain zu verlassen.

Echte Sicherheit erfordert einen mehrschichtigen Schutz. Um die Identität Ihrer Domain zu schützen, müssen Sie über die passive Beobachtung hinausgehen und Ihre Infrastruktur mit aktiven, widerstandsfähigen Protokollen absichern.

Machen Sie noch heute den ersten Schritt: Prüfen Sie, ob Ihre Einträge korrekt veröffentlicht und geschützt sind. Nutzen Sie den kostenlosen DMARC Record Checker und die umfassenden Tools zur DNS-Eintragssuche bei PowerDMARC, um in weniger als 60 Sekunden einen vollständigen Echtzeit-Zustandscheck Ihrer Bereitstellung durchzuführen.

Häufig gestellte Fragen

Was ist der wesentliche Unterschied zwischen NIST SP 800-81r2 und SP 800-81r3?

Die vorherige Version (Revision 2), die 2013 veröffentlicht wurde, behandelte DNS als statisches Dienstprogramm, das nur einmal konfiguriert werden musste. Revision 3 (fertiggestellt am 19. März 2026) modernisiert das Rahmenwerk, um Zero Trust, Cloud Computing und verschlüsselten Datenverkehr zu berücksichtigen. Sie zielt darauf ab, DNS als kontinuierliche, aktive Sicherheitskontrolle neu zu definieren, die sich in Ihr SIEM-System integrieren lässt und Bedrohungen proaktiv filtert.

Hätte die Durchsetzung von DMARC den BEC-Angriff in Singapur mit einem Schaden von 6,6 Mio. US-Dollar verhindern können?

Nein, DMARC auf der legitimen Domain kann einen Angreifer nicht daran hindern, eine völlig separate, ähnlich klingende Domain zu registrieren. Im Fall von Singapur im April 2026 nutzten die Angreifer eine Typosquatting-Domain mit zwei vertauschten Buchstaben. Da sie Eigentümer dieser gefälschten Domain waren, konnten ihre E-Mails technisch gesehen ihre eigenen DMARC-Prüfungen bestehen. Um diese Art von Angriffen zu verhindern, ist Protective DNS (PDNS) erforderlich, um die Auflösung ähnlich klingender Domains zu blockieren.

Warum schreibt NIST SP 800-81r3 für DNSSEC die Umstellung auf ECDSA vor?

Ältere RSA-Algorithmen führen zu größeren kryptografischen Schlüsseln und Paketgrößen, was die Auflösung verlangsamen und Systeme anfällig für Verstärkungsangriffe machen kann. Die aktualisierten Richtlinien schreiben eine Umstellung auf ECDSA vor, da dieser Algorithmus höhere Sicherheit, eine schnellere Verarbeitung und deutlich kleinere Schlüsselgrößen bietet.

Inwiefern schützt die QNAME-Minimierung den Datenschutz meines Unternehmens?

Bei herkömmlichen DNS-Abfragen wird die vollständige Domänennamenabfrage an jeden einzelnen autoritativen Server in der DNS-Abfragekette gesendet. Die QNAME-Minimierung ändert dies, indem nur der Teil des Domänennamens gesendet wird, der für den jeweiligen Schritt im Auflösungsprozess erforderlich ist.

Wer ist gesetzlich verpflichtet, die Anforderungen von NIST SP 800-81r3 zu erfüllen?

SP 800-81r3 ist eine offizielle NIST-Richtlinie für die sichere DNS-Bereitstellung und ist insbesondere für US-Bundesbehörden, Auftragnehmer der Bundesregierung sowie regulierte Organisationen relevant, die sich an die Cybersicherheitsanforderungen der Bundesregierung halten müssen.

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• NIST SP 800-81r3: DNS-Sicherheitsrichtlinien für E-Mails – 25. Juni 2026
• So teilen Sie einen DKIM-Eintrag – 5. Juni 2026
• compauth=fail: Microsoft Composite Authentication erklärt – 1. Juni 2026