Was ist DNS? Wie funktioniert das Domain Name System?

 

DNS (Domain Name System) ist das System, das für Menschen lesbare Domainnamen wie example.com in numerische IP-Adressen umwandelt, mit denen Computer einander identifizieren und finden können. Jeder einzelne Website-Besuch, jede Datenbankabfrage und jede E-Mail-Zustellung im Internet beginnt mit einer DNS-Abfrage, um diese Namen aufzulösen.

Wofür steht die Abkürzung DNS?

DNS steht für Domain Name System. Es wird oft als System bezeichnet, da es sich nicht um ein einziges, zentralisiertes Verzeichnis des Internets handelt, sondern um eine stark verteilte, hierarchische Datenbank, die von Millionen von Servern weltweit betrieben wird. Gelegentlich wird es auch als „Domain Name Service“ bezeichnet, was die Auflösungsfunktion beschreibt, die es für Endbenutzeranwendungen erfüllt.

Das Domain Name System erklärt

Im Grunde funktioniert das Domain Name System wie das Telefonbuch des Internets. Menschen verwenden einprägsame Namen wie „powerdmarc.com“, um im Internet zu surfen, während Computer und Netzwerkrouter maschinenlesbare IP-Adressen wie „192.0.2.1“ benötigen, um Daten weiterzuleiten.

Um diese Lücke zu schließen, wandelt das DNS den für Menschen verständlichen Namen hinter den Kulissen in die richtige, maschinenlesbare Adresse um. Dieses komplexe globale Verzeichnis wird von mehreren zusammenarbeitenden Stellen gepflegt und betrieben:

• Registrare: Organisationen, die zum Verkauf und zur Vergabe von Domainnamen berechtigt sind.
• DNS-Hosting-Anbieter: Unternehmen, die die autoritativen Nameserver betreiben, auf denen die Master-Verzeichnisdateien einer Domain gespeichert sind.
• Resolver: Server, die von Ihrem Internetdienstanbieter (ISP) oder öffentlichen Anbietern wie Google (8.8.8.8) und Cloudflare (1.1.1.1) betrieben werden und DNS-Anfragen im Auftrag der Nutzer verarbeiten und abrufen.

DNS-Struktur 

Der DNS-Namensraum ist in einer strengen, umgekehrten Baumstruktur organisiert. Er beginnt ganz oben (die Root-Zone, dargestellt durch einen Punkt) und verzweigt sich nach unten durch verschiedene strukturelle Ebenen:

• Die Root-Domäne (.): Die unsichtbare Wurzel des Baums, die die oberste Ebene der DNS-Hierarchie darstellt.
• Top-Level-Domains (TLDs): Die Endung am Ende des Domainnamens, wie z. B. .com, .org oder .net, die den Domain-Typ oder das Herkunftsland angibt.
• Domains der zweiten Ebene: Der von einer Organisation oder einer Person gewählte eindeutige Name, wie beispielsweise „example“ in „example.com“.
• Subdomains: Optionale Präfixe, die zur Kategorisierung einzelner Dienste unter der Hauptdomain verwendet werden, wie beispielsweise „mail“ in „mail.example.com“.

Wie funktioniert das DNS?

Wenn Sie im Internet auf eine Ressource zugreifen, muss Ihr Computer die Ziel-IP-Adresse ermitteln. Dieser Auflösungsprozess erfolgt innerhalb von Millisekunden durch eine Reihe strukturierter Abfragen:

1. Benutzeranfrage: Sie geben example.com in Ihren Webbrowser ein.
2. Prüfung des lokalen Caches: Ihr Browser und Ihr Betriebssystem überprüfen zunächst ihre lokalen Caches, um festzustellen, ob die IP-Adresse von example.com kürzlich aufgelöst und gespeichert wurde.
3. Rekursive Resolver-Abfrage: Wenn kein Eintrag im lokalen Cache vorhanden ist, sendet der Computer eine Abfrage an einen festgelegten DNS-Server, der als rekursiver Resolver bezeichnet wird und in der Regel von Ihrem Internetdienstanbieter, Google oder Cloudflare verwaltet wird.
4. Root-Server-Abfrage: Der rekursive Resolver fragt einen der globalen DNS-Root-Server (.) ab. Der Root-Server kennt die IP-Adresse nicht, liest jedoch die TLD aus und leitet den Resolver an den .com-TLD-Nameserver weiter.
5. TLD-Server-Abfrage: Der Resolver fragt den .com-TLD-Nameserver ab. Dieser Server findet den Registry-Eintrag für example.com und leitet den Resolver an den für die Domain zuständigen autoritativen Nameserver weiter.
6. Abfrage beim autoritativen Nameserver: Der Resolver fragt den autoritativen Nameserver ab, der beispielsweise die Master-Zonendatei für example.com enthält. Dieser Server gibt den angeforderten Ressourceneintrag mit der IP-Adresse zurück (z. B. den A-Eintrag).
7. Zwischenspeicherung und Rückgabe: Der rekursive Resolver speichert diese IP-Adresse für eine bestimmte Dauer (die sogenannte „Time to Live“ oder TTL) in seinem lokalen Cache und sendet die IP-Adresse an Ihren Computer zurück.
8. Verbindung hergestellt: Ihr Browser stellt eine direkte Verbindung zur zurückgegebenen IP-Adresse her, um die Website zu laden.

Hinweis: Während der Web-Datenverkehr stark auf A-Einträge angewiesen ist, funktioniert die E-Mail-Zustellung ähnlich, mit dem Unterschied, dass der Resolver eine Abfrage speziell für einen MX-Eintrag durchführt, um die für die Domain vorgesehenen Mailserver zu ermitteln.

Um einen tieferen Einblick in die spezifischen Funktionsweisen dieser Abfragen zu erhalten, lesen Sie unseren Leitfaden zu rekursive, iterative und nicht-rekursive Abfragen.

Was ist ein DNS-Eintrag?

Ein DNS-Eintrag ist ein Datenbankeintrag, der in der Zonendatei eines autoritativen Nameservers gespeichert ist. Er enthält die Anweisungen, die dem DNS mitteilen, wie der Datenverkehr weitergeleitet, E-Mails zugestellt und die Inhaberschaft Ihrer Domain überprüft werden soll.

Jeder Datensatz ist in einem präzisen, standardisierten Format aufgebaut:

example.com. 3600 IN A 192.0.2.1

• Name (beispiel.com.): Der Host- oder Domainname, zu dem der Eintrag gehört.
• TTL (3600): Die „Time to Live“ in Sekunden, die festlegt, wie lange Resolver den Eintrag im Cache speichern dürfen, bevor sie eine neue Kopie abrufen.
• Klasse (IN): Die Netzwerkklasse, die fast immer IN (Internet) ist.
• Typ (A): Der Protokolltyp des Datensatzes, der festlegt, wie der Wert interpretiert werden soll.
• Wert (192.0.2.1): Die tatsächliche IP-Adresse, der Hostname oder die Textzeichenfolge, die dem Eintrag zugewiesen wurde.

Die fünf häufigsten DNS-Eintragstypen , die von Domaininhabern verwaltet werden, sind:

• Ein Rekord: Ordnet einen Hostnamen direkt einer IPv4-Adresse zu.
• CNAME-Eintrag: Erstellt einen Alias, der einen Domainnamen auf einen anderen Domainnamen verweist.
• MX-Eintrag: Verweist auf die Mailserver, die für den Empfang eingehender E-Mails für die Domain zuständig sind.
• TXT-Eintrag: Enthält textbasierte Verwaltungsdaten und wird häufig für E-Mail-Authentifizierungsprotokolle wie SPF, DKIM und DMARC verwendet.
• NS-Eintrag: Gibt die autoritativen Nameserver an, die für das Hosting der Einträge der Domain zuständig sind.

Alle Änderungen an Ihren DNS-Einträgen anzeigen

Verfolgen Sie Änderungen an Einträgen und Nameservern in einem Echtzeit-Ereignis-Feed, erkennen Sie „Dangling CNAMEs“ und DNSSEC-Fehler und erhalten Sie eine Sicherheitsbewertung von A bis F.

DNS-Sicherheit: Warum das DNS ein Angriffsziel ist

Da das Domain Name System ursprünglich ohne integrierte Verschlüsselung oder Absenderauthentifizierung entwickelt wurde, ist es nach wie vor äußerst anfällig für Missbrauch. Angreifer nutzen diese architektonischen Schwachstellen häufig aus, um Datenverkehr zu kapern, Nutzer auf betrügerische Websites umzuleiten oder sich als legitime Organisationen auszugeben.

• DNS-Spoofing / Cache-Poisoning: Ein Angreifer schleust gefälschte Routing-Daten in den Cache eines rekursiven Resolvers ein und zwingt den Server so, ahnungslose Nutzer auf bösartige Nachahmer-Websites umzuleiten.
• DNS-Hijacking: Angreifer kompromittieren Konten bei Domain-Registraren oder die Konfigurationen von Nameserver-Hosts, um die autoritativen Einträge vollständig zu ändern und so den gesamten eingehenden Web- und E-Mail-Verkehr umzuleiten.
• DNS-Amplifikation: Ein Distributed-Denial-of-Service-Angriff (DDoS), bei dem offene rekursive Resolver mit gefälschten Abfragen überflutet werden, wodurch das Zielnetzwerk mit enormen Datenmengen überlastet wird.
• „Dangling Records“ und die Übernahme von Subdomains: Wenn eine Domain weiterhin auf einen externen Dienstanbieter verweist (über einen CNAME-, A- oder MX-Eintrag), der bereits stillgelegt wurde, kann ein Angreifer dieses externe Konto registrieren und die Kontrolle über Ihre Subdomain erlangen.
• E-Mail-Spoofing: Wenn Domain-Inhaber keine gültigen E-Mail-Authentifizierungsdatensätze (SPF, DKIM und DMARC) in ihrem DNS veröffentlichen, können böswillige Akteure gefälschte E-Mails versenden, die so aussehen, als kämen sie von dieser Domain.

Um diese Bedrohungen einzudämmen, sollten Unternehmen Folgendes implementieren DNSSEC (Domain Name System Security Extensions) einführen, wodurch DNS-Einträge mit kryptografischen Signaturen versehen werden, um deren Integrität zu überprüfen. Sehen Sie sich unsere umfassende Arten von DNS-Angriffenund prüfen Sie Ihr System auf bekannte DNS-Schwachstellenund setzen Sie Bewährte Verfahren für die DNS-Sicherheit , um Ihre Domain -Infrastruktur zu schützen.

Die Rolle des DNS für die Leistung von Websites

Ihre DNS-Konfiguration wirkt sich direkt darauf aus, wie schnell Ihre digitalen Inhalte geladen werden. Bevor ein Browser auch nur ein einziges Element von einem Webserver herunterladen kann, muss er warten, bis die DNS-Abfrage abgeschlossen ist. Langsame Nameserver verursachen daher bei jedem Besuch eine Verzögerung. Ein kurzer DNS-Geschwindigkeitstest zeigt, wie schnell Ihre Nameserver reagieren.

Um diese Latenz zu minimieren, nutzen Systeme ein aggressives Caching. Resolver speichern DNS-Einträge lokal für die durch die TTL (Time to Live) des Eintrags festgelegte Dauer, wodurch die Notwendigkeit entfällt, bei jedem nachfolgenden Seitenaufruf die Root- und TLD-Server abzufragen.

Zudem betreiben moderne DNS-Anbieter Anycast-Routing-Netzwerke, die Kopien Ihrer Zonendateien über ein globales Netzwerk von Servern verteilen. Anycast leitet Nutzeranfragen an den geografisch nächstgelegenen verfügbaren Nameserver weiter und verkürzt so die Suchzeiten. Wenn Sie Ihre DNS-Einträge aktualisieren, werden diese Änderungen nicht weltweit auf einmal übernommen; Sie können einen DNS-Propagierungs-Checker nutzen, um zu verfolgen, wie schnell sich Ihre Änderungen auf den Servern weltweit durchsetzen.

Was ist ein DNS-Anbieter?

Ein DNS-Anbieter ist der Dienst, der die autoritativen Nameserver Ihrer Domain hostet und verwaltet. Während ein Domain-Registrar das Unternehmen ist, bei dem Sie einen Domainnamen erwerben und registrieren, verwalten Sie bei einem DNS-Hosting-Anbieter die eigentliche DNS-Zonendatei. 

Häufig bieten Registrare im Kaufpaket ein Basis-DNS-Hosting an, doch große Unternehmen verlagern ihre Einträge oft zu Premium-Hosting-Anbietern von Drittanbietern (wie Cloudflare, AWS Route 53 oder NS1), um eine höhere Leistung und DDoS-Schutz zu erzielen. Dies ist zu unterscheiden von einem öffentlichen Resolver (wie Googles 8.8.8.8), bei dem es sich lediglich um einen Server handelt, der dazu dient, externe Einträge in Ihrem Auftrag abzurufen und zwischenzuspeichern.

Weitere DNS-Begriffe, auf die Sie stoßen werden

Privates DNS

Ein privater DNS-Server wird innerhalb eines isolierten Unternehmensnetzwerks oder hinter einem virtuellen privaten Netzwerk (VPN) betrieben. Im Gegensatz zu öffentlichen DNS-Servern, die Einträge für das gesamte Internet auflösen, lösen private DNS-Server nur Einträge für interne Unternehmensressourcen (wie ein internes Intranet oder Entwicklungsserver) auf und sind vom öffentlichen Internet aus völlig unzugänglich.

Dynamisches DNS

Dynamic DNS (DDNS) aktualisiert einen DNS-Eintrag automatisch in Echtzeit, sobald sich die zugrunde liegende IP-Adresse ändert. Dies ist besonders nützlich für Heimbüros, Fernkameras oder kleine Unternehmen, die private Internetverbindungen nutzen, bei denen der Internetanbieter eine wechselnde, dynamische IP-Adresse anstelle einer festen, statischen Adresse zuweist.

DNS-Datenverkehr

Unter DNS-Datenverkehr versteht man den ein- und ausgehenden Paketaustausch über den UDP- oder TCP-Port 53. Die Überwachung des DNS-Datenverkehrs ist für Sicherheitsteams von entscheidender Bedeutung; unerwartete Spitzen oder ungewöhnliche Abfragemuster können auf aktive Versuche der Datenexfiltration, Tunneling-Angriffe oder Malware hinweisen, die Signale an Command-and-Control-Server sendet.

DNS-Einstellungen

DNS-Einstellungen sind die Konfigurationsfelder auf Ihrem Router, Betriebssystem oder Mobilgerät, in denen festgelegt wird, an welche rekursiven Resolver Ihr Gerät seine Anfragen senden soll. Standardmäßig verwendet Ihr Gerät automatisch die von Ihrem Internetanbieter zugewiesenen Resolver. Wenn Sie diese Einstellungen jedoch so ändern, dass vertrauenswürdige öffentliche Resolver (wie Cloudflare oder Google) verwendet werden, können Sie die Browsing-Geschwindigkeit verbessern, Netzwerkblockierungen umgehen und Schutzmaßnahmen durch Webfilterung hinzufügen.

Häufig gestellte Fragen

Ist DNS dasselbe wie eine IP-Adresse?

Nein. Eine IP-Adresse ist eine eindeutige numerische Adresse, die einen physischen Rechner in einem Netzwerk identifiziert. DNS ist das Übersetzungssystem, das einprägsame Domainnamen diesen numerischen IP-Adressen zuordnet, damit sich Menschen keine langen Zahlenfolgen merken müssen.

Was ist der Unterschied zwischen DNS und einem DNS-Server?

DNS ist das übergreifende Protokoll, die Infrastruktur und der Regelwerk für Datenbanken, das zur Organisation von Domainnamen verwendet wird. Ein DNS-Server ist die physische oder virtuelle Maschine, auf der Software ausgeführt wird, die dazu dient, DNS-Abfragen zu verarbeiten, Zonendateien zu speichern oder Namen aufzulösen.

Was bedeuten 8.8.8.8 und 1.1.1.1?

Dies sind äußerst sichere, öffentliche rekursive DNS-Resolver. Google betreibt 8.8.8.8 und Cloudflare betreibt 1.1.1.1. Millionen von Nutzern konfigurieren ihre Geräte manuell so, dass sie diese kostenlosen öffentlichen Resolver verwenden, um schnellere Abfragezeiten und einen besseren Datenschutz zu erzielen, als es ihre lokalen Internetdienstanbieter bieten.

Soll ich DNS aktivieren oder deaktivieren?

DNS ist ein grundlegender Kernservice des Internets; man kann ihn nicht deaktivieren. Würde DNS deaktiviert, könnten Ihre Webbrowser und E-Mail-Clients keine Servernamen mehr auflösen, sodass Sie gezwungen wären, rohe, numerische IP-Adressen manuell in die Adressleiste einzugeben, um auf einen Dienst zugreifen zu können.

Wie kann ich die DNS-Einträge meiner Domain überprüfen?

Sie können die aktuellen Einträge Ihrer Domain abfragen und überprüfen, indem Sie Ihre Adresse in eine Online- DNS-Eintrag-Abfrage-Tool Tool. Dieses Tool fungiert als externer Resolver, der Ihre autoritativen Nameserver abfragt, um die Werte Ihrer öffentlichen Einträge genau so anzuzeigen, wie sie von den empfangenden Servern gesehen werden.

Abschließende Worte

Das Domain Name System (DNS) ist die unsichtbare Infrastruktur, die das moderne Internet zugänglich macht und jede Sekunde Millionen komplexer Server-IP-Adressen in erkennbare Markennamen übersetzt. Da Ihre DNS-Zonendatei genau festlegt, wohin Ihr Web-, E-Mail- und API-Datenverkehr geleitet wird, ist die Absicherung dieses Verzeichnisses genauso wichtig wie das Hosting der eigentlichen Ressourcen. Durch die Kombination von schnellem Anycast-Routing, ordnungsgemäßem TTL-Management und robusten Sicherheitsprotokollen wie DNSSEC und DMARC können Unternehmen ihre digitale Infrastruktur schützen und gleichzeitig eine optimale Leistung gewährleisten.