So funktioniert’s
Jeder Aufruf einer Website und jede Mailzustellung beginnt mit einer DNS-Abfrage. Klassisches DNS läuft unverschlüsselt und meist über UDP, ohne dass der Fragende die Echtheit der Antwort prüfen kann. Wer eine passende Antwort schneller oder an der richtigen Stelle einschleust, bestimmt, wohin die Verbindung geht.
Dafür gibt es mehrere Wege: Ein Angreifer im selben Netz, etwa in einem offenen WLAN, beantwortet Anfragen selbst. Ein kompromittierter Router verteilt einen manipulierten Resolver. Beim Cache Poisoning landet die gefälschte Antwort im Zwischenspeicher eines Resolvers und trifft alle seine Nutzer. Verwandt, aber nicht dasselbe ist DNS-Hijacking, bei dem die echten Records beim DNS-Anbieter oder Registrar geändert werden, etwa über ein gekapertes Kundenkonto.
DNSSEC macht gefälschte Antworten erkennbar, wenn die Zone signiert ist und der Resolver validiert. DNS über TLS oder HTTPS schützt dagegen nur den Weg zwischen Gerät und Resolver, nicht die Antworten, die der Resolver selbst bei anderen Servern einholt.
Warum gefährlich
Gefälschte A-Records führen Besucher auf eine nachgebaute Seite, die Zugangsdaten abgreift oder Schadsoftware verteilt. HTTPS verrät das in der Regel am falschen Zertifikat, aber nur, wenn die Seite per HSTS geschützt ist oder Besucher die Warnung ernst nehmen.
Gefälschte MX-Records lenken Mails auf den Server des Angreifers. Weil Mailserver ohne MTA-STS oder DANE Zertifikate kaum prüfen, fällt das bei der Zustellung nicht auf, und vertrauliche Mails lassen sich mitlesen.
So vermeidest du es
- DNSSEC für die Domain aktivieren, damit validierende Resolver gefälschte Antworten verwerfen.
- HTTPS mit HSTS erzwingen, damit eine umgeleitete Website am Zertifikat scheitert, statt geladen zu werden.
- Für Mail MTA-STS oder DANE einsetzen, damit Absender nur an Server mit gültigem Zertifikat zustellen.
- Konten bei Registrar und DNS-Anbieter mit Zwei-Faktor-Anmeldung und Registrar-Lock schützen, um DNS-Hijacking zu erschweren.
- In eigenen Netzen validierende Resolver einsetzen und die Firmware der Router aktuell halten.
So erkennt DomainWarn es
Eine gefälschte Antwort im Cache eines fremden Resolvers oder in einem fremden WLAN kann DomainWarn nicht direkt beobachten; sie betrifft nur die Nutzer an dieser Stelle. Der Check DNSSEC prüft stattdessen, ob deine Domain signiert ist und die Signaturkette bei einem validierenden Resolver durchgeht. Ohne DNSSEC weist er darauf hin, dass der Schutz vor DNS-Spoofing fehlt.
Gegen DNS-Hijacking an der Quelle hilft der Check DNS: Er fragt die Records bevorzugt an den autoritativen Nameservern ab, meldet jede Änderung und einen Nameserver- oder MX-Wechsel als Warnung. Stellt eine Zertifizierungsstelle innerhalb von 24 Stunden nach einem solchen Wechsel ein neues Zertifikat aus, meldet DomainWarn zusätzlich die kritische Änderung „Zertifikat nach DNS-Änderung ausgestellt“ – das typische Muster einer Domainübernahme.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.