DNS-Sicherheit für Verteidiger: DNSSEC, DoH und Registrar-Härtung

DNS ist das Adressbuch, dem das gesamte Internet vertraut, und dieses Vertrauen macht es zum bevorzugten Ziel. Kann ein Angreifer ändern, wohin Ihre Domain zeigt, Ihre Post umleiten oder Antworten auf die Anfragen Ihrer Nutzer fälschen, umgeht er die meisten anderen Verteidigungen, bevor ein einziges Paket Ihre Anwendung erreicht. Dieser auf Verteidiger ausgerichtete Leitfaden erklärt drei unterschiedliche Schutzschichten des DNS — DNSSEC für Datenauthentizität, verschlüsseltes DNS (DoH und DoT) für Anfrageprivatsphäre und Registrar- und Kontohärtung für die Sicherheit der Steuerungsebene — und zeigt, wie man Manipulation erkennt und jede Schicht härtet, ohne die Auflösung zu brechen.

Warum DNS ein so lohnendes Ziel ist#

DNS steht am Anfang fast jeder Verbindung und wurde ohne Authentifizierung oder Vertraulichkeit entworfen. Drei Eigenschaften machen es für Angreifer attraktiv. Erstens ist eine erfolgreiche Umleitung unsichtbar: Opfer tippen den korrekten Namen und landen dennoch auf feindlicher Infrastruktur. Zweitens steuert DNS mehr als Web-Verkehr — es lenkt die Mailzustellung (MX), die Validierung der Zertifikatsausstellung und die Dienstauffindung, sodass die Kontrolle über DNS E-Mail-Abfang und sogar betrügerische TLS-Zertifikate ermöglichen kann. Drittens ist die Steuerungsebene (Ihre Registrar- und DNS-Hosting-Konten) im Vergleich zu Produktionssystemen oft schwach geschützt, was Kontoübernahme zu einem effizienten Weg zum Domain-Hijacking macht.

DNSSEC: die Daten authentifizieren, nicht den Kanal#

DNS Security Extensions (DNSSEC) fügen DNS-Einträgen kryptografische Signaturen hinzu, sodass ein validierender Resolver beweisen kann, dass eine Antwort wirklich vom Zoneninhaber stammt und nicht unterwegs verändert wurde. Jede Zone signiert ihre Einträge (RRSIG), veröffentlicht Signierschlüssel (DNSKEY), und eine Vertrauenskette wird von der Wurzel abwärts über DS-Einträge bei jedem übergeordneten Knoten aufgebaut. DNSSEC gibt Ihnen Ursprungsauthentifizierung und Integrität: Es besiegt Cache-Poisoning und gefälschte Antworten. Was es nicht gibt, ist Vertraulichkeit — Anfragen und Antworten bleiben auf der Leitung lesbar — und es schützt nicht vor der Übernahme des Kontos, mit dem ein Angreifer die Zone legitim neu signieren kann. Setzen Sie es ein, aber verstehen Sie seinen Umfang.

Verschlüsseltes DNS: DoH und DoT für Anfrageprivatsphäre#

DNS over HTTPS (DoH) und DNS over TLS (DoT) verschlüsseln die Anfrage zwischen Client und Resolver und verhindern, dass Beobachter auf dem Pfad Abfragen lesen oder manipulieren. Das schließt eine echte Privatsphäre- und Integritätslücke in nicht vertrauenswürdigen Netzen. Für Verteidiger ist verschlüsseltes DNS zweischneidig: Es schützt Ihre Nutzer, kann aber auch bösartige Abfragen und Command-and-Control verbergen, wenn Endpunkte Ihren Resolver umgehen. Die defensive Haltung ist, einen verschlüsselten Resolver bereitzustellen, den Sie kontrollieren, und nicht genehmigtes öffentliches DoH zu lenken oder zu blockieren, damit die DNS-Telemetrie für Ihren Security-Stack sichtbar bleibt. Verschlüsseltes DNS und DNSSEC ergänzen sich: eines schützt den Kanal, das andere authentifiziert die Daten.

Die Steuerungsebene: Registrar- und DNS-Kontosicherheit#

Die schädlichsten DNS-Vorfälle sind meist keine cleveren Protokollangriffe, sondern schlichte Kontoübernahmen. Phisht oder credential-stufft ein Angreifer Ihr Registrar-Login, kann er Nameserver umbiegen, MX-Einträge ändern, um Passwort-Resets abzufangen, und Zertifikate für Ihre Domain anfordern. Die Steuerungsebene zu härten bedeutet, phishing-resistente MFA auf Registrar- und DNS-Hosting-Konten zu erzwingen, Registrar-Lock (und Registry-Lock für kritische Domains, der eine manuelle Out-of-Band-Verifizierung zur Änderung erfordert) zu aktivieren, den Kreis der Zugangsdaten-Inhaber zu begrenzen und auf unerwartete Änderungen zu überwachen. Behandeln Sie diese Konten mit der gleichen Strenge wie Domain-Admin in Ihrem Verzeichnis.

Angriffsfläche und zu verstehende Techniken#

Verteidiger sollten die Fehlermodi konzeptionell erkennen. Cache-Poisoning schleust gefälschte Antworten in den Cache eines Resolvers ein; DNSSEC-Validierung und Quellport-Randomisierung sind die Gegenmaßnahmen. Domain-Hijacking ändert Registrierungs- oder Nameserver-Daten durch Kontokompromittierung; Registrar-/Registry-Lock und MFA sind die Gegenmaßnahmen. Subdomain-Übernahme tritt auf, wenn ein DNS-Eintrag noch auf eine deprovisionierte Cloud-Ressource zeigt, die ein Angreifer neu beanspruchen kann; die Abhilfe ist disziplinierte DNS-Hygiene und das Scannen nach verwaisten Einträgen. Resolver-Missbrauch wie Amplification nutzt offene Resolver für DDoS; betreiben Sie keine offene Rekursion. Zu wissen, welche Kontrolle welche Technik adressiert, verhindert vergeudeten Aufwand.

Erkennung: die eigenen Einträge überwachen#

Die wertvollste DNS-Erkennung ist die Änderungsüberwachung Ihrer eigenen Zonen. Erstellen Sie regelmäßig Snapshots Ihrer autoritativen Einträge — NS, MX, A/AAAA, TXT, CAA, DNSKEY und DS — und alarmieren Sie bei jedem Diff, den Sie nicht über Ihren Änderungsprozess ausgelöst haben. Beobachten Sie Nameserver- (NS) und MX-Änderungen besonders genau, denn das sind die folgenschweren Hijack-Indikatoren. Überwachen Sie Certificate-Transparency-Logs auf Zertifikate, die für Ihre Domains ausgestellt wurden und die Sie nicht angefordert haben, was ein Hijacking oder eine unautorisierte Ausstellung offenbaren kann. Verfolgen Sie den DNSSEC-Validierungsstatus, damit Sie sofort erfahren, wenn Signaturen ablaufen oder die Kette bricht, was Ausfälle verursacht, die wie Angriffe aussehen.

Erkennung: Abfrage-Telemetrie und Passive DNS#

Auf der Resolver-Seite protokollieren und analysieren Sie DNS-Abfragen aus Ihrer Umgebung. Wertvolle Erkennungen umfassen Abfragen zu neu registrierten oder wenig reputablen Domains, ungewöhnlich lange oder hoch-entropische Subdomain-Labels, die auf DNS-Tunneling oder Exfiltration hindeuten, Spitzen bei TXT- oder NULL-Abfragen und Endpunkte, die externe DoH-Anbieter erreichen und Ihren genehmigten Resolver umgehen. Reichern Sie mit Passive DNS an, um die historische Auflösung einer Domain zu sehen und bei Untersuchungen zu pivotieren. Speisen Sie Resolver-Logs in Ihr SIEM und legen Sie eine Baseline des Normalverhaltens an, damit Beaconing-Intervalle und seltene Ziele auffallen. Ziel ist, DNS als Sichtbarkeitsquelle zu erhalten, nicht als blinden Fleck.

Mitigation und Härtung#

Führen Sie die Schichten zu einem Härtungsprogramm zusammen. Signieren Sie Ihre Zonen mit DNSSEC mit modernen Algorithmen und automatisieren Sie den Schlüsselwechsel, damit Signaturen nie unerwartet ablaufen. Veröffentlichen Sie einen CAA-Eintrag, um einzuschränken, welche Zertifizierungsstellen für Ihre Domain ausstellen dürfen, und schneiden Sie unautorisierte Ausstellung ab. Aktivieren Sie Registrar-Lock und Registry-Lock für Ihre kritischsten Domains. Erzwingen Sie phishing-resistente MFA und geringste Rechte auf jedem Registrar- und DNS-Konto. Betreiben Sie einen validierenden, verschlüsselten internen Resolver und lenken Sie Clients dorthin, während Sie rogue DoH blockieren. Scannen Sie regelmäßig nach verwaisten Einträgen, die Subdomain-Übernahme ermöglichen, und entfernen Sie DNS-Einträge als Teil der Außerbetriebnahme jeder Cloud-Ressource.

Das DoH-Sichtbarkeitsdilemma#

Verschlüsseltes DNS verdient besondere Aufmerksamkeit, weil es Ihre Erkennungshaltung verändert. Nutzen Endpunkte öffentliches DoH, sind ihre Abfragen für netzbasierte DNS-Überwachung unsichtbar, was Malware zunehmend für heimliches Command-and-Control ausnutzt. Die ausgewogene Antwort ist kein Verbot der Verschlüsselung, sondern sie zu besitzen: Betreiben Sie Ihren eigenen DoH/DoT-Resolver, konfigurieren Sie Endpunkte und Browser per Richtlinie darauf (Canary-Domains und Enterprise-Einstellungen existieren genau dafür) und erkennen oder blockieren Sie Verbindungen zu nicht genehmigten DoH-Endpunkten am Egress. Das wahrt die Nutzerprivatsphäre gegenüber Außenstehenden und erhält zugleich die Telemetrie, die Ihre Verteidiger brauchen.

Häufige Fallstricke#

DNSSEC-Fehlkonfiguration ist der klassische selbstverschuldete Ausfall: eine abgelaufene RRSIG oder ein nicht passender DS-Eintrag macht Ihre ganze Domain für validierende Resolver unauflösbar, also automatisieren Sie den Wechsel und überwachen Sie den Ablauf. CAA zu vergessen lässt jede CA frei für Sie ausstellen. Registrar-Konten auf SMS-basierter MFA zu belassen hält sie phishbar. Anzunehmen, DNSSEC biete Privatsphäre, ist falsch — es verschlüsselt nichts. Anzunehmen, DoH biete Authentizität, ist ebenso falsch — es sichert den Kanal zum Resolver, aber nicht den Ursprung der Daten. Und einen Cloud-Dienst außer Betrieb zu nehmen, ohne seinen DNS-Eintrag zu entfernen, ist die häufigste Ursache für Subdomain-Übernahme. Jeder dieser Punkte ist mit Prozessdisziplin vermeidbar.

Härtungscheckliste#

1. DNSSEC-Signierung mit automatisiertem Schlüsselwechsel und Ablaufüberwachung aktiviert. 2. CAA-Einträge veröffentlicht, um die Zertifikatsausstellung einzuschränken. 3. Registrar-Lock auf allen Domains; Registry-Lock auf geschäftskritischen. 4. Phishing-resistente MFA und geringste Rechte auf Registrar- und DNS-Hosting-Konten. 5. Automatisierte Änderungsüberwachung auf NS-, MX-, A/AAAA-, TXT-, CAA-, DS-Einträgen mit Alarmierung bei unerwarteten Diffs. 6. Certificate-Transparency-Überwachung für Ihre Domains. 7. Interner validierender, verschlüsselter Resolver mit Rogue-DoH-Lenkung/-Blockierung und Abfrage-Logging ins SIEM. 8. Scannen nach verwaisten Einträgen und DNS-Aufräumen in die Außerbetriebnahme verdrahtet.

FAQ: Ersetzt DNSSEC TLS oder verschlüsseltes DNS?#

Nein. Diese lösen unterschiedliche Probleme, und in der Regel wollen Sie alle drei. DNSSEC authentifiziert DNS-Daten, sodass Sie der erhaltenen Antwort vertrauen können, sendet diese Antwort aber im Klartext. Verschlüsseltes DNS (DoH/DoT) verbirgt die Abfrage vor Netzbeobachtern, beweist aber nicht den Ursprung der Daten. TLS sichert die Verbindung zum Ziel nach der DNS-Auflösung. Eine robuste Haltung schichtet DNSSEC für Integrität, verschlüsseltes DNS für Anfrageprivatsphäre und TLS mit CAA-eingeschränkten Zertifikaten für die Verbindung selbst.

FAQ: Ist DoH schlecht für die Unternehmenssicherheit?#

DoH ist ein Werkzeug, keine Bedrohung an sich. Es schützt Nutzer in feindlichen Netzen wirklich. Das Risiko für Verteidiger ist der Verlust der DNS-Sichtbarkeit, wenn Endpunkte externe DoH-Resolver nutzen, die die Unternehmensüberwachung umgehen und Malware-Verkehr verbergen können. Die Antwort ist, einen eigenen verschlüsselten Resolver zu betreiben, Clients per Richtlinie dorthin zu schieben und Verbindungen zu nicht genehmigten DoH-Anbietern am Egress zu erkennen oder zu blockieren. So gemacht, wahren Sie sowohl die Nutzerprivatsphäre gegenüber Außenstehenden als auch die interne Telemetrie, von der Ihre Erkennung abhängt.

Fazit#

DNS-Sicherheit ist eine geschichtete Disziplin, und die größten Fehler entstehen aus der Annahme, eine Kontrolle decke alles ab. DNSSEC authentifiziert die Daten und besiegt Fälschung; verschlüsseltes DNS schützt die Abfrage im Transit; Registrar- und Kontohärtung schützt die Steuerungsebene, wo die schädlichsten Hijacks tatsächlich geschehen. Um alle drei herum verwandelt die kontinuierliche Überwachung Ihrer eigenen Einträge, von Certificate Transparency und Abfrage-Telemetrie DNS von einem stillen Single Point of Failure in ein Frühwarnsystem. Wichtig ist, diese Kontrollen nicht als einmaliges Projekt zu sehen, sondern als laufenden Betriebsprozess mit klaren Verantwortlichkeiten, dokumentierten Änderungsabläufen und regelmäßigen Übungen für den Ernstfall eines Domain-Hijacks. Signieren Sie Ihre Zonen, sperren Sie Ihren Registrar, besitzen Sie Ihren Resolver und beobachten Sie Ihre Einträge — und Sie entfernen einen der mächtigsten Pivots, den ein Angreifer gegen Sie nutzen kann.