DNS-Spoofing: Funktionsweise, Arten und Schutz mit DNSSEC

Was ist DNS-Spoofing?

Das Domain Name System (DNS) ist das Telefonbuch des Internets. Computer verbinden sich über IP-Adressen. Menschen merken sich lieber Namen wie beispiel.de. Das DNS übersetzt das eine in das andere.

Beim DNS-Spoofing fälschen Angreifer diese Übersetzung. Sie geben die richtige Adresse ein, Ihr Rechner bekommt aber eine falsche IP-Adresse. Statt bei Ihrer Bank landen Sie auf einer täuschend echten Kopie.

Das Tückische: In der Adresszeile steht der richtige Name. Anders als bei Phishing mit falschen Links gibt es keinen Tippfehler, der Sie warnen könnte.

So funktioniert eine DNS-Anfrage

1. Sie geben eine Adresse in den Browser ein.
2. Ihr Rechner fragt einen DNS-Server, den sogenannten Resolver. Das ist meist der Server Ihres Internetanbieters oder Ihres Unternehmens.
3. Kennt der Resolver die Antwort nicht, fragt er sich durch weitere DNS-Server bis zum zuständigen Server der Domain.
4. Die Antwort speichert er eine Zeit lang zwischen, im sogenannten Cache.
5. Ihr Browser verbindet sich mit der genannten IP-Adresse.

An jeder dieser Stellen kann ein Angreifer ansetzen. Das klassische DNS prüft nämlich nicht, ob eine Antwort echt ist.

Arten von DNS-Spoofing

• DNS Cache Poisoning: Der Angreifer schleust eine gefälschte Antwort in den Cache eines Resolvers. Alle Nutzer dieses Resolvers erhalten dann die falsche Adresse. 2008 zeigte der Forscher Dan Kaminsky, wie sich das in Sekunden erreichen ließ. Danach wurden DNS-Server weltweit nachgebessert.
• Man-in-the-Middle im lokalen Netz: Im WLAN eines Cafés fängt ein Angreifer DNS-Anfragen ab und antwortet schneller als der echte Server. Siehe Man-in-the-Middle-Angriff.
• Manipulierter Router: Schadsoftware oder ein schwaches Passwort ändern die DNS-Einstellung im Router. Alle Geräte im Netz fragen dann einen Server der Angreifer.
• Manipulierte hosts-Datei: Schadsoftware trägt falsche Adressen direkt auf dem Rechner ein.
• Übernahme der Domain: Angreifer verschaffen sich Zugang zum Konto beim Registrar oder DNS-Anbieter und ändern die Einträge selbst. Dann ist die falsche Adresse für alle weltweit gültig.

Folgen für Unternehmen und Nutzer

• Gestohlene Zugangsdaten: Nutzer geben ihr Passwort auf einer gefälschten Anmeldeseite ein.
• Schadsoftware: Statt eines echten Updates wird ein Trojaner geladen.
• Abgefangene E-Mails: Wird der Mail-Eintrag (MX) gefälscht, landen E-Mails beim Angreifer.
• Ausfälle: Kunden erreichen Ihre Webseite oder Ihren Shop nicht mehr.
• Vertrauensverlust: Wer auf einer gefälschten Seite Ihres Unternehmens betrogen wurde, gibt oft Ihnen die Schuld.

DNS-Spoofing erkennen

• Zertifikatswarnungen: Eine Warnung bei einer bekannten Seite ist ein ernstes Zeichen. Die gefälschte Seite hat meist kein gültiges Zertifikat. Siehe SSL/TLS.
• Ungewöhnliche IP-Adressen: DNS-Antworten, die auf unbekannte Netze zeigen, sind verdächtig.
• Vergleich: Liefern zwei unabhängige Resolver unterschiedliche Antworten, stimmt etwas nicht.
• Protokolle: DNS-Anfragen und -Antworten zentral auswerten. Siehe Security Logging und Monitoring.
• Eigene Einträge überwachen: Jede unerwartete Änderung an den DNS-Einträgen Ihrer Domains sollte einen Alarm auslösen.

Schutz mit DNSSEC

DNSSEC (Domain Name System Security Extensions) ergänzt das DNS um digitale Signaturen. Der Inhaber einer Domain signiert seine Einträge. Ein Resolver, der DNSSEC prüft, erkennt dann, ob eine Antwort echt ist. Gefälschte Antworten werden verworfen.

Damit DNSSEC wirkt, müssen zwei Seiten mitmachen:

• Der Domaininhaber signiert seine Zone. Bei vielen Anbietern ist das ein Klick in der Verwaltung. Die deutsche Top-Level-Domain .de ist bereits seit 2011 signiert.
• Der Resolver prüft die Signaturen. Moderne Resolver können das, es muss aber eingeschaltet sein.

DNSSEC verschlüsselt nichts. Es stellt nur sicher, dass Antworten echt und unverändert sind. Mehr zum Thema unter DNS Security.

Weitere Schutzmaßnahmen

• DNS over HTTPS (DoH) und DNS over TLS (DoT): Sie verschlüsseln die Anfragen zwischen Gerät und Resolver. Auf diesem Weg kann niemand mehr mitlesen oder Antworten fälschen.
• Vertrauenswürdige Resolver: Nutzen Sie Resolver, die DNSSEC prüfen und gut gepflegt werden. Legen Sie sie zentral fest.
• Domain-Konten absichern: Schützen Sie die Konten bei Registrar und DNS-Anbieter mit MFA. Aktivieren Sie eine Sperre gegen ungewollte Übertragungen (Registrar Lock).
• Router und DNS-Server aktuell halten: Sicherheitsupdates einspielen und Standardpasswörter ändern.
• HTTPS mit HSTS: Der Browser erzwingt dann eine verschlüsselte Verbindung. Ohne gültiges Zertifikat kommt keine Verbindung zustande.
• Mitarbeitende schulen: Zertifikatswarnungen nie wegklicken, sondern melden.

Verwaiste DNS-Einträge

Ein verwandtes Risiko sind DNS-Einträge, die noch auf einen Dienst zeigen, den es nicht mehr gibt, etwa eine gelöschte Cloud-Instanz. Fremde können diesen Dienst neu anlegen und dann unter Ihrem Namen Inhalte zeigen. Man spricht von Subdomain Takeover. SnapScan erkennt ohne Zugangsdaten offene Cloud-Speicher und verwaiste DNS-Einträge.

Fazit

DNS-Spoofing leitet Nutzer unbemerkt auf falsche Server, obwohl sie die richtige Adresse eingeben. Der wichtigste Schutz ist DNSSEC, ergänzt durch verschlüsselte DNS-Anfragen, gut abgesicherte Domain-Konten und HTTPS mit gültigen Zertifikaten. Wer Zertifikatswarnungen ernst nimmt und seine DNS-Einträge überwacht, erkennt Angriffe früh.