DNS-Sicherheit: Warum das Internet-Telefonbuch versagt

Was DNS macht

Jede Website befindet sich unter einer IP-Adresse – einer numerischen Adresse wie 142.250.80.46. Aber Menschen navigieren im Web über Domainnamen wie google.com. Das Domain Name System (DNS) ist die Infrastruktur, die menschenlesbare Domainnamen in IP-Adressen übersetzt, mit denen sich Ihr Gerät verbinden kann.

Wenn Sie eine URL in Ihren Browser eingeben:

1. Ihr Gerät prüft seinen lokalen DNS-Cache. Wenn es eine aktuelle Antwort findet, verwendet es diese.
2. Wenn nicht, sendet es eine DNS-Anfrage an einen rekursiven Resolver – typischerweise von Ihrem Internetanbieter bereitgestellt oder ein konfigurierter Dienst wie Google (8.8.8.8) oder Cloudflare (1.1.1.1).
3. Der Resolver befragt Root-Nameserver, dann TLD-Server (Top-Level-Domain) und dann den autoritativen Nameserver für die Domain.
4. Die IP-Adresse wird zurückgegeben, mit einem TTL-Wert (Time-to-Live) gecacht und Ihr Browser stellt eine Verbindung her.

Dieser gesamte Prozess dauert Millisekunden, findet aber bei praktisch jeder Internetverbindung statt, die Sie herstellen.

Das Sicherheitsproblem mit herkömmlichem DNS

Herkömmliches DNS hat einen grundlegenden Konstruktionsfehler: Anfragen und Antworten werden im Klartext über UDP gesendet, ohne Authentifizierung. Das bedeutet, dass jeder, der Ihr Netzwerk überwacht – Ihr Internetanbieter, ein Café-WLAN-Betreiber oder ein MITM-Angreifer – jeden Domain-Namen sehen kann, den Sie nachschlagen.

Schlimmer noch: DNS wurde ohne Mechanismus konzipiert, um zu überprüfen, ob eine Antwort tatsächlich vom legitimen autoritativen Server stammt. Dies öffnet die Tür für mehrere Angriffe.

DNS-Spoofing und Cache-Poisoning

DNS-Spoofing (auch DNS-Cache-Poisoning genannt) ist ein Angriff, bei dem bösartige DNS-Antworten in den Cache eines Resolvers eingeschleust werden. Wenn der Cache vergiftet ist:

• Ein Nutzer fragt ihrebank.de ab
• Der Resolver gibt eine vom Angreifer kontrollierte IP-Adresse anstelle der echten zurück
• Der Nutzer wird zu einer gefälschten Phishing-Seite umgeleitet, die der echten oft optisch identisch ist
• Anmeldedaten, Session-Token oder Zahlungsdaten werden abgegriffen

Der klassische Angriff (Kaminsky-Angriff, 2008) nutzte vorhersehbare DNS-Transaktions-IDs und Quell-Ports aus, um einen Resolver mit gefälschten Antworten zu überfluten. Moderne Resolver randomisieren Quell-Ports und Transaktions-IDs, aber das grundlegende Authentifizierungsproblem besteht ohne DNSSEC weiterhin.

DNS-Hijacking

DNS-Hijacking unterscheidet sich von Spoofing – anstatt einen Cache zu vergiften, ändert der Angreifer die DNS-Konfiguration auf einer höheren Ebene:

• Router-Hijacking: Malware oder ein Angreifer, der Zugang zu Ihrem Heimrouter erlangt hat, ändert dessen DNS-Einstellungen, um auf einen bösartigen Resolver zu verweisen.
• ISP-seitiges Hijacking: Einige Internetanbieter leiten fehlgeschlagene DNS-Anfragen (z. B. falsch geschriebene Domains) auf ihre eigenen werbefinanzierten Seiten um – eine milde Form des Hijackings.
• Registrar-Hijacking: Wenn ein Angreifer Zugang zum Registrar-Konto einer Domain erlangt, kann er den autoritativen Nameserver ändern, um den gesamten Datenverkehr umzuleiten.

DNSSEC: Kryptografische Authentifizierung für DNS

DNSSEC (DNS Security Extensions) fügt DNS-Einträgen digitale Signaturen hinzu. Wenn eine Zone DNSSEC-signiert ist:

• Jeder DNS-Eintrag wird mit einem privaten Schlüssel signiert
• Der entsprechende öffentliche Schlüssel wird in der DNS-Zone selbst veröffentlicht
• Eine Vertrauenskette erstreckt sich von der Root-Zone bis zu einzelnen Domain-Einträgen
• Resolver können überprüfen, ob Antworten authentisch und unverändert sind

DNSSEC verhindert Cache-Poisoning, da gefälschte Antworten die Signaturverifizierung nicht bestehen. DNSSEC verschlüsselt DNS jedoch nicht – es authentifiziert Einträge, aber Anfragen und Antworten bleiben sichtbar.

Nicht alle Domains sind DNSSEC-signiert, und nicht alle Resolver validieren DNSSEC-Signaturen, was den realen Schutz einschränkt.

DNS-over-HTTPS und DNS-over-TLS

Um das Datenschutzproblem zu beheben, verschlüsseln zwei Protokolle DNS-Anfragen:

DNS-over-HTTPS (DoH): Verpackt DNS-Anfragen in standardmäßigen HTTPS-Datenverkehr auf Port 443. Dadurch werden DNS-Anfragen:

• Verschlüsselt und für Internetanbieter und Netzwerkbeobachter unlesbar
• Nicht von regulärem Web-Datenverkehr zu unterscheiden (schwerer zu blockieren)
• Über die Standard-TLS-Zertifikatsverifizierung authentifizierbar

DNS-over-TLS (DoT): Verschlüsselt DNS-Anfragen mit TLS, verwendet jedoch Port 853, der sich von regulärem Datenverkehr unterscheidet und von Netzwerkadministratoren blockiert werden kann. Transparenter für das Netzwerkmanagement.

Größere Browser (Firefox, Chrome, Edge) unterstützen DoH und können dafür konfiguriert werden. Cloudflares 1.1.1.1, Googles 8.8.8.8 und NextDNS unterstützen alle DoH.

So schützen Sie sich

DNS-over-HTTPS aktivieren

In Firefox: Einstellungen > Datenschutz & Sicherheit > DNS über HTTPS. Aktivieren Sie es mit Cloudflare oder einem benutzerdefinierten Anbieter.

In Chrome: Einstellungen > Datenschutz und Sicherheit > Sicherheit > Sicheres DNS verwenden. Aktivieren und Anbieter wählen.

Unter Windows 11: Netzwerkeinstellungen unterstützen jetzt DoH systemweit, was für alle Apps gilt, nicht nur für Browser.

Einen datenschutzfreundlichen Resolver wählen

• Cloudflare 1.1.1.1: Schnell, keine Anfragen-Protokollierung (geprüft), unterstützt DoH und DoT
• NextDNS: Konfigurierbare Filterung, Protokollierungskontrollen, Familiensicherheitsfunktionen
• Quad9 (9.9.9.9): Blockiert bekannte bösartige Domains, datenschutzorientiert, gemeinnützig

Vermeiden Sie die Verwendung des Standard-Resolvers Ihres Internetanbieters, sofern Sie ihm nicht Ihren Browserverlauf anvertrauen.

Router-DNS-Einstellungen absichern

Ändern Sie die DNS-Einstellungen Ihres Heimrouters auf einen DoH-fähigen Resolver. Dies schützt alle Geräte in Ihrem Netzwerk, einschließlich Smart-TVs und IoT-Geräte, die DoH nicht individuell unterstützen.

Auf unerwartete DNS-Änderungen überwachen

Wenn Sie DNS-Hijacking vermuten, vergleichen Sie Ihren konfigurierten DNS-Server mit dem, womit Anfragen tatsächlich aufgelöst werden. Tools wie nslookup oder dig können helfen, Unstimmigkeiten zu identifizieren.