Das Domain Name System wurde gebaut, um schnell zu sein. Sicher sollte es nicht sein. Als das DNS in den 1980er-Jahren entworfen wurde, rechnete niemand mit einer Welt, in der Angreifer versuchen, DNS-Antworten zu fälschen, um deine Besucher auf gefälschte Websites umzuleiten. DNSSEC, kurz für DNS Security Extensions, wurde geschaffen, um diese Lücke zu schliessen. Es fügt DNS-Einträgen digitale Signaturen hinzu, sodass jede Antwort eines DNS-Servers als echt überprüft werden kann, bevor der Browser ihr vertraut.
Was ist DNSSEC?
DNSSEC ist eine Reihe von Sicherheitserweiterungen für das DNS-Protokoll. Es hängt an jeden DNS-Eintrag deiner Domain eine kryptografische Signatur. Schlägt ein Resolver deine Domain nach, prüft er, ob die Signatur passt, bevor er die Antwort akzeptiert. Fehlt die Signatur oder passt sie nicht, wird die Antwort abgelehnt. So können Angreifer keine gefälschten DNS-Antworten ins System einschleusen.
DNSSEC ändert nichts daran, wie das DNS funktioniert. Die Abfrage läuft gleich ab. Deine Domain wird weiterhin über eine Kette von DNS-Servern zu einer IP-Adresse aufgelöst. Der Unterschied: Jeder Schritt in dieser Kette lässt sich jetzt überprüfen. Der Resolver vertraut der Antwort nicht einfach. Er prüft eine kryptografische Signatur, um zu bestätigen, dass die Antwort von einer berechtigten Quelle stammt und unterwegs nicht verändert wurde.
Welches Problem löst DNSSEC?
Ohne DNSSEC werden DNS-Antworten für bare Münze genommen. Es gibt keine eingebaute Möglichkeit zu prüfen, ob die Antwort vom richtigen Server kam oder ob sie unterwegs verändert wurde. Das öffnet die Tür für eine bestimmte Art von Angriff, das DNS Cache Poisoning, auch DNS-Spoofing genannt.
Bei einem Cache-Poisoning-Angriff schickt ein Angreifer gefälschte DNS-Antworten an einen Resolver, bevor die echte Antwort ankommt. Der Resolver speichert die falsche Antwort im Cache und gibt sie an alle weiter, die diese Domain nachschlagen. Jeder Besucher, der deine Domain in den Browser tippt, wird auf einen Server geleitet, den der Angreifer kontrolliert, statt auf deine echte Website.
Die gefälschte Seite kann genauso aussehen wie deine. Besucher geben womöglich Zugangsdaten, Zahlungsdaten oder persönliche Angaben ein, ohne zu merken, dass sie auf einem ganz anderen Server sind. Für den Besucher ist der Angriff unsichtbar, weil die URL im Browser weiterhin deine Domain zeigt.
DNSSEC verhindert das, indem es gefälschte Antworten erkennbar macht. Passt die Signatur nicht, lehnt der Resolver die Antwort ab, und der Besucher landet nicht an einem gefälschten Ziel.
Wie funktioniert DNSSEC?
DNSSEC nutzt ein System aus öffentlichen und privaten Schlüsseln, um DNS-Einträge zu signieren. So läuft der Vorgang im Überblick ab.
Aktivierst du DNSSEC, erzeugt dein DNS-Anbieter für deine Domain ein Paar kryptografischer Schlüssel. Mit dem privaten Schlüssel wird für jeden DNS-Eintrag eine digitale Signatur erstellt. Der öffentliche Schlüssel wird selbst als DNS-Eintrag veröffentlicht, damit Resolver darauf zugreifen können.
Fragt ein Resolver deine Domain ab, bekommt er die DNS-Antwort zusammen mit der Signatur. Der Resolver nutzt dann den öffentlichen Schlüssel, um zu prüfen, ob die Signatur zu den Daten der Antwort passt. Stimmt alles, wird der Antwort vertraut. Ist die Signatur ungültig oder fehlt sie, behandelt der Resolver die Antwort als nicht vertrauenswürdig und gibt sie nicht an den Browser weiter.
Diese Prüfung funktioniert über eine Vertrauenskette. Der öffentliche Schlüssel deiner Domain wird von einem DS-Eintrag (Delegation Signer) in der übergeordneten Zone referenziert. Ist deine Domain zum Beispiel deinemarke.com, enthält die .com-Zone einen DS-Eintrag, der auf den öffentlichen Schlüssel deiner Domain zeigt. Die .com-Zone selbst wird von der Root-Zone signiert und geprüft. Jede Ebene der Kette bestätigt die darunterliegende, von der Root-Zone bis hinunter zu deiner Domain.
Was passiert ohne DNSSEC?
Ohne DNSSEC ist jede DNS-Antwort, die deine Domain erzeugt, unsigniert. Resolver akzeptieren, welche Antwort zuerst ankommt, ohne bestätigen zu können, dass sie aus einer legitimen Quelle stammt. Das heisst, ein gut platzierter Angreifer kann gefälschte Antworten ins System einschleusen und deine Besucher umleiten, ohne Alarm auszulösen.
Für die meisten kleinen Websites ist das Risiko eines gezielten DNS-Poisoning-Angriffs gering. Angreifer nehmen in der Regel wertvolle Ziele wie Banken, E-Mail-Anbieter und grosse Onlineshop-Plattformen ins Visier. Aber das Risiko ist nicht null. Öffentliche WLAN-Netze, kompromittierte Router und Schwachstellen in bestimmter Resolver-Software können im kleineren Massstab Gelegenheiten für DNS-Spoofing schaffen.
Wie stark sich das Fehlen von DNSSEC praktisch auswirkt, hängt von deiner Situation ab. Gehst du mit sensiblen Daten um, nimmst du Zahlungen an oder ist deine Website der wichtigste Kontaktpunkt zu deinen Kunden, lohnt sich die zusätzliche Prüfung.
Brauchst du DNSSEC für deine Domain?
Ehrlich gesagt kommt es darauf an. DNSSEC bietet echten Schutz, ist aber nicht für jede Domain Pflicht.
Du solltest DNSSEC aktivieren, wenn deine Website Zahlungen abwickelt, sensible Daten erhebt oder auf einer Domain mit hoher Sichtbarkeit läuft. Behörden-Websites, Finanzdienstleister und Gesundheitsmarken profitieren alle von aktivem DNSSEC. Hat die Domain-Sicherheit für deine Marke Priorität, ist DNSSEC eine weitere Ebene, die sich lohnt.
Du brauchst es vielleicht nicht sofort, wenn du eine kleinere Informations-Website ohne Login betreibst und dein Registrar DNSSEC noch nicht unterstützt oder dafür extra berechnet. Viele Websites laufen ohne und funktionieren gut. SSL verschlüsselt schon die Verbindung zwischen dem Besucher und deinem Server und schützt damit Daten während der Übertragung. DNSSEC löst ein anderes Problem, nämlich die Integrität der DNS-Abfrage selbst.
Unterstützt dein Registrar es und ist die Einrichtung unkompliziert, spricht fast nichts dagegen, es einzuschalten. Der Schutz ist real, auch wenn das Risiko, das er abdeckt, nicht jede Domain gleich stark trifft.
Wie aktivierst du DNSSEC?
Für die Aktivierung von DNSSEC musst du an zwei Stellen aktiv werden. Die erste ist dein DNS-Anbieter, bei dem die DNS-Einträge deiner Domain gehostet werden. Die zweite ist dein Domain-Registrar, bei dem deine Domain registriert ist.
Die allgemeinen Schritte sehen so aus.
- Logge dich bei deinem DNS-Anbieter ein und aktiviere DNSSEC für deine Domain. Das erzeugt die kryptografischen Schlüssel und beginnt, deine DNS-Einträge zu signieren.
- Kopiere den DS-Eintrag, den dir dein DNS-Anbieter gibt. Dieser Eintrag enthält einen Verweis auf den öffentlichen Schlüssel deiner Domain.
- Logge dich bei deinem Domain-Registrar ein und füge den DS-Eintrag in den Einstellungen deiner Domain hinzu. Das verknüpft die DNSSEC-Schlüssel deiner Domain mit der übergeordneten Zone.
- Warte auf die Weitergabe. Wie bei jeder Änderung eines DNS-Eintragskann es einige Stunden dauern, bis sich der neue DS-Eintrag im Internet verbreitet hat.
- Teste dein Setup mit einem Online-Tool zur DNSSEC-Validierung, um zu bestätigen, dass alles funktioniert.
Sind Registrar und DNS-Anbieter dieselbe Firma, ist der Vorgang einfacher. Manche Anbieter erledigen beide Schritte in einem Dashboard. Bei anderen musst du Einträge zwischen zwei getrennten Konten kopieren.
Der häufigste Fehler bei der Einrichtung ist, den DS-Eintrag falsch einzugeben. Prüfe Key Tag, Algorithmus-Nummer, Digest-Typ und Digest-Wert vor dem Speichern doppelt. Eine falsche Ziffer in einem dieser Felder bricht die Vertrauenskette und kann deine Domain unerreichbar machen, bis der Fehler behoben ist.
Was leistet DNSSEC nicht?
DNSSEC löst ein bestimmtes Problem: zu prüfen, ob DNS-Antworten echt sind. Es ist wichtig zu verstehen, was ausserhalb davon liegt.
DNSSEC verschlüsselt deine DNS-Abfragen nicht. Der Inhalt jeder DNS-Abfrage ist weiterhin für jeden sichtbar, der das Netzwerk überwacht. Ist dir die Privatsphäre von DNS-Abfragen wichtig, ist das ein anderes Problem, das DNS over HTTPS (DoH) oder DNS over TLS (DoT) löst, nicht DNSSEC.
DNSSEC verschlüsselt den Datenverkehr zwischen Besucher und deiner Website nicht. Das ist die Aufgabe eines SSL-Zertifikats, das über HTTPS eine verschlüsselte Verbindung herstellt. DNSSEC und SSL schützen unterschiedliche Dinge in unterschiedlichen Phasen der Verbindung.
DNSSEC verhindert nicht alle Arten von Angriffen auf deine Domain. Es hält niemanden davon ab, deine Registrar-Zugangsdaten zu stehlen und deine Domain zu übertragen. Es schützt nicht vor Phishing-E-Mails, die deine Marke nachahmen. Und es blockiert keine DDoS-Angriffe auf deine DNS-Server. Gegen diese Bedrohungen brauchst du eigene Schutzmassnahmen wie Zwei-Faktor-Authentifizierung, Domain-Sperre und DDoS-Abwehr.
Wie unterscheidet sich DNSSEC von SSL?
DNSSEC und SSL sind beides Sicherheitsebenen, schützen aber verschiedene Teile der Verbindung zwischen einem Besucher und deiner Website.
SSL (und sein Nachfolger TLS) verschlüsselt die Daten, die zwischen dem Browser des Besuchers und deinem Webserver fliessen. Steht die Verbindung, ist alles, was der Besucher sendet und empfängt, vor dem Abhören geschützt. SSL prüft ausserdem, dass der Server, mit dem der Besucher spricht, ein gültiges Zertifikat für deine Domain hat.
DNSSEC schützt den Schritt, der vor SSL passiert. Gibt ein Besucher deine Domain ein, schlägt der Browser zuerst über das DNS die IP-Adresse nach. DNSSEC stellt sicher, dass diese Abfrage die richtige IP-Adresse liefert. Ohne es könnte ein Angreifer den Besucher auf einen ganz anderen Server umleiten, der sogar ein eigenes SSL-Zertifikat für eine ähnlich aussehende Domain haben kann.
Beide Ebenen haben ihren Zweck. SSL schützt das Gespräch. DNSSEC schützt den Weg, den der Besucher nimmt, um dieses Gespräch zu beginnen. Beides zusammen gibt deinen Besuchern die stärkste Sicherheit, dass sie auf deiner echten Website sind und ihre Daten sicher sind.
So geht WEMASY mit DNSSEC um
WEMASY verwaltet das DNS für jede Domain, die mit der Plattform verbunden ist. Baust du deine Website bei WEMASY, wird das DNS deiner Domain über die Infrastruktur von WEMASY abgewickelt, zu der SSL-Zertifikate, Nameserver-Verwaltung und DNS-Konfiguration gehören. Unterstützen deine Domain und dein Registrar DNSSEC, kannst du es aktivieren, indem du den DS-Eintrag bei deinem Registrar hinzufügst und auf das DNS von WEMASY zeigen lässt. Was in jedem Tarif enthalten ist, steht auf der Seite Preise.
Abschluss von Modul 6
Dieses Kapitel schliesst das Modul zur Domain-Sicherheit ab. In den vorherigen Kapiteln hast du das ganze Bild kennengelernt. Du hast gelernt, was Domain-Sicherheit bedeutet, wie Domain-Sperre, Datenschutz und Bewusstsein für Verlängerungen deine Domain unter deiner Kontrolle halten und welche konkreten Bedrohungen wie Hijacking, Squatting und Betrug bei Verlängerungen es auf Domain-Inhaber abgesehen haben. DNSSEC fügt die letzte Ebene hinzu, indem es die DNS-Abfrage selbst schützt, den einen Schritt, der deinen Domain-Namen mit deiner echten Website verbindet. Mit all diesen Schutzmassnahmen ist deine Domain von der Registrierung bis zur Auflösung abgedeckt.
Häufig gestellte Fragen zu DNSSEC
Kann DNSSEC meine Website lahmlegen, wenn es falsch eingerichtet ist?
Ja. Passt der DS-Eintrag bei deinem Registrar nicht zu den Schlüsseln bei deinem DNS-Anbieter, lehnen Resolver, die DNSSEC prüfen, die DNS-Antworten deiner Domain komplett ab. Dann kann deine Website für Besucher unerreichbar werden, deren Resolver die DNSSEC-Prüfung durchsetzen. Teste dein Setup nach der Aktivierung immer mit einem DNSSEC-Validierungstool und halte deine Schlüssel synchron, falls du den DNS-Anbieter wechselst. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Macht DNSSEC meine Website langsamer?
Die Auswirkung auf die Geschwindigkeit ist minimal. DNSSEC fügt den DNS-Antworten wegen der Signaturen eine kleine Menge Daten hinzu, und Resolver führen einen zusätzlichen Prüfschritt aus. In der Praxis kommen dadurch nur ein paar Millisekunden zur DNS-Abfrage dazu. Besucher merken keinen Unterschied bei der Ladezeit.
Unterstützen alle Registrare DNSSEC?
Nicht alle. Die meisten grossen Registrare unterstützen DNSSEC, aber manche kleineren oder günstigen Registrare bieten es noch nicht an. Prüfe vor der Aktivierung in der Dokumentation oder auf der Support-Seite deines Registrars, ob du DS-Einträge hinzufügen kannst. Wenn nicht, musst du deine Domain eventuell zu einem Registrar übertragen, der das kann.
Was passiert mit DNSSEC, wenn ich meinen DNS-Anbieter wechsle?
Wechselst du den DNS-Anbieter, musst du deine DNSSEC-Konfiguration anpassen. Der neue Anbieter erzeugt neue Schlüssel, und du musst den DS-Eintrag bei deinem Registrar durch den neuen ersetzen. Während des Übergangs gibt es ein Zeitfenster, in dem der alte DS-Eintrag nicht mehr zu den neuen Schlüsseln passt. Plane den Wechsel sorgfältig. Entferne zuerst den alten DS-Eintrag, warte auf die Weitergabe, migriere dein DNS, aktiviere DNSSEC beim neuen Anbieter und füge dann den neuen DS-Eintrag hinzu.
Ist DNSSEC dasselbe wie DNS over HTTPS?
Nein. Sie lösen unterschiedliche Probleme. DNSSEC prüft, ob eine DNS-Antwort echt ist und nicht manipuliert wurde. DNS over HTTPS (DoH) verschlüsselt die DNS-Abfrage selbst, sodass niemand, der dein Netzwerk überwacht, sehen kann, welche Domains du nachschlägst. DNSSEC schützt die Integrität. DoH schützt die Privatsphäre. Man kann sie zusammen nutzen, aber das eine ersetzt das andere nicht.