DNS Hijacking bedeutet, dass Anfragen nach deinem Domainnamen falsche Antworten bekommen und Besucher auf einen fremden Server geleitet werden. Das kann am Router, beim DNS-Resolver, beim DNS-Anbieter oder über geänderte Nameserver beim Registrar passieren. Ein Vergleich der Antworten verschiedener Resolver mit denen deiner autoritativen Nameserver zeigt, wo die Manipulation sitzt.
Bei DNS Hijacking ist an deiner Website nichts kaputt. Server, Dateien und Datenbank sind sauber, und trotzdem landen Besucher woanders. Das macht die Sache tückisch: Du prüfst die Seite von deinem Büro aus, alles sieht normal aus, und ein Kunde in einer anderen Stadt sieht ein Login-Formular, das du nie gebaut hast.
DNS Hijacking erkennen: drei Abfragen
Die Frage ist immer: An welcher Stelle der Kette wird die Antwort falsch? Du brauchst dafür nur dig, das auf macOS und Linux vorinstalliert ist (unter Windows über WSL oder nslookup).
Erstens die Antwort deines eigenen Resolvers, also das, was dein Rechner gerade sieht:
dig A deine-domain.de +shortZweitens die Antwort eines öffentlichen Resolvers:
dig A deine-domain.de @1.1.1.1 +short
dig A deine-domain.de @8.8.8.8 +shortDrittens die Quelle selbst. Erst die Nameserver herausfinden, dann einen davon direkt fragen:
dig NS deine-domain.de +short
dig A deine-domain.de @ns1.dein-dns-anbieter.de +norecurse +shortSo liest du das Ergebnis:
| Ergebnis | Wahrscheinliche Ursache |
|---|---|
| Nur deine lokale Antwort ist falsch | Router, Gerät oder lokaler Resolver manipuliert |
| Öffentliche Resolver falsch, autoritativer Nameserver richtig | Veralteter Cache oder Angriff auf Resolver-Ebene |
| Autoritativer Nameserver liefert die falsche IP | Zugang zum DNS-Anbieter kompromittiert |
dig NS zeigt Nameserver, die du nicht kennst | Delegation beim Registrar geändert, die Domain ist praktisch gekapert |
Der letzte Fall ist der ernsteste. Dann geht es nicht mehr um einzelne Einträge, sondern um die Kontrolle über die Domain. Lies in dem Fall den Ratgeber Domain gehackt und arbeite die Checkliste dort ab.
Die vier Ebenen der DNS-Manipulation
Router und Endgerät. Eine bekannte Schadsoftware dieser Art war DNSChanger, die die DNS-Einstellungen infizierter Rechner und Router auf Server der Täter umstellte. Das FBI hat die Infrastruktur 2011 in der Operation „Ghost Click“ übernommen. Heute passiert das vor allem bei Routern mit Standardpasswort oder alter Firmware. Betroffen sind nur Nutzer in diesem einen Netz.
Resolver. Gelingt es, einem Resolver gefälschte Antworten unterzuschieben, sehen alle seine Nutzer die falsche IP. Gegen genau diesen Fall wurde DNSSEC entwickelt.
DNS-Anbieter. Wer die Zugangsdaten zu deinem DNS-Hosting hat, ändert einfach den A- oder MX-Eintrag. Für die ganze Welt ist dann die falsche Antwort die richtige.
Registrar. Hier werden nicht die Einträge, sondern die zuständigen Nameserver ausgetauscht. Der Angreifer betreibt dann seine eigene Zone für deine Domain. Die US-Behörde CISA hat im Januar 2019 wegen einer Welle solcher Angriffe auf Behördendomains die Emergency Directive 19-01 erlassen. Darin wurden unter anderem Passwortwechsel, Multi-Faktor-Anmeldung und das Beobachten der Certificate-Transparency-Logs angeordnet.
Ein Sonderfall ist das Umleiten von IP-Routen per BGP. 2018 wurde auf diesem Weg Adressraum des DNS-Dienstes Amazon Route 53 kurzzeitig entführt, um Nutzer der Kryptowallet MyEtherWallet auf eine Fälschung zu leiten. Gegen so etwas kannst du als Domaininhaber wenig tun, DNSSEC hätte die gefälschten Antworten aber für validierende Resolver erkennbar gemacht.
Was du je nach Ebene tust
Lokal: Router-Oberfläche öffnen, DNS-Einstellungen prüfen, Admin-Passwort ändern, Firmware aktualisieren. Auf dem Rechner in den Netzwerkeinstellungen nachsehen, ob ein fremder DNS-Server eingetragen ist.
Beim DNS-Anbieter: Passwort ändern, Zwei-Faktor-Anmeldung einschalten, API-Tokens neu erzeugen, dann die Einträge korrigieren. Setz die TTL für die Reparaturphase auf einen niedrigen Wert wie 300 Sekunden, damit Korrekturen schnell greifen. Die falschen Antworten bleiben aber so lange in Caches, wie die TTL des manipulierten Eintrags war.
Beim Registrar: Das ist ein Kontoeinbruch. Der Ablauf steht im Artikel Domain-Konto gehackt.
Zertifikate: der Teil, den viele vergessen
Kontrolliert ein Angreifer deine DNS-Einträge auch nur für eine Stunde, kann er sich bei einer Zertifizierungsstelle ein gültiges TLS-Zertifikat für deine Domain ausstellen lassen. Die domänenbasierte Validierung prüft genau das, was er gerade kontrolliert. Mit diesem Zertifikat sieht die gefälschte Seite im Browser völlig normal aus.
Alle öffentlich vertrauten Zertifikate landen in Certificate-Transparency-Logs. Über eine Suche bei crt.sh nach deiner Domain siehst du jedes ausgestellte Zertifikat mit Datum und Aussteller. Taucht eines aus dem Zeitraum des Angriffs auf, das du nicht beantragt hast, lass es beim Aussteller widerrufen. Ein CAA-Eintrag im DNS legt außerdem fest, welche Zertifizierungsstellen überhaupt Zertifikate für deine Domain ausstellen dürfen:
deine-domain.de. 3600 IN CAA 0 issue "letsencrypt.org"Das hilft nur, solange der Angreifer den CAA-Eintrag nicht selbst ändern kann. Es ist trotzdem ein sinnvoller Baustein.
Vorbeugen: was wirklich etwas bringt
Die häufigsten Fälle betreffen Konten, nicht Protokolle. Deshalb steht die Zwei-Faktor-Anmeldung bei Registrar und DNS-Anbieter ganz oben, danach eine Transfer- und Änderungssperre. Für Domains, an denen viel hängt, gibt es den Registry Lock, bei dem Änderungen an den Nameservern eine zusätzliche Bestätigung außerhalb des Kundenkontos brauchen.
DNSSEC ergänzt das auf der Protokollebene. Damit es wirkt, müssen Registrar und DNS-Anbieter es unterstützen und die Signatur muss bei der Registry hinterlegt sein. Die Einrichtung beschreibt DNSSEC aktivieren. Bei betadomain lässt sich DNSSEC für .de-Domains und rund 490 andere Endungen aktivieren.
Wer DNS-Änderungen automatisiert, etwa aus einem Deployment heraus, sollte API-Schlüssel genauso behandeln wie Passwörter. Die Domain-API von betadomain ist ein Beispiel für so eine Schnittstelle: praktisch, aber jeder Schlüssel ist ein weiterer Weg zu deinen Einträgen.
Ein letzter Schritt nach jedem Vorfall: Notiere dir die korrekten Nameserver und wichtigsten Einträge an einem Ort außerhalb deines DNS-Kontos. Beim nächsten Mal vergleichst du in einer Minute statt in einer Stunde. Und wenn du ohnehin dabei bist, schau, ob dein Name unter anderen Endungen frei ist, mit einer schnellen Verfügbarkeitsprüfung.
Schritt für Schritt
- Antworten vergleichenMit dig dieselbe Domain über deinen lokalen Resolver, einen öffentlichen Resolver und direkt beim autoritativen Nameserver abfragen.
- Ebene bestimmenWeicht nur die lokale Antwort ab, liegt es am Gerät oder Router. Weicht auch der autoritative Nameserver ab, ist die Zone oder die Delegation manipuliert.
- Zugänge sichernPasswörter und 2FA beim DNS-Anbieter, Registrar oder Router erneuern, je nach betroffener Ebene.
- Einträge korrigierenNameserver, A-, AAAA- und MX-Einträge auf die richtigen Werte zurücksetzen und die TTL zunächst niedrig halten.
- Zertifikate prüfenIn den Certificate-Transparency-Logs nach Zertifikaten suchen, die im Zeitraum der Manipulation für deine Domain ausgestellt wurden, und sie widerrufen lassen.
Domain gefunden? Prüfen und registrieren kannst du sie direkt bei Wunschdomain prüfen – Jahrespreis ab 2,99 €.
Häufige Fragen
Was ist der Unterschied zwischen DNS Hijacking und DNS Spoofing?
Die Begriffe werden oft vermischt. DNS Spoofing meint meist gefälschte Antworten, die einem Resolver untergeschoben werden, etwa per Cache Poisoning. DNS Hijacking ist der Oberbegriff für jede Umleitung, auch über geänderte Einträge beim Anbieter oder geänderte Nameserver beim Registrar.
Schützt HTTPS vor DNS Hijacking?
Teilweise. Ohne gültiges Zertifikat für deine Domain zeigt der Browser eine Warnung. Kontrolliert ein Angreifer aber die DNS-Einträge, kann er sich bei einer Zertifizierungsstelle ein echtes Zertifikat ausstellen lassen. Deshalb lohnt es sich, die Certificate-Transparency-Logs für die eigene Domain zu beobachten.
Hilft DNSSEC gegen jede Form von DNS Hijacking?
Nein. DNSSEC erkennt gefälschte Antworten auf dem Weg zwischen Nameserver und validierendem Resolver. Hat der Angreifer Zugang zu deinem DNS-Anbieter oder Registrar, kann er die Zone selbst ändern oder DNSSEC abschalten. Gegen diesen Fall helfen 2FA und ein Registry Lock.
Kann mein Router DNS Hijacking verursachen?
Ja. Schadsoftware oder ein Angreifer mit Zugang zur Router-Oberfläche kann den DNS-Server ändern, den alle Geräte im Netz verwenden. Dann sind nur Nutzer in diesem Netz betroffen. Ein Blick in die DNS-Einstellungen des Routers und ein Firmware-Update klären das.