DNSSEC: echte DNS-Antworten statt gefälschter

DNSSEC sorgt dafür, dass niemand die Antworten des Domain Name Systems unbemerkt fälschen kann. Ohne diesen Schutz glaubt ein Rechner jeder Antwort, die auf seine Frage nach der IP-Adresse einer Domain zurückkommt. Mit dieser Erweiterung ist jede Antwort digital signiert, und eine gefälschte fällt sofort auf. Für die meisten Domains ist der Schutz heute mit einem Klick beim Anbieter eingeschaltet. Es gibt aber einen Moment, in dem Sie aufpassen müssen: beim Wechsel des Anbieters.

Welches Problem DNSSEC löst

Wenn Sie eine Adresse wie beispiel.de im Browser eingeben, fragt Ihr Rechner einen Resolver, meist den Ihres Internetanbieters, nach der passenden IP-Adresse. Der Resolver fragt sich durch die Nameserver und gibt die Antwort zurück. Wie das im Einzelnen abläuft, erklärt der Ratgeber zu den DNS-Grundlagen.

Das ursprüngliche DNS prüft nicht, ob eine Antwort wirklich vom zuständigen Nameserver kommt. Ein Angreifer kann versuchen, einem Resolver eine falsche Antwort unterzuschieben, bevor die echte eintrifft. Gelingt das, landet jeder Nutzer dieses Resolvers auf einem fremden Server, etwa einer gefälschten Login-Seite. Das nennt man Cache Poisoning. Solche Angriffe sind schwierig, aber nicht nur Theorie.

Wie DNSSEC funktioniert

Der Inhaber einer Domain signiert seine DNS-Einträge mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlicht er in seiner Zone als Eintrag vom Typ DNSKEY. Zu jedem Eintrag gibt es eine Signatur vom Typ RRSIG. Ein prüfender Resolver kann damit nachrechnen, ob ein Eintrag unverändert ist.

Damit niemand einfach einen eigenen Schlüssel unterschiebt, braucht es eine Vertrauenskette. Ein Fingerabdruck des Schlüssels steht als DS-Eintrag bei der übergeordneten Zone, für eine .de-Domain also bei der DENIC. Die Zone .de ist selbst signiert, und ihr Schlüssel ist in der Root-Zone hinterlegt. Den Schlüssel der Root-Zone kennen alle prüfenden Resolver fest. So lässt sich jede Antwort bis zur Wurzel zurückverfolgen.

Die Arbeit mit Schlüsseln, Signaturen und deren regelmäßigem Austausch übernimmt bei fast allen Anbietern die Software. Sie selbst sehen davon im Alltag nichts. Welche Arten von Einträgen es sonst gibt, zeigt der Ratgeber zu den DNS-Einträgen.

Was im Hintergrund regelmäßig passiert

Signaturen gelten nicht ewig. Jede trägt ein Ablaufdatum, typischerweise einige Tage bis wenige Wochen in der Zukunft. Die Software des Anbieters erneuert sie rechtzeitig. Fällt diese Erneuerung aus, etwa weil ein eigener Nameserver hängt, laufen die Signaturen ab, und die Domain ist für prüfende Resolver plötzlich nicht mehr erreichbar. Bei einem großen Anbieter ist das sehr selten, bei selbst betriebenen Nameservern ein echtes Risiko.

Auch die Schlüssel werden ausgetauscht, man spricht vom Key Rollover. Meist gibt es zwei Schlüssel: einen Schlüssel für die Signatur der Einträge, der häufiger gewechselt wird, und einen Schlüssel für die Signatur dieser Schlüssel, dessen Fingerabdruck als DS-Eintrag bei der Registry steht. Wird der zweite gewechselt, muss auch der DS-Eintrag neu gemeldet werden. Bei Domain und DNS aus einer Hand erledigt das der Anbieter. Liegen beide bei verschiedenen Anbietern, prüfen Sie, ob der DNS-Anbieter Sie rechtzeitig informiert oder den Eintrag automatisch über ein Verfahren namens CDS weitergibt.

Wichtig für Sie ist deshalb nur eines: Überwachen Sie, ob Ihre Domain erreichbar ist, und nutzen Sie dafür einen Resolver, der prüft. Ein Uptime-Check bei einem Dienst, der selbst über einen prüfenden Resolver auflöst, meldet einen Fehler in der Kette rechtzeitig.

Was DNSSEC schützt und was nicht

Die Signaturen stellen sicher, dass eine Antwort echt und unverändert ist. Mehr nicht. Ein paar Missverständnisse kommen häufig vor:

• Keine Verschlüsselung: Die Anfragen und Antworten bleiben lesbar. Wer im Netz mitliest, sieht weiter, welche Domains Sie aufrufen. Dafür gibt es DNS über HTTPS oder TLS.
• Kein Ersatz für HTTPS: Das Zertifikat Ihrer Website prüft der Browser unabhängig davon. Beide ergänzen sich.
• Schutz nur bei prüfenden Resolvern: Ein Resolver, der nicht prüft, nimmt auch gefälschte Antworten an. Die großen öffentlichen Resolver und viele deutsche Internetanbieter prüfen inzwischen.
• Kein Schutz bei gekapertem Kundenkonto: Wer sich in Ihr Konto beim Domainanbieter einloggt, ändert die Einträge, und sie werden korrekt signiert. Dagegen hilft eine Zwei-Faktor-Anmeldung.

Was das für Ihren Betrieb bedeutet

Für ein Unternehmen ist DNS der Wegweiser zu Website, Shop, Mailserver und oft auch zu Kundenportalen. Wird dieser Wegweiser gefälscht, landen Kunden auf einer nachgebauten Seite und geben dort ihre Daten ein, ohne dass an Ihrem Server etwas passiert ist. Den Schaden haben Sie trotzdem, vom Vertrauensverlust bis zur Meldung bei der Datenschutzaufsicht.

Die Signatur ist eine Vorsorge, die nichts kostet und nach dem Einschalten keine Arbeit macht. Sie verhindert keinen Angriff auf Ihr Kundenkonto beim Domainanbieter. Sichern Sie dieses Konto deshalb mit einer Zwei-Faktor-Anmeldung und einer Adresse, die nicht auf der Domain selbst liegt.

Lohnt sich DNSSEC für meine Domain?

Ja, für fast jede Domain. Wenn Ihr Anbieter die Signatur per Schalter anbietet, kostet es Sie nichts außer einem Klick. Besonders sinnvoll ist es für Domains mit Login-Seiten, Shops und Mail. Für den sicheren Mailversand zwischen Servern ist DNSSEC sogar Voraussetzung für DANE, ein Verfahren, mit dem empfangende Server die Zertifikate eines Mailservers über DNS prüfen. Mehr zum Schutz von Absendern steht im Ratgeber SPF, DKIM und DMARC einrichten.

Die Domainendung muss die Signaturen unterstützen. Für .de, .com, .net, .org, .eu und die meisten anderen gängigen Endungen ist das seit Jahren der Fall. Die DENIC hat das Verfahren für .de im Jahr 2011 eingeführt.

DNSSEC aktivieren

Wie Sie vorgehen, hängt davon ab, wo Ihre Nameserver laufen.

Domain und DNS beim selben Anbieter. Das ist der häufigste Fall. Suchen Sie in der Domainverwaltung nach „DNSSEC“ und schalten Sie es ein. Der Anbieter erzeugt die Schlüssel, signiert die Zone und meldet den DS-Eintrag an die Registry. Das dauert meist einige Minuten bis wenige Stunden.

Domain bei Anbieter A, DNS bei Anbieter B. Etwa wenn die Domain bei einem Registrar liegt und das DNS bei einem CDN. Dann schalten Sie die Signatur beim DNS-Anbieter ein. Er zeigt Ihnen die Daten für den DS-Eintrag an: Key Tag, Algorithmus, Digest-Typ und Digest. Diese tragen Sie beim Registrar in der Domainverwaltung ein, oft unter „DNSSEC“ oder „DS-Records“. Manche Registrare möchten statt des DS-Eintrags den öffentlichen Schlüssel, den DNSKEY.

Eigener Nameserver. Programme wie BIND, Knot oder PowerDNS signieren Zonen auf Wunsch automatisch. Das ist für Fortgeschrittene, denn ein Fehler bei der Erneuerung der Signaturen macht die Domain unerreichbar.

Prüfen, ob DNSSEC läuft

Ob ein DS-Eintrag bei der Registry hinterlegt ist, zeigt dieser Befehl in einem Terminal unter Linux oder macOS:

dig +short DS beispiel.de

Kommt eine Zeile mit Zahlen und einem langen Wert zurück, ist der Eintrag da. Ob die ganze Kette stimmt, prüfen Sie über einen validierenden Resolver:

dig @9.9.9.9 beispiel.de A +dnssec

Steht in der Zeile flags der Antwort das Kürzel ad, wurde die Antwort erfolgreich geprüft. Erscheint stattdessen status: SERVFAIL, ist die Kette kaputt, und Nutzer prüfender Resolver erreichen Ihre Domain nicht mehr. Bequemer ist eine grafische Prüfung mit DNSViz. Die Seite zeichnet die Kette von der Wurzel bis zu Ihrer Domain und markiert Fehler rot.

Vorsicht beim Anbieterwechsel

Hier passieren die meisten Ausfälle durch signierte Domains. Steht bei der Registry noch der DS-Eintrag des alten Anbieters, während die neuen Nameserver mit einem anderen Schlüssel oder gar nicht signieren, passen Fingerabdruck und Zone nicht mehr zusammen. Prüfende Resolver lehnen dann jede Antwort ab. Die Website und die Mail sind für einen großen Teil der Nutzer weg, obwohl alles richtig eingetragen scheint.

Gehen Sie deshalb in dieser Reihenfolge vor:

1. DNSSEC beim alten Anbieter abschalten, damit der DS-Eintrag bei der Registry gelöscht wird.
2. Warten, bis der alte DS-Eintrag aus den Caches verschwunden ist. Das ist die Gültigkeitsdauer des Eintrags, meist ein bis zwei Tage.
3. Domain umziehen oder Nameserver ändern.
4. Beim neuen Anbieter die Signatur einschalten und mit dig oder DNSViz prüfen.

Manche Anbieter unterstützen auch einen Umzug ohne Pause, bei dem beide Schlüssel eine Zeit lang gleichzeitig gültig sind. Fragen Sie Ihren neuen Anbieter danach. Wie der Domainumzug sonst abläuft, beschreibt der Ratgeber zum Thema Domain umziehen.