Glossar · einfach erklärt

DNS-Spoofing & Cache Poisoning

DNS-Spoofing bezeichnet das Fälschen von DNS-Antworten: Der Angreifer sorgt dafür, dass ein Name zur falschen Adresse aufgelöst wird — Nutzer landen auf seinen Servern, während im Browser die richtige Adresse steht. Cache Poisoning ist die wirkungsvollste Variante: Die gefälschte Antwort wird einem Resolver untergeschoben und aus dessen Cache an alle Nutzer verteilt.

Die Wurzel des Problems: Klassisches DNS kennt keine Echtheitsprüfung — wer zuerst eine formal passende Antwort liefert, gewinnt. Diese Gutgläubigkeit stammt aus den Anfängen des Internets und ist bis heute nicht flächendeckend behoben.

Wie die Fälschung gelingt — und was sie verhindert

Beim Cache Poisoning flutet der Angreifer einen Resolver mit gefälschten Antworten auf eine selbst ausgelöste Anfrage; passt eine davon zu Transaktionsdaten der echten Anfrage, übernimmt der Cache die Fälschung — und verteilt sie für die Lebensdauer des Eintrags an alle Clients. Lokal genügen einfachere Mittel: manipulierte Router oder ARP-Spoofing lenken DNS-Verkehr direkt um.

Die strukturelle Antwort ist DNSSEC: Signierte Zonen machen jede Fälschung kryptografisch erkennbar — ein validierender Resolver verwirft sie. Verschlüsseltes DNS (DoH/DoT) schützt zusätzlich den Weg zwischen Client und Resolver. Beides zusammen nimmt dem Angriff Boden und Transportweg.

Warum das geschäftskritisch ist

  • Umgeleitete Nutzer geben Zugangsdaten auf nachgebauten Portalen ein.
  • Auch Systeme trifft es: API-Aufrufe und Update-Server folgen derselben Auflösung.
  • E-Mail-Zustellung lässt sich über gefälschte MX-Antworten umlenken.
  • Der Schaden trifft Ihre Marke — auf Servern, die Ihnen nie gehörten.

Häufige Fragen zu DNS-Spoofing & Cache Poisoning

Was ist der Unterschied zwischen DNS-Spoofing und Cache Poisoning?

Spoofing ist der Oberbegriff fürs Fälschen von DNS-Antworten. Cache Poisoning ist die Variante mit Hebel: Die Fälschung landet im Cache eines Resolvers und wird von dort automatisch an alle dahinterliegenden Nutzer verteilt — ein Treffer, viele Opfer.

Schützt HTTPS nicht ohnehin vor den Folgen?

Es hilft erheblich: Für die echte Domain kann der Angreifer kein gültiges Zertifikat vorweisen, Browser warnen. Riskant bleiben weggeklickte Warnungen, Nicht-Browser-Clients ohne strikte Prüfung und Dienste ohne TLS. DNSSEC verhindert die Umleitung selbst statt nur ihrer Folgen.

Wie verhindert DNSSEC die Fälschung?

Signierte Zonen liefern zu jeder Antwort einen kryptografischen Echtheitsnachweis entlang einer Vertrauenskette von der Root-Zone bis zur Domain. Ein validierender Resolver erkennt gefälschte Antworten und verwirft sie — Cache Poisoning läuft ins Leere.

Was bringt verschlüsseltes DNS (DoH/DoT)?

Es schützt die Strecke zwischen Client und Resolver vor Mitlesen und Manipulation — etwa im offenen WLAN. Es ersetzt DNSSEC nicht: Verschlüsselter Transport garantiert nicht, dass die Antwort selbst echt ist. Zusammen ergeben beide erst den vollständigen Schutz.

Was sollten Unternehmen konkret tun?

Eigene Zonen mit DNSSEC signieren (auf modernen Plattformen ein Mausklick), validierende Resolver einsetzen, DNS-Infrastruktur DDoS-fest betreiben und Auffälligkeiten in der Auflösung überwachen. DNS gehört in denselben Schutzschirm wie Web und APIs.

Wie sieht das im eigenen Netzwerk aus? Sprechen Sie mit KAEMI: Wir planen, bauen und managen die passende Lösung mit Ihnen.