DNS-Spoofing bezeichnet das Fälschen von DNS-Antworten: Der Angreifer sorgt dafür, dass ein Name zur falschen Adresse aufgelöst wird — Nutzer landen auf seinen Servern, während im Browser die richtige Adresse steht. Cache Poisoning ist die wirkungsvollste Variante: Die gefälschte Antwort wird einem Resolver untergeschoben und aus dessen Cache an alle Nutzer verteilt.
Die Wurzel des Problems: Klassisches DNS kennt keine Echtheitsprüfung — wer zuerst eine formal passende Antwort liefert, gewinnt. Diese Gutgläubigkeit stammt aus den Anfängen des Internets und ist bis heute nicht flächendeckend behoben.
Wie die Fälschung gelingt — und was sie verhindert
Beim Cache Poisoning flutet der Angreifer einen Resolver mit gefälschten Antworten auf eine selbst ausgelöste Anfrage; passt eine davon zu Transaktionsdaten der echten Anfrage, übernimmt der Cache die Fälschung — und verteilt sie für die Lebensdauer des Eintrags an alle Clients. Lokal genügen einfachere Mittel: manipulierte Router oder ARP-Spoofing lenken DNS-Verkehr direkt um.
Die strukturelle Antwort ist DNSSEC: Signierte Zonen machen jede Fälschung kryptografisch erkennbar — ein validierender Resolver verwirft sie. Verschlüsseltes DNS (DoH/DoT) schützt zusätzlich den Weg zwischen Client und Resolver. Beides zusammen nimmt dem Angriff Boden und Transportweg.
Warum das geschäftskritisch ist
- Umgeleitete Nutzer geben Zugangsdaten auf nachgebauten Portalen ein.
- Auch Systeme trifft es: API-Aufrufe und Update-Server folgen derselben Auflösung.
- E-Mail-Zustellung lässt sich über gefälschte MX-Antworten umlenken.
- Der Schaden trifft Ihre Marke — auf Servern, die Ihnen nie gehörten.