Warum ist DNS-Filterung wichtig?

DNS-Filterung ist wichtig, da nahezu jede Verbindung mit einer Abfrage beginnt, sodass der Resolver Richtlinien für alle Geräte in einem Netzwerk durchsetzen kann. Sie kann Phishing-, Malware- und Command-and-Control-Domains frühzeitig stoppen, auch auf Geräten, auf denen keine Sicherheitsagenten ausgeführt werden können.

Was leistet ein DNS-Filterdienst?

Ein DNS-Filterdienst betreibt den Filter-Resolver für eine Organisation und wendet dabei Kategoreregeln, Sperrlisten und Bedrohungs-Feeds auf deren Abfragen an. Administratoren legen Richtlinien fest und überprüfen Protokolle, in der Regel über eine Verwaltungskonsole, anstatt die Resolver-Infrastruktur selbst zu betreiben.

Was kann die DNS-Filterung nicht blockieren?

Die DNS-Filterung kann keinen Datenverkehr blockieren, der keine Namensauflösung nutzt, wie beispielsweise Verbindungen, die direkt zu einer IP-Adresse hergestellt werden. Außerdem kann sie keine Seiteninhalte überprüfen, sodass sie eine gesamte Domain blockiert und nicht nur eine einzelne URL darauf.

Was sind die Vorteile der DNS-Filterung?

Die wichtigsten Vorteile sind die zentrale Durchsetzung von Richtlinien, die frühzeitige Sperrung bekannter bösartiger Domains und Abfrageprotokolle, die verdächtige Aktivitäten aufdecken. Da die Lösung auf Resolver-Ebene arbeitet, deckt sie auch nicht verwaltete Geräte und IoT-Geräte ab, ohne dass auf diesen Software installiert werden muss.

Glossar
Was ist DNS-Filterung?

DNS-Glossar

Was ist DNS-Filterung?

DNS-Filterung ist eine Sicherheitsmaßnahme, die Domain-Abfragen basierend auf Administratorrichtlinien und Bedrohungsinformationen zulässt, blockiert oder umleitet. Sie erfolgt auf Ebene des Resolvers, der den angeforderten Namen auswertet, bevor er eine Antwort zurückgibt. So wird verhindert, dass ein Gerät eine Verbindung zu einer verbotenen Website herstellt, noch bevor Datenverkehr gesendet wird.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

DNS filtering is a security control that allows, blocks, or redirects domain name queries at the resolver based on administrator policy and threat intelligence, operating before a device connects to a prohibited site. It provides centralized policy enforcement across all network devices—including unmanaged laptops, guests, and IoT equipment—by evaluating domain names before the resolver answers, thereby stopping phishing, malware, and command-and-control attacks early. However, filtering effectiveness depends on proper configuration and monitoring, as bypass paths like encrypted DNS, direct IP connections, and stale block lists can create gaps or false positives that undermine security controls.

DNS filtering operates at the application layer (layer 7) on port 53 using UDP and TCP, intercepting queries before the resolver returns an IP address to prevent connection to malicious or policy-restricted domains.
Query logs from the filtering resolver reveal which devices requested blocked names, enabling security teams to identify infected hosts and investigate suspicious activity across the network.
Clients using hardcoded public resolvers, DNS over HTTPS, or connecting directly to IP addresses can bypass DNS filtering entirely, creating visibility gaps unless firewalls or additional controls are implemented.

DNS-Filterung auf einen Blick

Attribute	Value
Category	Security control
Protocol and port	Applies to DNS traffic, which uses port 53 over UDP and TCP
OSI layer	Application layer (layer 7)
Primary use	Blocking access to malicious, unwanted or policy-restricted domains at name resolution
Related terms	DNS firewall, response policy zone, recursive resolver, DNS security, threat intelligence, DNS sinkhole

So funktioniert DNS-Filterung

Bei der DNS-Filterung wird eine Richtlinienentscheidung genau an dem Punkt getroffen, an dem ein Client einen Resolver auffordert, einen Domainnamen in eine IP-Adresse zu übersetzen. Der Resolver gleicht den Namen vor der Antwort mit seinen Regeln ab.

Der Client sendet eine Abfrage: Ein Gerät fragt seinen konfigurierten rekursiven Resolver nach der Adresse eines Domainnamens ab, beispielsweise wenn ein Benutzer eine Webseite öffnet oder eine Anwendung startet.
Der Resolver prüft die Richtlinien: Der Filter-Resolver vergleicht den abgefragten Namen mit Zulassungslisten, Sperrlisten, Kategoreregeln und Threat-Intelligence-Feeds. Die Richtlinien können je nach Benutzer, Gerätegruppe oder Netzwerksegment variieren.
Der Resolver führt eine Aktion aus: Ist der Name zulässig, löst der Resolver ihn wie gewohnt auf. Ist er gesperrt, gibt der Resolver einen Fehler wie NXDOMAIN, eine leere Antwort oder die Adresse einer Sperrseite bzw. eines Sinkholes zurück.
Der Client erhält das Ergebnis: Das Gerät stellt entweder eine Verbindung zum tatsächlichen Ziel her oder wird daran gehindert. Der Resolver protokolliert in der Regel die Abfrage und die ergriffene Maßnahme zur späteren Überprüfung.

Die Filterung umfasst nur den Datenverkehr, der den Filter-Resolver nutzt. Clients, die sich direkt mit einer IP-Adresse verbinden oder Abfragen an einen externen Resolver senden – auch über verschlüsseltes DNS –, können die Filterung umgehen, sofern das Netzwerk diese Pfade nicht einschränkt. Bei der Filterung wird zudem nur der Name geprüft, nicht der Seiteninhalt.

Warum DNS-Filterung in Unternehmensnetzwerken wichtig ist

Nahezu jede Verbindung beginnt mit einer DNS-Abfrage, daher ist der Resolver ein praktischer Ort, um Richtlinien für jedes Gerät im Netzwerk durchzusetzen – einschließlich verwalteter Laptops, Gastgeräte und IoT-Geräte, auf denen keine Sicherheitsagenten ausgeführt werden können. Eine einzige Richtlinienänderung kann auf Tausenden von Endpunkten wirksam werden, ohne dass jeder einzelne davon individuell angepasst werden muss.

Das Blockieren bereits bei der Auflösung stoppt viele Bedrohungen frühzeitig. Phishing-Seiten, Hosts für Malware-Downloads und Command-and-Control-Domains sind alle auf Namensauflösungen angewiesen; daher kann das Verweigern der Auflösung einen Angriff unterbinden, bevor eine Schadlast ausgeliefert wird. Abfrageprotokolle zeigen zudem, welche Geräte nach blockierten Namen gefragt haben, was Teams dabei hilft, infizierte Hosts zu finden.

Schlecht verwaltete Filterung verursacht eigene Probleme. Veraltete Sperrlisten oder zu weit gefasste Kategorien führen zu Fehlalarmen, die legitime Unternehmensdienste blockieren, woraufhin Teams möglicherweise mit der Deaktivierung von Kontrollen reagieren. Unüberwachte Umgehungswege, wie beispielsweise Geräte, die externe Resolver nutzen, hinterlassen Lücken und vermitteln gleichzeitig ein falsches Gefühl der Abdeckung. RFC 8499 definiert die DNS-Terminologie zur Beschreibung dieser Resolver-Rollen, und eine klare Zuständigkeit für Richtlinien, Ausnahmen und Protokollierung sorgt dafür, dass die Filterung sowohl effektiv als auch vertrauenswürdig bleibt.

Wie sich DNS-Filterung von verwandten Begriffen unterscheidet

DNS-Filterung vs. Protective DNS

DNS-Filterung ist die allgemeine Technik, Namen auf einem Resolver zuzulassen oder zu blockieren, während „Protective DNS“ ein Sicherheitsdienstmodell ist, das Filterung und Bedrohungsinformationen auf die Auflösung anwendet, in der Regel für eine Organisation oder eine Regierung. Was ist „Protective DNS“?

Attribute	DNS filtering	Protective DNS
Scope	A control that can enforce security, content or acceptable-use policy	A security-focused service built around blocking malicious domains
Policy basis	Administrator rules, categories and optional threat feeds	Primarily threat intelligence about malicious domains
Typical use	Web content control and threat blocking	Reducing exposure to malware, phishing and command-and-control traffic

DNS-Filterung vs. Response Policy Zone (RPZ)

DNS-Filterung zielt darauf ab, zu steuern, welche Namen aufgelöst werden, während eine Response Policy Zone (RPZ) ein Mechanismus ist, den ein rekursiver Resolver nutzen kann, um diese Richtlinie anzuwenden. Was ist eine RPZ?

Attribute	DNS filtering	Response Policy Zone (RPZ)
Type	Security control or capability	Policy mechanism implemented in resolver software
Where policy lives	Resolver, cloud service or appliance, in a product-specific form	A zone file containing policy rules, which can be shared between resolvers
Relationship	Can be built using several methods	One method of building DNS filtering

Häufige Probleme bei der DNS-Filterung

Geräte, die mit einem fest programmierten öffentlichen Resolver konfiguriert sind, oder Browser, die DNS über HTTPS verwenden, umgehen den Filter-Resolver vollständig. Blockierte Websites werden für diese Clients dann normal geladen, und die Abfrageprotokolle zeigen für sie keine Einträge an.

Allgemeine Kategoreregeln oder veraltete Sperrlisten können legitime Websites, Content-Delivery-Domains oder Hosts für Software-Updates blockieren. Nutzer berichten, dass Anwendungen fehlschlagen oder Seiten nur teilweise geladen werden, und die Ursache lässt sich nur durch die Suche nach dem gesperrten Namen in den Abfrageprotokollen ermitteln.

Wenn Abfragen über einen zwischengeschalteten Forwarder oder ein NAT-Gerät geleitet werden, sieht der Filter-Resolver nur die Adresse dieses Geräts. Richtlinien nach Benutzer oder Gruppe können nicht angewendet werden, und die Protokolle können den Ursprungshost nicht identifizieren.

Clients und nachgelagerte Resolver behalten die Antworten so lange, bis die Gültigkeitsdauer des Eintrags abläuft. Eine neu hinzugefügte Sperre kann bei bereits zwischengespeicherten Namen erst mit Verzögerung wirksam werden, was bei Tests wie eine inkonsistente Durchsetzung wirkt.

Malware, die eine Verbindung zu einer fest programmierten IP-Adresse herstellt, führt niemals eine Abfrage durch, sodass sie von der DNS-Filterung nicht erkannt wird. Teams, die sich ausschließlich auf den Resolver verlassen, übersehen diesen Datenverkehr, sofern er nicht zusätzlich durch Firewalls oder andere Kontrollmechanismen abgedeckt wird.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Sprechen Sie uns an

Das intelligente Netzwerk

Was ist DNS-Filterung?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DNS-Filterung auf einen Blick

So funktioniert DNS-Filterung

Warum DNS-Filterung in Unternehmensnetzwerken wichtig ist

Wie sich DNS-Filterung von verwandten Begriffen unterscheidet

DNS-Filterung vs. Protective DNS

DNS-Filterung vs. Response Policy Zone (RPZ)

Häufige Probleme bei der DNS-Filterung

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

FAQ zur DNS-Filterung

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel