Was ist ein DNS-Spoofing-Angriff?

Bei einem DNS-Spoofing-Angriff werden gefälschte DNS-Daten bereitgestellt, sodass ein legitimer Domainname auf eine vom Angreifer kontrollierte Adresse aufgelöst wird. Die falschen Daten können in eine Antwort eingefälscht oder in einem Cache platziert werden. Die Opfer werden dann auf einen bösartigen Server umgeleitet, ohne dass sich der von ihnen eingegebene Name ändert.

Wie lässt sich DNS-Spoofing verhindern?

Setzen Sie DNSSEC-Validierung auf rekursiven Resolvern ein, damit gefälschte Daten für signierte Zonen abgelehnt werden. Verwenden Sie außerdem zufällige Quellports und Abfrage-IDs – was moderne Resolver standardmäßig tun –, beschränken Sie die Rekursion auf vertrauenswürdige Clients und halten Sie die Resolver-Software auf dem neuesten Stand. Verschlüsselte Übertragungsprotokolle wie DNS-over-TLS oder DNS-over-HTTPS schützen die Verbindung zwischen Client und Resolver.

Was ist der Unterschied zwischen DNS-Spoofing und DNS-Cache-Poisoning?

DNS-Cache-Poisoning ist die häufigste Form des DNS-Spoofings, bei der ein falscher Eintrag im Cache eines Resolvers gespeichert wird. Spoofing ist der übergeordnete Begriff und umfasst auch gefälschte Antworten, die direkt an einen Client gesendet werden.

Wie lässt sich DNS-Spoofing erkennen?

Vergleichen Sie die Antworten Ihres Resolvers mit denen eines vertrauenswürdigen, unabhängigen Resolvers und achten Sie auf unerwartete Änderungen bei den Adressen bekannter Namen. Resolver-Protokolle, die viele unaufgeforderte oder nicht übereinstimmende Antworten sowie DNSSEC-Validierungsfehler aufweisen, sind ebenfalls Warnzeichen.

Stellt DNS-Spoofing eine Cybersicherheitsbedrohung für Unternehmen dar?

Ja, denn es kann Nutzer und Anwendungen auf bösartige Server umleiten, ohne dass auf dem Client Änderungen erforderlich sind. Es wird zum Diebstahl von Anmeldedaten, zur Verbreitung von Malware und zum Abfangen von Datenverkehr genutzt. Unternehmens-Resolver sind attraktive Ziele, da ein einziger manipulierter Cache viele Nutzer betrifft.

Glossar
Was ist DNS-Spoofing?

DNS-Glossar

Was ist DNS-Spoofing?

DNS-Spoofing ist ein Sicherheitsangriff, bei dem gefälschte DNS-Antworten bereitgestellt werden, sodass ein Domainname auf eine vom Angreifer gewählte IP-Adresse aufgelöst wird. Dabei werden entweder Antworten an einen Resolver gefälscht oder DNS-Daten in einem Cache, Server oder einer Zone verändert, um den Datenverkehr auf böswillige Ziele umzuleiten.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

DNS spoofing is a security attack where attackers supply falsified DNS answers to redirect domain names to attacker-controlled IP addresses, affecting recursive resolvers and their cached data so that one successful attack can compromise many users simultaneously. The attack works by forging responses that match query details or by altering DNS data directly, and it succeeds when resolvers accept forged answers as genuine, potentially exposing users to phishing pages, malware downloads, and email interception without any visible indication in the domain name displayed. Organizations can mitigate DNS spoofing risk through DNSSEC validation, randomized source ports and query IDs, restricted recursion policies, encrypted transport mechanisms like DNS over TLS, and comprehensive logging to detect unexpected DNS answer changes.

DNSSEC validation with cryptographic signatures specified in RFC 4033, RFC 4034 and RFC 4035 enables validating resolvers to reject forged data for signed zones, though it does not protect unsigned zones or scenarios where clients skip validation.
Enterprise DNS resolvers represent high-value attack targets because a single poisoned cache entry persists for the record’s time to live and affects every client behind that resolver until the entry expires or is manually flushed.
Weak randomization of query IDs and source ports, as exposed in the 2008 Kaminsky vulnerability, makes it easier for attackers to win the race between forged and legitimate DNS responses, prompting vendors to implement source port randomization as a standard mitigation.

DNS-Spoofing auf einen Blick

Attribute	Value
Category	DNS attack technique
Protocol and port	Targets DNS, which uses port 53 over UDP and TCP
OSI layer	Application layer
Primary use	Redirecting users or systems to attacker-controlled destinations for phishing, malware delivery or traffic interception
Related terms	DNS cache poisoning, DNSSEC, DNS hijacking, Recursive resolver, Man-in-the-middle attack

So funktioniert DNS-Spoofing

DNS-Spoofing ist erfolgreich, wenn ein Resolver oder Client eine gefälschte Antwort als echt akzeptiert. Die häufigste Form zielt auf einen rekursiven Resolver und dessen Cache ab, sodass eine einzige falsche Antwort jeden Client betreffen kann, der diesen Resolver nutzt.

Eine Abfrage auslösen: Der Angreifer veranlasst einen Ziel-Resolver, einen Namen nachzuschlagen, entweder durch direkte Abfrage oder indem er einen Nutzer oder eine Anwendung dazu verleitet, diese Abfrage zu stellen.
Eine Antwort fälschen: Der Angreifer sendet gefälschte Antworten, die scheinbar vom autoritativen Server stammen. Um akzeptiert zu werden, muss die Antwort mit den Details der ausstehenden Anfrage übereinstimmen, wie beispielsweise der Abfrage-ID, dem Quellport und der Frage.
Das Rennen gewinnen: Wenn die gefälschte Antwort vor der echten eintrifft und übereinstimmt, akzeptiert der Resolver sie. Eine schwache Zufallsgenerierung von Abfrage-IDs und Quellports erleichtert den Abgleich.
Cache und Bereitstellung der gefälschten Daten: Der Resolver speichert den gefälschten Eintrag für die Dauer seiner Gültigkeit und gibt ihn an Clients zurück, die sich mit der Adresse des Angreifers verbinden.

Spoofing kann auch ohne „Racing Responses“ erfolgen, beispielsweise durch die Kompromittierung eines DNS-Servers, die Änderung von Zonendaten oder das Abfangen von Datenverkehr auf dem Netzwerkpfad. Die Validierung von Antworten mit DNSSEC, die Randomisierung von Quellports und Abfrage-IDs sowie die Einschränkung der Berechtigungen zum Ändern von DNS-Daten verringern das Risiko.

Warum DNS-Spoofing in Unternehmensnetzwerken eine Rolle spielt

DNS bildet die Grundlage für nahezu jede Verbindung, die ein Unternehmen herstellt, sodass ein einziger gefälschter Eintrag viele Nutzer gleichzeitig umleiten kann. Da ein rekursiver Resolver Antworten für die Gültigkeitsdauer des Eintrags zwischenspeichert, kann ein einziger erfolgreicher Spoofing-Angriff jeden Client hinter diesem Resolver betreffen, bis der Eintrag abläuft oder gelöscht wird.

Die Auswirkungen sind vor allem sicherheitsrelevant. Nutzer gelangen möglicherweise auf eine überzeugend gefälschte Anmeldeseite, Anwendungen laden möglicherweise Software von einem böswilligen Server herunter und E-Mails werden möglicherweise an den falschen Host weitergeleitet. Da der Nutzer oft den korrekten Domainnamen sieht, ist der Angriff ohne Validierung oder Überwachung schwer zu erkennen.

Eine 2008 vom Forscher Dan Kaminsky bekannt gemachte Schwachstelle zeigte, wie eine schwache Randomisierung von Abfrage-IDs und Quellports es Angreifern ermöglichte, Resolver-Caches effizient zu manipulieren, woraufhin die Anbieter mit einer Randomisierung der Quellports reagierten. DNSSEC, spezifiziert in RFC 4033, RFC 4034 und RFC 4035, fügt kryptografische Signaturen hinzu, sodass validierende Resolver gefälschte Daten zurückweisen können.

Ein schlecht verwaltetes DNS erhöht das Risiko. Veraltete Resolver-Software, offene rekursive Resolver, nicht signierte Zonen und lax kontrollierte Aktualisierungsberechtigungen erleichtern das Spoofing. Das Protokollieren von Resolver-Antworten und das Beobachten unerwarteter Änderungen in den Antworten helfen Teams, dies frühzeitig zu erkennen.

Wie sich DNS-Spoofing von verwandten Begriffen unterscheidet

DNS-Spoofing vs. DNS-Hijacking

Beim DNS-Spoofing werden gefälschte Antworten in einen Resolver, Client oder Cache eingeschleust, während beim DNS-Hijacking durch die Änderung von Einstellungen, Registrar-Einträgen oder des vom Client verwendeten Resolvers das Ziel der Auflösung umgeleitet wird. Was ist DNS-Hijacking?

Attribute	DNS spoofing	DNS hijacking
Typical mechanism	Forged responses or poisoned cache entries	Changed resolver settings, registrar or zone changes, or malware
Point of attack	Resolver cache, in-flight response or DNS data	Client configuration, router, registrar account or name server delegation
Scope	All clients of the affected resolver until the entry expires	Affected devices or every user of the hijacked domain, depending on the target
Persistence	Usually limited by the record time to live	Persists until the changed setting or record is corrected

DNS-Spoofing vs. DNS-Sinkhole

DNS-Spoofing ist ein Angriff, bei dem falsche Antworten zurückgegeben werden, während ein DNS-Sinkhole eine Abwehrmaßnahme ist, bei der für bekannte bösartige Namen gezielt eine kontrollierte Antwort zurückgegeben wird. Was ist ein DNS-Sinkhole?

Häufige Missverständnisse zum Thema DNS-Spoofing

Spoofing kann auch auf rekursive Resolver, Forwarder und interne Caches abzielen. Ein Unternehmens-Resolver, der fehlerhafte Daten akzeptiert, kann jeden dahinter liegenden Client beeinträchtigen.

TLS mit Überprüfung gültiger Zertifikate begrenzt den Schaden einer Umleitung, verhindert jedoch nicht die falsche DNS-Antwort. Nutzer, die Zertifikatswarnungen wegklicken, oder Anwendungen, die die Validierung überspringen, bleiben gefährdet, und Nicht-Web-Datenverkehr wie E-Mails ist möglicherweise nicht geschützt.

DNSSEC ermöglicht es einem validierenden Resolver, gefälschte Daten für signierte Zonen zurückzuweisen. Bei nicht signierten Zonen hat es keine Wirkung, und es schützt Clients nur, wenn der Resolver validiert und der Pfad zwischen Client und Resolver vertrauenswürdig ist.

Das Löschen eines manipulierten Caches entfernt zwar den fehlerhaften Eintrag, nicht jedoch die Ursache. Solange der Resolver weiterhin angreifbar ist – beispielsweise durch vorhersehbare Abfrageattribute oder offene Rekursion –, kann der Angreifer ihn erneut manipulieren.

Der Nutzer sieht in der Regel den korrekten Namen in der Adressleiste. Nur die dahinterliegende IP-Adresse ist falsch, sodass der Angriff bei einer visuellen Überprüfung der Domain selten auffällt.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Sprechen Sie mit uns

Das intelligente Netzwerk

Was ist DNS-Spoofing?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DNS-Spoofing auf einen Blick

So funktioniert DNS-Spoofing

Warum DNS-Spoofing in Unternehmensnetzwerken eine Rolle spielt

Wie sich DNS-Spoofing von verwandten Begriffen unterscheidet

DNS-Spoofing vs. DNS-Hijacking

DNS-Spoofing vs. DNS-Sinkhole

Häufige Missverständnisse zum Thema DNS-Spoofing

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

FAQ zum DNS-Spoofing

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel