DNS-Hijacking: wie es funktioniert und wie man es erkennt

DNS-Hijacking leitet Traffic oder E-Mails über manipulierte DNS-Antworten um. Die drei Angriffsebenen, ihre Signale und wie Sie sie früh erkennen.

Beim DNS-Hijacking bringt ein Angreifer das DNS Ihrer Domain dazu, mit Werten zu antworten, die er kontrolliert. Besucher, API-Clients oder E-Mails landen dann auf fremder Infrastruktur. Der Angriff kann auf drei Ebenen stattfinden: im Registrar-Konto, in der DNS-Zone oder im Resolver des Opfers. Die ersten beiden verändern öffentliche DNS-Records, sodass jeder, der diese Records von außen beobachtet, die Umleitung sehen kann. Die dritte Ebene lässt die Domain unangetastet und bleibt für externe Überwachung unsichtbar. Dieser Artikel geht jede Ebene durch: welches Signal sie hinterlässt und mit welchen Prüfungen Sie sie erkennen.

Die drei Ebenen des Hijackings

Jede Ebene greift ein anderes Glied der Auflösungskette an, und jede hinterlässt eine andere Spur.

Kompromittiertes Registrar-Konto

Der Angreifer übernimmt Ihr Registrar-Konto, meist über ein gephishtes Passwort oder ein gekapertes E-Mail-Postfach, und ersetzt die Nameserver der Domain durch eigene Server. Ab diesem Moment beantwortet er jede DNS-Anfrage für die Domain und kann Web-Traffic und E-Mails beliebig umleiten.

Das Signal ist öffentlich: Die NS-Records der Domain passen nicht mehr zu Ihrem DNS-Anbieter. Die Sea-Turtle-Kampagne von 2018 und 2019 arbeitete genau so. Kompromittierte Registrare und DNS-Anbieter, ausgetauschte Nameserver auf Regierungs- und Telekom-Domains, danach gefälschte Login-Seiten zum Abgreifen von Zugangsdaten. Die NS-Records im Blick zu behalten ist auf dieser Ebene die wertvollste Prüfung; der Leitfaden zur Überwachung von Nameserver-Änderungen behandelt sie ausführlich.

Kompromittierte DNS-Zone

Hier verschafft sich der Angreifer Zugang zu Ihrem Konto beim DNS-Anbieter statt beim Registrar. Die Nameserver bleiben gleich, die Domain wirkt auf den ersten Blick normal, aber einzelne Records ändern sich: ein A-Record zeigt auf den Server des Angreifers, ein MX-Record leitet eingehende Mails um, ein CNAME auf einer Subdomain wird ausgetauscht.

Das Signal ist unauffälliger, aber weiterhin öffentlich: Die NS-Records sind intakt, während A-, AAAA-, MX-, CNAME- oder TXT-Records von Ihrer Konfiguration abweichen. Wer die heutigen Records mit den gestrigen vergleicht, sieht die Änderung.

Kompromittierter Resolver oder Router

Malware auf einem Rechner oder ein gehackter Router kann DNS-Antworten für alle dahinter umschreiben. Ihr Registrar-Konto, Ihre Zone und Ihre öffentlichen Records bleiben unberührt. Nur die Opfer hinter diesem Resolver erhalten falsche Antworten.

Keine externe Überwachung kann diese Ebene sehen, und ein Anbieter, der das Gegenteil behauptet, verspricht zu viel. Die Verteidigung liegt auf der Client-Seite: ein vertrauenswürdiger öffentlicher Resolver, DNS over HTTPS und aktuelle Router-Firmware.

Angriffsebene	Was sich ändert	Von außen erkennbar?
Registrar-Konto	NS-Records	Ja
DNS-Zone	A, AAAA, MX, CNAME, TXT	Ja
Resolver oder Router	Nichts an der Domain	Nein

DNS-Hijacking, DNS-Spoofing, Domain-Hijacking: nicht verwechseln

Die drei Begriffe werden ständig durcheinandergeworfen, und die Gegenmaßnahmen unterscheiden sich.

DNS-Spoofing (oder Cache Poisoning) bringt einen Resolver dazu, gefälschte Antworten zu cachen. Ihre Domain und ihre Records werden nie angefasst. Die Verteidigung ist DNSSEC, weil gefälschte Antworten an der Signaturprüfung scheitern.
Domain-Hijacking ist der Diebstahl der Domain selbst, typischerweise über einen betrügerischen Transfer zu einem anderen Registrar. Die Verteidigung ist die Transfersperre; der Artikel über Domain-Statuscodes erklärt clientTransferProhibited und verwandte Codes.
DNS-Hijacking, das Thema hier, verändert die DNS-Antworten Ihrer Domain, während die Domain weiterhin Ihnen gehört.

Wie Sie ein Hijacking erkennen

Vom zuverlässigsten zum schwächsten Signal:

Ein Record ändert sich, den Sie nicht geändert haben. Das ist das zentrale Signal für die beiden von außen sichtbaren Ebenen. Die Erkennung funktioniert über Snapshot und Vergleich: festhalten, was die Domain heute antwortet, morgen vergleichen, bei jeder Abweichung alarmieren. Domain Sentinel führt diese Prüfung einmal täglich für jede Domain auf Ihrer Watchlist aus, für A, AAAA, MX, TXT, NS und CAA am Apex sowie A, AAAA, CNAME, MX und TXT auf www und auf den zusätzlichen Namen, die Sie eintragen, und schickt Ihnen eine E-Mail, sobald ein Wert abweicht. Parallel dazu wird ein RDAP-Snapshot der Registrierungsdaten angelegt, sodass ein Nameserver-Tausch beim Registrar bei der nächsten täglichen Prüfung sichtbar wird.
NS-Records, die nicht mehr zu Ihrem DNS-Anbieter passen. Auch ohne Verlauf wissen Sie, welchen Anbieter Sie bezahlen.
Ein TLS-Zertifikat, das Sie nie beantragt haben. Angreifer besorgen sich oft ein Zertifikat für die gekaperte Domain, und Certificate-Transparency-Logs machen jede Ausstellung öffentlich.
Nutzer melden Umleitungen, Zertifikatswarnungen oder verschwundene E-Mails. Das schlechteste Signal, denn wenn es eintrifft, ist der Schaden bereits da.

Für eine sofortige Prüfung fragen Sie zwei unabhängige Resolver und vergleichen:

dig @1.1.1.1 example.com NS +short
dig @8.8.8.8 example.com NS +short
dig @1.1.1.1 example.com A +short
dig @8.8.8.8 example.com A +short

Übereinstimmende Antworten, die auch Ihrer eigenen Konfiguration entsprechen, sind ein gutes Zeichen. Dieselbe Prüfung ohne Terminal geht über das DNS-Lookup-Tool.

Wie Sie sich schützen

In der Reihenfolge der Wirksamkeit:

MFA und eine Registrar-Sperre auf dem Registrar-Konto. Das blockiert den Nameserver-Tausch und den betrügerischen Transfer an der Quelle.
MFA auf dem Konto beim DNS-Anbieter, was den Angriffsweg über die Zone schließt.
DNSSEC, damit gefälschte Antworten auf validierenden Resolvern an der Signaturprüfung scheitern.
Externe Überwachung der Records. Hier lohnt Ehrlichkeit: Sie blockiert keinen Angriff, aber sie verkürzt die Zeit bis zur Entdeckung von Wochen, der üblichen Spanne, wenn Hijacks erst durch Nutzerbeschwerden auffallen, auf höchstens einen Tag bei täglicher Prüfung. Genau dafür gibt es DNS-Monitoring.
Vernünftige TTLs, damit sich ein korrigierter Record schnell verbreitet, sobald Sie die Kontrolle zurückhaben.

Fangen Sie mit dem an, was fünf Minuten dauert: Prüfen Sie die NS- und A-Records Ihrer wichtigsten Domain mit dem DNS-Lookup-Tool und bestätigen Sie, dass sie Ihrer Konfiguration entsprechen. Kontrollieren Sie dann, ob Ihre Registrar-Sperre aktiv ist, und stellen Sie die Domains, deren Verlust Sie sich nicht leisten können, unter tägliche Überwachung. Die übergeordnete Praxis, DNS-Records über die Zeit zu beobachten, behandelt der Leitfaden Was ist DNS-Monitoring.