Nameserver-Änderungen an Ihren Domains überwachen

Nameserver kontrollieren die gesamte DNS-Zone, ungeplante Änderungen sind selten gut. So werden Sie alarmiert, wenn sich NS-Records ändern.

Um Nameserver-Änderungen zu überwachen, brauchen Sie zwei Dinge: eine regelmäßige Momentaufnahme der NS-Records der Domain (plus der beim Register hinterlegten Nameserver) und einen Vergleich mit dem vorherigen Stand. Das lässt sich mit cron und dig selbst skripten, oder Sie lassen einen DNS-Monitoring-Dienst den Zustand erfassen, den Diff berechnen und Ihnen eine E-Mail schicken, sobald sich etwas bewegt. Warum das wichtig ist: Nameserver bestimmen, welcher DNS-Anbieter für die gesamte Zone antwortet. Eine ungeplante Nameserver-Änderung ist entweder ein Fehler oder ein laufender Angriff, und beides sollten Sie noch am selben Tag erfahren. Hier lesen Sie, warum NS-Records einen eigenen Alarm verdienen, wie eine Änderung je nach Kontext zu lesen ist, und die Einrichtung Schritt für Schritt.

Warum Nameserver einen eigenen Alarm verdienen

Die meisten DNS-Records zeigen auf genau eine Sache. Ein A-Record verschiebt Ihre Website, ein MX-Record Ihre E-Mails. Der NS-Record ist anders: Er übergibt die Autorität über die gesamte Zone an eine Gruppe von Servern. Wer diese Server kontrolliert, kann alle Records auf einmal umschreiben, lautlos, einschließlich der TXT-Records für Ihre E-Mail-Authentifizierung und der CNAME-Records hinter Ihren SaaS-Tools.

Legitime Nameserver-Wechsel sind seltene Ereignisse. Man migriert vom Standard-DNS des Registrars zu Cloudflare oder von Cloudflare zu Route 53, vielleicht alle paar Jahre einmal, und man weiß davon, weil man die Nameserver selbst geändert hat. Jede Änderung außerhalb dieses Szenarios ist erst einmal ein Warnsignal.

Eine Feinheit macht es sinnvoll, NS-Records aus zwei Blickwinkeln zu beobachten. Das Register speichert die für die Domain hinterlegten Nameserver (per RDAP einsehbar), während Resolver die tatsächlich im DNS ausgelieferten NS-Records verwenden. Normalerweise stimmen beide Listen überein. Weichen sie voneinander ab, ist etwas halb migriert, falsch konfiguriert oder manipuliert, und die Abweichung selbst ist ein Signal, noch bevor sichtbar etwas kaputtgeht.

Was eine NS-Änderung je nach Kontext bedeutet

Kontext	Wahrscheinliche Bedeutung
Eigene Domain, Migration geplant	Erwartete Änderung, prüfen und abhaken
Eigene Domain, nichts geplant	Dienstleister hat ungefragt gehandelt, oder Konto kompromittiert
Register und DNS widersprechen sich	Unvollständige Migration oder Manipulation, noch heute prüfen
Fremde Domain, die Sie beobachten	Neuer Hoster oder DNS-Anbieter, Launch-Vorbereitung, oder Besitzerwechsel

Bei Ihren eigenen Domains

Hatten Sie eine Migration geplant, bestätigt der Alarm, dass die Änderung durch ist. War nichts geplant, bleiben zwei Erklärungen. Erstens: Eine Agentur, ein Freelancer oder ein Hoster mit Zugriff hat eine Änderung vorgenommen und nicht Bescheid gesagt. Zweitens, und das ist schlimmer: Jemand ist in Ihr Registrar-Konto eingedrungen und hat die Domain umgeleitet. Genau so beginnt DNS-Hijacking, und je früher Sie es bemerken, desto kleiner bleibt der Schaden.

Ein ehrlicher Hinweis gehört dazu: DNS-Daten sagen, was sich geändert hat und wann die Änderung erkannt wurde, nicht wer sie vorgenommen hat. Um den Urheber zu finden, prüfen Sie das Audit-Log Ihres Registrar-Kontos und fragen alle, die Zugriff haben. Der Wert des Alarms liegt darin, dass Sie dieses Gespräch noch am selben Tag führen statt Wochen später.

Bei fremden Domains, die Sie beobachten

Bei Domains, die Sie nicht kontrollieren, ist eine Nameserver-Änderung ein Erkenntnisgewinn. Ein Wettbewerber, der von Shared-Hosting-Nameservern zu Cloudflare oder AWS wechselt, investiert in seine Infrastruktur. Eine geparkte Domain, die auf echte Nameserver umzieht, kündigt oft einen Launch an. Und eine Domain, deren NS zu einem völlig fremden Anbieter springen, hat womöglich faktisch den Besitzer gewechselt, egal was im WHOIS noch steht. Wenn Sie Domains von Kunden, Tochterfirmen oder Wettbewerbern beobachten, gehören NS-Änderungen zu den stärksten Signalen, die öffentliche Daten hergeben.

Den Alarm mit Domain Sentinel einrichten

Der ganze Ablauf dauert pro Domain nur wenige Minuten:

Fügen Sie die Domain Ihrer Watchlist hinzu.
Öffnen Sie die Detailseite der Domain und aktivieren Sie das DNS-Monitoring. Die Standardprüfungen schließen die NS-Records des Zonen-Apex ein, Nameserver-Änderungen sind also ohne manuelle Record-Auswahl abgedeckt.
Für die Register-Seite gibt es keinen dritten Schritt: Die Änderungsbenachrichtigungen umfassen bereits die beim Register hinterlegten Nameserver aus den RDAP-Daten der Domain.

Beide Prüfungen laufen täglich. Die Registerdaten werden um 03:00 aktualisiert, die DNS-Momentaufnahme läuft um 04:00. Eine Nameserver-Änderung wird also innerhalb eines Tages erkannt, nicht innerhalb von Sekunden. Für NS-Records ist dieser Kompromiss vertretbar: Legitime Wechsel sind geplante Ereignisse, und selbst im Angriffsfall ist eine E-Mail am selben Tag besser, als es von den eigenen Kunden zu erfahren.

Ändert sich etwas, zeigt die Alarm-E-Mail den Record vorher und nachher, sodass Sie eine vertraute Migration auf einen Blick von einem unbekannten Anbieter unterscheiden können.

Den aktuellen Stand manuell prüfen

Bevor Sie das Monitoring einschalten, halten Sie fest, wie Ihre Nameserver lauten sollen. Fragen Sie die aufgelösten NS-Records ab:

dig NS example.com

Gegenprobe über einen zweiten öffentlichen Resolver, um einen veralteten Cache auszuschließen:

dig NS example.com @1.1.1.1
dig NS example.com @8.8.8.8

Vergleichen Sie dann mit den beim Register hinterlegten Nameservern, per RDAP-Lookup oder mit dem DNS-Lookup-Tool. Beide Listen müssen exakt übereinstimmen. Weichen sie schon vor dem Start ab, haben Sie Ihren ersten Untersuchungsfall.

Mit einer sauberen Ausgangsbasis starten

Nehmen Sie sich jetzt fünf Minuten: Listen Sie Ihre kritischen Domains auf, notieren Sie die erwarteten Nameserver und prüfen Sie, dass Register und Auflösung übereinstimmen. Setzen Sie diese Domains dann mit aktiviertem DNS-Monitoring auf eine Watchlist. Ab da gilt eine einfache Regel: Jeder ungeplante Nameserver-Alarm und jede Abweichung zwischen Register und Auflösung wird noch am selben Tag untersucht.