Was ist DNS-Monitoring und wann brauchen Sie es

DNS-Monitoring bedeutet, die DNS-Records einer Domain in regelmäßigen Abständen zu erfassen und Sie zu alarmieren, sobald sie sich ändern. Das ist das ganze Prinzip. Ein A-Record zeigt plötzlich woanders hin, ein MX-Record verschwindet, ein unbekannter Nameserver taucht auf: Der Monitor erkennt die Abweichung und meldet sie, bevor aus der Änderung ein Ausfall, verlorene E-Mails oder eine entführte Domain wird.

Nötig ist das, weil sich DNS lautlos ändert. Es gibt kein Änderungsprotokoll, keine Benachrichtigung vom Registrar, keine Fehlermeldung. Ein Record, der versehentlich, von einem Dienstleister oder von einem Angreifer geändert wurde, löst weiterhin auf. Nur eben zum falschen Ziel. Dieser Artikel erklärt, was DNS-Monitoring konkret überwacht, welche Vorfälle es erkennt, wie der Mechanismus funktioniert und wie Sie entscheiden, ob Ihre Domains es brauchen.

Was DNS-Monitoring konkret überwacht

Bei einer produktiven Domain konzentriert sich das Risiko auf wenige Record-Typen. Eine Auffrischung, was jeder Typ tut, bietet die Übersicht der DNS-Record-Typen. Das bedeutet eine unerwartete Änderung im Einzelnen:

Record	Was er steuert	Eine unerwartete Änderung bedeutet
A / AAAA	Auf welchen Server Ihre Website auflöst	Besucher landen auf dem falschen Server, oder dem eines Angreifers
MX	Wohin Ihre E-Mails zugestellt werden	Eingehende Mails bouncen oder werden unbemerkt abgefangen
TXT	SPF, DKIM, DMARC, Inhaberschaftsnachweise	Ihre ausgehenden Mails scheitern an der Authentifizierung
NS	Wer die gesamte DNS-Zone kontrolliert	Jemand anderes kann jeden der obigen Records umschreiben
CNAME	Wohin eine Subdomain zeigt	Eine Subdomain liefert fremde Inhalte aus

Den NS-Record sollten Sie am ernstesten nehmen. Jeder andere Record ist in Minuten korrigiert, sobald das Problem auffällt. Eine Nameserver-Änderung heißt dagegen, dass die Zone selbst unter fremder Kontrolle steht.

Welche Vorfälle es erkennt

Die stille Fehlkonfiguration

Die meisten DNS-Vorfälle sind hausgemacht. Ein Hosting-Umzug läuft für die Website glatt, aber niemand übernimmt die MX-Records in die neue Zone. Oder ein neues Marketing-Tool verlangt, „diesen TXT-Record hinzuzufügen", und die zuständige Person ersetzt dabei den bestehenden SPF-Record, statt ihn zusammenzuführen. In beiden Fällen bricht der E-Mail-Verkehr, ohne dass bei Ihnen ein einziger Fehler erscheint. Absender bekommen Bounces, oder Ihre Nachrichten landen im Spam. Teams verlieren auf diese Weise regelmäßig tagelang E-Mails, weil die Website weiter funktioniert und niemand auf die Idee kommt, das DNS zu prüfen.

Die Änderung durch Dritte

DNS-Zugriff liegt selten in einer Hand. Die Webagentur, die die Seite gebaut hat, ein Freelancer von vor zwei Jahren, der IT-Dienstleister, ein ausgeschiedener Kollege: Alle können noch Zugangsdaten haben, und niemand kündigt seine Änderungen an. Einem Monitor ist egal, wer die Änderung gemacht hat und warum. Er meldet den Diff, und Sie entscheiden, ob er geplant war.

Die Kompromittierung

Ein geänderter A-Record oder neue Nameserver, die niemand aus Ihrem Team angefasst hat: Das ist die klassische Signatur einer Domain-Übernahme, meist über ein kompromittiertes Registrar-Konto. Ob Sie das am ersten Tag bemerken oder in der dritten Woche, entscheidet zwischen Vorfall und Katastrophe. Den Angriff selbst behandeln wir in DNS-Hijacking erkennen.

So funktioniert es: Snapshot, Diff, Alarm

Der Mechanismus hinter jedem DNS-Monitoring-Tool ist simpel:

1. Die Records der Domain in festem Abstand abfragen und die Antwort als Snapshot speichern.
2. Die Daten normalisieren: Werte sortieren, TTLs ignorieren, damit harmlose Schwankungen keinen Fehlalarm auslösen.
3. Den neuen Snapshot mit dem vorherigen vergleichen.
4. Wurde etwas hinzugefügt, entfernt oder geändert, einen Alarm mit dem genauen Diff verschicken.

Ein ehrliches Wort zur Frequenz. Eine tägliche Prüfung erkennt eine Abweichung innerhalb von Stunden, nicht Minuten. Für die meisten Teams ist das der richtige Kompromiss: Sie ändern Ihr DNS nicht jeden Tag, und die obigen Vorfälle bleiben gerade deshalb wochenlang gefährlich, weil niemand hinschaut. Wer eine Erkennung im Minutentakt braucht, ist bei Incident-Response-Werkzeugen besser aufgehoben, das ist eine andere Kategorie.

Wer es braucht (und wer nicht)

DNS-Monitoring lohnt sich, sobald mindestens ein Kriterium zutrifft: Die Domain betreibt eine produktive Website oder App, sie empfängt oder versendet E-Mails, der DNS-Zugriff ist mit einer Agentur oder einem Dienstleister geteilt, Sie verwalten ein Domain-Portfolio, oder Ihre Marke ist ein Phishing-Ziel.

Verzichten können Sie darauf bei einer geparkten Domain ohne Traffic und Postfach oder einem Nebenprojekt, bei dem ein kaputter Record nichts kostet. Dort reicht ein gelegentlicher manueller Check per DNS-Lookup.

Monitoring mit Domain Sentinel einrichten

Das DNS-Monitoring von Domain Sentinel setzt genau den oben beschriebenen Snapshot-und-Diff-Mechanismus um:

1. Fügen Sie die Domain Ihrer Watchlist hinzu und aktivieren Sie das DNS-Monitoring.
2. Die Standardprüfungen decken die relevanten Records ab: A, AAAA, MX, TXT, NS und CAA auf der Apex-Domain, dazu A, AAAA, CNAME, MX und TXT auf www.
3. Über Extra names ergänzen Sie bis zu zehn eigene Hostnames, wenn Sie zusätzlich api, mail, _dmarc oder anderes beobachten wollen. Der SOA-Record ist standardmäßig aus: Seine Seriennummer ändert sich bei jeder Zonenänderung, und manche Hoster zählen sie ständig hoch.
4. Die Records werden einmal täglich geprüft, und bei jeder Änderung erhalten Sie eine E-Mail mit dem Diff. Von der Domain-Seite aus lässt sich außerdem jederzeit eine Erfassung auf Abruf starten, praktisch direkt nach einer geplanten Änderung.

Dieselbe Watchlist verfolgt auch Registrierungsdaten, Ablaufdaten und Status-Codes; mehr dazu unter Domain-Änderungen erkennen.

Ein praktischer Einstieg für heute: Notieren Sie die drei Domains, bei denen eine DNS-Abweichung am meisten schaden würde, prüfen Sie deren Records mit dem kostenlosen DNS-Lookup-Tool, und legen Sie dann ein Monitoring auf genau diese drei. Zehn Minuten jetzt sind besser, als einen kaputten SPF-Record drei Wochen später zu entdecken.