DNS absichern: warum und wie
Vor jedem Websitebesuch fragt Ihr Gerät ein Verzeichnis ab: das DNS. Einen Resolver zu wählen, der gefährliche Domains filtert und Anfragen verschlüsselt, ist einer der am einfachsten umzusetzenden Schutzmechanismen.
Redaktionsteam von Kayzen Security4 Min. Lesezeit
Das DNS in zwei Sätzen
Wenn Sie den Namen einer Website eingeben, fragt Ihr Computer einen Server, den sogenannten DNS-Resolver, nach der passenden IP-Adresse. Standardmäßig ist das oft der Resolver Ihres Internetanbieters, und der Austausch erfolgt unverschlüsselt.
Da dieser Schritt jeder Verbindung vorausgeht, ist er ein idealer Kontrollpunkt: Ein Resolver, der Phishing- oder Malware-Domains kennt, kann die Verbindung verhindern, bevor sie überhaupt zustande kommt.
Was DNS-Filterung blockiert und was nicht
Ein filternder Resolver vergleicht jede angefragte Domain mit laufend aktualisierten Bedrohungslisten. Ist die Domain als gefährlich bekannt, sendet er eine Sperrantwort oder eine erklärende Seite zurück.
- Er blockiert: bereits erfasste Phishing-Domains, bekannte Steuerungsserver von Schadsoftware und die Kategorien, die Sie auswählen (zum Beispiel Inhalte für Erwachsene in einem Haushalt).
- Er blockiert nicht: eine gerade erst eingerichtete, den Listen noch unbekannte Fallen-Website, eine per USB-Stick erhaltene schädliche Datei oder einen Telefonbetrug.
- Er lässt sich umgehen: Ein versierter Nutzer kann den Resolver wechseln, es sei denn, das Gerät wird verwaltet und die Einstellung ist gesperrt.
Anfragen verschlüsseln: DoH und DoT
Zwei öffentliche Standards verschlüsseln den Austausch mit dem Resolver: DNS over HTTPS (RFC 8484) und DNS over TLS (RFC 7858). In einem öffentlichen WLAN verhindern sie, dass Dritte die angefragten Websites sehen oder die Antworten fälschen.
Aktuelle Systeme (Windows 11, macOS, iOS, Android) und die gängigen Browser können einen verschlüsselten Resolver nutzen. Achtung: Ein Browser, der auf einen eigenen Resolver eingestellt ist, umgeht die im System konfigurierte Filterung.
Ein schützendes DNS einrichten: die Schritte
- Haushalt: Richten Sie einen filternden Resolver in Ihrem Router ein, falls möglich, oder auf jedem Gerät (Einstellung „Privates DNS“ unter Android, Konfigurationsprofil auf iPhone und Mac).
- Kleinstunternehmen: Bevorzugen Sie eine zentral verwaltete Lösung, die auf allen Rechnern dieselbe Richtlinie anwendet, auch außerhalb des Büros, und Umgehungsversuche meldet.
- Prüfen Sie das Ergebnis: Eine von Ihrem Resolver bereitgestellte Testdomain muss blockiert werden; die gewohnten Websites müssen normal funktionieren.
- Dokumentieren Sie die Wahl (welcher Resolver, welche Kategorien gesperrt): Informieren Sie im Unternehmen die Beschäftigten, da die Filterung unter die IT-Nutzungsrichtlinie fällt.
Fragen des Datenschutzes
Der Resolver sieht die Liste der aufgerufenen Domains. Wählen Sie einen Dienst, der seine Richtlinie zur Protokollaufbewahrung, seinen Standort und seine Auftragsverarbeiter veröffentlicht. Im Unternehmen müssen Filterung und Protokolle das Arbeitsrecht und die DSGVO einhalten: vorherige Information der Beschäftigten, begrenzte Aufbewahrungsdauer, eingeschränkter Zugriff.
Offizielle Quellen
- ANSSI (neuer Tab) — Agence nationale de la sécurité des systèmes d'information — guides et publications
- IETF (neuer Tab) — RFC 8484 — DNS Queries over HTTPS (DoH)
- IETF (neuer Tab) — RFC 7858 — DNS over Transport Layer Security (DoT)
- CNIL (neuer Tab) — Commission nationale de l'informatique et des libertés
Die genannten Quellen werden von ihren Urhebern in ihrer Originalsprache veröffentlicht. Kayzen ist mit keiner dieser Stellen verbunden.
Dieser Leitfaden dient der allgemeinen Information. Er ersetzt weder eine Rechtsberatung noch das Eingreifen einer Fachkraft für IT-Sicherheit.