Was ist das Domain Name System (DNS)?

Die meisten bemerken DNS erst, wenn es ausfällt. Am 5. Mai 2026 waren .de-Domains nach einem Signaturfehler bei DENIC rund drei Stunden lang für alle Resolver unerreichbar, die Signaturen prüfen, auch Domains, die DNSSEC gar nicht nutzen (Abschlussbericht von DENIC). Angreifer haben DNS dagegen ständig im Blick. Jede Lookalike-Domain, jedes Phishing-Kit und jeder Fake-Shop beginnt mit einer Registrierung und ein paar DNS-Einträgen, und diese Einträge sind öffentlich.

Dieser Beitrag erklärt, wie die Namensauflösung funktioniert, welche DNS-Einträge es gibt, wie DNS-Daten Missbrauch sichtbar machen und wie Sie eine Domain selbst prüfen. Er richtet sich an alle, die in Security, Betrugsprävention oder Brand Protection arbeiten und ein Abfrageergebnis lesen und daraus handeln wollen.

Was ist DNS, einfach erklärt?

Computer sprechen über IP-Adressen miteinander, Menschen merken sich Namen. DNS verbindet beides. Festgelegt wurde es im November 1987 in RFC 1034 und RFC 1035, und das Grundprinzip gilt bis heute: Kein Server kennt alle Namen, jede Ebene weiß nur, wer für die Ebene darunter zuständig ist.

Ein Domainname wird von rechts nach links gelesen. Bei shop.beispiel.de ist de die Top-Level-Domain (TLD), beispiel die registrierte Second-Level-Domain und shop eine Subdomain, die der Inhaber selbst angelegt hat. Die Dimensionen sind groß und wachsen weiter:

• Weltweit waren Ende Juni 2026 401,6 Millionen Domains registriert, 8,1 Prozent mehr als ein Jahr zuvor, so der Domain Name Industry Brief.
• Unter .de wurde im Juni 2026 die 18-millionste Domain registriert.
• Die Root-Zone enthält mehr als 1.400 TLDs, und für neue Endungen sind in der ICANN-Bewerbungsrunde 2026 bis zum 12. August mehr als 1.600 Anträge eingegangen.

Jede neue Endung ist ein weiterer Ort, an dem jemand einen Namen registrieren kann, der wie Ihrer aussieht. Die Kurzfassung dieses Beitrags steht in unserem Glossar unter Was ist DNS?.

Wie funktioniert eine DNS-Abfrage?

Wenn Sie shop.beispiel.de aufrufen, fragt Ihr Gerät einen rekursiven Resolver. Den betreibt meist Ihr Internetanbieter, Ihr Unternehmen oder ein öffentlicher Dienst wie 1.1.1.1 von Cloudflare oder 8.8.8.8 von Google. Hat der Resolver keine Antwort im Cache, arbeitet er sich durch die Hierarchie:

Der Cache macht DNS schnell und ist zugleich der Grund, warum sich Änderungen nur langsam verbreiten: Ein Resolver, der einen Eintrag mit einem Tag TTL gespeichert hat, liefert die alte Antwort bis zu einen Tag lang weiter. Das gilt auch für einen Takedown: Sobald eine Phishing-Domain gesperrt ist, scheitern neue Abfragen sofort, aber Resolver mit der alten Antwort im Cache liefern sie weiter, bis die TTL abläuft.

Welche DNS-Einträge gibt es und wofür sind sie da?

Die Zone einer Domain ist eine Liste von Einträgen (Resource Records). Diese hier begegnen Ihnen, wenn Sie eine verdächtige Domain prüfen:

Wo stehen SPF, DKIM und DMARC?

Alle drei sind TXT-Einträge. SPF (RFC 7208) steht direkt an der Domain und listet die Server, die in ihrem Namen senden dürfen. DKIM (RFC 6376) veröffentlicht unter einem Selektor einen öffentlichen Schlüssel, mit dem Empfänger die Signatur jeder Nachricht prüfen. DMARC steht unter _dmarc und legt fest, was Empfänger tun sollen, wenn SPF oder DKIM scheitern. Im Mai 2026 hat die IETF RFC 9989 veröffentlicht, das die DMARC-Spezifikation von 2015 ersetzt und DMARC zum Standard-Track-Protokoll macht. Bestehende v=DMARC1-Einträge funktionieren weiter.

Genau das wird oft übersehen. Eine strenge DMARC-Richtlinie verhindert, dass Angreifer unter Ihrer eigenen Domain senden, also registrieren sie eine Lookalike und richten dort die Mail-Einträge ein. Mehr dazu in unserem Beitrag E-Mail-Spoofing verstehen und verhindern und im Glossar unter DMARC.

Warum ist DNS für die Erkennung von Phishing und Brand-Missbrauch so wichtig?

Ein Angreifer kann verbergen, wer er ist, aber nicht, dass seine Domain existiert. Registrierungen und die Einträge dahinter sind die früheste öffentliche Spur einer Kampagne, oft Tage vor der ersten E-Mail.

Neu registrierte Domains

Die meisten Phishing-Domains werden eigens dafür gekauft. Laut Interisle Phishing Landscape 2025 waren 77 Prozent der zwischen Mai 2024 und April 2025 für Phishing genutzten Domains von den Tätern registriert, 37 Prozent über Massenregistrierungsdienste. Eine ältere Studie von Unit 42 aus dem Jahr 2019 stufte mehr als 70 Prozent der Domains, die jünger als 32 Tage waren, als bösartig, verdächtig oder nicht jugendfrei ein. Die täglichen Zonendateien, die gTLD-Registries über den Centralized Zone Data Service von ICANN bereitstellen, enthalten jede delegierte Domain. So lassen sich Lookalike-Domains am Tag ihres Auftauchens erkennen.

MX-Einträge auf einer Lookalike-Domain

Eine Lookalike-Domain ohne Website, aber mit funktionierenden MX-Einträgen, wird meist für E-Mails vorbereitet: falsche Rechnungen, geänderte Bankverbindungen, eine Nachricht, die scheinbar vom Finanzvorstand kommt. Business Email Compromise hat 2025 laut Internet Crime Complaint Center des FBI rund 3,05 Milliarden US-Dollar gemeldete Schäden verursacht, nur Anlagebetrug lag höher. Bekommt eine Domain, die Ihre imitiert, MX-Einträge, informieren Sie Ihre Buchhaltung, bevor die erste Mail ankommt. Unser BEC-Leitfaden beschreibt die Prozessseite.

Fast Flux

Beim Fast Flux tauscht der Betreiber die IP-Adressen hinter einer Domain im Minutentakt aus, oft über gekaperte Rechner, beim Double Flux zusätzlich die Nameserver. Eine einzelne IP zu sperren bringt dann nichts. Im April 2025 haben CISA, NSA, FBI und Partnerbehörden aus Australien, Kanada und Neuseeland Fast Flux als Bedrohung der nationalen Sicherheit eingestuft und DNS-Anbieter aufgefordert, es zu erkennen und zu blockieren. Typische Anzeichen sind sehr kurze TTLs, viele A-Einträge in unzusammenhängenden Netzen und häufige Wechsel.

DNS-Hijacking

Hier ändert der Angreifer die Einträge einer echten Domain, meist nachdem er den Zugang beim Registrar oder DNS-Provider gestohlen hat, und lässt A-, MX- oder NS-Einträge auf eigene Server zeigen. Besucher und E-Mails landen dann unter Ihrem echten Namen beim Angreifer. Nach einer Welle solcher Angriffe erließ die US-Behörde CISA im Januar 2019 die Emergency Directive 19-01 und verpflichtete Bundesbehörden, ihre DNS-Einträge zu prüfen und die Verwaltungskonten abzusichern. Mehr-Faktor-Authentifizierung beim Registrar, ein Registry Lock für wichtige Domains und Alarme bei NS-Änderungen sind die üblichen Gegenmaßnahmen. Mehr im Glossar unter Domain-Hijacking.

Was ist DNSSEC und wovor schützt es nicht?

DNSSEC (RFC 4033 bis 4035, 2005) ergänzt DNS-Antworten um digitale Signaturen. Ein validierender Resolver prüft die Kette der Signaturen von der Root bis zur Domain und verwirft jede gefälschte oder veränderte Antwort. Das verhindert Cache Poisoning. Die Root-Zone ist seit dem 15. Juli 2010 signiert, DENIC hat .de am 31. Mai 2011 signiert.

DNSSEC verschlüsselt nichts und beurteilt nicht, ob eine Domain seriös ist. Eine vom Angreifer registrierte Lookalike-Domain kann gültige Signaturen tragen. Außerdem bringt DNSSEC ein Betriebsrisiko mit, wie der .de-Ausfall im Mai 2026 gezeigt hat: Ungültige Signaturen sehen für einen validierenden Resolver genauso aus wie ein Angriff, also wird die Zone unerreichbar. Die Verschlüsselung der Anfragen selbst ist eine eigene Schicht: DNS over TLS (RFC 7858) und DNS over HTTPS (RFC 8484) verbergen Abfragen vor allen, die im Netzwerk mitlesen.

Wie können Sie DNS und Hosting einer Domain selbst abfragen?

Für eine schnelle Antwort geben Sie die Domain in unser kostenloses Tool Wer hostet die Website? ein. Es zeigt Hosting-Provider, IP-Adresse, ASN, Registrar, Nameserver und Mailserver auf einen Blick. Auf der Kommandozeile erledigen dig (macOS, Linux) oder nslookup (Windows) dasselbe:

Registrierungsdaten stehen nicht im DNS. Bei generischen Endungen fragt ICANN Lookup RDAP ab, das am 28. Januar 2025 WHOIS abgelöst hat, und zeigt Registrar, Registrierungsdatum und Abuse-Kontakt. Für .de nutzen Sie den DENIC-WHOIS: Er nennt das verwaltende DENIC-Mitglied und zeigt seit dem 28. Januar 2026 durch die NIS-2-Umsetzung auch die Kontaktdaten von Inhabern, die Unternehmen sind.

Bei diesen Kombinationen lohnt sich ein genauerer Blick:

• Eine Domain, die vor wenigen Tagen registriert wurde und Ihren Namen oder eine nahe Schreibvariante enthält.
• MX-Einträge, aber keine Website oder nur eine Parkseite, auf einer Domain, die Ihre imitiert.
• Ein A-Eintrag im IP-Bereich eines CDN wie Cloudflare: Der echte Hoster steckt dahinter.
• Sehr kurze TTLs und A-Einträge, die sich zwischen zwei Abfragen im Abstand weniger Minuten ändern.
• Bei Ihren eigenen Domains: NS- oder MX-Einträge, die Sie nicht gesetzt haben.

Öffnen Sie eine verdächtige Seite nicht im Arbeitsbrowser, um zu sehen, was sie tut. Ein Website-Scan lädt sie in einer Sandbox und hält die Seite zusammen mit DNS- und Hosting-Daten fest; die Methode erklärt unser Beitrag Verdächtige Website sicher prüfen. Entpuppt sich die Domain als Phishing-Seite oder Fake-Shop, zeigt der Website-Takedown-Leitfaden, wo Sie sie melden.

Was heißt das für den Schutz Ihrer Brand?

Einzelne Domains von Hand zu prüfen reicht für einen Vorfall. Für 400 Millionen Registrierungen und mehr als 1.400 Endungen reicht es nicht. Domain Monitoring übernimmt den ersten Schritt: nebty prüft neue Registrierungen weltweit auf Tippfehler, ähnlich aussehende Zeichen, angehängte Wörter und andere Endungen Ihres Namens, bewertet jeden Fund und benachrichtigt Ihr Team. Gefährliche Funde gehen direkt in einen Takedown. Im 14-tägigen Test sehen Sie, welche Lookalikes es rund um Ihre Domain schon gibt.

Häufige Fragen