DNS-Spoofing und Cache Poisoning: gefälschte DNS-Antworten abwehren

Kurz: Bei DNS-Spoofing erhält ein Client eine gefälschte Antwort und landet auf der falschen IP-Adresse; DNSSEC, DoT/DoH, zufällige Ports und Absicherung des Heimnetzes schützen davor.

Genauer: Das DNS übersetzt Namen in IP-Adressen und wurde ohne Authentifizierung entworfen. Gelingt es einem Angreifer, eine falsche Antwort unterzuschieben, führt bank.example zu einem fremden Server (Phishing, Mitlesen, Malware). Dieser Artikel zeigt Prinzip und Abwehr.

Im Detail

Angriffsarten (Prinzip)

• Cache Poisoning: Der Angreifer schickt dem rekursiven Resolver gefälschte Antworten, bis eine zur offenen Anfrage passt (Transaktions-ID, Port); der falsche Eintrag landet im Cache und betrifft alle Nutzer. Berühmt: Kaminsky-Angriff 2008.
• Lokales Spoofing: im gleichen Netz (ARP-Spoofing, bösartiger DHCP/WLAN) fälscht jemand Antworten oder liefert einen falschen DNS-Server.
• Router-/Hosts-Manipulation: Malware ändert hosts oder DNS-Einstellungen; DNS-Hijacking per kompromittiertem Router oder Registrar-Konto.
• Rogue Resolver, Captive-Portale, Typosquatting (ähnliche Domains, kein Spoofing, aber verwandt).

Schutz in der Infrastruktur

• Zufällige Quellports + zufällige Transaktions-IDs (heute Standard), 0x20-Kodierung, DNS Cookies.
• DNSSEC: Einträge sind digital signiert; validierende Resolver erkennen Fälschungen (SERVFAIL). Domain-Inhaber signieren ihre Zone.
• Verschlüsseltes DNS: DoT (Port 853) und DoH (HTTPS) schützen Client ↔ Resolver vor Mitlesen/Manipulation im Netz; ersetzt aber nicht DNSSEC (Resolver-Vertrauen).
• Resolver aktuell halten, keine offenen Resolver, Rate Limiting, Split-Horizon sauber.
• Registrar-Konto mit MFA, Registry-Lock, CAA-Einträge, TLS-Zertifikate (selbst bei falscher IP erkennt der Browser ein falsches Zertifikat).

Schutz zu Hause und am Gerät

• HTTPS und HSTS (Browser warnt bei Zertifikatsfehlern: nie wegklicken).
• Router: starkes Admin-Passwort, Firmware aktuell, Fernzugriff aus, DNS-Einstellungen prüfen (Provider oder vertrauenswürdiger Resolver, z. B. mit DoT/DoH); WPA2/3 mit gutem Passwort, Gast-WLAN für Fremde.
• Öffentliche WLANs: VPN nutzen, Captive-Portale kritisch, kein Banking ohne HTTPS/VPN.
• Hosts-Datei und DNS-Einstellungen gelegentlich prüfen, Antiviren-/Malware-Scan.
• Pi-hole/AdGuard Home im Heimnetz mit DNSSEC-Validierung.
• Prüfen: dig +dnssec example.org, dig @1.1.1.1 example.org vs. dig @routerIP example.org (Abweichungen deuten auf Manipulation), DNSSEC-Test-Seiten.

Einordnung und Lernen

• Nur eigene Labs: Cache Poisoning in isolierter VM mit dnsmasq/BIND üben (kein Test im Fremdnetz; § 202a-c StGB).
• Einordnung: DNS-Probleme sind oft Fehlkonfiguration (falscher Record, TTL) statt Angriff: erst dig/nslookup prüfen.
• Signale: Zertifikatswarnung bei bekannter Seite, plötzlich anderer Login, DNS-Antwort unterscheidet sich je Resolver.
• Gegenmaßnahme bei Verdacht: Router/Resolver wechseln, Cache leeren (ipconfig /flushdns, resolvectl flush-caches), Passwörter ändern.
• Verwandt: DNS-Records, DNSSEC, ARP, MITM, HTTPS/HSTS, VPN, DHCP.

Siehe auch: DNSSEC, DNS-Records, Pi-hole