DNS-Hijacking ist ein Angriff, der die Auflösung von Domainnamen verändert – auf einem Gerät, im Router, beim Resolver oder beim Registrar –, sodass Nutzer auf vom Angreifer kontrollierte Server gelangen.
Wie DNS-Hijacking funktioniert
Das Domain Name System übersetzt Namen in IP-Adressen; wer die Antworten kontrolliert, bestimmt also, wohin der Datenverkehr fließt. Angreifer können an mehreren Stellen ansetzen:
- Lokales Hijacking – Malware ändert die DNS-Einstellungen eines Computers. Der Trojaner DNSChanger tat dies auf Millionen Rechnern, bis das FBI ihn 2011 mit der Operation Ghost Click stoppte.
- Router-Hijacking – Standardpasswörter oder Schwachstellen in Heimroutern erlauben es, alle Geräte im Netz auf einen bösartigen Resolver umzuleiten, wie es die Kampagne GhostDNS 2018 tat.
- Hijacking von Einträgen – gestohlene Zugangsdaten beim Registrar oder DNS-Hoster ermöglichen es, die autoritativen Einträge einer Domain direkt zu ändern.
- Manipulierte Resolver – bösartige oder kompromittierte Resolver von Providern liefern falsche Antworten, manchmal für Werbung oder Zensur.
Eine verwandte, aber andere Technik ist das DNS-Cache-Poisoning, das gefälschte Antworten in den Cache eines Resolvers einschleust, ohne Einstellungen zu ändern.
Warum DNS-Hijacking gefährlich ist
Gekapertes DNS ermöglicht Phishing auf der „richtigen“ Domain, das Abfangen von E-Mails und die Ausstellung gültiger TLS-Zertifikate für die Server des Angreifers. Die Kampagnen DNSpionage und Sea Turtle (2018–2019) leiteten auf diese Weise Domains von Behörden und Telekommunikationsfirmen im Nahen Osten und anderswo um. Die US-Behörde CISA erließ daraufhin im Januar 2019 die Emergency Directive 19-01 zur Manipulation von DNS-Infrastruktur.
So schützen Sie sich vor DNS-Hijacking
- Konten bei Registrar und DNS-Anbieter mit MFA absichern und Registrar- oder Registry-Lock aktivieren (siehe Domain-Hijacking).
- Zonen mit DNSSEC signieren und DNS-Einträge sowie Certificate-Transparency-Logs auf Änderungen überwachen.
- Standardpasswörter von Routern ändern und deren Firmware aktuell halten.
- Vertrauenswürdige Resolver mit verschlüsseltem DNS wie DNS over HTTPS nutzen.
