Massive DNS-Abfrage-Duplikate von APNIC entdeckt: 38 % der Abfragen unnötig wiederholt

Das Domain Name System (DNS) des Internets, oft als Telefonbuch des Internets bezeichnet, basiert auf freien und offenen Abfragen. Doch eine neue Messstudie von APNIC Labs zeigt, dass diese Freiheit zu weit verbreitetem Missbrauch geführt hat: Mehr als ein Drittel aller DNS-Abfragen sind unnötige Duplikate. Das Phänomen, das an einem einzigen Tag im Juni 2026 dokumentiert wurde, entlarvt eine klassische 'Tragik der Allmende', bei der die fehlenden Kosten pro Abfrage rekursive Resolver dazu veranlassen, autoritative Server mit wiederholten Anfragen zu überfluten.

Unter Verwendung seiner globalen Messplattform, die einzigartige DNS-Namen in Online-Werbung einbettet, um Auflösungspfade zu testen, sammelte APNIC Labs am 1. Juni 2026 über 259 Millionen Abfragen. Das System leitet Benutzer aus sechs Regionen (Ostasien/Ozeanien, Nordamerika, Lateinamerika, Europa/Westasien, Indischer Subkontinent und China/Hongkong/Macau) zu geografisch nahen autoritativen Servern, die stets prompt auf A- und AAAA-Abfragen antworten. Da jede Messung einen einzigartigen DNS-Namen und eine kurze Time-to-Live (TTL) von 60 Sekunden verwendet, kann Caching die Abfragen nicht absorbieren, sodass jedes am autoritativen Server gesehene Duplikat eine frische Wiederholung widerspiegelt.

Das Hauptergebnis ist eindeutig: 38 % aller eindeutigen Abfragenamen- und Abfragetyp-Paare wurden mindestens einmal dupliziert, und Duplikate machten 43 % des gesamten Abfragevolumens aus. Regionale Unterschiede waren ausgeprägt. Benutzer im Indischen Subkontinent erlebten eine Duplikationsrate von 61 % bei Abfragenamen, und in der Region China/Hongkong lag sie bei 47 %. Europa und Nordamerika schnitten mit 27 % bzw. 28 % besser ab, obwohl selbst diese niedrigeren Werte die erwarteten 2 % Duplikation, die aus normalem UDP-Datagrammverlust entstehen würden, weit übertreffen.

Bei der Untersuchung des Timings der Duplikate stellte die Studie fest, dass 45 % aller Duplikatabfragen innerhalb von 10 Millisekunden nach der ursprünglichen Abfrage eintrafen. Dieses Schnellfeuermuster deutet auf systematisches 'Back-to-Back'-Abfragen hin, nicht auf gelegentliche Wiederholungsversuche nach einem langsamen Timeout. Weitere Spitzen erscheinen bei 60, 120, 180 und 240 Sekunden, passend zum TTL-Ablauf, , was darauf hindeutet, dass einige Resolver auch unnötige Cache-Aktualisierungen durchführen, selbst wenn keine neue Benutzeranfrage sie auslöst. Die am häufigsten duplizierte einzelne Abfrage im 24-Stunden-Zeitraum wurde am autoritativen Server in Frankfurt erstaunliche 8.771 Mal wiederholt.

Durch die Untersuchung der IP-Adressen der Resolver, die diese schnellen Duplikate senden, entdeckten die Forscher mehrere Motive. In 82 % der Fälle kam das Duplikat von einer anderen IP-Adresse als das Original, oft von einem anderen rekursiven Resolver oder sogar aus einem anderen Netzwerk. Etwa 40 % der duplizierenden Abfragesätze betrafen sowohl IPv4 als auch IPv6, was auf ein Rennen zwischen den beiden Protokollen hindeutet. Etwa 5 % verteilten Abfragen über mehrere autonome Systeme (AS), und 16 % nutzten bekannte offene Resolver. Doch 14 % der schnellen Duplikate stammten von derselben Resolver-IP-Adresse, ein Verhalten, das kaum anders als verschwenderisches Überabfragen zu rechtfertigen ist.

Eine Liste der Top-25-Netzwerke, die solche aggressiv duplizierenden Resolver hosten, zeigt eine Mischung aus Telekommunikationsanbietern und einigen großen Cloud-Unternehmen. Der indische ISP Reliance Jio Infocom führte mit 14 % duplizierten Abfragenamen bei über 20 Millionen Gesamtabfragen; andere bemerkenswerte Namen sind BHARTI Airtel, Viettel, VNPT, Deutsche Telekom und Cloudflare. Einige Netzwerke wie Bell Canada und Optimum Telecom Algeria zeigten Duplikationsraten über 90 %, allerdings bei kleineren Gesamtvolumina.

Diese Massenduplikation verursacht echte Kosten: Autorisierende Server müssen die doppelte (oder mehr) legitime Last verarbeiten, verschwenden Energie und Rechenressourcen und verlangsamen möglicherweise die Antworten für alle. Die Studie erinnert daran, dass DNS zwar robust, aber eine gemeinsame Ressource ist, die von verantwortungsvollem Verhalten aller Beteiligten abhängt. Für alltägliche Benutzer und Unternehmen kann die Wahl eines datenschutzorientierten, verschlüsselten DNS-Dienstes wie AEU DNS, der sichere, protokollfreie Auflösung bietet, dazu beitragen, dass Ihre Abfragen nicht zu dieser versteckten Überlastung beitragen, da solche Dienste oft verantwortungsbewusste Abfrageverhalten und moderne Protokolle wie DNS-over-HTTPS (DoH) und DNS-over-TLS (DoT) verwenden, die Missbrauch von Natur aus verhindern.