DNS-Sicherheit · Schutz vor Spoofing

DNS-Spoofing und Cache-Poisoning: Wie DNSSEC sie stoppt

Wenn Sie eine Adresse eingeben, bittet Ihr Gerät einen DNS-Server, diesen Namen in eine IP-Adresse zu übersetzen — die Zahl, mit der der Browser wirklich verbinden kann. Diese Antwort wird normalerweise im Klartext übertragen, was sie zu einem verlockenden Ziel macht. DNS-Spoofing passiert, wenn ein Angreifer eine Antwort fälscht und sie Ihnen vor der echten zustellt; Cache-Poisoning passiert, wenn ein Angreifer einen falschen Eintrag in einen DNS-Cache pflanzt, der die falsche Antwort dann stundenlang an alle weitergibt. Beide Angriffe leiten Ihren Browser unbemerkt auf eine Phishing-Seite oder einen Malware-Server um, während die Adressleiste weiterhin korrekt aussieht. DNSSEC stoppt sie, indem jeder DNS-Eintrag signiert wird, sodass eine gefälschte Antwort die Signaturprüfung nicht besteht — und AEU DNS validiert diese Signaturen bei jeder Anfrage, während verschlüsselter DoH/DoT/DoQ-Transport verhindert, dass jemand die Antwort unterwegs manipuliert.

Wie DNSSEC-Validierung gefälschte Antworten stoppt

Gefälschte Antworten abgelehnt. Eine gefälschte Antwort muss eine gültige kryptografische Signatur tragen, um akzeptiert zu werden. Angreifer können keine erzeugen, daher wird die gefälschte Antwort verworfen, bevor sie Ihr Gerät erreicht.

Vergiftete Caches erkannt. Auch ein in einen Cache gepflanzter falscher Eintrag besteht die Signaturprüfung nicht und wird nie ausgeliefert — stattdessen wird der echte Eintrag der tatsächlichen Quelle verwendet.

Manipulation unterwegs blockiert. Verschlüsselter DoH-, DoT- und DoQ-Transport versiegelt die Antwort unterwegs, sodass niemand im Netzwerk sie zwischen dem Server und Ihrem Gerät lesen oder umschreiben kann.

Authentische Antworten, Ende zu Ende. Sie erhalten eine Antwort, die sowohl unverändert (DNSSEC) als auch für Außenstehende unlesbar (Verschlüsselung) ist — zwei unabhängige Ebenen, die die Spoofing-Angriffsfläche schließen.

Spoofing vs. Cache-Poisoning — zwei Gesichter derselben Bedrohung

Beides wird oft gleichgesetzt, es sind aber zwei verschiedene Angriffe. AEU DNS schützt vor beiden.

DNS-Spoofing = eine gefälschte Antwort. Der Angreifer tritt gegen Ihren echten Server an: Eine falsche Antwort kommt vor der legitimen an, und der Browser vertraut ihr. Es ist ein Wettlauf um die Antwort.

Cache-Poisoning = eine gepflanzte Lüge. Der Angreifer bringt einen DNS-Cache dazu, einen falschen Eintrag zu speichern, sodass jeder spätere Nutzer dieses Caches unbemerkt umgeleitet wird, bis der Eintrag abläuft.

DNSSEC besiegt beide. Weil jeder Eintrag eine Signatur trägt, kann weder eine gefälschte Antwort noch ein gepflanzter Eintrag die Validierung bestehen — der Angriff scheitert, bevor er jemanden umleiten kann.

Validierung und Verschlüsselung — standardmäßig aktiv

AEU DNS validiert DNSSEC-Signaturen und transportiert jede Anfrage über verschlüsselten DoH/DoT/DoQ-Transport ab dem Moment der Verbindung, ohne jede umzuschaltende Einstellung. Es ist ein datenschutzfreundlicher europäischer Filter-Forwarder: filtert Werbung, Tracker und Malware und leitet Ihre Anfrage dann vorgelagert weiter — und speichert by Design keine Protokolle.

DNS-Spoofing in zwei Minuten stoppen

Erstellen Sie ein kostenloses Konto, erhalten Sie Ihr DNS-Profil und ein persönliches Zertifikat und fügen Sie eine einzige Konfiguration auf jedem Gerät ein.

Konto erstellen

Weiter entdecken

Starten Sie auf der AEU-DNS-Startseite, oder lesen Sie wie verschlüsseltes DNS funktioniert für eine leicht verständliche Erklärung, wie verschlüsseltes DNS Sie schützt. Sehen Sie, wie DSGVO-konformes DNS eine datenschutzfreundliche europäische DNS-Ebene hinzufügt.

Häufige Fragen

Was ist DNS-Spoofing?

DNS-Spoofing ist, wenn ein Angreifer eine gefälschte DNS-Antwort erzeugt und sie Ihrem Gerät vor der echten zustellt. Der Browser vertraut der gefälschten Antwort und verbindet sich mit einer Phishing-Seite oder einem Malware-Server, obwohl die eingegebene Adresse korrekt aussieht.

Was ist DNS-Cache-Poisoning?

Cache-Poisoning ist, wenn ein Angreifer einen falschen DNS-Eintrag in einen DNS-Cache pflanzt. Jedes Gerät, das diesen Cache nutzt, erhält dann die falsche Adresse für eine Domain, bis der vergiftete Eintrag abläuft — und leitet so viele Nutzer auf einmal unbemerkt um.

Wie stoppt DNSSEC diese Angriffe?

DNSSEC fügt jedem DNS-Eintrag eine kryptografische Signatur hinzu. Eine gefälschte Antwort oder ein gepflanzter Eintrag kann keine gültige Signatur erzeugen, besteht die Prüfung nicht und wird abgelehnt. Nur eine authentische, unveränderte Antwort wird akzeptiert.

Ist AEU DNS ein DNS-Resolver?

Nein. AEU DNS ist ein datenschutzfreundlicher Filter-Forwarder: filtert Werbung, Tracker und Malware, validiert DNSSEC und leitet jede Anfrage über verschlüsselten Transport an einen vorgelagerten Resolver weiter. Es speichert by Design keine Protokolle.

Verhindert DNSSEC allein, dass jemand meine Anfragen manipuliert?

DNSSEC beweist, dass eine Antwort authentisch ist, verschlüsselt die Anfrage aber nicht. Um Manipulation und Abhören unterwegs zu stoppen, brauchen Sie zusätzlich verschlüsselten Transport — genau das bietet AEU DNS mit DoH, DoT und DoQ zusammen mit der DNSSEC-Validierung.