Menschen merken sich Namen, Computer arbeiten mit IP-Adressen. Das Domain Name System verbindet beides und wird deshalb oft als Telefonbuch des Internets bezeichnet. Ohne funktionierendes DNS erreichen Mitarbeitende keine Websites, E-Mails werden nicht zugestellt, Cloud-Dienste sind nicht erreichbar, und in Windows-Netzen mit Active Directory finden Geräte ihre Domänencontroller nicht. Fehlerhafte DNS-Einträge führen deshalb schnell zu Störungen, die auf den ersten Blick nichts mit DNS zu tun haben.
Wie funktioniert DNS?
DNS ist hierarchisch aufgebaut. An der Spitze stehen die Root-Server, darunter die Top-Level-Domains wie .at oder .com, darunter die einzelnen Domains und deren Subdomains.
Fragt ein Gerät nach einem Namen, wendet es sich an einen rekursiven Resolver, etwa im Router, beim Provider oder auf einem Firmenserver. Kennt dieser die Antwort nicht, fragt er sich von den Root-Servern über die Top-Level-Domain bis zum autoritativen Nameserver der Domain durch. Die Antwort wird für eine festgelegte Zeit, die TTL, zwischengespeichert.
Wichtige Eintragstypen sind:
- A und AAAA: Name zu IPv4- oder IPv6-Adresse
- CNAME: Verweis auf einen anderen Namen
- MX: zuständiger Mailserver einer Domain
- TXT: freie Texte, etwa für SPF, DMARC oder Domainbestätigungen
- NS: zuständige Nameserver
Die Erweiterung DNSSEC signiert Antworten gegen Fälschung. DNS over HTTPS und DNS over TLS verschlüsseln die Anfragen auf dem Weg zum Resolver.
Typische Beispiele
- Beim Umstieg auf Exchange Online werden MX-, SPF- und DKIM-Einträge angepasst.
- Vor einem Website-Umzug wird die TTL gesenkt, damit die neue Adresse schnell wirksam wird.
- Ein Cloud-Dienst verlangt einen TXT-Eintrag als Nachweis, dass die Domain dem Unternehmen gehört.
Worauf Unternehmen achten sollten
- Domains absichern: Domains auf das Unternehmen registrieren, Zugänge zum Registrar mit Multi-Faktor-Authentifizierung schützen und Verlängerungen nicht verpassen.
- E-Mail-Einträge pflegen: SPF, DKIM und DMARC erschweren gefälschte Absender und damit Phishing im Namen des Unternehmens.
- Verwaiste Einträge löschen: Einträge, die auf nicht mehr genutzte Cloud-Ressourcen zeigen, können zur Übernahme von Subdomains missbraucht werden.
- Dokumentieren: Alle Zonen, Einträge und Zuständigkeiten in der IT-Dokumentation festhalten.
- Als Schutzschicht nutzen: Ein DNS-Filter blockiert bekannte schädliche Domains schon bei der Namensauflösung.