Fast jede Verbindung ins Internet beginnt mit einer DNS-Anfrage, denn ein Gerät muss zuerst die IP-Adresse zu einem Namen kennen, siehe DNS. Genau an dieser Stelle setzt ein DNS-Filter an. Er wirkt für alle Programme und Geräte, die den vorgesehenen Resolver nutzen, also auch für Drucker, Kameras oder Gäste-Smartphones, auf denen keine Schutzsoftware läuft. Damit ist er eine vergleichsweise einfache, aber wirksame zusätzliche Schutzschicht.

Wie funktioniert ein DNS-Filter?

Geräte im Unternehmen verwenden einen filternden Resolver, der als Cloud-Dienst, auf der Firewall oder auf einem eigenen Server läuft.
Bei jeder Anfrage prüft der Filter den angefragten Namen gegen Listen bekannter schädlicher Domains und gegen Kategorien wie Glücksspiel oder Werbung.
Ist die Domain unbedenklich, liefert der Resolver die normale Antwort. Ist sie gesperrt, gibt er keine gültige Adresse zurück oder leitet auf eine Hinweisseite um.
Die Anfragen werden protokolliert. Auffällige Muster zeigen, ob ein Gerät versucht, Kontakt zu einem Steuerungsserver von Angreifern aufzunehmen.

Für Laptops außerhalb des Firmennetzes übernimmt ein kleiner Agent oder eine Gerätekonfiguration die Umleitung auf den Filter.

Typische Beispiele

Eine Mitarbeiterin klickt auf einen Link in einer betrügerischen E-Mail (Phishing). Die Domain wurde erst vor Kurzem registriert und ist bereits als schädlich eingestuft, die Seite öffnet sich nicht.
Malware auf einem Rechner versucht, ihren Kontrollserver zu erreichen. Die Anfrage wird blockiert und die IT erhält eine Meldung.
Im Gäste-WLAN sind Kategorien gesperrt, die dem Ruf des Unternehmens schaden könnten.

Worauf Unternehmen achten sollten

Umgehung verhindern: Ausgehende DNS-Anfragen nur zum vorgesehenen Resolver erlauben und verschlüsseltes DNS in Browsern so steuern, dass der Filter nicht umgangen wird.
Mobile Geräte einbeziehen: Auch außerhalb des Büros sollte der Schutz greifen.
Freigaben regeln: Ein einfacher Ablauf für irrtümlich gesperrte Seiten erhöht die Akzeptanz.
Datenschutz beachten: Protokolle zeigen das Surfverhalten. Aufbewahrungsdauer und Zugriff festlegen und Mitarbeitende informieren.
Nicht allein darauf verlassen: Ein DNS-Filter ergänzt Endpoint-Schutz, Updates und Security Awareness, ersetzt sie aber nicht.

Abgrenzung

Ein DNS-Filter sieht nur den Domainnamen, nicht die vollständige Adresse oder den Inhalt einer Seite. Ein Web-Proxy kann Inhalte genauer prüfen, ist aber aufwendiger im Betrieb.

Security-Kompetenz ansehen