Vorhaben besprechen

TOOLBOX · SECURITY-CHECK

DNS-SICHERHEITCHECKEN.

Ist Ihre Domain gegen gefälschte DNS-Antworten, falsch ausgestellte Zertifikate und verwaiste Einträge geschützt? Domain eingeben, Note erhalten und sehen, welcher Eintrag fehlt.

Die Bot-Prüfung schützt die Toolbox vor automatisiertem Missbrauch.

Wir fragen öffentliche DNS-Einträge Ihrer Domain ab; für die DNSSEC-Prüfung über den DNS-Resolver von Cloudflare. Ergebnisse speichern wir nicht dauerhaft.

WAS GEPRÜFT WIRD

Das Fundament.
Bevor jemand klickt.

Bevor ein Browser Ihre Website lädt oder ein Mailserver zustellt, fragt er das DNS. Diese Einträge entscheiden, wohin Besucher gelangen und wer Zertifikate für Ihre Domain erhält.

  • 01

    DNSSEC

    Signierte DNS-Antworten, damit Resolver Fälschungen erkennen. Eine ungültige Signatur macht die Domain für validierende Resolver unerreichbar und zählt deshalb als kritisch.

  • 02

    CAA

    Legt fest, welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen. Mit Eintrag zum Kopieren für Ihre Zonendatei.

  • 03

    Nameserver

    Mindestens zwei Nameserver, möglichst in getrennten Netzen. Fällt der einzige aus, ist Ihre Domain samt E-Mail nicht erreichbar.

  • 04

    SOA

    Der Stammeintrag der Zone: Seriennummer und Zeitwerte, mit denen sekundäre Nameserver die Zone abgleichen.

  • 05

    Domain, www und IPv6

    Lösen Domain und www beide auf, und hat die Website eine IPv6-Adresse? Fehlt www, erreichen Besucher, die es eintippen, nichts.

  • 06

    Verwaiste Einträge

    Zeigt www auf einen gelöschten Cloud-Dienst, könnte ein Dritter ihn übernehmen. Dazu ein Blick auf Wildcard-Einträge.

NICHT TEIL DIESES CHECKS

E-Mail und
Zertifikate.

SPF, DKIM, DMARC und MTA-STS stehen zwar auch im DNS, gehören aber zur E-Mail-Sicherheit. Zertifikat und TLS-Konfiguration Ihres Servers prüft ein eigenes Werkzeug.

FRAGEN

Gut zu wissen.

Was prüft der DNS-Sicherheits-Check?

Er fragt öffentliche DNS-Einträge Ihrer Domain ab und bewertet sie: DNSSEC-Signatur, CAA-Einträge, Anzahl und Netze der Nameserver, den SOA-Eintrag, ob Domain und www auflösen, IPv6, Wildcard-Einträge und ob www auf einen nicht mehr vorhandenen Cloud-Dienst verweist. Er verbindet sich nicht mit Ihrem Server und fragt Ihre Nameserver nicht direkt ab.

Was bringt DNSSEC, und warum ist fehlendes DNSSEC nur ein Hinweis?

DNSSEC signiert DNS-Antworten. Resolver können damit erkennen, ob eine Antwort gefälscht oder unterwegs verändert wurde; verschlüsselt wird dabei nichts (RFC 4033, Abschnitte 3 und 4). Ohne DNSSEC funktioniert Ihre Domain normal, ihr fehlt nur dieser Zusatzschutz. Kritisch ist dagegen eine ungültige Signatur: Validierende Resolver antworten dann mit einem Fehler, und Ihre Domain ist für deren Nutzer nicht erreichbar (RFC 4035, Abschnitt 5.5).

Wozu dient ein CAA-Eintrag?

Mit CAA legen Sie fest, welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen. Zertifizierungsstellen müssen den Eintrag vor jeder Ausstellung prüfen (RFC 8659, Abschnitt 3; CA/Browser Forum Baseline Requirements, Abschnitt 3.2.2.8). Das erschwert es, sich bei einer anderen Stelle ein Zertifikat für Ihre Domain zu verschaffen.

Was ist eine Subdomain-Übernahme?

Zeigt eine Subdomain per CNAME auf einen Cloud-Dienst, den es nicht mehr gibt, kann ein Dritter den Namen beim Anbieter neu anlegen und unter Ihrer Subdomain eigene Inhalte ausliefern (Microsoft Learn: „Prevent dangling DNS entries and avoid subdomain takeover“). Der Check prüft www und eine eingegebene Subdomain auf Dienste, bei denen ein freier Name keine DNS-Antwort liefert (Projekt „can-i-take-over-xyz“). Andere Subdomains lassen sich von außen nicht aufzählen.

Welche Daten gehen an wen, und speichert TOMORIS etwas?

Für die DNSSEC-Prüfung fragt unser Server die DS- und DNSKEY-Einträge Ihrer Domain beim öffentlichen DNS-Resolver von Cloudflare ab (DNS over HTTPS). Cloudflare erhält dabei den Domainnamen und die Adresse unseres Servers, nicht Ihre IP-Adresse. Alle anderen Abfragen laufen über den DNS-Resolver, den unser Webserver beim Hostinganbieter nutzt. Das Ergebnis bleibt fünf Minuten im Arbeitsspeicher, damit wiederholte Abrufe nicht erneut abfragen, und ist spätestens nach sechs Minuten gelöscht.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen