Das vergessene DNS-Risiko: Transparent Forwarding und Amplification-Angriffe

Wer schon mal einen Router zu Hause eingerichtet oder ein kleines Firmennetzwerk aufgesetzt hat, kennt probably diese DNS-Einstellungen, die man mal schnell durchklickt, ohne wirklich zu verstehen, was da passiert. Die meisten wissen: DNS übersetzt Domainnamen in IP-Adressen. Was aber viele nicht auf dem Schirm haben: Diese wichtige Infrastruktur kann missbraucht werden – und zwar von einer bestimmten Komponente, die einfach nicht verschwinden will, während andere ähnliche Probleme längst entschärft wurden.

Die gute Nachricht mit dem Haken

Klingt erstmal beruhigend: Die Anzahl offener DNS-Geräte im Internet ist in den letzten zehn Jahren stark gesunken. Von über 25 Millionen exponierten Geräten 2014 auf etwa 1,4 Millionen heute. Ein Rückgang von rund 94 Prozent.

Aber jetzt kommt's: Während klassische offene DNS-Resolver und rekursive Forwarder deutlich weniger geworden sind, halten sich transparente DNS Forwarder hartnäckig. Selbst nach verantwortungsvoller Offenlegung durch Forscher, die über 250.000 Geräte aus der Gefahrenzone entfernt haben, existieren diese transparenten Forwarder weiterhin in riesiger Zahl.

Warum ist das problematisch? Transparent Forwarder sind eine besonders gefährliche Gerätekategorie, die die meisten Organisationen noch nicht mal auf dem Radar haben.

Was sind transparente DNS Forwarder?

Ganz einfach erklärt:

Wenn du eine DNS-Anfrage stellst, fragt dein Gerät einen DNS-Resolver. Ein normaler rekursiver Resolver kümmert sich drum, kontaktiert die zuständigen Server und liefert die Antwort. Diese Resolver haben normalerweise eingebaute Schutzmechanismen – sie können Anfragen ratelimitieren, Zugriff einschränken und sich generell anständig verhalten.

Ein transparenter DNS Forwarder funktioniert anders. Stell ihn dir als Netzwerk-Zwischenhändler vor, der keine Arbeit leistet. Anstatt DNS-Anfragen selbst aufzulösen, leitet er sie einfach an einen anderen DNS-Server weiter – meistens an einen mächtigen rekursiven Resolver von Google, Cloudflare oder ähnlichen Anbietern.

Das kritische Problem? Transparent Forwarder überschreiben die Quell-IP-Adresse der weitergeleiteten Pakete nicht.

Wenn also ein Transparent Forwarder deine DNS-Anfrage an Googles 8.8.8.8 schickt, sieht dieser Resolver die Anfrage so, als käme sie direkt von deiner ursprünglichen IP-Adresse – nicht vom Forwarder. Keine Übersetzung. Keine Sicherheitsprüfung auf Seiten des Forwarders. Das Paket fließt einfach durch wie Wasser durch ein Rohr.

Warum das einen perfekten Angriffsvektor schafft

Jetzt wird's haarig für alle, die für Netzwerksicherheit verantwortlich sind.

Angreifer haben rausgefunden, dass sie DNS-Anfragen mit einer gefälschten Quell-IP-Adresse senden können – konkret die IP ihres Opfers. Der Transparent Forwarder leitet die Anfrage artig an einen leistungsstarken rekursiven Resolver weiter (oft Googles oder Cloudflares Anycast-Server, die gewaltige Datenmengen verarbeiten können). Der Resolver verarbeitet die Anfrage und schickt die Antwort an die IP des Opfers.

Und hier liegt der Clou bei der Amplification: DNS-Antworten können deutlich größer sein als die auslösenden Anfragen. Eine kleine Abfrage nach DNS-Records kann eine Antwort generieren, die 10-, 50- oder sogar 100-mal größer ist. Wenn du ein Opfer mit Traffic flutest, ist es ein enormer Vorteil, wenn du nur kleine Anfragen an den Forwarder schicken musst, aber dem Opfer Pakete schickst, die 50-mal größer sind.

Das Opfer bekommt eine Lawine von Antworten, die es nie angefordert hat. Der Angreifer hat nur kleine Anfragen gesendet. Und der Transparent Forwarder – der nie die Antworten zu sehen bekommt – arbeitet ahnungslos weiter und merkt nicht, dass er Teil einer Angriffsinfrastruktur ist.

Die Zahlen hinter der Bedrohung

Forschungsergebnisse von RIPE Atlas zeigen einige alarmierende Statistiken:

• 175 Länder weltweit haben öffentlich erreichbare transparente DNS Forwarder
• Brasilien und Indien allein verursachen 55% aller entdeckten Geräte – Brasilien bei 31%, Indien bei 24%
• 76% der transparenten Forwarder sind so konfiguriert, dass sie Googles oder Cloudflares öffentliche DNS-Resolver nutzen
• Während andere offene DNS-Komponenten stark zurückgegangen sind, sind transparente Forwarder relativ stabil geblieben

Diese geografische Konzentration ist sowohl problematisch als auch eine Chance. Weil die meisten Geräte in relativ wenigen Regionen konzentriert sind, könnte man mit bestimmten Netzwerkbetreibern koordinieren, um die Angriffsfläche effektiver zu reduzieren als durch rein globale Bemühungen.

Der Anycast-Vorteil (für Angreifer)

Transparent Forwarder gewinnen zusätzlich an Bedeutung, wenn man versteht, wie große DNS-Anbieter ihre Infrastruktur betreiben.

Google Public DNS und Cloudflares 1.1.1.1 nutzen Anycast-Networking – eine Technik, bei der dieselbe IP-Adresse von mehreren geografischen Standorten gleichzeitig announced wird. Wenn du eine Anfrage an 8.8.8.8 schickst, werden deine Pakete zum nächsten Google-Server geroutet – basierend auf der Netzwerktopologie, nicht auf einem einzelnen physischen Standort.

Das macht diese Resolver unglaublich leistungsstark und widerstandsfähig gegen klassische DDoS-Angriffe. Sie sind über Dutzende Rechenzentren weltweit verteilt und können enorme Datenmengen verkraften.

Aber genau diese Architektur schafft eine Chance für Angreifer. Weil Transparent Forwarder Anfragen in diese leistungsstarken Anycast-Resolver einspeisen, geben sie Angreifern effektiv Zugang zu einer Infrastruktur, die massive Amplification-Effekte erzeugen kann. Der Resolver selbst merkt nicht, dass er missbraucht wird – er sieht eingehende Anfragen und schickt Antworten. Der Angriffs-Traffic kommt von den IP-Adressen des Resolvers, nicht vom Transparent Forwarder. Attribution wird damit extrem schwierig.

Was das für deine Organisation bedeutet

Wenn du Netzwerkinfrastruktur betreibst – ob kleines Büronetzwerk, Cloud-Deployment oder Enterprise-Umgebung – solltest du deine DNS-Konfiguration prüfen. Stell sicher, dass du nicht aus Versehen einen Transparent Forwarder betreibst.

Viele Consumer-Router und einige Enterprise-Netzwerkgeräte haben DNS Forwarding standardmäßig aktiviert. Das ist nicht automatisch böse, aber die Konfiguration kann Sicherheitslücken schaffen, wenn der Forwarder aus dem Internet erreichbar ist und Quell-IP-Informationen nicht korrekt behandelt.

Schnell-Checkliste für Netzwerkadmins

1. DNS Forwarder identifizieren – Wissen, welche DNS-Geräte in deinem Netz existieren und wie sie konfiguriert sind
2. Zugriff einschränken – DNS Forwarder sollten nicht öffentlich aus dem Internet erreichbar sein, es sei denn, sie sind bewusst als öffentliche Resolver konzipiert
3. Rekursionskontrollen nutzen – Falls du einen rekursiven Resolver brauchst, stell sicher, dass er passende Zugriffskontrollen und Rate-Limiting hat
4. Auf Anomalien achten – Ungewöhnliche DNS-Traffic-Muster könnten bedeuten, dass deine Infrastruktur untersucht oder für Angriffe missbraucht wird

Der größere Zusammenhang

Die Persistenz von Transparent DNS Forwardern als Angriffsvektor zeigt eine grundlegende Wahrheit in der Sicherheit: Manchmal sind die gefährlichsten Schwachstellen nicht die offensichtlichen, die wir kennen, sondern die übersehenen Komponenten, die leise ihre Arbeit erledigen, ohne dass jemand ihre Implikationen hinterfragt.

Während die Internet-Gemeinschaft weiter Fortschritte macht beim Schließen traditioneller offener DNS-Resolver, stellen Transparent Forwarder eine verbleibende Front dar, die Aufmerksamkeit braucht. Die gute Nachricht: Diese Geräte sind geografisch konzentriert. Das bedeutet, koordinierte Bemühungen mit bestimmten Netzwerkbetreibern könnten die globale Angriffsfläche messbar reduzieren.

Bis dahin bleibt es wichtig zu verstehen, was Transparent DNS Forwarder sind – und sicherzustellen, dass deine nicht öffentlich exponiert sind. Nur so verhindern wir, dass die Infrastruktur des Internets gegen sich selbst verwendet wird.

Fragen zur DNS-Sicherheit oder brauchst du Hilfe beim Audit deiner Netzwerkinfrastruktur? Das Team von Vibe Hosting hilft dir, sichere und widerstandsfähige Anwendungen von Grund auf aufzubauen.