Die unsichtbare Angriffsfläche, die du übersiehst

Stell dir vor, deine DNS-Einträge sind wie ein offenes Haustor – und du hast Kopien der Schlüssel an die ganze Welt verteilt. Jede E-Mail, die dein Team verschickt, jeder Subdomain für Apps oder Staging und jeder API-Endpunkt hängt davon ab. Schwache DNS-Konfigurationen machen Firewalls überflüssig: Hacker leiten den Traffic einfach um, und fertig.

Das Schlimme: Die meisten Firmen schauen nie genau hin. Sie richten DNS einmal ein, kleben vielleicht SPF drauf und lassen es dann jahrelang vergammeln.

Was eine echte DNS-Sicherheitsprüfung abdeckt

Eine gründliche Überprüfung geht über einfache Auflösungstests hinaus. Hier die Schlüsselbereiche:

E-Mail-Sicherheit mit SPF, DKIM und DMARC

Phishing-Mails täuschen am häufigsten vor. SPF legt fest, welche Server für deine Domain mailen dürfen. DKIM signiert Nachrichten digital. DMARC verbindet beides und gibt Anweisungen, was bei Fehlern passiert.

Viele haben SPF, aber so locker, dass es "jeder darf" heißt. Das ist schlimmer als gar nichts.

DNSSEC-Schutz

DNSSEC verschlüsselt DNS-Abfragen und blockt Abhörer, die falsche Antworten einschleusen. Ohne das kann ein Hacker im selben Netz wie dein Kunde den Browser zu einer Fake-Seite lotsen.

Adoption? Minimal. Viele kennen DNSSEC nicht mal.

Subdomains und tote Einträge

Du hast mehr Subdomains, als du ahnst: api.deinedomain.de, test.deinedomain.de, backup.deinedomain.de. Jede ist ein Risiko. Zeigt eine auf einen gelöschten Cloud-Dienst? Der Nächste schnappt sie sich und hat plötzlich Zugriff.

CAA-Records für SSL

CAA-Records sind deine Türsteher für Zertifikate. Sie listen erlaubte Certificate Authorities auf. Fehlen sie, kann jede CA weltweit ein gültiges SSL für dich ausstellen – Browser prüfen das nicht.

Warum DNS-Sicherheit dein Geschäft trifft

Solche Checks sind kein bürokratischer Kram. Sie wirken direkt:

• E-Mail-Zustellung: Falsche Authentifizierung landet in Spam – Absatz und Support leiden.
• Markenschutz: Phishing mit deinem Namen ruiniert dein Image.
• Compliance: GDPR, HIPAA oder SOC 2 fordern DNS-Kontrollen.
• Vertrauen: Sichere DNS ist ein Plus für Kunden.

DMARCbis: Die nächste Stufe

DMARC gibt's seit 2015, aber DMARCbis bringt Upgrades. Bessere Subdomain-Handhabung, flexiblere Modi. Wer DMARC nutzt, sollte mitdenken – das trennt Vorreiter von Nachzüglern.

Dein Startplan

Fang an, ohne Stress. Diese Monat:

1. Scanne deine DNS-Records – schau, was wirklich drinsteht.
2. Prüfe SPF, DKIM, DMARC. Starte mit "monitor" (p=none), dann enforcen.
3. Füge CAA-Records hinzu, nur deine CAs.
4. Liste alle Subdomains auf und sichere sie.
5. Aktiviere DNSSEC, vor allem bei sensiblen Daten.

Super: DNS-Fixes laufen schrittweise, ohne Ausfälle oder Genehmigungen.

Der Preis des Ignorierens

DNS vernachlässigen ist kein Risiko – es ist Einladung für Hacker. Für Startups ein Knockout durch Phishing. Für Etablierte regulatorische Hölle.

Lustig: Der Audit dauert kürzer als das Meeting darüber.

Hör auf zu zögern. Prüfe DNS, stopf Lücken, schlaf ruhiger.

Willst du deine Domains tiefer sichern? NameOcean-Tools scannen DNS, managen SSL und optimieren E-Mail-Authentifizierung – mit AI-Tipps für dein Portfolio.