Die stille Sicherheitslücke in deinen DNS-Einstellungen

Was wir bei NameOcean immer wieder beobachten: Entwickler verbringen Wochen damit, ihre Anwendungen abzuhärten, OWASP-Empfehlungen umzusetzen und CI/CD-Pipelines einzurichten – und lassen dann die Sicherheitskonfiguration ihrer Domain einfach auf Standardwerten.

Genau diese Lücke zählen Angreifer darauf.

Deine Domain ist nicht bloß eine Adresse im Internet. Sie ist deine erste Verteidigungslinie. Wenn DNS-Einträge falsch konfiguriert sind, E-Mail-Authentifizierung fehlschlägt oder SSL-Zertifikate unbemerkt ablaufen, riskierst du nicht nur technische Probleme. Du riskierst deinen Ruf, deine E-Mail-Zustellbarkeit und letztendlich das Vertrauen deiner Kunden.

Die gute Nachricht: Diese Probleme zu beheben ist oft schneller als das Debugging einer kaputten Deployment-Pipeline. Du musst nur wissen, worauf du achten musst.

Was ein Domain-Sicherheitsscan tatsächlich prüft

Eine umfassende Sicherheitsbewertung deiner Domain führt fünf parallele Checks durch, die zusammen ein vollständiges Bild deiner Verwundbarkeit zeichnen:

1. DNS- und DNSSEC-Verifizierung

Deine DNS-Einträge sind das Telefonbuch des Internets – und ohne DNSSEC können Angreifer dieses Telefonbuch vergiften. DNSSEC fügt kryptografische Signaturen zu deinen DNS-Antworten hinzu und macht es praktisch unmöglich, dass Angreifer Einträge fälschen und deine Nutzer auf bösartige Server umleiten.

Der Scanner prüft, ob DNSSEC korrekt signiert ist, überprüft deine Nameserver-Redundanz (du solltest mindestens zwei geografisch verteilte Nameserver haben) und validiert deine CAA-Einträge. Diese CAA-Einträge sind besonders wichtig: Sie legen fest, welche Zertifizierungsstellen SSL-Zertifikate für deine Domain ausstellen dürfen. Ohne sie könnte jede kompromittierte oder nachlässige Zertifizierungsstelle ein Zertifikat in deinem Namen ausstellen.

2. E-Mail-Authentifizierung (SPF, DKIM, DMARC)

Wenn deine E-Mails jemals im Spam gelandet sind oder – schlimmer noch – deine Domain für Phishing-Angriffe auf deine Kunden missbraucht wurde, liegt es an der fehlenden E-Mail-Authentifizierung.

SPF teilt empfangenden Mailservern mit, welche Server berechtigt sind, E-Mails von deiner Domain zu versenden. DKIM fügt eine kryptografische Signatur hinzu, die beweist, dass deine E-Mails auf dem Transportweg nicht manipuliert wurden. DMARC verbindet beides mit einer Richtlinie, die Empfängern sagt, was sie tun sollen, wenn die Authentifizierung fehlschlägt – überwachen, quarantänisieren oder ablehnen.

Die meisten Domains haben zumindest SPF konfiguriert, aber DMARC ist überraschend wenig verbreitet. Ohne DMARC auf „reject" können Angreifer deine Domain ungestraft fälschen. Das ist kein theoretisches Risiko – deshalb erhalten deine Kunden Phishing-E-Mails, die so aussehen, als kämen sie von dir.

3. SSL/TLS-Zertifikatsgesundheit

Dein SSL-Zertifikat ist kein „einmal einrichten und vergessen"-Bauteil. Zertifikate laufen ab (manchmal ohne Vorwarnung), verwenden veraltete TLS-Versionen oder haben keine HSTS-Header, die Downgrade-Angriffe verhindern.

Der Scanner führt einen Live-TLS-Handshake durch, um die Gültigkeit deines Zertifikats zu verifizieren, sein Ablaufdatum zu prüfen, die verwendete TLS-Version zu bestätigen und die HSTS-Konfiguration zu erkennen. Wenn du eine API betreibst oder Zahlungen abwickelst, sind diese Details wichtiger, als die meisten Entwickler annehmen.

4. Bewertung der Sicherheitsheader

Die HTTP-Response-Header deines Webservers sind eine stille Sicherheitsebene, die viele Anwendungen komplett übersehen. Der Scanner prüft auf:

• Content Security Policy (CSP) – verhindert Cross-Site-Scripting und Dateninjektionsangriffe
• X-Frame-Options – verhindert Clickjacking, indem kontrolliert wird, ob deine Seite in Frames eingebettet werden darf
• X-Content-Type-Options – verhindert, dass Browser MIME-Typen erraten (ein häufiger Angriffsvektor)
• Referrer-Policy – steuert, welche Informationen entweichen, wenn Nutzer von deiner Seite weg klicken
• Permissions-Policy – beschränkt den Zugriff auf Browser-Funktionen wie Kamera, Mikrofon und Geolocation

Diese Header lassen sich in Minuten konfigurieren und bieten wirksamen Schutz gegen ganze Angriffsklassen. Dennoch sehen wir viel zu oft Produktiv-Anwendungen ohne sie deployed.

Was dein Sicherheitsscore wirklich bedeutet

Das Bewertungsmodell gewichtet E-Mail-Sicherheit am höchsten (30 %), weil Domain-Spoofing nach wie vor einer der wirkungsvollsten Angriffsvektoren für die meisten Organisationen ist. Eine einzelne Phishing-Kampagne, die sich als dein CEO ausgibt, kann unzählige technische Schutzmaßnahmen umgehen.

Hier ist die Notenskala in praktischen Begriffen:

• Note A (90-100): Hervorragende Sicherheit. Deine Domain erfüllt oder übertrifft Best Practices.
• Note B (75-89): Gute Sicherheit mit kleinen Verbesserungsmöglichkeiten. Leicht erreichbare Früchte hängen herum.
• Note C (60-74): Akzeptable Sicherheit mit mehreren Lücken. Du bist vor Gelegenheitsangriffen geschützt, aber nicht vor gezielten.
• Note D (45-59): Schwache Sicherheit mit erheblichen Problemen. Du erlebst wahrscheinlich bereits echte Probleme oder wirst es bald.
• Note F (Unter 45): Kritische Mängel. Sofortiger Handlungsbedarf.

Hier die unbequeme Wahrheit: Die meisten Produktiv-Domains ohne dedizierte Sicherheitshärtung fallen in den C-D-Bereich. Wenn du ein Startup bist, das seine Domain-Sicherheit nie explizit geprüft hat, ist die Wahrscheinlichkeit hoch, dass deine dazu gehört.

Reale Szenarien, in denen das relevant wird

Validierung vor dem Launch

Bevor du den Schalter für ein neues Produkt umlegst, führe einen Sicherheitsscan durch. Prüfe, ob deine SSL-Zertifikate gültig sind, deine E-Mail-Authentifizierung funktioniert und deine Sicherheitsheader gesetzt sind. Es ist wesentlich einfacher, diese Probleme zu beheben, bevor du Nutzer hast, als danach.

Verifizierung nach Migrationen

Du wechselst Domains, Hosting-Anbieter oder aktualisierst deine DNS-Konfiguration? Sicherheitseinstellungen können bei Migrationen still und leise kaputtgehen. Ein Scan nach jeder Infrastrukturänderung fängt diese Probleme ab, bevor sie zu Support-Tickets werden.

Due Diligence bei Partnern und Anbietern

Bevor du mit einem neuen Anbieter integrierst oder sensible Daten mit einem Partner teilst, prüfe seinen Domain-Sicherheitsscore. Seine Sicherheitslage betrifft direkt deine eigene – besonders wenn E-Mail-Authentifizierung im Spiel ist.

Client-Bewertungen für MSPs

Wenn du ein MSP oder eine Agentur bist, die mehrere Kunden verwaltet, liefern Domain-Sicherheitsscans konkrete, objektive Daten für Sicherheitsgespräche. Statt abstrakter Empfehlungen kannst du einem Kunden seine Note D bei der E-Mail-Sicherheit zeigen und genau erklären, was sich ändern muss.

Die Quick Wins, die den Unterschied machen

Die meisten Sicherheitsverbesserungen, die deinen Score von C auf A heben, erfordern keine Codeänderungen:

1. DNSSEC aktivieren – Cloudflare, Amazon Route 53 und Google Cloud DNS machen dies zu einem einzigen Schalter. Der Hauptschritt ist das Veröffentlichen des DS-Eintrags bei deinem Registrar, was typischerweise 15-30 Minuten dauert.

2. CAA-Einträge hinzufügen – Beschränke, welche Zertifizierungsstellen Zertifikate für deine Domain ausstellen dürfen. Dauert etwa 15 Minuten bei deinem DNS-Anbieter.

3. DMARC konfigurieren – Starte mit „p=none" für Monitoring, dann verschärfe auf „p=quarantine" und schließlich „p=reject", sobald du verifiziert hast, dass legitimer Mailverkehr durchkommt.

4. Sicherheitsheader hinzufügen – Die meisten Webframeworks und CDN-Anbieter erlauben das über Konfiguration. Keine Änderungen am Anwendungscode nötig.

5. Zertifikate vor Ablauf erneuern – Richte Monitoring ein oder nutze einen Anbieter, der die Erneuerung automatisch übernimmt.

Domain-Sicherheit in deinen Workflow integrieren

Die Herausforderung liegt nicht im Wissen, was zu tun ist – sondern darin, Sicherheitschecks zur Routine zu machen, statt sie reaktiv zu betreiben. Wir empfehlen, einen Domain-Sicherheitsscan zu deiner Deployment-Checkliste hinzuzufügen, genau wie einen Lint-Check oder ein Test-Setup.

Bei NameOcean glauben wir, dass Sicherheit zugänglich sein sollte, nicht geheimnisvoll. Deine Domain ist das Fundament deiner Online-Präsenz und verdient dieselbe Aufmerksamkeit wie jede andere kritische Infrastruktur.

Führe heute einen Scan deiner Domain durch. Du wirst vielleicht überrascht sein, was du findest – und wie schnell du es beheben kannst.

Du möchtest die Sicherheit deiner Domain prüfen? Die integrierten Tools von NameOcean machen es einfach, DNSSEC zu konfigurieren, DNS-Einträge zu verwalten und deine Sicherheitseinstellungen von einem zentralen Dashboard aus zu überwachen.