DNS-Monitoring überwacht die DNS-Einträge Ihrer Domain und alarmiert Sie, sobald sich einer davon ändert. Das ist wichtig, weil ein geänderter Eintrag keinen offensichtlichen Ausfall verursacht. Leitet jemand Ihre Domain auf einen anderen Server oder Ihre Mail-Einträge zu einem anderen Anbieter um, kann alles normal aussehen, während Traffic und E-Mails woanders landen. DNS-Monitoring vergleicht die Einträge selbst und erkennt so Änderungen, die Uptime-Checks entgehen können.
Warum DNS-Änderungen gefährlich sind
DNS übersetzt Ihren Domainnamen in die Adressen Ihrer Web- und Mailserver. Wer diese Einträge kontrolliert, bestimmt, wohin Ihre Besucher und Ihre E-Mails gelangen. Änderungen haben drei mögliche Gründe:
Geplante Änderungen: eine Servermigration, ein neuer E-Mail-Anbieter, ein CDN-Wechsel. Die sind in Ordnung, aber Sie möchten bestätigt haben, dass sie korrekt live gegangen sind.
Fehler: Eine Kollegin bearbeitet den falschen Eintrag, bei einem Anbieterwechsel geht ein TXT-Eintrag verloren, eine TTL-Änderung hat Nebenwirkungen.
Hijacking: Jemand verschafft sich Zugang zu Ihrem Konto beim Registrar oder DNS-Anbieter, oft über ein per Phishing erbeutetes Passwort, und ändert die Einträge.
Bei einem Hijacking kann der Angreifer Besuchern eine Kopie Ihrer Login-Seite zeigen, E-Mails abfangen oder sich selbst Zertifikate für Ihre Domain ausstellen lassen. Monitoring kann niemanden daran hindern, sich einzuloggen, verkürzt aber die Zeit, bis Sie es bemerken, von Tagen auf Minuten.
Diese DNS-Einträge sollten Sie überwachen
Jeder Eintragstyp steuert etwas anderes. Ein guter DNS-Monitor deckt alle ab:
A und AAAA: die IPv4- und IPv6-Adressen Ihrer Website. Eine Änderung schickt Besucher auf einen anderen Server.
CNAME: Aliase, oft für www, CDNs und Drittanbieterdienste genutzt. Eine Änderung kann eine Subdomain an jemand anderen übergeben.
MX: wohin E-Mails für die Domain zugestellt werden. Eine Änderung kann sämtliche eingehende Post umleiten.
NS: welche Nameserver für die Domain autoritativ sind. Eine Änderung übergibt die Kontrolle über alle anderen Einträge an den Betreiber der neuen Nameserver. Behandeln Sie diesen Alarm als den kritischsten.
SOA: der Start-of-Authority-Eintrag der Zone mit dem primären Nameserver und der Kontaktadresse der Zone. Eine Änderung kann bedeuten, dass die Zone zu einem anderen Anbieter umgezogen ist.
TXT: SPF-, DKIM-, DMARC- und Verifizierungseinträge. Änderungen beeinflussen, ob Ihren E-Mails vertraut wird und wer bei anderen Diensten den Besitz Ihrer Domain nachweisen kann.
CAA: welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen. Eine Änderung kann Zertifikaten Tür und Tor öffnen, die Sie nie beantragt haben.
So funktioniert DNS-Monitoring
Sie fügen eine Domain hinzu und wählen die zu überwachenden Eintragstypen.
Der Monitor löst die Einträge regelmäßig auf und speichert die aktuellen Werte.
Weicht ein Wert vom zuletzt bekannten ab, erhalten Sie einen Alarm mit dem alten und dem neuen Eintrag.
Die Änderung landet in einem Verlauf, sodass Sie genau sehen, was sich wann geändert hat.
Uptimecheck überwacht A-, AAAA-, CNAME-, MX-, NS-, SOA-, TXT- und CAA-Einträge, führt einen Änderungsverlauf und sendet bei jeder Änderung einen Alarm.
Wie normale Änderungen aussehen
Manche Einträge ändern sich von selbst, und Sie sollten wissen, welche. Die SOA-Seriennummer steigt bei jeder Bearbeitung der Zone, deshalb lässt Uptimecheck die Seriennummer außen vor und vergleicht nur Nameserver und Kontaktadresse des SOA-Eintrags. Manche DNS-Anbieter rotieren Einträge für Lastverteilung oder Failover, wodurch sich A-Einträge regelmäßig ändern können. CDNs liefern je nach Standort unter Umständen unterschiedliche Adressen.
Bevor Sie sich auf Alarme verlassen, beobachten Sie Ihre Einträge eine Woche lang. Notieren Sie, welche sich im normalen Betrieb ändern, und sorgen Sie dafür, dass das Team weiß, wie eine erwartete Änderung aussieht. Danach verdient jede Änderung außerhalb dieses Musters einen genaueren Blick.
E-Mail-Authentifizierung überwachen
TXT-Einträge verdienen besondere Aufmerksamkeit, weil sie darüber entscheiden, ob Ihre E-Mails im Posteingang ankommen:
SPF listet die Server auf, die E-Mails für Ihre Domain versenden dürfen. Ändert er sich unerwartet, hat womöglich jemand seinen eigenen Server hinzugefügt.
DKIM veröffentlicht den öffentlichen Schlüssel, mit dem empfangende Server Ihre Signaturen prüfen.
DMARC teilt Empfängern mit, was mit E-Mails geschehen soll, die diese Prüfungen nicht bestehen.
Ein fehlerhafter oder entfernter Eintrag kann Ihre Newsletter, Rechnungen und Passwort-Resets in den Spam befördern. Ein Eintrag, der einen unbekannten Absender hinzufügt, kann es jemandem ermöglichen, E-Mails zu versenden, die wie Ihre aussehen. Beides zeigt sich als TXT-Änderung.
Ein Änderungsalarm sagt Ihnen, dass sich etwas bewegt hat, nicht aber, ob das Ergebnis korrekt ist. Dafür prüft der Domain-Monitor von Uptimecheck SPF, DKIM und DMARC zweimal täglich und erklärt, wie Sie jedes Problem beheben – mit einem DNS-Eintrag zum Einfügen, wo einer das Problem löst. Mehr dazu unter Monitoring der E-Mail-Authentifizierung.
Richtig auf einen DNS-Änderungsalarm reagieren
Wenn ein Alarm eintrifft, gehen Sie ihn zügig durch:
War die Änderung geplant? Fragen Sie bei der Person nach, die das DNS verwaltet. Wenn ja, prüfen Sie, ob die neuen Werte korrekt sind.
Wenn nicht, vergleichen Sie die Werte. Gehört die neue IP-Adresse Ihnen? Gehört der neue MX-Host zu Ihrem E-Mail-Anbieter? Sind die neuen Nameserver die Ihres DNS-Anbieters?
Sichern Sie die Konten ab. Stammt die Änderung nicht von Ihnen, ändern Sie die Passwörter bei Registrar und DNS-Anbieter, prüfen Sie, wer Zugriff hat, und aktivieren Sie die Zwei-Faktor-Authentifizierung.
Stellen Sie die Einträge aus dem Verlauf wieder her.
Wenden Sie sich an Ihren Registrar, wenn Sie die Kontrolle nicht zurückerlangen, besonders nach einer NS-Änderung.
Prüfen Sie Nebenwirkungen: Zertifikate, die im betroffenen Zeitraum ausgestellt wurden, E-Mails, die beim falschen Server eingegangen sind, und Besucher, die womöglich eine gefälschte Seite gesehen haben.
Informieren Sie Ihre Kunden, wenn ihre Daten betroffen sein könnten, und nutzen Sie Ihre Statusseite für Updates.
DNS-Hijacking vorbeugen
Monitoring erkennt. Diese Maßnahmen erschweren ein Hijacking von vornherein:
Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihre Konten bei Registrar und DNS-Anbieter.
Aktivieren Sie die Registrar-Sperre, damit die Domain nicht ohne zusätzliche Schritte übertragen werden kann.
Halten Sie den Kreis der Zugriffsberechtigten klein und überprüfen Sie ihn regelmäßig.
Nutzen Sie einen CAA-Eintrag, um festzulegen, welche Zertifizierungsstellen Zertifikate ausstellen dürfen.
Halten Sie die Kontaktdaten beim Registrar aktuell, damit Sicherheits-E-Mails Sie erreichen.
Überwachen Sie auch den Ablauf der Domain. Eine abgelaufene Domain ist die einfachste Art der Übernahme. Siehe Domain-Monitoring.
Checkliste für DNS-Monitoring
Listen Sie alle Domains auf, die Ihnen gehören, auch Weiterleitungs- und Kampagnen-Domains.
Richten Sie DNS-Monitore für NS, A, AAAA, CNAME, MX, TXT, SOA und CAA ein.
Schicken Sie DNS-Alarme in einen gemeinsamen Kanal, der schnell gelesen wird.
Vereinbaren Sie, dass jede geplante Änderung angekündigt wird, damit ungeplante auffallen.
Sichern Sie Registrar- und DNS-Konten mit 2FA und Registrar-Sperre ab.
Ergänzen Sie Domain- und SSL-Monitoring für dieselben Domains.
Prüfen Sie den Änderungsverlauf nach jeder Migration.
Zusammenfassung
DNS-Änderungen passieren lautlos: keine Fehlerseite, kein fehlgeschlagener Check, nur Traffic, der woanders landet. Wer die Einträge selbst überwacht, mit Alarmen und Verlauf, macht jede Änderung innerhalb von Minuten sichtbar.
DNS-Monitoring ist bei Uptimecheck zusammen mit Uptime-, SSL-, Domain- und Server-Monitoring enthalten. Testen Sie es 14 Tage kostenlos, ohne Kreditkarte.