DNS entscheidet, wohin Ihr Traffic und Ihre E-Mails gehen. Ändern Sie einen Eintrag, landen Besucher auf einem anderen Server, E-Mails gehen an jemand anderen oder die Ausstellung von Zertifikaten schlägt fehl. Die meisten DNS-Änderungen sind geplant. Gefährlich sind die anderen: ein Tippfehler bei einer Migration, ein gelöschter TXT-Eintrag, der die E-Mail-Verifizierung lahmlegt, oder ein Angreifer mit Zugang zu Ihrem Registrar-Konto, der Ihre Domain woandershin umleitet.
Eine gekaperte Domain funktioniert oft noch eine Weile. Die Seiten sehen vielleicht sogar gleich aus. Deshalb überwacht DNS-Monitoring die Einträge selbst und nicht nur, ob die Website lädt. Unser Leitfaden zum Erkennen gekaperter DNS-Einträge beschreibt die Warnzeichen.
Einträge, die Uptimecheck überwacht
A und AAAA: wohin Ihre Domain über IPv4 und IPv6 zeigt.CNAME: Aliasse wie www oder ein CDN-Hostname.MX: welche Server Ihre E-Mails empfangen.NS: welche Nameserver für die Domain autoritativ sind.SOA: Start of Authority und Seriennummer der Zone.TXT: SPF-, DKIM-, DMARC- und Verifizierungseinträge.CAA: welche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen.
Jeder DNS-Monitor überwacht einen Eintragstyp für einen Namen, bis zu jede Minute geprüft. Optional geben Sie die erwarteten Werte ein, und der Check schlägt fehl, sobald die Einträge nicht exakt übereinstimmen.
So sieht ein Änderungsalarm aus
Um 09:41 ändert sich der MX-Eintrag von northwind.shop von mx1.northwind-mail.com auf mx.unknown-host.net. Niemand hat eine Änderung beantragt. Uptimecheck verschickt den Alarm mit altem und neuem Wert. Das Team sperrt das Registrar-Konto, stellt den Eintrag wieder her und prüft das Zugriffsprotokoll, bevor die meisten Bestellbestätigungen des Tages fehlgeleitet worden wären.
Verlauf für Audits und Rollbacks
Jede Änderung wird mit Zeitstempel gespeichert. Geht eine Migration schief, sehen Sie genau, wie die Einträge vorher aussahen, statt aus dem Gedächtnis oder anhand eines alten Screenshots zu raten. Agenturen können mit dem Verlauf einem Kunden zeigen, was sich wann geändert hat.
Teil eines vollständigen Domain-Checks
Eine Domain braucht eine gültige Registrierung, korrekte Einträge und ein gültiges Zertifikat. Kombinieren Sie DNS-Monitoring mit dem Monitoring des Domain-Ablaufs und dem SSL-Monitoring. Zeigen Ihre Einträge auf den falschen Server, erkennen Uptime-Checks mit Antwortprüfungen meist auch das Symptom.
Welche Einträge Sie zuerst überwachen sollten
Beginnen Sie mit den Einträgen, bei denen ein Angreifer oder eine unbedachte Änderung den größten Schaden anrichten würde. NS-Einträge entscheiden, wer die Zone kontrolliert, daher ist eine Änderung dort immer einen Blick wert. A- und AAAA-Einträge entscheiden, von wo Ihre Website geladen wird. MX-Einträge entscheiden, wer Ihre E-Mails empfängt, auch E-Mails zum Zurücksetzen von Passwörtern. TXT-Einträge enthalten SPF, DKIM und DMARC, und ein gelöschter Eintrag kann Ihre Newsletter direkt in den Spam schicken. Das Monitoring der E-Mail-Authentifizierung prüft diese drei auf Fehler und auf Änderungen.
Geplante Änderungen
Ändern Sie einen Eintrag absichtlich, bestätigt der Alarm, dass die Änderung live ist und welchen Wert der Eintrag vorher hatte. Bewahren Sie den Verlauf als Teil Ihres Änderungsprotokolls auf, damit die nächste Migration auf Fakten aufbaut.
Alarme gehen in jedem Tarif per E-Mail, Slack, Microsoft Teams, Discord, Google Chat, Mattermost, Telegram, PagerDuty, ntfy, Pushover, Webhooks und Push-Benachrichtigungen raus. DNS-Monitore lassen sich auch über die REST API anlegen. Start enthält 10 DNS-Monitore, Professional 25 und Business 150.
Die Tarife beginnen bei 9 € pro Monat bei jährlicher oder 12 € bei monatlicher Abrechnung, zzgl. MwSt. Alle Tarife auf der Preisseite, oder testen Sie 14 Tage kostenlos ohne Karte.