So analysieren Sie DNS-Einträge auf Sicherheit

Antwort zuerst

Konzentrieren Sie sich zuerst auf TXT-Einträge: Das Vorhandensein von SPF und DMARC ist ein schneller Plausibilitätscheck gegen E-Mail-Spoofing. Prüfen Sie dann A/AAAA/MX/NS auf Delegierungsbedenken.

Record-Typen, die wichtig sind

1. Host-Einträge (A / AAAA / CNAME)

Bestätigen Sie, dass erwartete Hosts wie vorgesehen auflösen und keine unerwarteten CNAME-Ketten ein Übernahmerisiko erzeugen (ein verwaister CNAME zu einem nicht beanspruchten Dienst ist ein echter Hijacking-Vektor). Vergleichen Sie aufgelöste IPs mit dem, was die Organisation tatsächlich veröffentlicht.

2. Mail-Routing (MX)

Prüfen Sie, dass MX-Einträge auf Ihren vorgesehenen Mail-Anbieter zeigen und keine veralteten Server übrig sind. Unerwartete MX-Ziele bedeuten, dass E-Mails der Domäne von Infrastruktur angenommen werden können, die der Domäneninhaber nicht kontrolliert.

3. TXT: SPF

Achten Sie auf v=spf1 ... — es deklariert, welche Server E-Mail für die Domäne senden dürfen. Fehlendes SPF bedeutet, dass gefälschte E-Mails von der Domäne plausibel sind. Ein gültiges SPF sollte kurz genug für eine einzelne DNS-Antwort sein (die 10-Lookup-Grenze) und wo möglich mit -all (Hard Fail) statt ~all (Soft Fail) enden.

4. TXT: DMARC

Prüfen Sie _dmarc.<domain> auf v=DMARC1. Die Richtlinie (p=none|quarantine|reject) teilt Empfängern mit, was mit nicht ausgerichteter E-Mail zu tun ist. Ohne DMARC fehlt Empfängern die Richtlinienvorgabe, und Spoofing bleibt unerkannt. Achten Sie auf rua=/ruf=-Meldeadressen, damit Fehlschläge tatsächlich sichtbar werden.

5. Delegierung und ungewöhnliche Muster

• NS: Nameserver sollten dem Domäneninhaber oder einem erwarteten DNS-Anbieter gehören — nicht einem unzusammenhängenden Dienst.
• PTR: Reverse-Einträge, die nicht zur Domäne passen, sind in Botnetzen und C2-Hosting üblich.
• TXT ohne SPF/DMARC: TXT-Einträge, die nur Domänenverifizierungszeichenketten sind (z. B. google-site-verification), schützen nicht gegen Spoofing.
• Sehr kurze TTLs (Sekunden bis Minuten) über die Infrastruktur hinweg sind ein Merkmal angreiferkontrollierter Domänen, obwohl auch legitime CDNs sie verwenden.

6. Im Kontext verifizieren

DNS-Ergebnisse ändern sich; gleichen Sie sie mit Ihrem autorisierenden Anbieter ab. Nutzen Sie eine schreibgeschützte Abfrage und behandeln Sie Ergebnisse als ein Signal. Kombinieren Sie DNS-Befunde mit der Header-Analyse — eine Domäne, die im Header SPF/DMARC nicht besteht und in DNS keinen DMARC-Eintrag hat, ist mit hoher Wahrscheinlichkeit gefälscht.

Untersuchungspfad

Domain
   ↓
DNS Lookup
   ↓
A / AAAA / MX / TXT / NS / CNAME / PTR
   ↓
SPF · DMARC verdicts
   ↓
Related domains · resolved IPs
   ↓
IOC Lookup
   ↓
Correlate with header evidence
   ↓
Phishing Defense Checklist

Nützliche Werkzeuge

• DNS-Abfrage — Einträge abfragen und fehlende SPF/DMARC-Einträge aufdecken.
• E-Mail-Header-Analyzer — empfangene Header gegen Authentifizierungsergebnisse prüfen.
• IOC-Abfrage — aufgelöste IPs und verwandte Domänen prüfen.
• URL-Analyzer — URLs inspizieren, die über die Domäne auflösen.