DNS-Spoofing

Definition

DNS-Spoofing bezeichnet einen Angriff, bei dem gefälschte DNS-Antworten erzeugt werden, um Anfragen nach legitimen Domainnamen auf manipulierte IP-Adressen umzuleiten. Das Ziel besteht darin, Nutzer unbemerkt auf falsche Server zu führen – beispielsweise zur Datenspionage oder zum Phishing [1].

Angriffsvektoren

1. Man-in-the-Middle (MITM): Ein Angreifer, der sich zwischen Client und

DNS-Server befindet (z. B. in öffentlichen WLANs), kann DNS-Anfragen ab- fangen und gefälschte Antworten zurücksenden [2].

1. DNS-Cache-Poisoning: Wird der Cache eines DNS-Servers manipuliert,

kann dieser falsche Zuordnungen von Domainnamen zu IP-Adressen speichern. Diese fehlerhaften Informationen können bei weiteren Anfragen an andere Cli- ents oder Server weitergegeben werden und sich kaskadenartig ausbreiten. Dies stellt ein erhebliches Sicherheitsrisiko dar, da Nutzer auf manipulierte oder ge- fälschte Webseiten umgeleitet werden können [3].

1. DNS-Hijacking: Wird ein DNS-Server kompromittiert, kann der Angreifer

alle anfragenden Clients auf gefälschte IP-Adressen umleiten – auch ohne sich im selben Netzwerk zu befinden [2].

Bedeutung für die IT-Forensik

DNS-Spoofing ist für forensische Untersuchungen relevant, da es gezielt zur Umlei- tung von Datenverkehr genutzt werden kann. Die dabei entstehenden Spuren sind oft flüchtig, da manipulierte DNS-Antworten und Cache-Einträge häufig nur temporär im Arbeitsspeicher oder in flüchtigen Caches abgelegt werden.

Beweissicherung

• Netzwerk-Mitschnitte mit DNS-Paketen (z. B. PCAP-Dateien)
• System- und DNS-Logs inklusive Zeitstempel
• Cache-Inhalte des DNS-Resolvers (sofern abrufbar)
• Konfigurationsdateien von DNS-Servern und ‑Clients
• Überprüfung der Namensauflösungsintegrität (z. B. durch Einsatz von DNS-

SEC)

Forensische Analyse

• Auswertung von DNS-Logs zur Rückverfolgung verdächtiger oder kompromit-

tierter Anfragen

• Vergleich der tatsächlichen DNS-Zuordnung mit dem Caching-Verhalten
• Analyse von TTL-Werten, um ungewöhnliche Cache-Dauern oder gezielte Ma-

nipulationen zu erkennen

Forensische Tools zur DNS-Spoofing-Analyse

1. Wireshark: Analyse von DNS-Anfragen und -Antworten (u. a. Transaction-

ID, UDP-Port, Antwortquelle)

1. DNS Monitoring Tools: Kontinuierliche Überwachung von DNS-Anomalien,

Antwortzeiten und verdächtigen Domains (z. B. Nagios, SolarWinds) [4]

Literatur

[1] Claudia Eckert: IT-Sicherheit – Konzepte, Verfahren, Protokolle, 11. Auflage, Springer Vieweg, 2023, Kapitel 3.4, S. 190–192.

[2] Jörg Schwenk: Sicherheit und Kryptographie im Internet – Theorie und Praxis, 5. Auflage, Springer Vieweg, Kapitel 15.2.1, S. 407–408.

[3] BSI: APP.3.6 DNS-Server, IT-Grundschutz-Kompendium, Edition 2021, S.�7. Abgerufen am 03.07.2025, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/ IT-GS-Kompendium_Einzel_PDFs_2021/06_APP_Anwendungen/APP_3_6_DNS_ Server_Edition_2021.pdf

[4] DNSstuff: DNS Monitoring Tools, abgerufen am 03.07.2025, https://www.dnsstuff.com/dns-monitoring-software