DNS-Spoofing
Definition
DNS-Spoofing bezeichnet einen Angriff, bei dem gefälschte DNS-Antworten erzeugt werden, um Anfragen nach legitimen Domainnamen auf manipulierte IP-Adressen umzuleiten. Das Ziel besteht darin, Nutzer unbemerkt auf falsche Server zu führen – beispielsweise zur Datenspionage oder zum Phishing [1].
Angriffsvektoren
- Man-in-the-Middle (MITM): Ein Angreifer, der sich zwischen Client und
DNS-Server befindet (z. B. in öffentlichen WLANs), kann DNS-Anfragen ab- fangen und gefälschte Antworten zurücksenden [2].
- DNS-Cache-Poisoning: Wird der Cache eines DNS-Servers manipuliert,
kann dieser falsche Zuordnungen von Domainnamen zu IP-Adressen speichern. Diese fehlerhaften Informationen können bei weiteren Anfragen an andere Cli- ents oder Server weitergegeben werden und sich kaskadenartig ausbreiten. Dies stellt ein erhebliches Sicherheitsrisiko dar, da Nutzer auf manipulierte oder ge- fälschte Webseiten umgeleitet werden können [3].
- DNS-Hijacking: Wird ein DNS-Server kompromittiert, kann der Angreifer
alle anfragenden Clients auf gefälschte IP-Adressen umleiten – auch ohne sich im selben Netzwerk zu befinden [2].
Bedeutung für die IT-Forensik
DNS-Spoofing ist für forensische Untersuchungen relevant, da es gezielt zur Umlei- tung von Datenverkehr genutzt werden kann. Die dabei entstehenden Spuren sind oft flüchtig, da manipulierte DNS-Antworten und Cache-Einträge häufig nur temporär im Arbeitsspeicher oder in flüchtigen Caches abgelegt werden.
Beweissicherung
- Netzwerk-Mitschnitte mit DNS-Paketen (z. B. PCAP-Dateien)
- System- und DNS-Logs inklusive Zeitstempel
- Cache-Inhalte des DNS-Resolvers (sofern abrufbar)
- Konfigurationsdateien von DNS-Servern und ‑Clients
- Überprüfung der Namensauflösungsintegrität (z. B. durch Einsatz von DNS-
SEC)
Forensische Analyse
- Auswertung von DNS-Logs zur Rückverfolgung verdächtiger oder kompromit-
tierter Anfragen
- Vergleich der tatsächlichen DNS-Zuordnung mit dem Caching-Verhalten
- Analyse von TTL-Werten, um ungewöhnliche Cache-Dauern oder gezielte Ma-
nipulationen zu erkennen
Forensische Tools zur DNS-Spoofing-Analyse
- Wireshark: Analyse von DNS-Anfragen und -Antworten (u. a. Transaction-
ID, UDP-Port, Antwortquelle)
- DNS Monitoring Tools: Kontinuierliche Überwachung von DNS-Anomalien,
Antwortzeiten und verdächtigen Domains (z. B. Nagios, SolarWinds) [4]
Literatur
[1] Claudia Eckert: IT-Sicherheit – Konzepte, Verfahren, Protokolle, 11. Auflage,
Springer Vieweg, 2023, Kapitel 3.4, S. 190–192.
[2] Jörg Schwenk: Sicherheit und Kryptographie im Internet – Theorie und Praxis,
5. Auflage, Springer Vieweg, Kapitel 15.2.1, S. 407–408.
[3] BSI: APP.3.6 DNS-Server, IT-Grundschutz-Kompendium, Edition 2021, S.�7.
Abgerufen am 03.07.2025,
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/
IT-GS-Kompendium_Einzel_PDFs_2021/06_APP_Anwendungen/APP_3_6_DNS_
Server_Edition_2021.pdf
[4] DNSstuff: DNS Monitoring Tools, abgerufen am 03.07.2025, https://www.dnsstuff.com/dns-monitoring-software
