Wie ein DNS-Service vor DDoS-Angriffen und Ausfällen schützt

Schnelle Website? Gutes Hosting? Sichere Infrastruktur? Die meisten Unternehmen haben alle drei Punkte abgehakt und übersehen trotzdem das eine System, das all das erst möglich macht. DNS leistet bei jedem Besuch Ihrer Website unsichtbare Arbeit. Es übersetzt den Domainnamen, den jemand in den Browser eingibt oder in einer E-Mail anklickt, in den Server, der Ihre Inhalte tatsächlich ausliefert. Niemand denkt an DNS, bis es nicht mehr funktioniert. Dann ist der Schaden bereits für jeden Kunden sichtbar, der Sie erreichen will.

In diesem Beitrag zeigen wir, was passiert, wenn die DNS-Infrastruktur versagt, und warum ein dedizierter DNS-Service solche Ausfälle verhindert. Funktionen wie Anycast-Routing, automatisierte Sicherheit und eine transparente Abrechnung machen DNS von einem versteckten Risiko zu einem verlässlichen Fundament. Wenn Sie wissen möchten, wie gut Ihr eigenes Domainportfolio aufgestellt ist, ist der kostenlose Domainportfolio-Check von EBRAND ein guter Ausgangspunkt.

Was passiert, wenn Ihr DNS ausfällt

Im vergangenen Jahr kam es bei einem weltweit tätigen DNS-Anbieter zu einer achtminütigen Unterbrechung seiner autoritativen DNS-Dienste. Ein versehentlich ausgeführter Befehl störte den Zugriff auf sein Anycast-Netzwerk, und DNS-Abfragen für die von ihm verwalteten Domains schlugen während des gesamten Vorfalls fehl. Kein Server stürzte ab. Kein Rechenzentrum fiel aus. Die Infrastruktur hinter den betroffenen Websites blieb die ganze Zeit online. Nur die DNS-Ebene antwortete nicht mehr.

Da DNS-Antworten bei vielen Resolvern zwischengespeichert werden, waren die Folgen ungleich verteilt. Besucher mit einem gecachten Eintrag erreichten die betroffenen Seiten weiterhin, ohne etwas zu bemerken. Wer in diesen acht Minuten eine neue Abfrage brauchte, bekam keine Antwort, und der Browser meldete eine völlig intakte Domain als nicht erreichbar. Acht Minuten klingen neben einem fünfzehnstündigen Ausfall harmlos, zeigen aber im Kleinen genau dasselbe. Eine Domain muss nicht erst ihren Server verlieren, um aus dem Internet zu verschwinden. Es reicht, wenn ihr DNS nicht mehr auflöst.

Der Vorfall zeigt, worauf sich jedes Unternehmen beim DNS verlassen muss. Ein DNS-Ausfall muss nicht lange dauern, um Umsatz und Vertrauen zu kosten. Er muss nur im falschen Moment den falschen Besucher treffen. Ein richtig aufgebauter DNS-Service beseitigt diese Art von Single Point of Failure vollständig. Er verteilt die Namensauflösung auf ein globales Netzwerk, sodass nie ein einzelner Befehl, ein einzelner Anbieter oder ein einzelner Standort darüber entscheidet, ob Ihre Domain erreichbar ist.

Ein DNS-Service als Sicherheitsebene

DNS wird immer mehr zu einem Sicherheitssensor statt zu einem passiven Nachschlagedienst. Ein Cybersecurity-Unternehmen hat kürzlich Ergebnisse aus der Überwachung des DNS-Verkehrs auf einer großen Sicherheitskonferenz veröffentlicht. Die Zahlen sprechen für sich. Das Team verfolgte während der Veranstaltung mehr als 76 Millionen DNS-Anfragen zu über einer Million Domains. Mithilfe dieser Transparenz auf DNS-Ebene erkannte es Phishing-Infrastruktur und Malware-Callbacks. Außerdem wurden unerlaubte Versuche, Sicherheitsrichtlinien im Netzwerk zu umgehen, in Echtzeit markiert. Die vollständige Analyse finden Sie hier.

Die Erkenntnis lässt sich direkt auf die alltägliche Infrastruktur von Unternehmen übertragen. DNS liefert Sicherheitsteams eines der klarsten Frühwarnsignale für verdächtige Aktivitäten im Netzwerk, denn jedes Gerät und jede Verbindung muss darüber laufen. Ein DNS-Service, bei dem Sicherheitsfunktionen von Anfang an mitgedacht sind, erkennt Bedrohungen früh. Wird Sicherheit erst nachträglich ergänzt, haben dieselben Bedrohungen Raum, sich zu Sicherheitsvorfällen oder Ausfällen auszuweiten. Welche Konfigurationsschritte das konkret ermöglichen, beschreibt EBRAND in seinem Beitrag zur Sicherheit von DNS-Zonen in der Praxis.

Warum die Abrechnung eines DNS-Service keine Blackbox sein sollte

DNS-Anbieter rechnen oft nach Anzahl der Abfragen ab. Tausende oder Millionen Anfragen werden gemessen und in Rechnung gestellt. Doch kaum ein Unternehmen prüft diese Zahlen tatsächlich anhand des eigenen Traffics. Für die meisten Firmen ist die DNS-Abrechnung eine Blackbox, und diese Intransparenz nützt dem Anbieter weit mehr als dem Kunden.

Ein DNS-Service muss nicht wie ein Stromzähler funktionieren. Gutes DNS-Management kann Teil Ihres Domain-Service sein und muss kein separater Posten sein, den Sie jeden Monat kontrollieren müssen. EBRAND ist überzeugt, dass DNS Ihre Infrastruktur unterstützen sollte, ohne selbst zu einem unberechenbaren Kostenfaktor zu werden. Deshalb gehören Anycast DNS mit unbegrenzten Abfragen und ein transparentes Management bei uns zum Standard und werden nicht als Premium-Zusatzleistung verkauft.

Anycast: das Rückgrat einer zuverlässigen digitalen Infrastruktur

Anycast-Routing löst das Problem der Redundanz auf IP-Ebene, mit dem klassische DNS-Konfigurationen zu kämpfen haben. Statt jede Anfrage an einen einzelnen Server oder ein einzelnes Rechenzentrum zu leiten, geht Anycast einen anderen Weg. Es leitet den Traffic an den nächstgelegenen verfügbaren Knotenpunkt in einem verteilten Netzwerk. Das bringt zwei Vorteile auf einmal. Besucher erreichen Ihre Website schneller, weil Anfragen näher an ihrem Standort aufgelöst werden. Und Ihre Infrastruktur übersteht Ausfälle einzelner Komponenten wie den oben beschriebenen, egal ob ein Rechenzentrum ausfällt oder ein einziger falsch ausgeführter Befehl den Anycast-Zugang für ein paar Minuten lahmlegt.

Anycast stärkt außerdem gezielt Ihre Abwehr gegen DDoS-Angriffe. Das Netzwerk fängt den Angriffstraffic ab und verteilt ihn, statt ihn auf ein einzelnes Ziel einprasseln zu lassen. In Kombination mit automatisiertem DNSSEC und integriertem Schutz vor Hijacking und Spoofing sorgt ein Anycast-basierter DNS-Service für echte Widerstandsfähigkeit. Für ein solches Schutzniveau waren früher erhebliche Investitionen in die eigene Infrastruktur nötig. Änderungen an DNS-Einträgen werden sofort übernommen, ohne dass jemand manuell eingreifen muss. Sicherheitsupdates und Anpassungen am Routing laufen ohne Ausfallzeit oder Verzögerung. Vollständige Redundanz geht noch einen Schritt weiter: Anycast DNS Plus läuft auf zwei voneinander unabhängigen Anycast-Netzwerken, sodass Ihr DNS auch dann weiter auflöst, wenn eines der Netzwerke Probleme hat.

Den DNS-Service zum Teil Ihrer Domainstrategie machen

DNS sollte nicht losgelöst vom Rest Ihres Domainmanagements betrachtet werden. Eine Domain, die auf DNS-Ebene schlecht abgesichert ist, untergräbt jede andere Investition. Hosting, SSL und Anwendungssicherheit bauen alle darauf auf, dass dieses Fundament hält. Der Service Corporate Domain Management von EBRAND vereint DNS, Domainregistrierung und die Sicherheit des Portfolios in einer Strategie. So behandeln Unternehmen DNS nicht länger als Nebensache, sondern als das Fundament, das es tatsächlich ist.

Wenn Sie sehen möchten, wo Ihr eigenes DNS- und Domain-Setup steht, ist die Seite zu den DNS-Services von EBRAND ein guter Einstieg. Dort finden Sie die verfügbaren Tools, darunter Anycast+ und automatische HTTPS-Weiterleitungen. Mit einem kostenlosen DNS- und HTTPS-Check sehen Sie außerdem genau, wo Lücken bestehen.