Protective DNS: der Layer, den viele übersehen
7 Min. Lesezeit
Bevor eine Schadsoftware ihren Steuerserver erreicht, stellt sie eine DNS-Anfrage. Bevor ein Mitarbeiter auf einer gefälschten Login-Seite landet, löst sein Rechner deren Domain auf. Fast jeder Angriff macht an einer Stelle halt, die viele Unternehmen nie filtern: beim DNS. Protective DNS schließt genau diese Lücke, und es ist einer der billigsten Sicherheits-Layer.
Das Wichtigste in Kürze
- DNS ist der gemeinsame Nenner: Malware-Steuerung, Phishing und Datenabfluss beginnen fast immer mit einer Namensauflösung. Wer DNS nicht filtert, lässt die früheste Erkennungsstufe ungenutzt liegen.
- Protective DNS blockt an der Wurzel: Ein gehärteter Resolver gleicht jede Anfrage gegen Bedrohungsdaten ab und stoppt bekannte Steuerserver, frisch registrierte Domains und Phishing-Seiten, bevor die Verbindung überhaupt steht.
- Verschlüsseltes DNS ist die Achillesferse: DNS over HTTPS umgeht den Unternehmens-Resolver und damit den Filter. Wer diesen Kanal nicht kontrolliert, hebelt die eigene Schutzschicht aus.
Verwandt:ITDR neben SIEM und EDR: Detection-Architektur 2026 / Edge-Gerät als Ransomware-Tor: Warum MFA am VPN nicht reicht
Warum Angreifer über DNS gehen
DNS ist das Adressbuch des Internets. Jede Verbindung beginnt damit, dass ein Name in eine Adresse übersetzt wird. Das gilt für den Aufruf einer Website genauso wie für eine Schadsoftware, die nach der Infektion ihren Steuerserver kontaktiert. Genau deshalb ist DNS der eine Punkt, an dem fast jede Angriffskette vorbeikommt, ob beim Phishing, beim Nachladen von Schadcode oder beim heimlichen Abfluss von Daten.
Die meisten Schutzmaßnahmen setzen später an. Der Virenscanner prüft die Datei, die Firewall den Datenverkehr, das EDR das Verhalten auf dem Endpunkt. Die DNS-Anfrage davor läuft in vielen Netzen ungefiltert durch, oft direkt an einen öffentlichen Resolver. Damit verschenkt man die Chance, einen Angriff zu stoppen, bevor er überhaupt eine Verbindung aufbaut.
Diese Erkennungsstufe ist nicht nur früh, sie ist auch billig. Wer DNS ohnehin betreibt, und das tut jedes Unternehmen, kann den Schutz oft mit der vorhandenen Infrastruktur nachrüsten. Das macht Protective DNS zu einem der wenigen Sicherheits-Layer mit gutem Verhältnis von Aufwand zu Wirkung.
Was ist Protective DNS? Protective DNS ist ein DNS-Resolver, der jede Namensauflösung gegen Bedrohungsdaten abgleicht und Anfragen zu bekannten bösartigen Domains blockiert oder umleitet. Statt eine gefährliche Adresse zurückzugeben, antwortet er mit einer Sperrseite. Behörden wie das BSI und Sicherheitsdienste in mehreren Ländern empfehlen den Ansatz ausdrücklich.
Was ein gehärteter Resolver blockt
Ein Protective-DNS-Dienst arbeitet mit Sperrlisten, die aus laufend aktualisierten Bedrohungsdaten gespeist werden. Technisch setzt er das oft über Response Policy Zones um, also Regeln, die definierte Domains gar nicht erst auflösen. Der praktische Nutzen liegt in den Kategorien, die er abdeckt, und in den blinden Flecken, die er bewusst offen lässt.
Was Protective DNS leistet
- Blockt bekannte Steuerserver von Schadsoftware
- Stoppt Phishing- und Typosquatting-Domains
- Greift bei frisch registrierten Domains früh ein
- Liefert wertvolle Logs für die Erkennung kompromittierter Hosts
Wo die Grenzen liegen
- Unbekannte, brandneue Domains rutschen durch
- Direkte Verbindungen per IP-Adresse umgehen das DNS
- Verschlüsseltes DNS hebelt den Filter aus
- Kein Ersatz für EDR, Patchen und Segmentierung
Protective DNS ist also kein Allheilmittel, sondern eine Schicht im Stapel. Sie nimmt früh und günstig viel Last von den späteren Stufen, ersetzt sie aber nicht. Genau diese Einordnung entscheidet darüber, ob die Einführung als Sicherheitsgewinn oder als trügerische Beruhigung endet.
Die Lücke, die verschlüsseltes DNS reißt
Der größte praktische Stolperstein hat einen unscheinbaren Namen: DNS over HTTPS. Moderne Browser und viele Anwendungen können ihre DNS-Anfragen verschlüsselt und direkt an einen externen Anbieter schicken, vorbei am Unternehmens-Resolver. Aus Sicht des Datenschutzes ist das gewollt. Aus Sicht der Verteidigung ist es ein Loch, denn der eigene Protective-DNS-Filter sieht diese Anfragen nie.
Auch Schadsoftware nutzt diesen Weg zunehmend, gerade um Filter zu umgehen. Wer Protective DNS einführt, ohne verschlüsseltes DNS zu kontrollieren, sperrt die Vordertür und lässt das Fenster offen. Das ist die Stelle, an der ich schon Setups gesehen habe, die auf dem Papier sauber aussahen und in der Praxis nichts hielten.
Die Gegenmaßnahmen sind bekannt, brauchen aber Disziplin: Den eigenen Resolver als einzig erlaubten DNS-Pfad erzwingen, externes verschlüsseltes DNS auf der Firewall sperren und Ausnahmen bewusst und dokumentiert vergeben. Ohne diesen Schritt bleibt der schönste Filter wirkungslos.
So führen Sie Protective DNS ein
Die Einführung ist überschaubar, wenn man die Reihenfolge einhält. Wer mit dem Blockieren beginnt, bevor er weiß, was im eigenen Netz normal ist, produziert vor allem Störungen und verbrannte Akzeptanz.
