Eine Website lädt plötzlich eine fremde Login-Seite, im Router sind unbekannte DNS-Server eingetragen oder E-Mails erreichen ihre Empfänger nicht mehr. Hinter solchen Symptomen kann DNS-Hijacking stecken, also die Manipulation der Namensauflösung, die Internetadressen in technische IP-Adressen übersetzt. Ich zeige, wie der Angriff funktioniert, woran man ihn erkennt und welche Schutzmaßnahmen für Heimnetz, Smart Home und eigene Domains wirklich helfen.
Eine manipulierte DNS-Auflösung kann den gesamten Datenverkehr umleiten
- DNS-Hijacking verändert DNS-Einstellungen oder leitet Anfragen an fremde Server weiter.
- Typische Folgen sind Phishing, Malware, Datendiebstahl und Ausfälle von Websites oder E-Mail-Diensten.
- Ein Blick auf die DNS-Server im Router liefert bei Angriffen auf das Heimnetz oft den ersten Hinweis.
- DNSSEC schützt signierte Domains vor gefälschten DNS-Antworten, ersetzt aber keine sichere Kontoverwaltung.
- Nach einem Verdacht sollten Zugangsdaten nur von einem sauberen Gerät aus geändert werden.
Was beim DNS-Hijacking tatsächlich übernommen wird
Das Domain Name System, kurz DNS, funktioniert vereinfacht wie ein Telefonbuch des Internets. Gibt man eine Webadresse ein, fragt das Gerät einen DNS-Resolver nach der passenden IP-Adresse. Wird diese Zuordnung manipuliert, landet der Browser möglicherweise bei einem **fremden Server**, obwohl die eingegebene Adresse korrekt aussieht.
Der Begriff beschreibt mehrere Angriffsszenarien. Gemeinsam ist ihnen, dass der Angreifer die Vertrauenskette zwischen Nutzer, Resolver und autoritativem Nameserver stört. Ein autoritativer Nameserver verwaltet die offiziell gültigen DNS-Einträge einer Domain, während ein Resolver die Antworten für Nutzer abfragt und zwischenspeichert.
Die wichtigsten Varianten im Überblick
| Variante | Angriffspunkt | Typische Folge |
|---|---|---|
| Router- oder Geräte-Manipulation | DNS-Einstellungen im Router, Computer oder Smartphone | Alle Geräte im Netzwerk werden auf fremde Ziele umgeleitet |
| Kontenübernahme | Registrar- oder Hosting-Konto | Nameserver oder einzelne DNS-Einträge einer Domain werden geändert |
| DNS-Cache-Poisoning | Zwischenspeicher eines Resolvers | Falsche Antworten bleiben bis zum Ablauf der TTL im Cache |
| DNS-Spoofing im Netzwerk | DNS-Kommunikation zwischen Gerät und Resolver | Eine gefälschte Antwort erreicht das Gerät vor der legitimen Antwort |
| BGP- oder Routing-Hijacking | Internet-Routing zwischen Netzwerken | Verkehr wird auf Netzwerkebene über einen falschen Weg geführt |
DNS-Spoofing und Cache-Poisoning werden im Alltag oft gleichbedeutend verwendet, technisch liegen die Angriffspunkte jedoch an unterschiedlichen Stellen. Das BSI beschreibt DNS-Manipulation außerdem als Risiko, weil gefälschte Zuordnungen über den Cache für eine bestimmte Zeit weitergegeben werden können. Für Privatanwender ist vor allem wichtig, **wo die Änderung stattgefunden hat**, denn davon hängt die richtige Gegenmaßnahme ab.
Warum Angreifer DNS manipulieren und was daraus entsteht
Der große Vorteil eines DNS-Angriffs liegt in seiner Unauffälligkeit. Der Nutzer muss nicht auf eine offensichtlich falsche Adresse klicken. Er tippt die bekannte Domain ein und erhält trotzdem eine manipulierte IP-Adresse. Genau diese Kombination aus **korrekter Webadresse und falschem Ziel** macht die Methode für Phishing besonders attraktiv.
Angreifer verfolgen meist eines von vier Zielen. Sie wollen Zugangsdaten abgreifen, Schadsoftware verteilen, Werbung oder Betrugsseiten anzeigen oder den Betrieb eines Dienstes stören. Bei Unternehmen kommt häufig noch der Versuch hinzu, den E-Mail-Verkehr über manipulierte MX-Einträge umzuleiten. MX-Einträge legen fest, welche Mailserver Nachrichten für eine Domain annehmen.
| Manipuliertes Ziel | Möglicher Schaden | Worauf ich besonders achten würde |
|---|---|---|
| Webadresse | Gefälschte Login-Seite, Passwortdiebstahl | Ungewohnte Gestaltung, abweichende Zertifikatsdaten oder Warnungen |
| Software-Download | Trojaner, Fernzugriff, Ransomware | Download-Aufforderungen trotz normaler Website-Nutzung |
| MX-Eintrag | Abfangen oder Manipulieren von E-Mails | Ausbleibende Nachrichten und unbekannte Mailserver im Domain-Konto |
| Nameserver | Kontrolle über viele Einträge und Subdomains | Änderungen, die nicht von einem berechtigten Administrator stammen |
Eine HTTPS-Verbindung ist dabei hilfreich, aber kein vollständiger Schutz. Der Browser prüft das Zertifikat der Website und kann eine Fälschung erkennen. Wer Warnungen ignoriert oder der Angreifer ein gültiges Zertifikat für seine eigene Domain besitzt, ist trotzdem gefährdet. Meine klare Empfehlung lautet deshalb, **Zertifikatswarnungen niemals wegzuklicken**, besonders nicht bei Banking, E-Mail und Onlineshopping.
Auch Subdomains dürfen nicht übersehen werden. Wird die DNS-Verwaltung einer Domain übernommen, können neben der Hauptseite auch Adressen für Webmail, VPN, Cloud-Dienste oder interne Anwendungen betroffen sein. Ein Angriff auf einen einzigen Eintrag kann dadurch deutlich größere Kreise ziehen, als die erste umgeleitete Website vermuten lässt.
Woran ich eine DNS-Umleitung erkenne
Ein einzelnes Symptom beweist noch keinen Angriff. Eine Website kann wegen einer Störung, eines abgelaufenen Zertifikats oder einer fehlerhaften Weiterleitung nicht erreichbar sein. Verdächtig wird es, wenn **mehrere Geräte im selben Netzwerk** dasselbe ungewöhnliche Verhalten zeigen oder Einstellungen ohne eigenes Zutun verändert wurden.
Typische Warnzeichen im Heimnetz
- Der Router verwendet unbekannte DNS-Server, obwohl sie nie eingetragen wurden.
- Mehrere Geräte öffnen dieselbe falsche Seite oder zeigen ungewöhnliche Werbeeinblendungen.
- Banking- oder E-Mail-Seiten melden Zertifikatsfehler.
- Der Router verlangt plötzlich erneut das Administratorkennwort oder zeigt unbekannte Benutzerkonten.
- Websites funktionieren über das Mobilfunknetz, aber nicht über den heimischen Internetanschluss.
- Das Verhalten bleibt auch nach einem Browserwechsel bestehen.
Ich beginne bei einem Verdacht mit dem Router, weil dort die Wirkung am größten ist. Im Menü für Internetzugang oder DHCP lässt sich prüfen, welche DNS-Server an die Geräte verteilt werden. Bei Windows zeigt ipconfig /all die verwendeten DNS-Adressen; auf anderen Systemen findet man sie in den Netzwerkdetails.
Danach lohnt ein Vergleich über **zwei unabhängige Netzwerke**, etwa das Heim-WLAN und einen mobilen Hotspot. Löst eine Domain über beide Verbindungen auf unterschiedliche IP-Adressen auf, kann das auf eine lokale Manipulation, einen kompromittierten Resolver oder eine normale geografische Verteilung hindeuten. Der Vergleich ist deshalb ein Hinweis, kein endgültiger Beweis.
Lesen Sie auch: Brute-Force-Angriff erkennen und Konten wirksam schützen
Bei eigenen Domains genauer prüfen
Wer eine Domain betreibt, sollte im Kundenkonto des Registrars die NS-, A-, AAAA- und MX-Einträge kontrollieren. Besonders kritisch sind **ungeplante Nameserver-Änderungen**, weil sie dem Angreifer weitreichende Kontrolle geben. Ein Blick in das Änderungsprotokoll zeigt häufig, wann und über welches Konto die Anpassung vorgenommen wurde.
Bei wichtigen Diensten vergleiche ich die aktuelle Konfiguration mit einer dokumentierten Referenz. Ohne eine solche Referenz fällt es schwer zu beurteilen, ob ein Eintrag wirklich neu ist. Kleine Unternehmen sollten deshalb mindestens die erwarteten Nameserver, Mailserver und wichtigen Subdomains in einer geschützten Dokumentation festhalten.
So schütze ich Heimnetz, Router und Domain
Die wirksamste Verteidigung besteht aus mehreren Schichten. Ein alternativer DNS-Anbieter allein löst das Problem nicht, wenn der Router bereits kompromittiert ist oder das Registrar-Konto ohne Mehrfaktor-Anmeldung offensteht. Ich würde zuerst die **Verwaltungspunkte absichern** und erst danach über zusätzliche DNS-Dienste nachdenken.
| Bereich | Konkrete Maßnahme | Grenze der Maßnahme |
|---|---|---|
| Router | Firmware aktualisieren, starkes Administratorkennwort setzen, Fernzugriff deaktivieren | Schützt nicht vor bereits infizierten Endgeräten |
| DNS-Auflösung | Vertrauenswürdigen Resolver verwenden und DNSSEC-Validierung aktivieren, sofern verfügbar | DoH und DoT verschlüsseln Anfragen, beweisen aber nicht automatisch die Richtigkeit jeder Antwort |
| Domain-Konto | Mehrfaktor-Authentifizierung, sichere Wiederherstellungsadresse und Änderungsalarme aktivieren | Ein kompromittiertes E-Mail-Konto kann die Kontosicherheit trotzdem aushebeln |
| DNS-Zone | DNSSEC korrekt einrichten und Einträge regelmäßig kontrollieren | Fehlerhafte Schlüsselverwaltung kann die Domain selbst unerreichbar machen |
| Smart Home | IoT-Geräte in ein separates Netzwerk verschieben und Standardkennwörter ändern | Ältere Geräte erhalten möglicherweise keine Sicherheitsupdates mehr |
DNSSEC versieht DNS-Daten mit digitalen Signaturen, damit ein validierender Resolver gefälschte Antworten erkennen kann. Das ist für eigene Domains eine der wichtigsten technischen Maßnahmen. Sie hilft jedoch nicht, wenn ein Angreifer bereits das Registrar-Konto kontrolliert und dort legitime, aber bösartige Änderungen vornimmt.
DNS over HTTPS und DNS over TLS verschlüsseln den Transport der DNS-Anfragen. Das erschwert das Mithören und bestimmte Manipulationen auf dem Übertragungsweg. Gegen Malware, einen manipulierten Router oder einen absichtlich falschen Resolver sind diese Verfahren allein nicht ausreichend. Für mich sind sie **eine Ergänzung, kein Sicherheitsfreifahrtschein**.
Im Haushalt macht außerdem die Trennung der Geräte einen echten Unterschied. Fernseher, Kameras, Steckdosen und Sprachassistenten gehören möglichst in ein eigenes WLAN oder VLAN. So kann ein schwach geschütztes Smart-Home-Gerät nicht ohne Weiteres die DNS-Konfiguration aller Computer und Smartphones beeinflussen.
Was nach einem Verdacht sofort zu tun ist
Wer eine Manipulation vermutet, sollte die verdächtige Seite nicht weiter nutzen und dort keine Zugangsdaten eingeben. Für die nächsten Schritte verwende ich ein **bekannt sauberes Gerät** über ein anderes Netzwerk, etwa einen mobilen Hotspot. So verhindert man, dass ein infizierter Rechner neue Passwörter direkt wieder ausliest.
- Router oder betroffenes Gerät vom Internet trennen, wenn eine aktive Schadsoftware vermutet wird.
- DNS-Einstellungen, Router-Benutzer und Firmware-Version dokumentieren, bevor Änderungen vorgenommen werden.
- Router-Administrationskennwort und danach wichtige Konten ändern, jeweils mit einzigartigen Passwörtern.
- Mehrfaktor-Authentifizierung aktivieren und unbekannte Sitzungen oder Geräte abmelden.
- Bei einer eigenen Domain NS-, A-, AAAA- und MX-Einträge korrigieren und Änderungsprotokolle sichern.
- Betroffene Systeme aktualisieren, mit vertrauenswürdiger Sicherheitssoftware prüfen und bei Bedarf zurücksetzen.
Wenn Bank-, E-Mail- oder Cloud-Zugangsdaten auf einer möglicherweise gefälschten Seite eingegeben wurden, zählt jede Minute. Das Passwort sollte sofort über einen sauberen Weg geändert werden. Bei Bankdaten ist zusätzlich die Bank zu informieren, bei geschäftlich genutzten Systemen die zuständige IT-Sicherheitsstelle.
Ein Zurücksetzen des Routers kann sinnvoll sein, sollte aber nicht gedankenlos als erste Reaktion erfolgen. In Unternehmen gehen dabei wichtige Beweise und Konfigurationen verloren. Im privaten Haushalt ist ein Werksreset vertretbar, wenn die Zugangsdaten vorliegen und die Firmware anschließend aktualisiert wird. Entscheidend ist, **die Ursache zu beseitigen**, statt nur einen anderen DNS-Server einzutragen.
Der kleine Sicherheitscheck, der langfristig den größten Unterschied macht
Für ein normales Heimnetz reichen oft drei feste Gewohnheiten. Ich prüfe nach Router-Updates die DNS-Einstellungen, verwende keine Standardpasswörter und lasse die Fernverwaltung nur aktiviert, wenn sie wirklich gebraucht wird. Bei einer eigenen Domain kommen **Mehrfaktor-Anmeldung, Änderungsalarme und DNSSEC** hinzu.
DNS-Manipulation wirkt technisch kompliziert, beginnt aber häufig mit einem sehr einfachen Fehler, etwa einem gestohlenen Passwort oder einem ungepatchten Router. Wer Verwaltungskonten schützt, ungewöhnliche Umleitungen ernst nimmt und Zertifikatswarnungen nicht ignoriert, reduziert das Risiko deutlich, ohne den Alltag im vernetzten Zuhause unnötig schwer zu machen.
