Domain- und DNS-Sicherheit Warum Domain-Sicherheit klare Zuständigkeiten braucht

Anbieter zum Thema

united-domains GmbH

G DATA CyberDefense AG

WatchGuard Technologies GmbH

IT, Marketing und externe Dienstleister teilen sich oft die Arbeit an den Domains eines Unternehmens. Zum Risiko wird das, wenn unklar ist, wer wofür zuständig ist. Das betrifft auch Systemhäuser, die für Kunden Domains betreuen.

Eine verdächtige E-Mail können Mitarbeiter erkennen, eine manipulierte Unternehmensdomain kaum. Umso wichtiger ist die Frage, wer die Domains eines Unternehmens kennt, verwaltet und ändern darf.

Die Antwort auf diese Frage ist oft über mehrere Abteilungen verteilt. Aber für die Domain-Sicherheit kann genau das zur Schwachstelle werden. Während die IT die technische Infrastruktur verantwortet, nutzt das Marketing Domains für Kampagnen und Produkte. Hinzu kommen externe Dienstleister, die für Website, Shop oder E-Mail eigene Zugänge zum Domainanbieter erhalten. Das macht die Rollenverteilung schnell unübersichtlich. Stephan Schmidt, Geschäftsführer des Anbieters United-Domains, betont: „Gerade für kritische Domains muss eindeutig sein, wer die Verantwortung trägt und wer im Ernstfall Entscheidungen treffen kann.“

Angriff ohne Einbruch ins Firmennetz

Bei Domainanbietern legen Unternehmen fest, wohin die eigenen Websites und E-Mails führen. „Wenn Angreifer Zugriff auf den Registrar-Account oder die DNS-Konfiguration erlangen, setzt der Angriff an einer ganz anderen Stelle an“, erklärt Schmidt. Gelingt Angreifern dort die Anmeldung, müssen sie also nicht ins Unternehmensnetz eindringen, um Schaden anzurichten. Website-Besucher landen dann zum Beispiel auf einer gefälschten Seite, oder Mails werden umgelenkt. Weil alles unter der echten Unternehmensdomain läuft, fällt das auch Awareness-geschulten Mitarbeitern nicht sofort auf.

Awareness über Phishing hinaus

„Phishing-Schulungen sind wichtig, aber sie decken nur einen Teil der Angriffsfläche ab“, so Schmidt. Mitarbeiter sollten zusätzlich lernen, dass eine bekannte Adresse oder ein gültiges Zertifikat nicht gleich beweist, dass eine Seite echt und vertrauenswürdig ist. Auffälligkeiten wie ungewöhnliche Weiterleitungen oder veränderte Login-Seiten sollten sie genauso melden wie verdächtige E-Mails, rät Schmidt. Selbst bewerten müssen Mitarbeiter den Fall nicht. Entscheidend ist, dass sie wissen, an wen sie sich wenden können, damit die Zuständigen den Hinweis prüfen.

Zuständig ist nicht automatisch die IT. Wer Domains registriert, ihre Einstellungen ändert oder anderen Zugang gewährt, trägt Verantwortung. „Nicht jeder braucht dasselbe technische Wissen. Aber alle Beteiligten sollten ihre jeweilige Verantwortung kennen“, sagt der Geschäftsführer.

IT-BUSINESS Podcast – Folge 20

IT ImPuls: Security Awareness – Human Firewall statt Human Error

Drei Grundlagen der Domain-Sicherheit

Bevor Unternehmen über weitere Schutzmaßnahmen nachdenken, sollten laut Schmidt drei Grundlagen stehen:

• 1. Überblick über den eigenen Domain-Bestand: Schützen lässt sich nur, was man kennt. Unternehmen sollten deshalb wissen, welche Domains sie haben, wo diese registriert sind, wofür sie genutzt werden und wer sich darum kümmert. Dabei kann ein sauberes Domain-Lifecycle-Management helfen, das sämtliche Zuständigkeiten und technische Abhängigkeiten festhält. Schmidt betont, dass „das Ende des Lifecycles“ besonders wichtig sei. „Eine Domain einfach auslaufen zu lassen, weil eine Kampagne oder ein Projekt beendet ist, kann neue Risiken schaffen.“

• 2. privilegierte Zugänge schützen: Wer sich beim Domainanbieter anmelden kann, hat weitreichende Rechte. Diese Zugänge brauchen deshalb denselben Schutz wie Admin-Konten. Jede Person bekommt ein eigenes Konto, die Anmeldung läuft über Multi-Faktor-Authentifizierung, und jeder erhält nur die Rechte, die er wirklich braucht.

• 3. klare Prozesse für Änderungen und Sicherheitsvorfälle: Es sollte klar geregelt sein, wer Änderungen freigeben darf. Außerdem muss festgelegt sein, wer handelt, wenn eine Domain oder ein Zugang kompromittiert ist.

Schnelle Entscheidungen brauchen klare Wege

Den größten Beratungsbedarf sieht Schmidt beim dritten Punkt, Prozessaufbau, also „dort, wo aus technischen Möglichkeiten ein funktionierender Ablauf werden soll“. Ein Monitoring kann zwar melden, dass sich an einer Domain etwas verändert hat. Ob das kritisch ist und wer den Fall bewertet, ist damit aber noch nicht geklärt. Wichtig sei, dass ein Unternehmen mit solchen Informationen schnell und strukturiert umgehen kann. „Im Ernstfall bleibt keine Zeit, Verantwortlichkeiten erst zu klären“, warnt Schmidt.

Unter Awareness fällt damit mehr als nur Phishing. Mitarbeiter sollten lernen, unter anderem auch auffällige Seiten mit bekannter Adresse zu melden. Und wer Domains verwaltet, braucht ein tieferes Verständnis dafür, was eine Änderung auslösen kann. Das betrifft auch Systemhäuser und Managed Service Provider. Viele registrieren und pflegen die Domains ihrer Kunden und haben damit selbst weitreichende Zugänge.

(ID:50974098)