Estimated reading time: 7 Minuten
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor einer kritischen Schwachstelle in der weit verbreiteten DNS-Software BIND. Über diese Lücke können Angreifer unter bestimmten Umständen den Datenverkehr von Nutzern unbemerkt auf falsche Ziele umleiten – etwa auf Phishing-Seiten oder Server, auf denen Schadsoftware lauert.
In diesem Artikel schauen wir uns verständlich an,
- was DNS und BIND überhaupt sind,
- was hinter der Schwachstelle steckt,
- wer betroffen ist und
- was Unternehmen und Anwender jetzt tun sollten.
Was sind DNS und BIND – und warum ist das wichtig?
Um zu verstehen, warum die Warnung des BSI so ernst zu nehmen ist, hilft ein einfaches Bild:
- Menschen merken sich Namen wie
www.der-it-blog.de. - Computer hingegen arbeiten mit IP-Adressen – also Zahlenfolgen wie
203.0.113.5. - Das Domain Name System (DNS) übersetzt Domainnamen in IP-Adressen. Es ist so etwas wie das „Telefonbuch des Internets“.
- BIND ist eine der am weitesten verbreiteten Software-Lösungen, um DNS-Server zu betreiben. Viele Internet-Provider, Unternehmen, Rechenzentren und Organisationen weltweit setzen BIND ein.
Wenn an dieser Stelle etwas manipuliert wird, kann der gesamte Internetzugriff betroffen sein. Denn wer den DNS-Server kontrolliert, hat einen sehr mächtigen Hebel in der Hand.
Die Schwachstelle in BIND: Was steckt dahinter?
Die Schwachstelle betrifft vor allem sogenannte DNS-Resolver. Das sind DNS-Server, die Anfragen von Clients (zum Beispiel PCs, Smartphones oder Servern) entgegennehmen und bei anderen DNS-Servern nachfragen, wenn sie die Antwort noch nicht kennen. Die Ergebnisse speichern sie für eine gewisse Zeit in einem Cache, um spätere Anfragen schneller beantworten zu können.
Vereinfacht gesagt passiert Folgendes:
- BIND prüft in bestimmten Situationen eingehende Antworten aus dem Netz nicht streng genug.
- Ein Angreifer kann es schaffen, gefälschte DNS-Antworten in den Cache dieses Servers einzuschleusen.
- Der DNS-Server merkt sich dann falsche Zuordnungen – zum Beispiel:
www.meine-bank.dezeigt nun auf die IP-Adresse eines Servers des Angreifers.
- Alle weiteren Nutzer, die diesen DNS-Server verwenden, bekommen die manipulierte Antwort und landen auf der falschen Seite.
Dieses Vorgehen nennt man DNS-Cache-Poisoning (also „Vergiftung“ des DNS-Zwischenspeichers). Besonders gefährlich ist, dass dabei keine Zugangsdaten oder Logins nötig sind. Die Lücke kann aus der Ferne und ohne Authentifizierung ausgenutzt werden.
Warum warnt das BSI jetzt so deutlich?
Sicherheitslücken in Software sind nichts Ungewöhnliches. Kritisch wird es aber, wenn mehrere Faktoren zusammenkommen:
- Die Schwachstelle ist öffentlich dokumentiert, inklusive technischer Details.
- Sie ist mit einer hohen Risikostufe bewertet.
- Es existiert ein Proof-of-Concept-Exploit – also ein öffentlich verfügbarer Beispielcode, der zeigt, wie sich die Lücke ausnutzen lässt.
Letzter Punkt ist besonders heikel: Ein Proof of Concept macht es auch weniger versierten Angreifern deutlich einfacher, die Schwachstelle nachzuvollziehen und für eigene Zwecke anzupassen. Entsprechend steigt die Gefahr, dass die Lücke zeitnah und breit im Internet angegriffen wird.
Darum stuft das BSI die Situation als akut ein und fordert Betreiber von DNS-Servern eindringlich zum Handeln auf.
Wer ist konkret betroffen?
Die Warnung richtet sich in erster Linie an Betreiber von DNS-Servern, nicht direkt an Privatnutzer.
Betroffen sind vor allem:
- Internet-Provider (ISPs), die BIND als DNS-Software einsetzen,
- Unternehmen, Behörden, Schulen, Hochschulen, die eigene DNS-Resolver betreiben,
- Rechenzentren und Hosting-Provider, die für ihre Kunden DNS-Dienste anbieten,
- gegebenenfalls auch autoritative DNS-Server, wenn dort versehentlich die rekursive Auflösung aktiviert ist (also wenn diese Server zusätzlich als Resolver fungieren).
Normale Anwender betreiben in der Regel keine eigenen DNS-Server. Sie sind aber indirekt betroffen, wenn der von ihnen genutzte Provider oder Arbeitgeber verwundbare BIND-Systeme einsetzt. Dann können deren Anfragen unter Umständen auf manipulierte Ziele umgeleitet werden – ohne dass sie selbst etwas installiert oder „falsch gemacht“ hätten.
Welche Versionen sind betroffen – und wie lässt sich die Lücke schließen?
Laut Hersteller sind zahlreiche Versionen von BIND 9 betroffen, darunter auch weit verbreitete Long-Term-Support-Varianten. In der Praxis gilt:
Wer BIND 9 einsetzt und in letzter Zeit keine sicheren Hersteller-Updates eingespielt hat, sollte von einer Gefährdung ausgehen.
Der Hersteller stellt für die unterstützten Versionen aktualisierte Releases bereit, welche die Schwachstelle schließen. Für ältere, nicht mehr unterstützte Versionen gibt es in der Regel keine Patches – hier sollte dringend auf eine aktuelle, gepflegte Version gewechselt werden.
Wichtig:
- Es sind keine einfachen Workarounds oder Konfigurationskniffe bekannt, die die Schwachstelle zuverlässig umgehen.
- Die empfohlene Maßnahme ist klar: Update auf eine vom Hersteller korrigierte Version.
Handlungsempfehlungen für Unternehmen und IT-Abteilungen
Für Administratoren und IT-Verantwortliche lässt sich die BSI-Warnung in eine klare To-do-Liste übersetzen.
1. Bestandsaufnahme
- Wird in der eigenen Umgebung irgendwo BIND 9 eingesetzt?
- Gibt es:
- interne DNS-Resolver,
- externe DNS-Server,
- Appliances oder Sicherheitslösungen (Firewalls, Load-Balancer), die intern BIND verwenden?
Alles, was DNS-Dienste bietet, gehört in diese Inventur.
2. Rollen und Konfiguration prüfen
- Welche Server agieren als rekursive Resolver (sie beantworten Client-Anfragen und fragen bei anderen DNS-Servern nach)?
- Gibt es autoritative DNS-Server, bei denen versehentlich Rekursion aktiviert ist? Diese Fehlkonfiguration ist besonders riskant.
- Ist der Zugriff auf Resolver ausreichend eingeschränkt oder sind sie aus dem gesamten Internet erreichbar?
3. Versionen ermitteln und gegen Herstellerinformationen abgleichen
- Versionsstände der BIND-Installationen erfassen.
- Mit den vom Hersteller veröffentlichten Informationen zu betroffenen und gepatchten Versionen vergleichen.
- Dokumentation der verwendeten Linux-Distribution oder Appliance-Hersteller prüfen (Ubuntu, Debian, Red Hat, SUSE, F5, Check Point etc.), da Pakete dort häufig etwas anders versioniert sind.
4. Patchen und Aktualisieren
- Möglichst zeitnah auf eine nicht verwundbare BIND-Version aktualisieren.
- Nach dem Update:
- Dienst neu starten,
- Logs prüfen,
- Funktionstest für DNS-Auflösung durchführen (interne und externe Domains testen).
5. Sicherheitsmaßnahmen nachschärfen
Unabhängig vom Patchen empfiehlt es sich, die generelle DNS-Sicherheit zu verbessern:
- Rekursive Resolver nur für eigene Netze anbieten (Zugriff per Firewall begrenzen).
- Wo möglich, DNS over TLS/HTTPS und DNSSEC nutzen.
- Logging und Monitoring so ausbauen, dass auffällige DNS-Muster frühzeitig auffallen (ungewöhnlich viele NXDOMAIN-Antworten, unbekannte Domains, plötzliche Änderungen).
Was können Endnutzer tun?
Privatanwender haben keine direkte Kontrolle darüber, welche DNS-Software ihr Provider oder Arbeitgeber einsetzt. Trotzdem lassen sich einige grundsätzliche Schutzmaßnahmen ergreifen:
- Updates einspielen:
Betriebssystem, Browser, Apps und Sicherheitssoftware sollten immer aktuell sein. Das schützt zwar nicht vor der eigentlichen DNS-Manipulation, reduziert aber das Risiko durch nachgelagerte Angriffe (z. B. Exploits auf gefälschten Websites). - Zertifikatswarnungen ernst nehmen:
Wenn der Browser meldet, dass ein Zertifikat ungültig oder verdächtig ist, sollte die Verbindung nicht einfach „weggeklickt“, sondern abgebrochen werden. - Misstrauen bei ungewöhnlichen Seiten:
Sieht das Online-Banking plötzlich völlig anders aus? Wird nach zusätzlichen Daten gefragt, die bisher nie nötig waren? Dann ist Vorsicht angesagt. Im Zweifel lieber den Zugriff abbrechen und die Bank über einen bekannten Kanal kontaktieren. - IT-Verantwortliche ansprechen:
Wer in einem Unternehmen mit eigener IT-Abteilung arbeitet, kann die Kollegen auf die aktuelle BSI-Warnung hinweisen – gerade dann, wenn dort viele eigene Server betrieben werden.
Fazit: DNS-Sicherheit ist Grundversorgung
Die aktuelle BSI-Warnung zur Schwachstelle in BIND zeigt einmal mehr: DNS ist ein kritischer Bestandteil der IT-Infrastruktur, auch wenn es im Alltag kaum jemand bewusst wahrnimmt. Wird hier manipuliert, kann das weitreichende Folgen haben – von Phishing-Angriffen bis hin zur Auslieferung von Schadsoftware.
Für Betreiber von DNS-Servern gilt deshalb:
- Inventur machen,
- Versionen prüfen,
- zeitnah patchen und
- die eigene DNS-Sicherheitsarchitektur kritisch hinterfragen.
Für alle anderen Nutzer heißt es: Systeme aktuell halten, Warnsignale ernst nehmen und bei ungewöhnlichem Verhalten nicht einfach weitersurfen, sondern im Zweifel nachfragen.
Sei der Erste, der das kommentiert
Kommentare sind geschlossen, allerdings sind Trackbacks und Pingbacks möglich.