Malte ZanderInhalt
DNS-Einträge zeigen, wohin eine Domain zeigt und wer sie betreibt. Der A-Eintrag führt zum Server und damit zum Hoster, der NS-Eintrag zum DNS-Anbieter, der MX-Eintrag verrät, ob die Domain E-Mails empfangen kann, und TXT-Einträge enthalten oft Absenderregeln und Bestätigungscodes, die Domains miteinander verbinden. Fragen Sie alle Einträge ab, sichern Sie das Ergebnis mit Zeitstempel und wiederholen Sie die Abfrage, denn DNS ändert sich schnell.
- Die grundlegenden Eintragstypen wie A, NS, MX, CNAME, SOA und TXT sind seit 1987 im Standard RFC 1035 festgelegt (RFC 1035).
- CAA-Einträge legen fest, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen (RFC 8659).
- SPF-Regeln, die festlegen, welche Server im Namen einer Domain E-Mails senden dürfen, stehen in TXT-Einträgen (RFC 7208).
- Registrierungsdaten generischer Domains liefert seit dem 28. Januar 2025 maßgeblich RDAP. Sie ergänzen das Bild aus dem DNS (ICANN).
Warum sind DNS-Einträge für Ermittlungen wichtig?
Weil eine Fake-Seite ohne DNS nicht funktioniert. Jede Domain braucht Einträge, die Browser und Mailserver zu den richtigen Servern führen. Diese Einträge sind öffentlich, und sie verraten viel: wo die Seite liegt, wer das DNS betreibt, ob der Betreiber E-Mails verschicken oder empfangen will und manchmal, welche anderen Domains zum selben Betreiber gehören. Anders als das Impressum einer Fälschung lügen DNS-Einträge nicht, denn sie müssen funktionieren.
Welche Einträge zählen und was verraten sie?
| Eintrag | Was er festlegt | Was er Ihnen sagt |
|---|---|---|
| A und AAAA | IPv4- und IPv6-Adresse des Servers | Führt zum Hoster oder CDN |
| NS | Die Nameserver der Domain | Wer das DNS betreibt: Registrar, CDN oder eigener Anbieter |
| MX | Die Mailserver der Domain | Ob die Domain E-Mails empfangen kann |
| TXT | Freie Texte, etwa Absenderregeln und Bestätigungscodes | Versandabsichten, Verbindungen zu Diensten und anderen Domains |
| CNAME | Ein Alias auf einen anderen Namen | Oft der Hinweis auf eine Plattform, etwa einen Baukasten oder Shop-Dienst |
| CAA | Zugelassene Zertifizierungsstellen | Selten bei Fälschungen gesetzt, aber ein Hinweis auf Sorgfalt |
| SOA | Primärer Nameserver und Zonendaten | Technische Angaben des DNS-Betreibers |
Was verraten MX-Einträge?
Ob der Betreiber mit E-Mail plant. Eine Lookalike-Domain mit MX-Eintrag kann Antworten auf Phishing-Mails empfangen, etwa wenn Opfer auf eine gefälschte Rechnung antworten. Sie kann auch für Betrug per E-Mail genutzt werden, bei dem jemand im Namen Ihrer Firma an Kunden oder Lieferanten schreibt. Eine Domain ohne Webseite, aber mit MX-Eintrag ist deshalb kein harmloser Fund. Melden Sie sie und warnen Sie bei Bedarf Ihre Kunden und Partner.
Was verraten TXT-Einträge?
Zweierlei. Erstens stehen dort SPF-Regeln, die festlegen, welche Server im Namen der Domain senden dürfen (RFC 7208). Eine sorgfältig eingerichtete SPF-Regel auf einer frischen Lookalike-Domain zeigt, dass jemand E-Mails verschicken will, die durch Spamfilter kommen sollen. Zweitens hinterlassen viele Dienste Bestätigungscodes in TXT-Einträgen, etwa zur Verifizierung bei Analyse- oder Mail-Diensten. Taucht derselbe Code auf mehreren Domains auf, gehören sie wahrscheinlich zum selben Konto und damit zum selben Betreiber. Mehr zu solchen Verbindungen in Fälle verknüpfen.
Was verraten NS- und CNAME-Einträge?
Wer zuständig ist. Die NS-Einträge zeigen den DNS-Anbieter. Steht dort ein CDN wie Cloudflare, läuft die Domain über dessen Dienste, und Ihre Meldung braucht den Weg über das CDN. Steht dort der Registrar, kann er Einträge selbst entfernen. Ein CNAME auf eine Plattform verrät, dass die Fälschung bei diesem Dienst liegt, etwa bei einem Shop-Baukasten. Dann ist die Plattform Ihr direkter Ansprechpartner. Wie Sie den Hoster finden, zeigt Hosting-Anbieter finden.
Wie fragen Sie DNS-Einträge ab?
Mit Bordmitteln oder Webwerkzeugen. Auf der Kommandozeile liefern dig oder nslookup jeden Eintragstyp einzeln, im Web zeigen zahlreiche DNS-Werkzeuge alle Einträge auf einmal. Drei Regeln machen die Ergebnisse belastbar:
Alle Typen abfragen, nicht nur A. Die interessanten Hinweise stehen oft in MX und TXT.
Die genaue Subdomain prüfen, die im Phishing-Link stand. Subdomains können eigene Einträge haben.
Mit Zeitstempel sichern. Speichern Sie die vollständige Ausgabe mit Datum, Uhrzeit und Zeitzone. Betreiber ändern Einträge oft, und eine spätere Abfrage zeigt dann ein anderes Bild.
Wie verfolgen Sie DNS über die Zeit?
Indem Sie regelmäßig abfragen und die Ergebnisse vergleichen. Ein Wechsel der IP-Adresse kann einen Umzug zu einem anderen Hoster bedeuten, etwa nach einem Takedown. Ein neuer MX-Eintrag kann die nächste Stufe einer Kampagne ankündigen. Spezialisierte Dienste sammeln DNS-Antworten über lange Zeiträume und zeigen die Geschichte einer Domain. Für die meisten Fälle reichen aber eigene, protokollierte Abfragen zu den wichtigen Zeitpunkten: beim Fund, vor jeder Meldung und nach dem Takedown.
Wie hilft AI Fraud Protect?
AI Fraud Protect fragt für jeden Fund die DNS-Einträge ab, ermittelt Hoster, DNS-Anbieter und CDN und nimmt alles mit Zeitstempel in das Beweispaket auf. Die Meldungen an die zuständigen Stellen werden vorbereitet, und ein Mensch prüft und versendet jede Nachricht. Neue Funde werden mit früheren Fällen abgeglichen.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Ist eine Domain ohne A-Eintrag harmlos?
Nicht unbedingt. Ohne A-Eintrag gibt es keine Webseite, aber ein MX-Eintrag kann trotzdem E-Mails ermöglichen. Und Einträge lassen sich jederzeit nachtragen. Beobachten Sie solche Domains.
Darf ich DNS-Einträge fremder Domains abfragen?
Ja. DNS ist ein öffentliches System, und Abfragen sind sein normaler Zweck.
Warum sehe ich andere Einträge als ein Kollege?
Wegen Zwischenspeichern, Geo-DNS oder einer Änderung zwischen den Abfragen. Notieren Sie deshalb immer Zeit und Ort der Abfrage.
Kann ein DNS-Anbieter eine Fake-Seite abschalten?
Er kann die Einträge entfernen, dann ist die Seite unter dieser Domain nicht mehr erreichbar. Das ist ein guter Hebel, wenn der Registrar langsam reagiert.
Quellen
RFC 1035: Domain Names, Implementation and Specification, November 1987
RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record
ICANN: Start von RDAP, Ende von WHOIS, 27. Januar 2025