So können Unternehmen das Risiko einer Subdomain-Übernahme mindern

Was ist eine Subdomain-Übernahme?

Cyberkriminelle überwachen das Internet sorgfältig nach öffentlich zugänglichen Informationen zu DNS-Zoneneinträgen, um Subdomain-Übernahmen, auch bekannt als Subdomain-Hijacking, durchzuführen. Es handelt sich um eine Cyberbedrohung, bei der Angreifende die Kontrolle über eine authentische Subdomain übernehmen, die nicht mehr genutzt wird, und anschließend die vergessenen oder falsch konfigurierten „dangling“ DNS-Einträge geschickt nutzen, um eigene Inhalte auf der zuvor verwendeten Zone zu hosten.

Unschuldige Webnutzer:innen gelangen auf diese Subdomains, die mit schädlichen Inhalten der Kriminellen geladen sind – und das, ohne dass der Angreifende in die Infrastruktur eines Unternehmens oder ein Konto eines Drittanbieters eindringen muss. Abgesehen von Reputationsschäden und Vertrauensverlust bei Kunden:innen kann eine Subdomain-Übernahme zu noch gravierenderen Daten- und Sicherheitsverletzungen führen.

Was verursacht eine Sicherheitslücke bei der Übernahme von Subdomains?

Große Unternehmen mit vielfältigen Markenportfolios und internationalen Aktivitäten sind sich oft nicht über das Ausmaß ihres digitalen Fußabdrucks bewusst. Im Laufe der Zeit sammeln sich digitale Aufzeichnungen an, die „Rauschen“ erzeugen und die grundlegende Cyberhygiene und Verwaltung erschweren. Dieser Mangel an Übersicht macht Organisationen anfälliger für Cyberkriminelle.

Das Problem verschärft sich durch dezentralisierte Verwaltung oder Personalwechsel. Marketingfachleute können beispielsweise eine Marke oder Kampagne einstellen und eine Website deaktivieren, aber die zugehörigen DNS-Einträge unverändert lassen. Diese Einträge enthalten Anweisungen zur Handhabung von Domainnamen und werden von Administratoren oft nicht gelöscht, da sie befürchten, etwas Wichtiges zu entfernen. Dies führt zu „dangling“ DNS – inaktiven Zonen, die nicht mehr auf gültige Inhalte verweisen und dem Risiko eines Subdomain-Hijackings ausgesetzt sind.

Subdomain-Hijacking vs. andere Arten von DNS-Angriffen

Während die Übernahme von Subdomains auf bestimmte Subdomains abzielt, unterscheiden sich andere DNS-bezogene Bedrohungen hinsichtlich ihres Umfangs und ihrer Methoden.

• DNS-Hijacking umfasst unbefugte Änderungen an DNS-Auflösungspfaden, die in der Regel durch die Kompromittierung eines DNS-Anbieters, eines Nameservers oder einer Netzwerkinfrastruktur erfolgen. Angreifer:innen nutzen diese Technik, um den Datenverkehr umzuleiten, die Kommunikation abzufangen oder die Domainfunktion zu unterbrechen. Letzteres betrifft oft eine ganze Domain und nicht nur eine Subdomain.

• DNS-Poisoning manipuliert DNS-Resolver-Caches, um falsche DNS-Einträge zu speichern, Nutzer:innen auf bösartige Websites umzuleiten oder Dienstunterbrechungen zu verursachen, bis der Cache gelöscht oder abgelaufen ist.

Risiken einer Subdomain-Übernahme

Subdomain-Hijacking kann für Unternehmen mehrere ernsthafte Risiken mit sich bringen, darunter:

1. Datenpannen. Sobald Cyberkriminelle die Kontrolle übernehmen, können sie auf vertrauliche Informationen wie Kundendaten, Geschäftsgeheimnisse oder Anmeldeinformationen zugreifen. Dies kann insbesondere in Branchen, die mit personenbezogenen oder Finanzdaten umgehen, zu finanziellen Verlusten, rechtlichen Sanktionen und regulatorischen Problemen führen.

2. Phishing-Kampagnen. Gekaperte Subdomains können Phishing-Seiten hosten, die echt aussehen, und Nutzer:innen dazu verleiten, sensible Daten wie Passwörter oder Zahlungsinformationen preiszugeben. Dies gefährdet sowohl das Unternehmen als auch seine Kunden:innen.

3. Markenschaden. Böswillige Nutzung einer Subdomain, wie das Hosten von Schadprogrammen oder Betrugsaktionen, kann Ihre Reputation beeinträchtigen und dazu führen, dass Kunden:innen und Partner:innen das Vertrauen verlieren.

4. Suchmaschinenoptimierung (SEO) und Traffic-Manipulation. Hijacker können den Traffic auf schädliche Websites umleiten oder irreführende Inhalte fördern. Dies beeinträchtigt Umsatz, Nutzerinteraktionen und SEO-Maßnahmen, was langfristige Sichtbarkeitsprobleme verursacht.

5. Rechtliche und Compliance-Probleme. Werden gekaperte Subdomains für illegale Aktivitäten genutzt, können Unternehmen wegen unzureichender Sicherheitsmaßnahmen mit Bußgeldern oder Strafen konfrontiert werden, insbesondere wenn Kundendaten betroffen sind.

6. Finanzielle Verluste. Reputationsschäden, Anwaltskosten und Wiederherstellungsmaßnahmen können teuer werden und die Gesamtleistung des Unternehmens beeinträchtigen.

Vertrauen wiederherzustellen, Sicherheitslücken zu schließen und die Folgen eines Sicherheitsvorfalls zu bewältigen, kann sehr kostenintensiv sein.

So können Unternehmen Subdomain-Übernahmen verhindern

Es gibt einige Schritte, die Sie unternehmen können, um das Risiko von Subdomain-Hijacking zu mindern.

1. Regelmäßige Subdomain-Überprüfung. Überprüfen Sie regelmäßig, ob ungenutzte Subdomains vorhanden sind, und entfernen Sie diese. Dies gilt insbesondere für Subdomains, die mit Cloud- oder externen Diensten verknüpft sind, die nicht mehr genutzt werden.

2. DNS-Eintragsverwaltung. Identifizieren und löschen Sie „dangling“ CNAME- oder A-Einträge, die auf nicht mehr vorhandene Ressourcen verweisen.

3. Zugriffskontrolle und Deaktivierungsrichtlinien. Sie sollten festlegen, wer Subdomains erstellen und verwalten darf, und einen formellen Deaktivierungsprozess etablieren. So stellen Sie sicher, dass Subdomains und zugehörige Einträge ordnungsgemäß entfernt werden, wenn sie nicht mehr benötigt werden.

4. Subdomain-Überwachung. Implementieren Sie ein robustes Überwachungstool, das DNS-Änderungen verfolgt, Schwachstellen erkennt und eine unbefugte Nutzung in Echtzeit meldet.

Subdomain-Überwachung