Dangling CNAME: Subdomain-Takeover erkennen und verhindern

Was ist ein Dangling CNAME?

Ein CNAME-Record (Canonical Name) ist ein DNS-Alias: Er leitet Anfragen an eine Subdomain wie shop.firma.de an ein anderes Ziel weiter, beispielsweise firma.cdn-anbieter.net. Solange das Ziel existiert und erreichbar ist, funktioniert alles wie vorgesehen. Wird der Ziel-Service jedoch gekündigt, das Cloud-Hosting entfernt oder die SaaS-Plattform gewechselt, ohne den zugehörigen CNAME-Eintrag zu löschen, entsteht ein sogenannter Dangling CNAME: Der DNS-Eintrag zeigt ins Leere.

Das Problem liegt darin, dass der CNAME-Eintrag weiterhin aktiv ist und Anfragen an das nicht mehr existierende Ziel weiterleitet. Je nach Cloud-Provider kann ein Angreifer genau dieses Ziel neu registrieren und damit die Kontrolle über die Subdomain übernehmen. Das DNS-System arbeitet dann wie vorgesehen, nur eben für den Angreifer statt für Sie.

Besonders tückisch ist, dass Dangling CNAMEs von außen nicht sofort erkennbar sind. Die Subdomain existiert weiterhin in Ihrem DNS, zeigt aber auf einen nicht mehr kontrollierten Server. Besucher, die die Subdomain direkt aufrufen, sehen entweder eine Fehlermeldung oder, im schlimmsten Fall, eine vom Angreifer platzierte Phishing-Seite. Ohne systematisches DNS-Monitoring können solche verwaisten Einträge monatelang unentdeckt bleiben.

Wie entsteht ein Subdomain-Takeover?

Ein Subdomain-Takeover folgt typischerweise einem vorhersehbaren Ablauf:

1. Service einrichten: Ein Unternehmen richtet einen Cloud-Dienst ein und erstellt einen CNAME-Eintrag, der die Subdomain staging.firma.de auf firma.cloud-dienst.io zeigt.
2. Service kündigen: Monate oder Jahre später wird der Cloud-Dienst nicht mehr benötigt. Das Konto wird geschlossen oder die Ressource gelöscht.
3. CNAME vergessen: Der zugehörige CNAME-Eintrag wird nicht aus dem DNS entfernt. Die Subdomain zeigt nun auf ein Ziel, das nicht mehr existiert (NXDOMAIN).
4. Angreifer registriert Ziel: Ein Angreifer erkennt den verwaisten CNAME, registriert den Hostnamen firma.cloud-dienst.io beim gleichen Cloud-Anbieter und erhält damit die Kontrolle über staging.firma.de.
5. Missbrauch: Die Subdomain dient nun als Phishing-Seite, verteilt Malware oder stiehlt Session-Cookies der Hauptdomain.

Welche Cloud-Dienste sind besonders anfällig?

Nicht jeder Cloud-Dienst ermöglicht ein Subdomain-Takeover. Entscheidend ist, ob ein Angreifer nach Löschung des ursprünglichen Kontos denselben Hostnamen neu registrieren kann. Dienste mit hohem Risiko sind solche, die benutzerdefinierte Hostnamen erlauben und keine Eigentumsverifizierung der Domain durchführen, wenn ein neuer Benutzer denselben Hostnamen beansprucht.

Besonders betroffen sind Content Delivery Networks, Cloud-Hosting-Plattformen, Landing-Page-Builder und SaaS-Dienste mit Custom-Domain-Funktion. Aber auch interne Services können betroffen sein: Ein abgeschalteter Staging-Server, dessen CNAME noch existiert, oder eine alte Kampagnen-Landing-Page, deren Hosting ausgelaufen ist. Die Problematik verschärft sich in Unternehmen mit vielen Abteilungen: Marketing erstellt Landing-Pages, die IT richtet Staging-Umgebungen ein, und der Vertrieb nutzt externe Tools mit Custom-Domains. Wenn keine zentrale DNS-Verwaltung existiert, geraten aufgegebene Subdomains schnell in Vergessenheit.

Welche Risiken birgt ein Subdomain-Takeover?

Die Konsequenzen eines erfolgreichen Subdomain-Takeovers gehen weit über eine einzelne Subdomain hinaus:

• Phishing mit Vertrauensvorteil: Die übernommene Subdomain gehört zu Ihrer legitimen Domain. Phishing-E-Mails von staging.firma.de wirken dadurch glaubwürdig und passieren viele Spam-Filter.
• Session-Cookie-Diebstahl: Wenn Ihre Hauptdomain Cookies auf *.firma.de setzt (ohne Subdomain-Einschränkung), kann ein Angreifer über die übernommene Subdomain diese Cookies auslesen. Das umfasst möglicherweise Sitzungs-Tokens und Authentifizierungsdaten.
• SEO-Manipulation: Angreifer können auf der übernommenen Subdomain Spam-Inhalte oder Backlinks platzieren. Da die Subdomain zur Hauptdomain gehört, kann das negative Auswirkungen auf Ihre Suchmaschinen-Rankings haben.
• SSL-Zertifikatsmissbrauch: In manchen Fällen können Angreifer gültige SSL-Zertifikate für die übernommene Subdomain ausstellen lassen, was den Angriff noch schwerer erkennbar macht. SSL-Monitoring kann solche unerwarteten Zertifikatsausstellungen erkennen.
• Compliance-Verstöße: Wenn über eine übernommene Subdomain personenbezogene Daten gesammelt werden, drohen DSGVO-Bußgelder und Meldepflichten nach Art. 33 DSGVO.

Reale Subdomain-Takeover-Vorfälle

Subdomain-Takeover ist kein theoretisches Szenario. Im Rahmen von Bug-Bounty-Programmen werden regelmäßig verwundbare Subdomains bei namhaften Unternehmen gemeldet. Sicherheitsforscher wie Patrik Hudak haben dokumentiert, dass selbst große Technologieunternehmen und Finanzinstitute verwundbare Subdomains hatten, die über verwaiste CNAME-Records angreifbar waren (Patrik Hudak, 0xpatrik.com). Die OWASP listet Subdomain-Takeover in ihren Sicherheitsempfehlungen als bekannte Schwachstelle (OWASP).

Besonders kritisch sind Fälle, in denen Subdomains für interne Anwendungen oder Kundenportale genutzt wurden. Ein Angreifer, der eine solche Subdomain übernimmt, kann eine täuschend echte Login-Seite erstellen und Zugangsdaten abfangen. Da die URL zur echten Domain gehört, schöpfen Nutzer typischerweise keinen Verdacht. Auch E-Mail-basierte Angriffe werden glaubwürdiger: Eine Phishing-Mail, die von einer Subdomain Ihres Unternehmens zu kommen scheint, hat eine deutlich höhere Erfolgsrate als eine von einer unbekannten Domain.

Dangling CNAMEs erkennen: Manuelle und automatisierte Methoden

Manuelle Prüfung

Eine manuelle Prüfung beginnt mit der Inventarisierung aller DNS-Records. Für jeden CNAME-Eintrag wird geprüft, ob das Ziel noch auflösbar ist und ob der zugehörige Dienst noch aktiv ist. Bei wenigen Subdomains ist das machbar, wird aber bei dutzenden oder hunderten Subdomains schnell unpraktikabel. Zudem entdeckt eine einmalige Prüfung keine neuen Dangling CNAMEs, die durch spätere Service-Kündigungen entstehen. In der Praxis zeigt sich, dass manuelle DNS-Audits in der Regel nur den Ist-Zustand erfassen und keine kontinuierliche Absicherung bieten.

Automatisiertes DNS-Monitoring

Automatisiertes DNS-Monitoring löst beide Probleme: Es prüft kontinuierlich alle CNAME-Records und deren Ziele. Wenn ein CNAME-Ziel mit NXDOMAIN antwortet oder ein bekanntes Fehler-Pattern eines Cloud-Providers zurückgibt, wird sofort ein Alert ausgelöst. XICTRAQ erkennt darüber hinaus auch Änderungen an bestehenden CNAME-Records, die auf einen manuellen oder unautorisierten Eingriff hindeuten, und protokolliert alle Änderungen in einer Änderungshistorie.

Subdomain-Takeover verhindern: Schutzmaßnahmen

DNS-Monitoring als Kernbestandteil der Security-Strategie

Dangling CNAMEs sind nur ein Aspekt einer umfassenden DNS-Security-Strategie. XICTRAQ verbindet DNS-Monitoring mit Uptime-Überwachung, Security-Scans, SSL-Monitoring und DSGVO-Compliance-Checks in einer integrierten Plattform. Wenn eine Subdomain plötzlich auf einen anderen Server antwortet, erkennt XICTRAQ die Korrelation zwischen DNS-Änderung, geändertem SSL-Zertifikat und neuem Hosting-Standort.

In Kombination mit dem DNS-Hijacking-Schutz und der Domain-Ablaufüberwachung bietet XICTRAQ einen vollständigen Schutzschild für Ihre DNS-Infrastruktur. Alle DNS-Record-Typen werden überwacht: A, AAAA, CNAME, MX, NS, TXT, SPF, DMARC und CAA. Änderungen werden protokolliert und bei Abweichungen vom erwarteten Zustand wird sofort ein Alert über den bevorzugten Benachrichtigungskanal ausgelöst.

Checkliste: Subdomain-Takeover-Risiken minimieren

• DNS-Inventar erstellen: Alle Subdomains und deren CNAME-Ziele dokumentieren, einschließlich des zugehörigen Cloud-Dienstes und des internen Verantwortlichen
• Offboarding-Prozess definieren: Bei jeder Service-Kündigung muss das Entfernen der DNS-Records Teil des Deaktivierungsprozesses sein
• Automatisches DNS-Monitoring aktivieren: XICTRAQ prüft CNAME-Ziele kontinuierlich und warnt bei NXDOMAIN oder Provider-Fehlermeldungen
• Cookie-Scoping prüfen: Sicherstellen, dass Cookies nicht unnötig auf *.domain.de gesetzt werden
• CAA-Records konfigurieren: Nur autorisierte Zertifizierungsstellen dürfen Zertifikate für Ihre Domain ausstellen
• Regelmäßige Audits durchführen: Mindestens quartalsweise alle DNS-Records mit den tatsächlich genutzten Services abgleichen

Starten Sie jetzt mit DNS-Monitoring und schließen Sie die Lücke, die verwaiste CNAME-Records in Ihrer Security-Architektur hinterlassen. Die Registrierung dauert wenige Minuten, und Sie können alle Subdomains Ihrer Domain sofort überwachen lassen. Wenn Sie die Funktionen vorab testen möchten, fordern Sie eine kostenlose Demo an oder werfen Sie einen Blick auf die Preise.