DNS-Monitoring + DNSSEC + SPF/DKIM/DMARC-Watcher
DNS-Records, DNSSEC-Status, MX/SPF/DKIM/DMARC und den Domain-Ablauf aus dem Registry-Verzeichnis (RDAP) kontinuierlich überwachen — Änderungen landen mit altem und neuem Wert im Changelog, eine geänderte CAA-Sperre und der nahende Ablauf lösen einen Alarm aus.
Eine abgelaufene Domain oder ein geänderter DNS-Record kann Ihre gesamte Online-Präsenz lahmlegen. XICTRAQ überwacht Ihre DNS-Konfiguration kontinuierlich: A-, CNAME-, MX-, TXT- und NS-Records, das Domain-Ablaufdatum aus dem Registry-Verzeichnis (RDAP) und E-Mail-Authentifizierung über SPF, DKIM und DMARC. Änderungen an A-, AAAA-, MX-, NS- und TXT-Records hält XICTRAQ mit altem und neuem Wert im Changelog fest; eine geänderte CAA-Sperre, fehlende E-Mail-Authentifizierung und der nahende Domain-Ablauf lösen einen Alarm aus -- bevor Ihre Domain versehentlich abläuft. Ob überhaupt ein Ablaufdatum vorliegt, entscheidet die Vergabestelle: generische Endungen geben es heraus, .de-Domains laufen gar nicht ab, und einige Länderendungen nennen es nicht. XICTRAQ zeigt in diesem Fall den Grund statt einer leeren Zeile.
Funktionen von DNS-Monitoring + DNSSEC + SPF/DKIM/DMARC-Watcher
DNS-Record-Überwachung
Kontinuierliche Prüfung aller DNS-Records (A, AAAA, CNAME, MX, TXT, NS, SOA). Änderungen an A, AAAA, MX, NS und TXT stehen mit altem und neuem Wert im Changelog; A-, AAAA- und NS-Wechsel sind als Warnung markiert, weil sie auf DNS-Hijacking hindeuten können.
Domain-Ablauf-Warnung
Warnungen 30 und 7 Tage vor Ablauf der Domain-Registrierung, sofern die Vergabestelle ein Ablaufdatum herausgibt (RDAP). .de-Domains sind unbefristet und haben keines, .at bietet keine öffentliche Abfrage, .ch und .li antworten ohne Datum — dort steht der Grund statt eines Datums. Registrar- und Nameserver-Wechsel werden unabhängig davon erkannt.
SPF/DKIM/DMARC-Validierung
Prüfung der E-Mail-Authentifizierungs-Records auf Korrektheit und Best Practices. Erkennung von fehlenden oder fehlerhaften SPF-, DKIM- und DMARC-Einträgen.
Registry-Änderungs-Tracking
Überwachung der Eckdaten aus dem Registry-Verzeichnis: Registrar und Ablaufdatum, soweit die Vergabestelle sie herausgibt. Ein Registrar-Wechsel erscheint als Warnung im Changelog, weil er auf einen unautorisierten Transfer hindeuten kann.
Nameserver-Übersicht
Der Scan listet die Nameserver der Domain mit IP-Adresse und Betreiber. Ein Wechsel der Nameserver steht mit altem und neuem Wert im Changelog.
DNS-Propagations-Tracking
Nach einer geplanten DNS-Änderung zeigt XICTRAQ den Propagationsstatus weltweit an. Verifizierung, dass die neuen Records auf allen wichtigen DNS-Servern angekommen sind.
Certificate-Transparency-Watch
Wertet öffentliche Certificate-Transparency-Logs (technische Quelle: crt.sh) aus und meldet neu ausgestellte Zertifikate, deren Hostname auf Ihre Marke, eine Lookalike-Variante oder ein Marken-Keyword passt — oft schon, bevor die Angreifer-Domain im DNS auflöst. Inklusive eigenem Zertifikats-Inventar zur Schatten-IT-Erkennung. Ab Business-Plan.
So funktioniert es
Domain hinzufügen
Geben Sie Ihren Domainnamen ein. XICTRAQ ermittelt automatisch alle DNS-Records, den Registry-Eintrag (RDAP) und E-Mail-Authentifizierungs-Einstellungen und erstellt ein Baseline-Profil.
Benachrichtigungskanäle festlegen
Alle Record-Typen überwacht XICTRAQ ohne weitere Einstellung, die Ablaufwarnungen kommen 30 und 7 Tage vorher. In den Benachrichtigungs-Einstellungen legen Sie fest, über welche Kanäle die Alarme Sie erreichen.
Änderungen im Changelog
XICTRAQ prüft Ihre DNS-Records alle 6 Stunden (Free: alle 24 Stunden) und zeigt jede Änderung mit altem und neuem Wert im Changelog. Eine geänderte CAA-Sperre meldet XICTRAQ zusätzlich als Alarm.
Certificate-Transparency-Watch
Jedes öffentlich vertrauenswürdige TLS-Zertifikat landet in den Certificate-Transparency-Logs (CT-Logs). XICTRAQ wertet diese als technische Quelle über crt.sh aus und gleicht neu ausgestellte Zertifikate täglich gegen Ihre Marke ab — eine echte Frühwarnung gegen Phishing- und Marken-Missbrauch, oft bevor die Angreifer-Domain überhaupt im DNS auflöst.
Marken-Matching mit vier Treffer-Arten
Neue Zertifikate werden gegen den Apex (eigene Domain/Subdomains), Lookalike-Varianten und Marken-Keywords gematcht. Jeder Treffer trägt eine Einstufung: exact (eigene Domain), lookalike (Tippfehler-Variante), substring (Ihre Marke im Hostnamen einer fremden Domain) oder homoglyph (verwechselbare Unicode-Zeichen).
Risk-Score und gezielter Alert
Jeder Treffer erhält aus mehreren Risk-Faktoren einen Score von 0 bis 100. Treffer ab Score 50 lösen einmalig einen Alert über Ihre konfigurierten Kanäle aus. Bereits gesichtete Treffer lassen sich ausblenden, sodass nur echte neue Verdachtsfälle in der Liste bleiben.
Oft vor der DNS-Auflösung
Angreifer beantragen ihr TLS-Zertifikat meist, bevor die Phishing-Seite live geht. Weil das Zertifikat sofort in den CT-Logs auftaucht, sehen Sie die Vorbereitung häufig Stunden bis Tage früher als über reine DNS-Beobachtung.
Eigenes Zertifikats-Inventar (Schatten-IT)
Parallel pflegt XICTRAQ ein Inventar aller für Ihre eigene Domain ausgestellten Zertifikate. So decken Sie vergessene Test- oder Schatten-IT-Systeme auf, die ohne Wissen der zentralen IT ein Zertifikat angefordert haben.