NIST DNS-Update: Was das für Ihr Unternehmen bedeutet

Kurzfassung: Am 19. März 2026 veröffentlichte NIST die SP 800-81 Revision 3, das erste Update seiner DNS-Sicherheitsrichtlinien seit 2013. Das neue Framework betrachtet DNS als aktive Sicherheitsschicht und nicht mehr nur als versteckte Infrastruktur. Für jede Organisation, die DMARC, SPF oder DKIM nutzt, ist dies unmittelbar relevant: Alle diese Protokolle sind auf die Integrität von DNS angewiesen, um zu funktionieren.

Wichtigste Erkenntnisse:

• NIST positioniert DNS nun offiziell als Policy-Enforcement-Punkt innerhalb von Zero-Trust-Architekturen, nicht nur als Auflösungsdienst.
• Hängende CNAME-Records und fehlerhafte Delegationen werden als hochriskante Angriffsvektoren hervorgehoben, die Subdomain-Übernahmen und E-Mail-Imitationen ermöglichen.
• Verschlüsselte DNS-Protokolle (DoT, DoH, DoQ) werden erstmals ausführlich behandelt, mit Warnungen vor Anwendungen, die Unternehmens-DNS-Kontrollen umgehen.
• Die kryptografischen Empfehlungen für DNSSEC verschieben sich in Richtung ECDSA und Ed25519, mit kürzeren Signatur-Gültigkeitszeiträumen von fünf bis sieben Tagen.

Das letzte Mal, dass NIST seine DNS-Sicherheitsrichtlinien aktualisiert hat, war 2013. Das war, bevor verschlüsseltes DNS zum Mainstream wurde, bevor SubdoMailing zeigte, wie hängende Records im großen Maßstab missbraucht werden können, und bevor Zero-Trust zu etwas wurde, das Teams tatsächlich implementieren mussten, statt nur darüber zu sprechen.

SP 800-81r3, veröffentlicht am 19. März 2026, schreibt das Regelwerk neu. Die alte Version behandelte DNS als Infrastruktur, die man einmal einrichtet und dann vergisst. Die neue Version sieht DNS als sicherheitsrelevante Kontrollinstanz, die Bedrohungen blockiert, Ihr SIEM speist und wie Ihre Firewall-Regeln auditiert werden sollte.

Dieser Wandel ist für alle relevant, die an E-Mail-Authentifizierung arbeiten. DMARC, SPF und DKIM leben alle im DNS. Wenn Ihr DNS unsicher ist, basiert Ihre E-Mail-Authentifizierung auf wackeligem Fundament.

Die größte konzeptionelle Veränderung in den neuen Richtlinien ist die formale Befürwortung von Protective DNS (PDNS). Das bedeutet DNS-Resolver, die nicht nur Anfragen beantworten, sondern diese auch aktiv filtern, bekannte schädliche Domains blockieren, Anfragen forensisch aufzeichnen und Erkenntnisse in das größere Sicherheitssystem einspeisen.

NIST empfiehlt eine hybride Bereitstellung: Cloud-basierte DNS-Sicherheitsdienste für Skalierbarkeit, kombiniert mit lokalen DNS-Firewalls für Ausfallsicherheit. Besonders wichtig ist, dass DNS-Protokolle nicht isoliert aufbewahrt werden sollten. Sie müssen mit SIEM-Plattformen und Asset-Tracking-Systemen korreliert werden, um verdächtige Anfragen bestimmten Geräten und Nutzern zuordnen zu können.

Das deckt sich mit unseren Beobachtungen bei Red Sift. DNS ist nicht nur der Speicherort Ihrer Records. Es ist der Bereich, in dem Fehlkonfigurationen, verlassene Subdomains und verwaiste SPF-Einträge jene Angriffsfläche schaffen, die Cyberkriminelle ausnutzen.

Eine der wichtigsten Neuerungen in SP 800-81r3 ist der explizite Hinweis auf hängende CNAME-Records und fehlerhafte Delegationen als Risiken auf Unternehmensebene. Dabei handelt es sich um DNS-Einträge, die auf Dienste verweisen, die nicht mehr existieren – genau die Art von Schwachstelle, gegen die eine reine DMARC-Durchsetzung nicht schützt.

Im Februar 2024 zeigte sich das mit SubdoMailing im großen Stil. Angreifer kaperten verlassene Subdomains und versandten Millionen betrügerischer E-Mails, die SPF- und DMARC-Prüfungen bestanden. Die Domains hatten p=reject-Policies; das machte keinen Unterschied. Der Angriff erfolgte auf der DNS-Ebene, unterhalb der Ebene, auf der Authentifizierungsprotokolle helfen könnten.

Typischer Ablauf: Eine Subdomain wird für eine Marketingkampagne über ein CNAME auf einen Drittanbieter weitergeleitet. Die Kampagne endet, das Hosting-Konto wird gekündigt, aber der DNS-Record bleibt bestehen. Ein Angreifer übernimmt das Hosting, erhält Kontrolle über die Subdomain und versendet E-Mails, die Authentifizierungsprüfungen bestehen, weil der DNS-Eintrag die Subdomain weiterhin legitimiert.

NIST empfiehlt jetzt die kontinuierliche Überwachung von Domainregistrierungen, regelmäßige Audits der DNS-Konfiguration und die Kontrolle über ausgemusterte Domains. Glücklicherweise wird DNS Guardian von Red Sifts hauseigener Erkennungs-Engine angetrieben. Diese Engine erfasst automatisch jede Domain, die an OnDMARC berichtet, und führt kontinuierliche Subdomain-Entdeckungen im Internetmaßstab durch. Sie nutzt eine Mischung aus Echtzeit-DNS-Abfragen, Überwachung von Zertifikatstransparenz, passiven DNS-Daten und eigenen Crawling-Techniken, um eine sich ständig aktualisierende Karte Ihrer DNS-Landschaft zu erstellen – inklusive riskanter oder vergessener Subdomains, von deren Existenz Sie vermutlich nichts wissen.

Die Richtlinie behandelt DNS over TLS (DoT), DNS over HTTPS (DoH) und DNS over QUIC (DoQ) erstmals ausführlich. Diese Protokolle verhindern das Abhören von DNS-Anfragen, was gut für die Privatsphäre ist. Sie bedeuten jedoch auch, dass herkömmliche Netzwerkanalysetools keinen Einblick mehr in den DNS-Verkehr bieten.

Das praktische Risiko: Browser und Anwendungen können unternehmensinterne DNS-Kontrollen vollständig umgehen, indem sie eigene verschlüsselte Resolver nutzen. DoH-Verkehr läuft über Port 443 (standardmäßiges HTTPS), was ihn besonders schwer erkennbar macht. NIST empfiehlt, nicht autorisierten DoT-Verkehr auf Port 853 zu blockieren, DoH-Endpunkte per Firewall-Regeln zu beschränken und Konfigurationen über Geräteverwaltung durchzusetzen.

Für E-Mail-Sicherheitsteams ist verschlüsseltes DNS ein zweischneidiges Schwert: Die Privatsphäre verbessert sich, aber auch die Komplexität, die Übersicht über das tatsächliche Verhalten der DNS-Infrastruktur zu behalten.

NIST aktualisiert seine Empfehlungen für DNSSEC, bevorzugt ECDSA (P-256, P-384) und Kurven-Algorithmen wie Ed25519 und Ed448 gegenüber älteren RSA-Methoden. Kleinere Schlüssel bedeuten kleinere DNS-Antworten, was dabei hilft, Paket-Fragmentierungsprobleme zu vermeiden, die in der Vergangenheit häufig bei der DNSSEC-Einführung auftraten.

Auch die betrieblichen Richtlinien werden präziser: Die Gültigkeit von Signaturen sollte fünf bis sieben Tage betragen (nicht Wochen oder Monate). Schlüssel zur Signierung sollten alle ein bis drei Jahre gewechselt werden. Private Schlüssel sollten, wenn möglich, in Hardware-Sicherheitsmodulen gespeichert werden.

Interessanter Hinweis: Auch wenn Post-Quantum-Kryptografie ein zunehmendes Thema in der Cybersicherheit ist, merkt NIST an, dass quantenresistente DNSSEC-Standards noch nicht bereit sind. Organisationen sollten sich auf die Migration vorbereiten, aber aktuell gibt es nichts zum Implementieren.