|
22.07.2026
12:00 Uhr
|
Angriffe auf den DNS-Verkehr bedrohen auch Intranets. Mit DNS over HTTPS beseitigt Microsoft diese Angriffsfläche jetzt in Window Server 2025.
DNS-Abfragen liefen lange über unverschlüsselte UDP- und TCP-Pakete auf Port 53. Ein Mitleser auf dem Netzwerkpfad erkennt die abgefragten Namen, kann Antworten verfälschen und Geräteverbindungen zu manipulierten Zielen umlenken. Für Browser und Clientbetriebssysteme stehen verschlüsselte Verfahren seit einigen Jahren bereit. Die Serverrolle des Windows-DNS-Dienstes, auf die Unternehmensnetze mit Microsoft-Lösungen oft für die interne Auflösung angewiesen sind, blieb von diesem Schutz bislang ausgenommen – mit Windows Server 2025 ändert sich das jetzt.
Microsoft rüstet DNS over HTTPS (DoH) für die Windows-DNS-Serverrolle mit dem kumulativen Update vom 9. Juni (KB5094125) nach. Mit DoH lässt sich der DNS-Verkehr zwischen Windows-11-Clients und dem internen DNS-Server erstmals durchgängig verschlüsseln. Das Verfahren ähnelt dem in anderen Betriebssystemen, es gibt jedoch Besonderheiten beim Konfigurieren zu beachten und diese erste Ausbaustufe hat Grenzen.
Der unverschlüsselte Transport von DNS-Daten ist – auch im Intranet des Unternehmens – ein Sicherheitsrisiko. Wer den Datenweg zwischen einem Client und seinem Resolver kontrolliert, liest sämtliche Anfragen mit und gewinnt damit ein detailliertes Bild über das Verhalten von Nutzern und Systemen. Über gefälschte Antworten leiten Angreifer Verbindungen auf eigene Infrastruktur um (DNS-Spoofing, DNS Cache Poisoning). Ein aktueller Deployment Guide des NIST ordnet DNS als kritischen und zugleich exponierten Bestandteil der Netzarchitektur ein und empfiehlt die Verschlüsselung des internen und externen DNS-Verkehrs, wo immer machbar.