Subdomain-Abuse: Wenn vergessene Subdomains zur Waffe werden
Subdomain-Abuse (auch Subdomain-Takeover) ist ein Angriffsvektor, bei dem Cyberkriminelle ungenutzte oder falsch konfigurierte Subdomains eines Unternehmens übernehmen. Da die Subdomain zur legitimen Domain des Unternehmens gehört, umgeht der Angreifer damit viele Sicherheitsmaßnahmen: SSL-Zertifikate sind gültig, Spam-Filter stufen die Domain als vertrauenswürdig ein, und Mitarbeiter wie Kunden vertrauen der URL. Subdomain-Takeover zählt zu den am schnellsten wachsenden Angriffsvektoren — und wird von den meisten Unternehmen drastisch unterschätzt.
Wie funktioniert Subdomain-Takeover?
Der typische Ablauf:
1. **Reconnaissance**: Der Angreifer identifiziert alle Subdomains eines Unternehmens (z.B. durch DNS-Enumeration, Certificate Transparency Logs)
2. **Erkennung verwaister DNS-Einträge**: Subdomains, die auf Cloud-Dienste zeigen (AWS, Azure, Heroku, GitHub Pages), deren Accounts aber gelöscht wurden
3. **Übernahme**: Der Angreifer erstellt einen neuen Account beim Cloud-Dienst und beansprucht die verwaiste Subdomain
4. **Ausnutzung**: Phishing-Seiten, Credential-Harvesting oder Malware-Distribution über die Subdomain
Häufige Ursachen für verwaiste Subdomains:
- Alte Marketing-Kampagnen mit dedizierten Landing Pages
- Entwicklungs- oder Staging-Umgebungen, die nicht mehr genutzt werden
- Migrationen von On-Premises auf Cloud-Dienste
- Ehemalige Partnerintegrationen oder APIs
- Deaktivierte SaaS-Tools mit Custom-Domain-Konfiguration
Schutzmaßnahmen
Effektiver Schutz gegen Subdomain-Abuse umfasst:
- **DNS-Audit**: Regelmäßige Inventarisierung aller DNS-Einträge und Subdomains
- **Dangling-Record-Prüfung**: Automatisierte Checks, ob DNS-Einträge auf nicht mehr existierende Ressourcen zeigen
- **Change-Management**: Prozesse für das Deprovisioning von Subdomains bei Projekt- oder Service-Ende
- **Certificate Transparency Monitoring**: Überwachung der CT-Logs auf unerwartete Zertifikatsausstellungen für Ihre Subdomains
- **Wildcard-DNS vermeiden**: Keine Wildcard-DNS-Einträge verwenden, die Angreifern das Leben erleichtern
RisikoMonitor überwacht Ihre DNS-Infrastruktur kontinuierlich und erkennt verwaiste DNS-Einträge, bevor Angreifer sie ausnutzen können.
RisikoMonitor Subdomain-Monitoring
Unser System inventarisiert automatisch alle Subdomains Ihrer Domain über DNS-Enumeration und Certificate Transparency Logs. Verwaiste DNS-Einträge und potenzielle Takeover-Risiken werden sofort gemeldet.
Kostenlose Domain-Analyse anfordern
Wir zeigen Ihnen, welche Lookalike-Domains für Ihr Unternehmen bereits existieren.
Häufig gestellte Fragen
Wie finde ich heraus, ob meine Subdomains gefährdet sind?▾
RisikoMonitor führt automatische DNS-Audits durch und prüft alle Subdomains auf verwaiste Einträge. Alternativ können Sie manuell prüfen, ob Ihre DNS-Einträge auf aktive Ressourcen zeigen.
Weitere Bedrohungen
Homoglyph-Angriffe
Unicode-Zeichen, die echten Buchstaben zum Verwechseln ähneln — die heimtückischste Form des Domain-Betrugs.
Bitsquatting
Bit-Flips im RAM erzeugen fehlerhafte DNS-Anfragen — Angreifer fangen diesen Traffic mit vorregistrierten Domains ab.
Combo-Squatting
Markenname + Keyword wie 'login' oder 'secure' — die häufigste Form des Domain-Squattings.
TLD-Swap
Ihre Domain unter .net, .co oder .shop — TLD-Verwechslung ist eine der einfachsten Squatting-Methoden.