Was ist ein Subdomain Takeover?

Ein Subdomain Takeover entsteht durch einen verwaisten DNS-Eintrag. Eine Unternehmens-Subdomain zeigt auf einen Cloud-Dienst, Hosting-Anbieter oder Storage Bucket, dessen Ressource gelöscht oder freigegeben wurde. Kann ein anderer Kunde dieselbe fehlende Ressource beim Anbieter registrieren, liefert der Angreifer Inhalte unter der vertrauenswürdigen Subdomain aus.

Die Auswirkungen hängen von Subdomain und Browserkontext ab. Angreifer hosten Phishing-Seiten, schädigen die Reputation oder missbrauchen Cookies und Vertrauensbeziehungen. Ein DNS-Eintrag allein beweist die Ausnutzbarkeit nicht: Der referenzierte Anbieter muss die Registrierung der freien Ressource tatsächlich erlauben.

Wie verhindern Unternehmen Takeover?

• - DNS-Einträge entfernen oder ändern, bevor die zugehörige externe Ressource gelöscht wird.
• - Verantwortliche für DNS-Einträge dokumentieren und die Einträge kontinuierlich prüfen.
• - Funde anhand des anbieterspezifischen Verhaltens verifizieren, nicht nur anhand einer allgemeinen Fehlermeldung.
• - Neue und vergessene Subdomains im Rahmen von EASM überwachen.

DNS-Beispiel: Verwaister CNAME

campaign.example.com.  CNAME  old-project.hosting-provider.example.

Wird old-project beim Anbieter gelöscht, der CNAME aber beibehalten, kann die Subdomain weiterhin auf dessen Plattform zeigen. Gefährlich wird das erst, wenn ein fremder Kunde genau diese Ressourcenkennung erneut registrieren und eine gültige Antwort dafür ausliefern kann. Eine reine DNS-Auflösung oder anbietertypische Fehlerseite ist deshalb ein Hinweis, aber noch kein vollständiger Nachweis.

Sicherer Abschaltablauf:

1. Traffic und Abhängigkeiten der Subdomain prüfen
2. DNS-Eintrag entfernen oder auf ein kontrolliertes Ziel umstellen
3. Ablauf der DNS-TTL abwarten und Auflösung kontrollieren
4. Erst danach die externe Ressource löschen
5. Inventar, Zertifikate und Monitoring aktualisieren

Wie wird ein möglicher Takeover verifiziert?

Eine Prüfung verbindet DNS-Kette, Anbieterkennung und tatsächliches Registrierungsverhalten. Sie kontrolliert CNAME-, A-, AAAA- und NS-Einträge, folgt Weiterleitungen und betrachtet auch Zertifikatsausstellung sowie HTTP-Antworten. Die fremde Ressource sollte ohne ausdrückliche Freigabe nicht registriert werden: Dadurch könnten reale Besucher beeinflusst und fremde Daten verarbeitet werden. Für einen Bericht genügt häufig ein reproduzierbarer, anbieterspezifischer Nachweis, dass die Ressource frei und der Unternehmens-DNS-Eintrag weiterhin aktiv ist.

Warum ist Asset Management hier wichtig?

Takeover entstehen häufig bei Migrationen oder nach Projektende. DNS und externer Dienst werden an verschiedenen Stellen verwaltet. Eine Seite wird gelöscht, die andere vergessen. Klare Zuständigkeiten und ein sauberer Abschaltprozess schließen diese Lücke. Besonders relevant sind Marketingkampagnen, Testumgebungen und SaaS-Integrationen, deren Lebensdauer kürzer als die der zentral verwalteten DNS-Zone ist.