DNS-RPZ: Die „DNS-Firewall“ zum Schutz vor Malware, Phishing und Betrug

Das Domain Name System (DNS) ist ein weitgehend unsichtbarer Internet-Dienst, der u. a. dafür sorgt, dass beim Klick auf einen Link die Webseite vom richtigen Webserver geladen wird, indem der Domainname zu einer IP-Adresse aufgelöst wird. Die beteiligten DNS-Server wissen dabei nicht, ob hinter einem Domainnamen legitime oder aber betrügerische Webseiten erreichbar sind. Mit DNS-RPZ (Response Policy Zone) können DNS-Server dieses Wissen erlangen, so dass Benutzer vor dem Abrufen gefährlicher Webseiten geschützt werden. Daher wird dieses System auch „DNS-Firewall“ genannt.

Mit dem Dienst DFN.Security stehen uns nun vertrauenswürdige Daten zur Verfügung. Das sind Listen des deutschen und schweizerischen Forschungsnetzes, die regelmäßig und zeitnah aktualisiert werden.  Damit können die DNS-Server der TU Chemnitz diesen Schutz ebenfalls bieten. Wir haben diese Sicherheitsmaßnahme am 19. Januar 2026 aktiviert.

DNS-RPZ hilft dabei, den Zugriff auf bekannte schädliche oder betrügerische Webseiten bereits bei der Namensauflösung zu blockieren. Das bedeutet, dass Bedrohungen wie Malware- oder Phishing-Webseiten unterbunden werden, bevor solche Webseiten überhaupt geladen werden.

Welche Geräte werden geschützt?

Voraussetzung ist, dass die PCs, Smartphones und anderen Endgeräte der Benutzer unsere zentralen DNS-Server benutzen. Dies trifft in folgenden Fällen zu:

• Ihr Gerät per Datendose am Campusnetz angeschlossen.
• Ihr Gerät ist mit eduroam verbunden und befindet sich in Chemnitz.
• Ihr Gerät hat eine aktive VPN-Verbindung mit der TU Chemnitz (außer eduVPN-Profil „Groupware only“).

Eine Änderung an den Endgeräten ist nicht notwendig.

Konkretes Beispiel: Schutz vor dem gefährlichen Klick

Sie erhalten eine E-Mail, deren Inhalt für Sie unverdächtig aussieht: Für eine Rechnung sollten Sie einen Link anklicken. Um den Domainnamen des Links in eine IP-Adresse aufzulösen, befragt Ihr Webbrowser unseren DNS-Server. Dieser findet den Domainnamen in einer Liste von Webseiten, die Schadsoftware enthalten. Der DNS-Server antwortet mit einer IP-Adresse, über die eine Informationsseite abrufbar ist: https://landingpage-mw.security.dfn.de/. Bei https wird der Webbrowser eine Zertifikatswarnung anzeigen. Die gefährliche Webseite wird jedoch keinesfalls geladen.

Warum führen wir DNS-RPZ ein?

Diese Maßnahme schützt Sie und die TU Chemnitz vor gefährlichen Webseiten, Botnet-Kommunikation und potenziellen Cyberangriffen. Durch die frühzeitige Blockierung schädlicher Inhalte verbessern wir sowohl Ihre Sicherheit als auch die Stabilität unserer IT-Infrastruktur.

Was tun bei fälschlicher Blockierung?

Falls Sie auf eine Webseite zugreifen möchten, die blockiert wird, obwohl diese aus Ihrer Sicht sicher ist, wenden Sie sich bitte an das URZ. Geben Sie dabei die Adresse der betroffenen Webseite an, damit wir diese prüfen und gegebenenfalls freischalten können.