Was ist eine Subdomain?

Einfach erklärt

Eine Subdomain ist ein Name unterhalb Ihrer Domain, etwa shop.ihre-firma.de oder portal.ihre-firma.de. Ist die Domain Ihr Firmengelände, sind Subdomains die einzelnen Gebäude darauf. Jedes kann zu einem anderen Dienst führen: die Website zum Hoster, der Shop zum Shopanbieter, das Ticketsystem zu einem eigenen Server. Auch das bekannte „www“ ist eine Subdomain.

Was Sie wissen sollten

Subdomains kosten nichts extra. Sie entstehen durch einen Eintrag im DNS Ihrer Domain und werden nicht bei einer Vergabestelle registriert. Ihr IT-Dienstleister kann sie deshalb jederzeit anlegen und wieder entfernen.

Für Ihre Kunden wirkt eine Subdomain vertrauenswürdig, weil Ihr Firmenname darin steht. Genau das nutzen Angreifer, wenn eine vergessene Subdomain noch auf einen gekündigten Dienst zeigt: Wer diesen Dienst neu bucht, kann unter Ihrem Namen eine eigene Seite zeigen.

Was Sie tun können

• Eine Liste führen, welche Subdomains es gibt, wofür sie da sind und wer sie betreut.
• Beim Kündigen eines Dienstes auch den zugehörigen Eintrag im DNS löschen lassen.
• Einmal im Jahr prüfen lassen, ob jede Subdomain noch zu einem aktiven Dienst führt.

Achtung: Gefälschte Mails können auch von erfundenen Subdomains wie rechnung.ihre-firma.de kommen. Ihr DMARC-Eintrag sollte deshalb auch Subdomains abdecken.

Was eine Subdomain nicht ist

Eine Subdomain ist keine eigene Domain mit eigenem Inhaber. Sie gehört immer zu Ihrer Domain und läuft mit ihr aus. Kündigen Sie die Hauptdomain, sind alle Subdomains mit weg.

Abgrenzung

Nach RFC 9499 ist ein Name Subdomain eines anderen, wenn er auf dessen Namen endet. Verglichen werden ganze Labels: a.b.ihre-firma.de und b.ihre-firma.de sind Subdomains von ihre-firma.de, xihre-firma.de ist es nicht. Streng genommen ist damit auch ihre-firma.de eine Subdomain von de.

Eine Subdomain entsteht durch einen Eintrag in der eigenen Zone, durch Delegation an andere Nameserver oder durch einen Wildcard-Eintrag:

shop.ihre-firma.de.      3600  IN  CNAME  ihre-firma.shop-anbieter.example.
portal.ihre-firma.de.    3600  IN  A      203.0.113.20
intern.ihre-firma.de.    3600  IN  NS     ns1.anderer-anbieter.example.
*.kunden.ihre-firma.de.  3600  IN  A      203.0.113.30

Ein Wildcard nach RFC 4592 greift nur für Namen, die in der Zone nicht existieren.

Zertifikate, Cookies und DMARC

• Ein Wildcard-Zertifikat für *.ihre-firma.de deckt nach RFC 9525 genau eine Ebene ab: shop.ihre-firma.de ja, test.shop.ihre-firma.de und ihre-firma.de selbst nein.
• Ein Cookie mit Domain=ihre-firma.de schickt der Browser an alle Subdomains (RFC 6265 Abschnitt 4.1.2.3). Eine übernommene Subdomain bekommt solche Cookies also mit.
• DMARC wendet ohne sp= die Richtlinie aus p= auch auf bestehende Subdomains an. Für nicht existierende Subdomains gilt np=, ersatzweise sp= oder p= (RFC 9989).

Typische Fehler

• Dangling DNS. Ein CNAME zeigt auf eine gelöschte Ressource bei einem Cloud- oder SaaS-Anbieter. Wer dort denselben Namen neu anlegt, übernimmt die Subdomain (Subdomain Takeover).
• Vergessene Delegation. NS-Einträge zeigen nach einer Kündigung noch auf die Nameserver des alten Anbieters. Kann dort ein anderer Kunde die Zone anlegen, beantwortet er die Anfragen.
• Interne Namen öffentlich. Öffentlich vertraute Zertifikate werden in Certificate-Transparency-Logs eingetragen (RFC 6962). Subdomains wie vpn. oder test. sind damit für jeden auffindbar.
• Ein Wildcard-Zertifikat auf vielen Servern. Wird einer davon kompromittiert, ist der Schlüssel für alle Subdomains betroffen.

Prüfen

dig +short CNAME shop.ihre-firma.de
dig +short NS intern.ihre-firma.de
curl -s 'https://crt.sh/?q=%25.ihre-firma.de&output=json' | jq -r '.[].name_value' | sort -u

Die letzte Zeile listet alle Namen, für die je ein Zertifikat in den Logs aufgetaucht ist. Jeden davon gegen das eigene Verzeichnis abgleichen. Antwortet ein CNAME-Ziel mit einer Fehlerseite des Anbieters, sollte der Eintrag sofort geprüft werden.