DNS Server ins Internet stellen - eine gute Idee?

[Barungar]

Ich habe vor langer Zeit auch mal mit pihole angefangen zu spielen. Bin dann aber sehr schnell zu einem Cluster "echter" DNS-Server gewechselt. Mittlerweile hoste ich auf meinem eigenen DNS-Servern, sogar über 25 offizielle Domänen, bin also auch "authoritativer Namerserver". Unter anderem für .net, .com, .de, .uk, .email und .ws Domänen.

Meine Nameserver sind georedundant 1x Nameserver in Frankfurt, HE, DE, 1x Nameserver in Dallas, TX, USA und 2x Nameserver in Köln, NRW, DE - bei mir daheim. ;-) Die beiden Server bei mir daheim, halten auch zusätzlich meine "internen Zone", die nur mein LAN abdecken.

 

[RudiP]

@Barungar macht mir Angst. Der hat ja das halbe Internet bei sich zu Hause.

 

[blurrrr]

Mittlerweile hoste ich auf meinem eigenen DNS-Servern, sogar über 25 offizielle Domänen, bin also auch "authoritativer Namerserver".

Sag mal... ich bin ja nur ungern Spielverderber (), aber wenn Du öffentlich erreichbare authoritative DNS-Server betreibst... Sind die 25 Domains alle nur für "Dich"? Sobald da irgendwas für Dritte im Spiel ist...naja... ich sag mal so... Mit NIS2 (ab 06.12.2025) ist das "Cap" (Schwellwert bzgl. Anzahl Domains) weggefallen, so dass quasi "jeder" (egal ob Konzern, kleine Bude, oder einzelne Person) DNS-Betreiber mit öffentlich erreichbaren Servern (rekursive Resolver/authoritative Nameserver) NIS2-verpflichtet ist, sofern Dienste für Dritte bereitgestellt werden.

Einstufung: § 28 Absatz 1 Nr. 2 BSIG

(1) Als besonders wichtige Einrichtung gelten
...
2. ....... DNS-Diensteanbieter,

Daraus folgt: https://www.gesetze-im-internet.de/bsig_2025/__30.html

Dann wäre da noch die Meldepflicht bei Vorfällen (erste Meldung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden). Nicht zu vergessen die Registrierungspflicht beim BSI (§ 33 Absatz 6 BSIG, mittels Elster-Orga-Cert). Die Durchführungsverordnung (EU) 2024/2690 kommt mitunter auch noch dazu, usw.

Schauste vielleicht einfach mal unter https://betroffenheitspruefung-nis-2.bsi.de/ vorbei...

So unter'm Strich... Ich sag mal so... "geht eigentlich". Das meiste (wenn nicht alles) an (technischen) Vorgaben wirst Du eh schon umgesetzt haben (mehr dazu auch in der Durchführungsverordnung 2024/2690). Aber... hier in Deutschland... weisste ja... das Land der Bürokratie und des Papiers... Doku, Doku, Doku. Sprich erstmal einen Haufen Papier mit allgemeinem Zeugs bzgl. Doku (Konfiguration, Notfallplan, Risikoanalyse, Prozessbeschreibungen, usw.) zzgl. "nachweisbaren" Dingen. Sprich Dinge wie Backup-Tests dokumentieren (inkl. Datumsangaben, usw. in "regelmässigen" Intervallen) und bei Sicherheitsvorfällen sowieso.

Kommt aber auch darauf an, "wie" das ganze umgesetzt ist. Hast Du direkt Nameserver angemietet (und der Betrieb obliegt jemand anderem), bist Du eigentlich raus aus der Nummer (soweit ich weiss). Sind es allerdings nur angemietete VMs und für den Betrieb bist Du verantwortlich, ist direkt die NIS2-Umsetzung fällig, sofern das ganze auch für Dritte bereitgestellt wird.

 

[Der Eifelsachse]

Ich sehe das genau so, wie @blurrrr. (Danke für deinen Beitrag!)
Nicht alles, wozu man selbst fachlich und hinsichtlich der verfügbaren Technik in der Lage wäre, sollte man auch wirklich tun.

Kleines Beispiel:
Jeder, der "freihändig" lesen und schreiben kann, kann auch innerhalb einer halben Stunde einen eigenen, sogar funktionierenden, Mailserver aufsetzen.
Aber zum sicheren Betrieb eines derartigen Servers gehört wesentlich mehr!
Und obwohl ich mich mein halbes Arbeitsleben mit diesem und ähnlichen Problemen befasst habe, würde ich selbst "ohne Not" niemals einen derartigen Server ins Netz stellen bzw. andere User dazu animieren, selbiges zu tun. Und das hat nicht nur mit den aktuellen rechtlichem Anforderungen zu tun.

 

[Barungar]

Ich betreibe sowohl Mail-Server, als auch andere "Dienste" im Internet bereits seit über 25 Jahren. Meinen ersten selbst gehosteten Webserver habe ich im Jahr 1998 ausgesetzt. Seit dem habe ich immer, in unterschiedlicher Menge und Güte, eigene Systeme im Internet angeboten. Zu der Zeit gab es viele der heutigen "Internet Provider" noch gar nicht. Man könnte also sagen, dass ich also die "längere Erfahrung" habe.

Was das BSIG angeht, da muss ich ehrlich sagen, hab ich mir bisher keinen Kopf drum gemacht. Im dienstlichen Umfeld ist das die "Sorge" anderer Kollegen, da weiß ich zwar, dass mein Arbeitgeber unter BSIG §28 (1) fällt, und ich selbst habe indirekt auch schon Störfallmeldungen veranlasst. Aber das läuft bei uns in der Firma dann so, dass ich sage: "Okay, der akute Vorfall hier riecht für mich verdammt meldewürdig." Dann gebe ich das an das entsprechende Team weiter, und die geben mir dann als Feedback: "Nee!" oder "Danke, haben wir gemeldet, im Anhang zu Deiner Info die Meldung an BSI."

Für mich als Privatperson, die hier kein Unternehmen ist, habe ich da nicht drauf geachtet. Nach einer Prüfung der einschlägigen Gesetztestexte des BSIG sehe ich mich selbst auch noch nicht in der Situation eines "DNS-Anbieters" nach BSIG § 28 (1) Satz 2 iVm BSIG § 2 Satz 8 b. Allerdings habe ich auch mal eine schriftliche Anfrage an das BSI gestellt, mal schauen, was sie mir antworten.

Die Eingangsbestätigung habe ich schon. (Anfrage ID und meine Mail, hab ich anonymisiert.)

ind die 25 Domains alle nur für "Dich"?

Grundsätzlich bin ich Inhaber, Admin-C und Tech-C all dieser Domänen.

Ich habe/hatte (ich hab es ewig nicht mehr genutzt), sogar ein eigenes RIPE-Handle bei der RIPE, für Subnetz-Delegationen. Da ich auch schon mal Subnetz-Verantwortlich war, also autoritativer Nameserver-Betreiber für IP-Segmente.

Alles aus meiner Sicht nur Hobby bzw. Liebhaberrei.

 

[blurrrr]

Alles aus meiner Sicht nur Hobby bzw. Liebhaberrei.

Klar, dagegen sagt ja auch niemand was

Das Ding ist halt nur, dass die Limits bei NIS2 weggefallen sind (bei NIS1 waren es bei Nameservern "ab 250k Domains" und bei Resolvern "ab min. 100k Nutzer"), also durchaus Grenzen, wo man im kleinen Rahmen niemals anecken würde. Nur hat sich das mit NIS2 jetzt quasi "dramatisch" geändert, daher habe ich es auch erwähnt