DNS Server ins Internet stellen - eine gute Idee?

[Barungar]

Ich habe vor langer Zeit auch mal mit pihole angefangen zu spielen. Bin dann aber sehr schnell zu einem Cluster "echter" DNS-Server gewechselt. Mittlerweile hoste ich auf meinem eigenen DNS-Servern, sogar über 25 offizielle Domänen, bin also auch "authoritativer Namerserver". Unter anderem für .net, .com, .de, .uk, .email und .ws Domänen.

Meine Nameserver sind georedundant 1x Nameserver in Frankfurt, HE, DE, 1x Nameserver in Dallas, TX, USA und 2x Nameserver in Köln, NRW, DE - bei mir daheim. ;-) Die beiden Server bei mir daheim, halten auch zusätzlich meine "internen Zone", die nur mein LAN abdecken.

 

[RudiP]

@Barungar macht mir Angst. Der hat ja das halbe Internet bei sich zu Hause.

 

[blurrrr]

Mittlerweile hoste ich auf meinem eigenen DNS-Servern, sogar über 25 offizielle Domänen, bin also auch "authoritativer Namerserver".

Sag mal... ich bin ja nur ungern Spielverderber (), aber wenn Du öffentlich erreichbare authoritative DNS-Server betreibst... Sind die 25 Domains alle nur für "Dich"? Sobald da irgendwas für Dritte im Spiel ist...naja... ich sag mal so... Mit NIS2 (ab 06.12.2025) ist das "Cap" (Schwellwert bzgl. Anzahl Domains) weggefallen, so dass quasi "jeder" (egal ob Konzern, kleine Bude, oder einzelne Person) DNS-Betreiber mit öffentlich erreichbaren Servern (rekursive Resolver/authoritative Nameserver) NIS2-verpflichtet ist, sofern Dienste für Dritte bereitgestellt werden.

Einstufung: § 28 Absatz 1 Nr. 2 BSIG

(1) Als besonders wichtige Einrichtung gelten
...
2. ....... DNS-Diensteanbieter,

Daraus folgt: https://www.gesetze-im-internet.de/bsig_2025/__30.html

Dann wäre da noch die Meldepflicht bei Vorfällen (erste Meldung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden). Nicht zu vergessen die Registrierungspflicht beim BSI (§ 33 Absatz 6 BSIG, mittels Elster-Orga-Cert). Die Durchführungsverordnung (EU) 2024/2690 kommt mitunter auch noch dazu, usw.

Schauste vielleicht einfach mal unter https://betroffenheitspruefung-nis-2.bsi.de/ vorbei...

So unter'm Strich... Ich sag mal so... "geht eigentlich". Das meiste (wenn nicht alles) an (technischen) Vorgaben wirst Du eh schon umgesetzt haben (mehr dazu auch in der Durchführungsverordnung 2024/2690). Aber... hier in Deutschland... weisste ja... das Land der Bürokratie und des Papiers... Doku, Doku, Doku. Sprich erstmal einen Haufen Papier mit allgemeinem Zeugs bzgl. Doku (Konfiguration, Notfallplan, Risikoanalyse, Prozessbeschreibungen, usw.) zzgl. "nachweisbaren" Dingen. Sprich Dinge wie Backup-Tests dokumentieren (inkl. Datumsangaben, usw. in "regelmässigen" Intervallen) und bei Sicherheitsvorfällen sowieso.

Kommt aber auch darauf an, "wie" das ganze umgesetzt ist. Hast Du direkt Nameserver angemietet (und der Betrieb obliegt jemand anderem), bist Du eigentlich raus aus der Nummer (soweit ich weiss). Sind es allerdings nur angemietete VMs und für den Betrieb bist Du verantwortlich, ist direkt die NIS2-Umsetzung fällig, sofern das ganze auch für Dritte bereitgestellt wird.

 

[Der Eifelsachse]

Ich sehe das genau so, wie @blurrrr. (Danke für deinen Beitrag!)
Nicht alles, wozu man selbst fachlich und hinsichtlich der verfügbaren Technik in der Lage wäre, sollte man auch wirklich tun.

Kleines Beispiel:
Jeder, der "freihändig" lesen und schreiben kann, kann auch innerhalb einer halben Stunde einen eigenen, sogar funktionierenden, Mailserver aufsetzen.
Aber zum sicheren Betrieb eines derartigen Servers gehört wesentlich mehr!
Und obwohl ich mich mein halbes Arbeitsleben mit diesem und ähnlichen Problemen befasst habe, würde ich selbst "ohne Not" niemals einen derartigen Server ins Netz stellen bzw. andere User dazu animieren, selbiges zu tun. Und das hat nicht nur mit den aktuellen rechtlichem Anforderungen zu tun.

 

[Barungar]

Ich betreibe sowohl Mail-Server, als auch andere "Dienste" im Internet bereits seit über 25 Jahren. Meinen ersten selbst gehosteten Webserver habe ich im Jahr 1998 ausgesetzt. Seit dem habe ich immer, in unterschiedlicher Menge und Güte, eigene Systeme im Internet angeboten. Zu der Zeit gab es viele der heutigen "Internet Provider" noch gar nicht. Man könnte also sagen, dass ich also die "längere Erfahrung" habe.

Was das BSIG angeht, da muss ich ehrlich sagen, hab ich mir bisher keinen Kopf drum gemacht. Im dienstlichen Umfeld ist das die "Sorge" anderer Kollegen, da weiß ich zwar, dass mein Arbeitgeber unter BSIG §28 (1) fällt, und ich selbst habe indirekt auch schon Störfallmeldungen veranlasst. Aber das läuft bei uns in der Firma dann so, dass ich sage: "Okay, der akute Vorfall hier riecht für mich verdammt meldewürdig." Dann gebe ich das an das entsprechende Team weiter, und die geben mir dann als Feedback: "Nee!" oder "Danke, haben wir gemeldet, im Anhang zu Deiner Info die Meldung an BSI."

Für mich als Privatperson, die hier kein Unternehmen ist, habe ich da nicht drauf geachtet. Nach einer Prüfung der einschlägigen Gesetztestexte des BSIG sehe ich mich selbst auch noch nicht in der Situation eines "DNS-Anbieters" nach BSIG § 28 (1) Satz 2 iVm BSIG § 2 Satz 8 b. Allerdings habe ich auch mal eine schriftliche Anfrage an das BSI gestellt, mal schauen, was sie mir antworten.

Die Eingangsbestätigung habe ich schon. (Anfrage ID und meine Mail, hab ich anonymisiert.)

ind die 25 Domains alle nur für "Dich"?

Grundsätzlich bin ich Inhaber, Admin-C und Tech-C all dieser Domänen.

Ich habe/hatte (ich hab es ewig nicht mehr genutzt), sogar ein eigenes RIPE-Handle bei der RIPE, für Subnetz-Delegationen. Da ich auch schon mal Subnetz-Verantwortlich war, also autoritativer Nameserver-Betreiber für IP-Segmente.

Alles aus meiner Sicht nur Hobby bzw. Liebhaberrei.

 

[blurrrr]

Alles aus meiner Sicht nur Hobby bzw. Liebhaberrei.

Klar, dagegen sagt ja auch niemand was

Das Ding ist halt nur, dass die Limits bei NIS2 weggefallen sind (bei NIS1 waren es bei Nameservern "ab 250k Domains" und bei Resolvern "ab min. 100k Nutzer"), also durchaus Grenzen, wo man im kleinen Rahmen niemals anecken würde. Nur hat sich das mit NIS2 jetzt quasi "dramatisch" geändert, daher habe ich es auch erwähnt

 

[Barungar]

So, der Bub (ich) hat nun auch eine hochoffizielle Antwort vom BSI (Bundesamt für Sicherheit in der Informationstechnik) auf seine Anfrage, ob er nun ein DNS-Anbieter sei oder nicht.

Ich habe das Schreiben, anonymisiert und in Teilen (ohne den Sinn, Kontext oder Inhalt zu ändern) gekürzt.

Sehr geehrter Herr xxxxxx,

vielen Dank für Ihre Anfrage an das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Vielen Dank für Ihre NIS-2-Anfrage, welche wir bestmöglich beantworten möchten.
Der rein private, interne oder organisationsbezogene DNS-Betrieb ist vom BSIG nicht erfasst.

[...]

Werden DNS-Dienste als untrennbarer Teil eines Internetzugangsdienstes angeboten, ist der entsprechende Anbieter in der Regel nicht als eigenständiger DNS-Diensteanbieter zu betrachten. Autoritative DNS-Server zur Nutzung durch Dritte sind insbesondere solche, die nicht durch den zugehörigen Domaininhaber selbst betrieben werden, sondern grundsätzlich einer Vielzahl von Domaininhabern offensteht.

[...]

Mit freundlichen Grüßen

XXXXXX

Zentrale Geschäftsstelle Cybersicherheit in der Wirtschaft
Bundesamt für Sicherheit in der Informationstechnik (BSI)

Der Teil "grundsätzlich einer Vielzahl von Domaininhabern offensteht" grenzt es weiter ein. Ich interpretiere das so, dass selbst wenn ich meine "Dienste" Freunden, Verwandten oder meinem Verein anbieten würde, ich die Hürde auch noch nicht überschritten hätte.

Barungar

P.S.: Irgendwie naja... Es ist zwar gut so wie es ist, aber insgeheim hätte ich es auch "cool" gefunden, wenn ich hätte sagen können: "Mein Hobby ist nach NIS2 reguliert!"

 

[blurrrr]

Hui, da waren sie aber flott...

Der Teil "grundsätzlich einer Vielzahl von Domaininhabern offensteht" grenzt es weiter ein.

Also da weiss ich ehrlich gesagt nicht, was das soll... Es ist "ganz klar" geregelt, dass "Vielzahl" eben genau keine Rolle spielt und genau das ist der große Unterschied zu NIS1 bzgl. DNS (und das steht "so" auch nicht in NIS2). Das ist ja genau das, was ich auch schon meinte: Früher gab es ein Cap (ab 250k Domains), das ist jetzt gänzlichst verschwunden, also gilt es auch ab 1 Domain. Heisst jetzt aber auch für z.B. DynDNS-Betreiber - mit sagen wir mal 5 (vordefinierten!) Domains - dass diese auch NIS2-pflichtig sind. Könnte man dort noch einige Domains hinterlegen, bleibt es allerdings auch fraglich, ob das ganze auch zieht, nur weil man ggf. einen Glue-Record für eine eigene Subdomain (z.B. "home".domain.tld) ermöglicht.

und in Teilen (ohne den Sinn, Kontext oder Inhalt zu ändern) gekürzt.

Ich glaub Dir ja, dass Du darauf geachtet hast, aber wirklich befriedigend finde ich die Antwort jetzt nicht grade... Hab eher den Eindruck, als "hätte da mal irgendwer geantwortet" (mag mich natürlich auch irren, keine Frage)... "Eine Vielzahl" als Definition... und das in Deutschland? Glaubste doch selbst nicht... Vielleicht hast Du es ja auch so formuliert, dass Du einfach nur von "redundanten Nameservern"und "ein paar Freunden" gesprochen hast, ungeachtet der Anzahl der Domains (oder die Freunde ggf. weggelassen hast bei der Formulierung)? Nein, keine Unterstellung (nix falsches denken), ich frage mich nur, wie man sich zu solch einer lapidaren Antwort hinreissen lassen kann (und das im Bürokratie-Land schlechthin)?

Es ist zwar gut so wie es ist, aber insgeheim hätte ich es auch "cool" gefunden, wenn ich hätte sagen können: "Mein Hobby ist nach NIS2 reguliert!"

Ist doch gar kein Problem! ISO27001 kannste doch noch nachholen

EDIT: Die Frage ist natürlich auch, ob diese Antwort von BSI rechtsverbindlich ist... (Ignorantia legis non excusat und so...)

 

[Barungar]

Also da weiss ich ehrlich gesagt nicht, was das soll... Es ist "ganz klar" geregelt, dass "Vielzahl" eben genau keine Rolle spielt und genau das ist der große Unterschied zu NIS1 bzgl. DNS (und das steht "so" auch nicht in NIS2).

Doch, doch... auch das ist kodifiziert. Dafür gibt es die "Umsetzungsverordnungen" zu Gesetzen bzw. die juristischen Kommentara. Du musst das auch "juristisch" lesen... eine "Vielzahl" ist keine harte messbare Grenze, wie bei ca. 50.000.

Das ist ja das, was "Juristen" den Otto-Normale vorraus haben. Die wissen, dass das Gesetz eine Sache ist, aber auch die "Umsetzungsverordnungen" bzw. die "Kommentare" mitzuberücksichtigen sind.

Die "juristische" Vielzahl kann 2, 5, 10, 50 oder 100 sein. Es kommt nun auf die Argumentation vor Gericht an.
Da durch, dass nun keine konkrete Zahl mehr da steht, ist es im Ermessensspielraum des BSI. Und wenn Du und das BSI sich bei der Vielzahl nicht einige werden, dann wird es zum Ermessensspielraum des Verwaltungsgerichts.

 

[blurrrr]

Da durch, dass nun keine konkrete Zahl mehr da steht, ist es im Ermessensspielraum des BSI. Und wenn Du und das BSI sich bei der Vielzahl nicht einige werden, dann wird es zum Ermessensspielraum des Verwaltungsgerichts.

Jo, ist ja mal wieder ganz grosses Kino... kannst Glück haben, kannst Pech haben, nix genaues weiss man nicht, kommt dann wohl grade auf die Tageslaune des BSI/Gerichts an, oder was? Hab es aber auch grade gefunden:

Autoritative DNS-Server zur Nutzung durch Dritte sind insbesondere solche, die nicht durch den zugehörigen Domaininhaber selbst betrieben werden, sondern grundsätzlich einer Vielzahl von Domaininhabern offensteht."

(Quelle: bsi.bund.de - Fragen und Antworten zu NIS-2 - Punkt 19)

Noch schwammiger kann man es auch wieder nicht formulieren. Die harte Grenze bei NIS1 fand ich völlig in Ordnung, das war wenigstens eine klare Ansage, aber das jetzt? Hätten sie wenigstens geschrieben "ein paar", dann hätte man wenigstens noch etwas in der Größenordnung "eine handvoll" vermuten können, aber "Viel"zahl... für die einen sind 5 viel, für die anderen 50.000 (oder eben die vorherigen 250.000 ). Dann ist ja noch die Rede von Domain-"Inhabern", da würde man vermuten, dass es "zwingend" so sein muss, dass die Domains den Dritten gehören. Im Hinblick auf einen z.B. DynDNS-Dienst, würde sowas ja nun wieder Fragen aufwerfen: Kunde kann seine Einträge ja selbstständig ändern (Nutzung durch Dritte), Domain gehört aber dem Anbieter - ergo keine Domain der Benutzer. Find ich ja jetzt persönlich schon etwas "schwierig"... (KI meint dazu übrigens, dass man ganz klar NIS2-pflichtig sei in so einem Szenario).

Beim (Web-)Hosting würde ich es ja noch verstehen... Kunde kauft Webpaket samt Domain (also seins) und Anbieter stellt die DNS-Infrastruktur. Kunden können beliebig einkaufen und Anbieter stellt bereit. Aber auch hier stellt sich die Frage, was denn nun genau die "Vielzahl" ist, denn allein durch das Webhosting ist man nicht NIS2-pflichtig. Lagert man das DNS-Thema einfach an Dritte aus, wäre man da wohl aus der NIS2-Pflicht raus.

Aber... ich bin auch nicht sonderlich gut in "Juristen-Deutsch", das findet mein Hirn zu anstrengend (inkl. s. dazu x, da steht dann wieder s. dazu y1, b2, z39, wo dann wiederum auf div. Dinge verwiesen wird)