Was ist DNSSEC und wie funktioniert es?

DNSSEC versieht DNS-Daten mit digitalen Signaturen. Ein validierender Resolver kann eine gefälschte Antwort oder eine unterbrochene Vertrauenskette erkennen. DNSSEC schützt Herkunft und Integrität von Einträgen, verschlüsselt aber keine DNS-Anfragen und macht eine Website nicht automatisch vertrauenswürdig.

Wie funktioniert die Vertrauenskette?

Der Betreiber der Zone signiert Einträge mit einem privaten Schlüssel und veröffentlicht DNSKEY- und RRSIG-Einträge. Die übergeordnete Zone enthält einen DS-Eintrag, der sie mit dem Schlüssel der untergeordneten Zone verbindet. Ein validierender Resolver folgt der Kette von einer vertrauenswürdigen Root bis zur Antwort. Korrekt signierte Daten akzeptiert er, und bei einer unterbrochenen Kette kann er einen Fehler zurückgeben. RFC 4033 beschreibt Zweck und Grenzen von DNSSEC.

Auch der Nachweis, dass ein Eintrag nicht existiert, kann authentifiziert werden, sodass ein Angreifer eine negative Antwort nicht einfach ersetzen kann. Die meisten Besucher sehen Signaturen nie direkt; das Ergebnis hängt davon ab, ob ihr Resolver sie validiert. Ein DNSSEC-Schalter in einem Kontrollpanel allein beweist nicht, dass der DS in der übergeordneten Zone, die veröffentlichten Schlüssel und die Signaturen auf jedem autoritativen Server zusammenpassen.

Was schützt DNSSEC und was nicht?

Mit Validierung erschwert DNSSEC unbemerkte Veränderungen an DNS-Antworten. Es verbirgt den abgefragten Namen nicht vor dem Resolver und verschlüsselt den Verkehr zu ihm nicht; DoH und DoT lösen ein anderes Problem, nämlich den Datenschutz beim Transport. DNSSEC ersetzt auch weder ein TLS-Zertifikat noch seriöse Website-Inhalte, den Schutz des Registrar-Kontos oder eine sorgfältige Zonenverwaltung.

Veröffentlicht der Domaininhaber eine falsche Adresse, kann DNSSEC genau diese falsche Adresse zuverlässig authentifizieren. Pflegen Sie korrekte A-, AAAA-, MX- und sonstige Einträge unabhängig von der Signierung. Vergleichen Sie bei der Fehlersuche mit einer DNS-Abfrage die Antworten gewöhnlicher und validierender Resolver. Deaktivieren Sie die Validierung nicht für alle, nur damit eine einzelne fehlerhafte Domain scheinbar funktioniert. Die veröffentlichten Einträge prüfen Sie mit der Domain-Konfigurationsprüfung von 2IP.

Warum wird eine signierte Domain plötzlich nicht mehr aufgelöst?

Eine häufige Ursache ist ein veralteter DS-Eintrag in der übergeordneten Zone nach einem Wechsel des DNS-Anbieters oder der Schlüssel. Auch abgelaufene Signaturen, inkonsistente autoritative Server oder ein fehlgeschlagener Schlüsselwechsel können die Validierung scheitern lassen. Prüfen Sie die Delegation, die aktuellen DNSKEY- und DS-Werte, die Gültigkeitszeiten der RRSIG und die Antwort jedes autoritativen Servers. Notieren Sie den genauen Fehler und den Testzeitpunkt, bevor Sie Einstellungen ändern.

Stimmen Sie vor der Migration einer signierten Zone die DS-Aktualisierung mit dem neuen Betreiber ab und prüfen Sie dessen Schlüssel. Berücksichtigen Sie nach der Reparatur, dass zwischengespeicherte positive und negative Antworten erst ablaufen müssen. Bereiten Sie für eine Domain, die für E-Mail oder eine API genutzt wird, ein Änderungsfenster und einen Rückfallweg vor. Zuverlässige Automatisierung der Signierung und Überwachung sind wertvoller als ein ungeprüfter Status „aktiviert“ in einem Dashboard.