Was ist DNSSEC?
DNSSEC (DNS Security Extensions) signiert DNS-Antworten kryptografisch. Jede Zone besitzt ein Schlüsselpaar, mit dem ihre Records signiert werden (RRSIG). Der öffentliche Schlüssel (DNSKEY) wird in der Elternzone durch einen DS-Record verankert, der wiederum von der Elternzone signiert ist, bis hinauf zur Root-Zone. Ein validierender Resolver folgt dieser Kette und erkennt gefälschte oder manipulierte Antworten.
DNSSEC schützt damit gegen Cache Poisoning und DNS-Spoofing, also gegen Angriffe, bei denen Nutzer auf eine fremde IP umgeleitet werden, ohne dass der Browser etwas bemerkt. Für DANE, mit dem Mailserver ihre Zertifikate über DNS veröffentlichen, ist DNSSEC Voraussetzung.
Die drei Zustände
Der Checker unterscheidet drei Ergebnisse:
- Nicht signiert: Kein DS-Record in der Elternzone. Die Domain ist erreichbar, aber ungeschützt. Das ist für die meisten Domains der Normalzustand und kein Fehler.
- Validiert: DS-Record vorhanden, ein validierender Resolver bestätigt die Kette (AD-Flag gesetzt). Alles korrekt.
- Bogus: DS-Record vorhanden, aber die Validierung scheitert. Validierende Resolver antworten mit SERVFAIL. Das ist der kritische Fall.
Warum bogus der gefährlichste DNS-Fehler ist
Wenn der DS-Record in der Elternzone nicht zum DNSKEY in der Zone passt, oder die Signaturen abgelaufen sind, lehnt jeder validierende Resolver die Antwort ab. Google Public DNS, Cloudflare, Quad9 und die Resolver der meisten Provider validieren. Für deren Nutzer existiert die Domain dann schlicht nicht: keine Website, keine Mails, keine Subdomains.
Das Tückische: Der eigene Rechner im Büro nutzt oft einen Resolver ohne Validierung, und dort funktioniert alles. Der Fehler fällt erst auf, wenn Kunden anrufen. Typische Auslöser sind ein Hosterwechsel, bei dem der DS-Record bei der Registry stehen bleibt, während die neue Zone keine passenden Schlüssel hat, oder ein abgelaufener Schlüssel nach einer nicht abgeschlossenen Rotation.
So sieht ein DS-Record aus
Der DS-Record steht in der Elternzone (bei beispiel.de also bei DENIC) und enthält Key-Tag, Algorithmus, Digest-Typ und den Hash des DNSKEY. Ein typischer Record mit ECDSA P-256 (Algorithmus 13) und SHA-256 (Digest-Typ 2):
beispiel.de. IN DS 2371 13 2 1F987CC6583E92DF0890718C42A5A1E64E4F3F1A9A5A3C4B7B8C2D3E4F5A6B7CDNSSEC richtig einführen und wechseln
Das Signieren übernimmt fast immer der DNS-Hoster; du musst nur den DS-Record beim Registrar hinterlegen. Bei einem Wechsel des DNS-Hosters ist die Reihenfolge entscheidend: zuerst den DS-Record bei der Registry entfernen, warten, bis die TTL der Elternzone abgelaufen ist, dann die Zone umziehen und erst danach den neuen DS-Record eintragen. Wer den DS-Record stehen lässt und die Zone umzieht, macht die Domain für Stunden bis Tage bogus.
- Vor jedem DNS-Umzug prüfen, ob die Domain signiert ist.
- DS-Record entfernen, TTL abwarten (oft 24 Stunden bei der Registry), dann umziehen.
- Nach dem Umzug den neuen DS-Record eintragen und mit diesem Checker validieren lassen.
- Algorithmus 13 (ECDSA P-256) statt 8 (RSA) wählen: kleinere Antworten, gleiche Sicherheit.
DNSSEC dauerhaft überwachen
Eine Domain wird nicht absichtlich bogus. Es passiert beim Umzug, bei der Schlüsselrotation oder wenn ein Hoster seine Signierung umstellt. DomainWarn prüft die DNSSEC-Kette aller Kundendomains regelmäßig, meldet einen kaputten Zustand sofort als kritischen Incident und erkennt auch, wenn DNSSEC unbemerkt abgeschaltet wurde.
Häufige Fragen
- Brauche ich DNSSEC überhaupt?
- Für eine normale Firmenwebsite ist DNSSEC optional; die Domain funktioniert ohne. Sinnvoll ist es für Domains, die DANE für Mail nutzen, und überall dort, wo DNS-Manipulation ein realistisches Risiko ist. Wichtig ist vor allem, dass eine signierte Domain nicht bogus wird.
- Warum funktioniert meine Domain bei mir, aber nicht bei Kunden?
- Das ist das klassische Bild einer bogus-Domain: Dein Resolver validiert nicht, der der Kunden schon. Prüfe den DS-Record bei der Registry und die DNSKEY-Records in der Zone. Bei einem kürzlichen Umzug hilft meist, den DS-Record zu entfernen und neu einzutragen.
- Wie lange dauert es, bis ein DS-Record wirkt?
- Die Registry veröffentlicht ihn meist innerhalb von Minuten bis wenigen Stunden. Resolver-Caches halten alte Antworten bis zur TTL, deshalb kann es bis zu einem Tag dauern, bis alle Nutzer den neuen Zustand sehen.