Inhalt
DNSSEC macht DNS-Daten kryptografisch überprüfbar. Es schützt ihre Herkunft und Integrität, verschlüsselt aber weder DNS-Abfragen noch Website-Inhalte.
Was ist DNSSEC?
DNSSEC steht für Domain Name System Security Extensions. Das Verfahren ergänzt das DNS um digitale Signaturen. Ein validierender Resolver kann damit prüfen, ob eine Antwort tatsächlich zur abgefragten Zone gehört und seit dem Signieren unverändert geblieben ist.
Das ist vor allem gegen manipulierte DNS-Antworten und Cache-Poisoning wichtig. Ohne Validierung könnte ein Angreifer versuchen, Besucher trotz korrekt eingegebener Domain zu einem falschen Ziel zu leiten.
DNSSEC ist keine Verschlüsselung und kein vollständiger Schutz für eine Domain. HTTPS schützt die Verbindung zur Website; sichere Konten und Freigabeprozesse schützen administrative Änderungen.
Wie funktioniert die Vertrauenskette?
- Der Betreiber einer DNS-Zone signiert deren Datensätze mit einem privaten Schlüssel. Dieser bleibt geheim.
- Der zugehörige öffentliche Schlüssel wird als DNSKEY in der Zone veröffentlicht.
- Signaturen stehen in RRSIG-Datensätzen. Ein Resolver prüft sie mit dem öffentlichen Schlüssel.
- Ein DS-Datensatz in der übergeordneten Zone verbindet die Schlüsselprüfung mit der nächsthöheren Ebene.
- Die Kette reicht im Idealfall bis zum Vertrauensanker der DNS-Root-Zone.
Der private Schlüssel wird dabei niemals an den Resolver übertragen. Er dient ausschließlich auf der signierenden Seite zur Erzeugung der Signaturen.
| Datensatz | Aufgabe |
|---|---|
| DNSKEY | veröffentlicht den öffentlichen Schlüssel der Zone |
| RRSIG | enthält die Signatur zu einem DNS-Datensatzsatz |
| DS | verknüpft die Kindzone mit der übergeordneten Zone |
| NSEC/NSEC3 | liefert einen signierten Nachweis, dass ein Name oder Typ nicht existiert |
Was DNSSEC leistet – und was nicht
- Authentifiziert die Herkunft signierter DNS-Daten.
- Erkennt Änderungen an signierten Daten.
- Hilft gegen gefälschte DNS-Antworten.
- Verschlüsselt keine DNS-Abfrage.
- Schützt nicht vor kompromittierten Benutzerkonten oder falsch gepflegten Originaldaten.
- Ersetzt weder TLS/HTTPS noch Backups, 2FA oder sichere Registrar-Prozesse.
Für administrative Sperren und Freigabeprozesse ist ein Domain Guard zuständig. Beide Maßnahmen ergänzen sich, lösen aber unterschiedliche Risiken.
DNSSEC sicher aktivieren
1. Zuständigkeiten klären
Prüfe, wer die autoritativen Nameserver betreibt und wer die Domain beim Registrar verwaltet. Bei einem verwalteten DNS-Dienst übernimmt der Anbieter häufig Signierung und Schlüsselwechsel.
2. Unterstützung prüfen
DNS-Provider, Registrar und Registry müssen die benötigte Kette unterstützen. Bei externen Nameservern werden die DS-Werte meist vom DNS-Provider erzeugt und beim Registrar hinterlegt.
3. Zone signieren und DS veröffentlichen
Aktiviere DNSSEC nach der Anleitung des zuständigen Anbieters. Kopiere DS-Parameter nur exakt und kontrolliere Algorithmus, Digest-Typ und Schlüsselkennung.
4. Validierung testen
Prüfe DNSKEY, RRSIG und DS von außen mit einem validierenden Resolver oder Diagnosewerkzeug. Eine unterbrochene Vertrauenskette kann dazu führen, dass validierende Resolver die Domain nicht mehr auflösen.
5. Änderungen planen
Bei Nameserverwechsel, Providerwechsel und Schlüsselrotation müssen alte und neue Werte zeitlich koordiniert werden. Entferne DS-Datensätze nicht vorschnell.
Plane DNSSEC gemeinsam mit der Domain- und DNS-Einrichtung. Ein gültiger DS-Eintrag, der nicht mehr zur signierten Zone passt, kann die Erreichbarkeit für validierende Nutzer unterbrechen.
Beispiel: DNSSEC bei der Domain-Offensive
Wie einfach die Aktivierung bei einem verwalteten DNS-Dienst sein kann, zeigt die Domain-Offensive (do.de): Nutzt du die Nameserver des Anbieters, lässt sich DNSSEC für bestehende Domains in den Domain-Einstellungen per Klick aktivieren. Bei neuen Domains wählst du DNSSEC direkt im Bestellvorgang; DNS-Records und DNSKEYs setzt das System anschließend automatisch und hinterlegt sie bei der Registry, sofern diese DNSSEC unterstützt.
Bei eigenen Nameservern hinterlegst du die DNSSEC-Daten dagegen selbst in den Domain-Einstellungen. Ist DNSSEC dort bereits aktiv, muss es vor dem Wechsel auf externe Nameserver zunächst deaktiviert werden. Die einzelnen Schritte beschreibt die Anleitung zur Einrichtung von DNSSEC bei do.de.
DNSSEC und E-Mail
DNSSEC schützt die Authentizität von DNS-Daten, signiert aber keine E-Mail. Für ausgehende Nachrichten übernimmt das DKIM. Die Einrichtung erklärt der Ratgeber DKIM einrichten.
Häufige Fragen
Ist DNSSEC für jede Domain Pflicht?
Nein. Es ist jedoch eine anerkannte Sicherheitsmaßnahme, wenn Registry, Registrar und DNS-Betrieb sie zuverlässig unterstützen.
Kann DNSSEC eine Domain unerreichbar machen?
Eine fehlerhafte Vertrauenskette kann bei validierenden Resolvern zu SERVFAIL führen. Deshalb müssen Signierung, DS-Eintrag und Schlüsselwechsel zusammenpassen.
Ersetzt DNSSEC HTTPS?
Nein. DNSSEC prüft DNS-Daten; HTTPS schützt die Verbindung und authentifiziert den Webserver über Zertifikate.
Wer diese Grenzen und Betriebsanforderungen berücksichtigt, kann DNSSEC gezielt und ohne falsche Sicherheitserwartung einsetzen.
Ob die Vertrauenskette einer Domain gültig ist, kannst du direkt mit unserem DNSSEC-Check prüfen.
DNSSEC ist sinnvoll, wenn es sauber betrieben wird: Es macht manipulierte DNS-Antworten erkennbar und stärkt die Vertrauenskette. Entscheidend sind korrekte DS-Daten, kontrollierte Schlüsselwechsel und Tests nach jeder DNS-Änderung.
