Einführung in DNSSEC: Was Einsteiger wissen müssen

Was ist DNSSEC?

DNSSEC steht für Domain Name System Security Extensions. Das Verfahren ergänzt das DNS um digitale Signaturen. Ein validierender Resolver kann damit prüfen, ob eine Antwort tatsächlich zur abgefragten Zone gehört und seit dem Signieren unverändert geblieben ist.

Das ist vor allem gegen manipulierte DNS-Antworten und Cache-Poisoning wichtig. Ohne Validierung könnte ein Angreifer versuchen, Besucher trotz korrekt eingegebener Domain zu einem falschen Ziel zu leiten.

Wie funktioniert die Vertrauenskette?

1. Der Betreiber einer DNS-Zone signiert deren Datensätze mit einem privaten Schlüssel. Dieser bleibt geheim.
2. Der zugehörige öffentliche Schlüssel wird als DNSKEY in der Zone veröffentlicht.
3. Signaturen stehen in RRSIG-Datensätzen. Ein Resolver prüft sie mit dem öffentlichen Schlüssel.
4. Ein DS-Datensatz in der übergeordneten Zone verbindet die Schlüsselprüfung mit der nächsthöheren Ebene.
5. Die Kette reicht im Idealfall bis zum Vertrauensanker der DNS-Root-Zone.

Der private Schlüssel wird dabei niemals an den Resolver übertragen. Er dient ausschließlich auf der signierenden Seite zur Erzeugung der Signaturen.

Was DNSSEC leistet – und was nicht

• Authentifiziert die Herkunft signierter DNS-Daten.
• Erkennt Änderungen an signierten Daten.
• Hilft gegen gefälschte DNS-Antworten.
• Verschlüsselt keine DNS-Abfrage.
• Schützt nicht vor kompromittierten Benutzerkonten oder falsch gepflegten Originaldaten.
• Ersetzt weder TLS/HTTPS noch Backups, 2FA oder sichere Registrar-Prozesse.

Für administrative Sperren und Freigabeprozesse ist ein Domain Guard zuständig. Beide Maßnahmen ergänzen sich, lösen aber unterschiedliche Risiken.

DNSSEC sicher aktivieren

1. Zuständigkeiten klären

Prüfe, wer die autoritativen Nameserver betreibt und wer die Domain beim Registrar verwaltet. Bei einem verwalteten DNS-Dienst übernimmt der Anbieter häufig Signierung und Schlüsselwechsel.

2. Unterstützung prüfen

DNS-Provider, Registrar und Registry müssen die benötigte Kette unterstützen. Bei externen Nameservern werden die DS-Werte meist vom DNS-Provider erzeugt und beim Registrar hinterlegt.

3. Zone signieren und DS veröffentlichen

Aktiviere DNSSEC nach der Anleitung des zuständigen Anbieters. Kopiere DS-Parameter nur exakt und kontrolliere Algorithmus, Digest-Typ und Schlüsselkennung.

4. Validierung testen

Prüfe DNSKEY, RRSIG und DS von außen mit einem validierenden Resolver oder Diagnosewerkzeug. Eine unterbrochene Vertrauenskette kann dazu führen, dass validierende Resolver die Domain nicht mehr auflösen.

5. Änderungen planen

Bei Nameserverwechsel, Providerwechsel und Schlüsselrotation müssen alte und neue Werte zeitlich koordiniert werden. Entferne DS-Datensätze nicht vorschnell.

DNSSEC und E-Mail

DNSSEC schützt die Authentizität von DNS-Daten, signiert aber keine E-Mail. Für ausgehende Nachrichten übernimmt das DKIM. Die Einrichtung erklärt der Ratgeber DKIM einrichten.

Häufige Fragen

Wer diese Grenzen und Betriebsanforderungen berücksichtigt, kann DNSSEC gezielt und ohne falsche Sicherheitserwartung einsetzen.

Ob die Vertrauenskette einer Domain gültig ist, kannst du direkt mit unserem DNSSEC-Check prüfen.