DNSSEC-Check: Signatur und Vertrauenskette prüfen
Prüfe, ob deine Domain mit DNSSEC signiert ist, ob die Kette vom Registrar bis zu deinen Nameservern stimmt und wann die Signaturen ablaufen.
DNSSEC prüfen
Gib die Domain ein, zum Beispiel deine-domain.de.
Die Abfrage läuft über den DNS-Resolver Quad9 (Schweiz). Wir speichern die geprüfte Domain und eine anonymisierte IP-Adresse höchstens 30 Tage.
So funktioniert DNSSEC
Was ist DNSSEC?
Ohne DNSSEC kann ein Angreifer DNS-Antworten fälschen und Besucher unbemerkt auf einen fremden Server umleiten. Mit DNSSEC unterschreibt dein Nameserver jede Antwort. Ein prüfender Resolver – etwa der deines Internetanbieters oder Quad9 – kontrolliert die Unterschrift und verwirft gefälschte Antworten.
Die Vertrauenskette
Damit die Unterschrift etwas wert ist, muss der Resolver dem Schlüssel trauen. Dafür sorgt eine Kette: Die Root-Zone bestätigt den Schlüssel der Top-Level-Domain, etwa .de, und diese bestätigt per DS-Eintrag den Schlüssel deiner Domain. Den DS hinterlegst du bei deinem Registrar, den Schlüssel selbst (DNSKEY) und die Signaturen (RRSIG) liefert dein Nameserver.
Was der DNSSEC-Check prüft
Wir fragen einen prüfenden Resolver und lesen DS, DNSKEY und Signaturen. Passt der DS zu keinem Schlüssel, sind Signaturen abgelaufen oder nutzt die Zone veraltete Algorithmen, sagen wir dir, woran es liegt. Ist DNSSEC kaputt, liefern prüfende Resolver gar keine Antwort mehr – die Domain ist dann für viele Nutzer nicht erreichbar, obwohl die Nameserver laufen.
Typische DNSSEC-Fehler
Alter DS nach Anbieterwechsel
Ziehst du mit deiner Domain zu einem neuen DNS-Anbieter um, ändern sich die Schlüssel. Bleibt beim Registrar der alte DS stehen, ist DNSSEC kaputt, und die Domain fällt für viele Nutzer aus. Lösche den DS vor dem Umzug oder ersetze ihn sofort danach.
DS fehlt beim Registrar
Viele Nameserver signieren die Zone automatisch, aber ohne DS beim Registrar fehlt das letzte Glied der Kette. Die Zone gilt dann als unsigniert. Trag den DS ein, den dir dein DNS-Anbieter anzeigt.
Abgelaufene Signaturen
Signaturen gelten nur einige Tage oder Wochen und müssen regelmäßig erneuert werden. Läuft das automatische Signieren nicht mehr, fällt die Domain aus, sobald die letzte Signatur abläuft.
Veraltete Algorithmen
Zonen mit RSA/SHA-1 (Algorithmus 5 oder 7) sollten umgestellt werden. Empfohlen sind ECDSA P-256 (13) oder RSA/SHA-256 (8). Für den DS beim Registrar gilt: SHA-256 statt SHA-1.
Häufige Fragen
Gib deine Domain oben ein. Der DNSSEC-Check zeigt, ob beim Registrar ein DS hinterlegt ist, welche Schlüssel die Zone hat und ob ein prüfender Resolver die Signaturen akzeptiert.
Pflicht ist es nicht, und die meisten Domains sind nicht signiert. DNSSEC schützt aber davor, dass DNS-Antworten gefälscht werden, und ist Voraussetzung für Verfahren wie DANE. Bietet dein Hoster DNSSEC per Klick an, lohnt es sich.
Eine häufige Ursache ist kaputtes DNSSEC, zum Beispiel ein alter DS nach einem Anbieterwechsel. Prüfende Resolver liefern dann keine Antwort mehr, andere schon – deshalb funktioniert die Domain bei manchen Nutzern und bei anderen nicht. Der DNSSEC-Check zeigt die Ursache.
Der Key Signing Key (KSK) unterschreibt nur die Schlüssel der Zone, auf ihn verweist der DS beim Registrar. Der Zone Signing Key (ZSK) unterschreibt alle übrigen Einträge. So lässt sich der ZSK wechseln, ohne den DS beim Registrar anzufassen.
Lösche zuerst den DS beim Registrar und warte, bis seine TTL abgelaufen ist – meist ein bis zwei Tage. Erst danach schaltest du die Signierung beim DNS-Anbieter ab. In umgekehrter Reihenfolge ist die Domain zwischenzeitlich nicht erreichbar.
ECDSA P-256 mit SHA-256 (Algorithmus 13) ist heute die gängige Wahl: kurze Schlüssel, kleine Antworten. RSA/SHA-256 (8) ist ebenfalls sicher. Verfahren mit SHA-1 (5 und 7) solltest du ablösen.
