Ein Kunde erhält „Banking-Support“-E-Mails, die auf eine pixelgenaue Kopie seiner Website verweisen – woanders gehostet, inklusive gültigem Zertifikat. Der Betrug gilt, weil die DNS-Auflösung im kompromittierten Netzwerk eine falsche IP zurückgibt. Die reale Website wurde nie berührt. DNSSEC hätte E-Mail-Phishing nicht verhindert, aber die Fälschung von DNS-Antworten für Resolver, die Signaturen validieren, blockiert.
Die Frage lautet daher absolut nicht „DNSSEC ja/nein“. Es lautet: Können Ihr Registrar, Ihr DNS und Ihr Team eine signierte Zeichenfolge speichern, ohne sie bei der nächsten Nameserver-Änderung zu beschädigen?
Was DNSSEC garantiert – und was es ignoriert
DNSSEC signiert DNS-Einträge (A, AAAA, MX, CAA…) mit einer Vertrauenskette bis zum Root. Ein validierender Resolver lehnt eine beschädigte oder unvollständige Antwort ab.
Was DNSSEC nicht macht:
- Verschlüsseln Sie DNS-Anfragen (aus Gründen der Vertraulichkeit wäre DNS über HTTPS/TLS erforderlich).
- Schützen Sie den Webserver, WordPress oder SSH.
- Verhindern Sie eine Kompromittierung des Registrar-Panels, wenn der Angreifer den NS rechtmäßig ändert.
| Bedrohung | Ohne DNSSEC | Mit DNSSEC (validierender Resolver) |
|---|---|---|
| Lokales DNS-Spoofing | Möglich | Ablehnung bei ungültiger Signatur |
| MITM zur Auflösung | Möglich | Stark reduziert |
| Diebstahl des Registrarkontos | Möglich | Möglich (legitime Änderung unterschrieben) |
| Fehler bei abgelaufenem Schlüssel | N/A | Domain teilweise nicht erreichbar |
DNSSEC wandelt DNS in eine überprüfbare Kette um. Es ersetzt nicht TLS, CAA oder MFA beim Registrar.
Jetzt unterschreiben: die konkreten Voraussetzungen
Überprüfen Sie vor der Aktivierung vier Punkte:
1. Kompatibler Registrar. Können DS-Datensätze (Delegation Signer) in der TLD veröffentlicht werden? Einige europäische Registrare machen das gut; andere zeigen eine Schaltfläche an, ohne die Drehung zu verwalten.
2. Kompatibel mit autorisierendem DNS. Cloudflare, OVH, Gandi, Infomaniak und andere bieten verwaltetes DNSSEC an. Ein selbstgehostetes BIND erfordert die Beherrschung von KSK/ZSK und Rollovers.
3. Prozess ändern. Nameserver mit aktivem DNSSEC ändern, ohne DS zuerst vom übergeordneten Server zu entfernen = garantierter Fehler. Dokumentieren Sie die Reihenfolge: DS deaktivieren → migrieren → zurücktreten → DS erneut veröffentlichen.
4. Ablaufüberwachung. Signaturen haben eine Lebensdauer (häufig 1 bis 30 Tage, je nach Konfiguration). Eine fehlende Warnung = Site down für strikte Resolver.
Warten: Wenn Vorsicht rational ist
Reporter DNSSEC verteidigt sich in mehreren Fällen:
- Registrar oder undurchsichtiges DNS – keine API, keine klare Unterstützung auf DS.
- Team ohne Runbook – niemand reagiert, wenn das Gebiet an einem Sonntag FALSCH wird.
- Häufige DNS-Abwanderung – Multi-CDN-Tests, monatliche Migrationen ohne Automatisierung.
- Vorzeigestandort mit geringer Kritikalität – das lokale Spoofing-Risiko ist gering im Vergleich zum Risiko eines selbstverschuldeten Bruchs.
Für einen kritischen Bereich (Authentifizierung, Zahlung, API) verschiebt sich das Gleichgewicht in Richtung Signieren – vorausgesetzt, die Rotation erfolgt automatisiert bei einem Anbieter, der sie nativ verwaltet.
Szenario A vs. B: gleiche Domäne, zwei Strategien
| Kriterium | Szenario A – Signieren über verwaltetes DNS | Szenario B – Warten |
|---|---|---|
| Standesbeamter | DS mit einem Klick veröffentlichen | DS manuell oder nicht vorhanden |
| DNS | Cloudflare / OVH DNSSEC auto | BIND nach Hause ohne Überwachung |
| Team | Ablaufwarnungen + Runbook | Keine DNS-Einschränkungen |
| Hauptrisiko | Vergessener Rollover | Spoofing in feindlichem Netzwerk |
| Urteil | Nach Test-Staging aktivieren | Registrar + TLS zuerst härten |
Oben: Eine FALSCH-Zone ist schlimmer als eine nicht signierte Zone
Dies ist das Paradoxon, das Marketing-Ratgeber verdeutlichen: DNSSEC ist kein Abzeichen zum Ankleben. Dies ist eine DNS-Verfügbarkeitsverpflichtung. Ohne Prozess zu unterschreiben ist manchmal weniger wert, als gar nicht zu unterschreiben.
Entscheide dich und gehe ohne blinden Fleck voran
- Testen Sie vor der Produktion eine Subdomain oder eine sekundäre Domain.
- Aktivieren Sie DNSSEC auf der autorisierenden DNS-Seite und veröffentlichen Sie dann den DS beim Registrar – in dieser Reihenfolge.
- Konfigurieren Sie Warnungen zum Ablauf der Signatur und zum BOGUS-Status (Tools vom Typ DNSViz, externe Überwachung).
- Dokumentieren Sie den umgekehrten Vorgang vor jeder NS-Änderung.
- Kombinieren Sie mit dem CAA- und MFA-Registrar, um Spoofing + TLS-Broadcast + Panel-Übernahme abzudecken.
Vergleichen Sie Hosts und Registrare, die DNSSEC in unserem Verzeichnis dokumentieren. Komplett mit CAA für die TLS-Zeichenfolge.
Häufig gestellte Fragen
Schützt DNSSEC meine Website vor Hackerangriffen?
Nein direkt. Vor allem verhindert es, dass ein Angreifer Sie durch gefälschte DNS-Antworten dazu bringt, falsche IP- oder MX-Adressen aufzulösen. Der Webserver muss weiterhin separat abgesichert werden.
Was passiert, wenn die Signatur abläuft?
DNSSEC-validierende Resolver lehnen Antworten ab. Ihre Domain ist für einige Besucher bis zur Korrektur nicht mehr erreichbar – manchmal innerhalb von Stunden, je nach TTL und Verbreitung.
Verwaltet mein Host DNSSEC für mich?
Oft teilweise. Der Registrar signiert die übergeordnete Zone; Das autorisierende DNS muss DS-Einträge veröffentlichen. Überprüfen Sie den vollständigen Chain-Registrar + DNS + Rotationsunterstützung.
DNSSEC und CAA, der gleiche Kampf?
Nein. DNSSEC authentifiziert DNS-Antworten. CAA begrenzt, wer ein TLS-Zertifikat ausstellen kann. Die beiden ergänzen sich bei unterschiedlichen Bedrohungen.
Bevor Sie auf „DNSSEC aktivieren“ klicken, stellen Sie eine nützlichere Frage als das Abzeichen: Wer weckt das Team, wenn die Zone um 3 Uhr morgens FALSCH wird?