Signierte DNS-Einträge (DNSSEC)

Was wir prüfen

Wir fragen bei einem öffentlichen DNS-Dienst nach, ob die Domain mit DNSSEC signiert ist und ob die Signaturen stimmen. Es gibt drei mögliche Ergebnisse:

• aktiv: Die Einträge sind signiert und die Signaturen gültig.
• nicht aktiv: Die Einträge sind nicht signiert. Das ergibt einen Hinweis.
• fehlerhaft: Die Domain ist für DNSSEC angemeldet, aber die Signaturen passen nicht. Das ist ein schwerer Mangel.

Warum das wichtig ist

Das DNS ist das Telefonbuch des Internets. Wer beispiel.ch aufruft, fragt zuerst das DNS nach der Adresse des Servers. Ohne DNSSEC kann diese Antwort unterwegs gefälscht werden, etwa in einem manipulierten WLAN oder durch einen Angriff auf einen DNS-Server. Besucher und E-Mails landen dann bei einem fremden Server.

DNSSEC versieht die Antworten mit einer digitalen Unterschrift, gefälschte Antworten werden verworfen. Viele Internetanbieter und öffentliche DNS-Dienste wie die von Google, Cloudflare oder Quad9 prüfen diese Signaturen.

Genau deshalb sind fehlerhafte Signaturen schlimmer als keine: Passt die Unterschrift nicht, verwirft der Internetanbieter auch die echte Antwort. Website und E-Mails der Domain sind dann für viele Menschen nicht mehr erreichbar, obwohl auf dem Server alles läuft. Das passiert typischerweise nach einem Wechsel des DNS-Anbieters, wenn der alte Schlüssel noch bei der Registrierungsstelle hinterlegt ist.

So behebst Du es

DNSSEC einschalten

Liegen Domain und DNS-Einträge beim selben Anbieter, ist es meist ein Schalter in der Domain-Verwaltung. Bei Schweizer Anbietern wie Infomaniak, Hostpoint, Cyon oder Metanet findest Du ihn in den DNS-Einstellungen der Domain.

Liegen die DNS-Einträge bei einem anderen Anbieter als die Domain, etwa bei Cloudflare oder einer Agentur, braucht es zwei Schritte:

1. Der DNS-Anbieter signiert die Einträge und zeigt einen sogenannten DS-Eintrag an.
2. Dieser DS-Eintrag wird beim Anbieter hinterlegt, bei dem die Domain registriert ist.

Fehlerhafte Signaturen beheben

Melde Dich sofort beim Domain-Anbieter. Meist muss ein veralteter DS-Eintrag entfernt oder durch den aktuellen ersetzt werden. Als Notlösung schaltet man DNSSEC vorübergehend ab, bis die Signaturen stimmen.

Vor einem Anbieterwechsel

Schalte DNSSEC vor dem Umzug der DNS-Einträge ab und erst danach beim neuen Anbieter wieder ein. So vermeidest Du einen Ausfall.

So prüfst Du es selbst

Der kostenlose Dienst dnsviz.net zeigt die Signaturkette einer Domain grafisch an. Rote Einträge bedeuten Fehler.

Häufige Fragen

Wie stark zählt DNSSEC in der Note?

Wenig, höchstens 5 von 100 Punkten im Bereich Sicherheit, denn es ist eine zusätzliche Absicherung. Fehlerhafte Signaturen sollten trotzdem sofort behoben werden: Sie machen die Website für viele Besucher unerreichbar.

Kostet DNSSEC etwas?

Bei den meisten Schweizer Anbietern nicht. Es ist eine Einstellung in der Domain-Verwaltung.