DNSSEC: Lohnt sich zusätzlicher Domainschutz?
Autor: Redaktion Domeny.ForSale Veröffentlicht Aktualisiert
Kurz gesagt: DNSSEC sollte aktiviert werden, wenn der DNS-Betreiber und der Registrar es automatisiert unterstützen und die Domain für das Unternehmen, die E-Mail-Kommunikation oder den Verkauf wichtig ist. Der Mechanismus verringert das Risiko gefälschter DNS-Antworten, verschlüsselt aber keinen Datenverkehr und ersetzt weder HTTPS noch den Schutz des Kontos beim Registrar oder eine korrekte E-Mail-Konfiguration. Ein fehlerhaft durchgeführter Wechsel von Schlüsseln oder DNS-Servern kann die Domain hingegen vorübergehend unerreichbar machen.
Was DNSSEC genau schützt
DNS, das Domainnamensystem, übersetzt einen Namen wie sklep.example in eine Serveradresse. Eine gewöhnliche DNS-Antwort enthält keinen Mechanismus, mit dem der Empfänger ihre Authentizität kryptografisch bestätigen kann. Angreifer können versuchen, eine falsche Adresse unterzuschieben, beispielsweise durch die Manipulation des Caches eines DNS-Servers.
DNSSEC, ausgeschrieben Domain Name System Security Extensions, ergänzt DNS-Einträge um digitale Signaturen. Ein validierender Resolver — ein DNS-Server, der Benutzeranfragen beantwortet — kann prüfen, ob die Daten aus der richtigen Zone stammen und unterwegs nicht verändert wurden.
Das Vertrauen entsteht durch eine Kette, die von der übergeordneten Zone zur Domain führt. In der Praxis verwaltet der DNS-Betreiber die Schlüssel und signiert die Zone. Beim Registrar wird ein DS-Eintrag hinterlegt, der auf den passenden Schlüssel verweist. Erst wenn diese Elemente übereinstimmen, kann der Resolver die Antwort bestätigen.
Ein Beispiel: Ein Kunde gibt die Adresse einer Bank oder eines Shops ein. Erhält er eine gefälschte DNS-Antwort, sollte der DNSSEC-validierende Resolver sie zurückweisen, statt den Benutzer auf einen untergeschobenen Server zu leiten. Der Schutz greift jedoch nur, wenn die gesamte Kette korrekt konfiguriert ist und der verwendete Resolver die Signaturen tatsächlich prüft.
Was DNSSEC nicht leistet
DNSSEC bestätigt die Authentizität der DNS-Daten, verbirgt sie aber nicht. Anfragen und Antworten können im Netzwerk weiterhin sichtbar sein, sofern kein separater Mechanismus zur Verschlüsselung des DNS-Transports eingesetzt wird, etwa DNS over HTTPS oder DNS over TLS.
Der Mechanismus schützt außerdem nicht:
- das Verwaltungsportal des Registrars vor einer Kontoübernahme,
- die Website vor Sicherheitslücken in der Anwendung und Schadcode,
- die Verbindung zur Website ohne korrekt implementiertes HTTPS,
- E-Mails vor Absenderfälschung ohne passende SPF-, DKIM- und DMARC-Einstellungen,
- autoritative Server vor Ausfällen oder Überlastung.
DNSSEC korrigiert auch keine Einträge, die von Anfang an falsch sind. Signiert der Domaininhaber eine falsche IP-Adresse, bestätigt die Signatur lediglich, dass genau diese Information vom Zonenverwalter veröffentlicht wurde.
Wann die Aktivierung besonders sinnvoll ist
Am sinnvollsten ist sie bei Domains, die für Bankgeschäfte, Zahlungen, Onlinehandel, die Anmeldung bei Diensten, die Verarbeitung von Kundendaten oder geschäftliche E-Mails genutzt werden. Werden Benutzer auf ein gefälschtes System geleitet, können die Folgen dort schwerwiegender sein als bei einer einfachen Informationswebsite.
DNSSEC ist auch für kleinere Websites eine vernünftige Wahl, wenn der DNS-Anbieter das Signieren und den Schlüsselwechsel automatisiert. In diesem Fall erfordert der zusätzliche Schutz in der Regel keine tägliche Betreuung. Allerdings muss das Verfahren für den Umzug der Domain zu einem anderen DNS-Betreiber bekannt sein.
Vorsicht ist geboten, wenn DNS selbst verwaltet wird, die Dokumentation der Dienstleister unklar ist oder im Unternehmen niemand für die Schlüssel verantwortlich ist. Der Sicherheitsgewinn bleibt bestehen, doch das Risiko eines Betriebsfehlers steigt.
Das wichtigste Risiko: eine unterbrochene Vertrauenskette
Das häufigste Problem bei der Implementierung ist nicht die Signatur selbst, sondern eine Abweichung zwischen dem DS-Eintrag beim Registrar und dem Schlüssel, den der DNS-Betreiber verwendet. Ein validierender Resolver stuft die Antworten dann als nicht vertrauenswürdig ein. Für Benutzer kann das wie ein vollständiger Ausfall von Website und E-Mail wirken, obwohl die Server weiterhin laufen.
Dieses Szenario kann beim Wechsel des DNS-Anbieters auftreten. Ist der alte Schlüssel nicht mehr gültig, während der DS-Eintrag weiterhin auf ihn verweist, besteht die Domain die Validierung nicht. Deshalb dürfen alte Einstellungen nicht in beliebiger Reihenfolge entfernt oder neue hinzugefügt werden.
Vor einem Umzug müssen die Anleitungen beider Betreiber und des Registrars geprüft werden. Das Verfahren hängt von ihren Systemen, den unterstützten Algorithmen und der Art der DS-Aktualisierung ab. Die aktuellen Anforderungen sollten daher anhand der offiziellen Dokumentation der Dienstleister bestätigt werden.
So entscheiden Sie und aktivieren den Schutz sicher
Prüfen Sie zunächst, ob die Domainendung, der Registrar und der Betreiber der autoritativen DNS-Server DNSSEC unterstützen. Klären Sie außerdem, ob der DS-Eintrag automatisch übermittelt wird oder manuell im Verwaltungsportal des Registrars eingefügt werden muss.
Das praktische Vorgehen sieht folgendermaßen aus:
- Sichern Sie die aktuelle DNS-Konfiguration und stellen Sie sicher, dass die Domain korrekt funktioniert.
- Aktivieren Sie das Signieren beim DNS-Betreiber gemäß seiner Anleitung.
- Fügen Sie den DS-Eintrag beim Registrar hinzu oder bestätigen Sie ihn, falls dies nicht automatisch geschieht.
- Prüfen Sie nach der Propagierung die Validierungskette mit einem Diagnosewerkzeug, das DNSSEC unterstützt.
- Halten Sie das Verfahren für einen Betreiberwechsel und die Deaktivierung von DNSSEC sowie die Kontaktdaten des technischen Supports fest.
Wenn alle drei Beteiligten den Mechanismus automatisch unterstützen, ist die Aktivierung von DNSSEC in der Regel der richtige nächste Schritt. Bei manueller Verwaltung sollten Sie zunächst ein Verfahren für den Umzug und die Wiederherstellung der Erreichbarkeit der Domain vorbereiten — lediglich eine Option im Verwaltungsportal anzukreuzen, reicht nicht aus.
Lesen Sie auch
