DNSSEC schützt die DNS-Daten durch digitale Signaturen. Bei korrekter Konfiguration bemerken die Besucher davon nichts; bei fehlerhafter Konfiguration kann die Domain jedoch vollständig unerreichbar werden: Die Website wird nicht geladen, und E-Mails kommen nicht an. Der Grund dafür ist, dass die prüfenden DNS-Resolver die fehlerhaft signierte Antwort nicht akzeptieren, sondern einen Fehler (SERVFAIL) zurückgeben.

Die häufigsten Fehler

Veralteter DS-Eintrag nach einem Wechsel des Nameservers

Dies ist bei weitem der häufigste Fall. Der DS-Eintrag in der TLD-Zone legt fest, mit welchem Schlüssel die Domain-Zone signiert werden muss. Wenn die Domain auf neue Nameserver umgestellt wird, der DS-Eintrag des alten Anbieters jedoch in der Registry verbleibt, stimmen die Antworten der neuen Nameserver nicht mit diesem Eintrag überein, und die Resolver lehnen sie ab. Dasselbe geschieht, wenn der DS-Eintrag bestehen bleibt, die Zone beim neuen Anbieter jedoch überhaupt nicht signiert ist.

Abgelaufene Zertifikate

Die Signaturen (RRSIG) haben eine begrenzte Gültigkeitsdauer, weshalb die Zone regelmäßig neu signiert werden muss. Wenn die automatische Erneuerung der Signatur ausfällt – beispielsweise aufgrund einer fehlerhaften Konfiguration Ihres eigenen Nameservers oder wegen erschöpfter Speicherplatzkapazität –, verliert die Zone nach einigen Tagen oder Wochen ihre Gültigkeit.

Fehlerhafter Schlüsselwechsel

Die Schlüssel müssen von Zeit zu Zeit ausgetauscht werden (Key Rollover). Wenn der zum neuen Schlüssel gehörende DS-Eintrag zu früh oder zu spät in die Registry eingetragen wird oder der alte Schlüssel vor Ablauf der Frist für den Cache gelöscht wird, ist die Vertrauenskette vorübergehend ungültig.

Manuelle Zonenbearbeitung ohne Signatur

Wenn die Zonendatei manuell bearbeitet wird, die Datei nach der Änderung jedoch nicht erneut signiert wird, verfügen die neuen oder geänderten Einträge nicht über eine gültige Signatur.

Sonstige Auswirkungen

• Größere Antworten: Aufgrund der Signaturen werden die DNS-Antworten größer. Einige ältere Firewalls oder Router lassen große UDP-Pakete nicht durch; in diesem Fall wird die Abfrage über TCP wiederholt, was die Auflösung verlangsamen kann.
• Nicht-validierende Resolver: Wenn ein Resolver DNSSEC nicht unterstützt, ignoriert er die Signaturen einfach, und die Domain funktioniert genauso wie ohne DNSSEC. Dies führt also nicht zu einem Fehler, lediglich erhält der betreffende Nutzer keinen Schutz.
• Erhöhter Wartungsaufwand: DNSSEC muss kontinuierlich überwacht werden; die Aufgabe ist nicht mit einer einmaligen Konfiguration erledigt.

Wie können Sie dies überprüfen?

• Am einfachsten ist unser kostenloses DNSSEC-Prüftool: Es zeigt pro Zone – von der Root bis zur Domain – die Schlüssel, die DS-Einträge und die Signaturen an und markiert, bei welcher Zone die Vertrauenskette unterbrochen ist. So ist sofort erkennbar, wenn der in der Registry eingetragene DS-Eintrag nicht zum aktuellen Schlüssel der Zone gehört oder wenn die Zone zwar signiert ist, in der übergeordneten Zone jedoch kein DS-Eintrag vorhanden ist.
• Führen Sie eine Abfrage der Domain über einen Validierungs-Resolver durch und anschließend auch ohne Validierung: dig pelda.hu @1.1.1.1 und dig +cd pelda.hu @1.1.1.1. Wenn die erste Abfrage den Fehler „SERVFAIL“ zurückgibt, die zweite (mit dem Schalter „+cd“, also ohne Validierung) jedoch eine Antwort liefert, liegt mit ziemlicher Sicherheit ein DNSSEC-Fehler vor.
• Der Befehl „dig +dnssec pelda.hu“ gibt auch die Signaturen aus. Bei einem Validierungsserver zeigt das Kennzeichen „ad“ im Header der Antwort an, dass die Authentifizierung der Antwort erfolgreich war.
• DNSViz (dnsviz.net) stellt dieselbe Vertrauenskette grafisch in Form eines Diagramms dar.

Wie lässt sich das beheben?

• Deaktivieren Sie DNSSEC vor dem Wechsel des Nameservers: Lassen Sie zunächst den DS-Eintrag bei der Registry löschen, warten Sie, bis der alte DS-Eintrag auch aus den Caches entfernt wurde (dies dauert je nach TTL ein bis zwei Tage), und wechseln Sie erst danach den Nameserver. Über den Ablauf des Wechsels informiert der Artikel „A-Eintrag oder Nameserver-Wechsel: Was soll ich verwenden?“.
• Ist das Problem bereits aufgetreten, besteht die schnellste Lösung darin, den alten DS-Eintrag zu löschen. Solange sich die Löschung noch nicht in den Caches verbreitet hat, kann die Domain in bestimmten Netzwerken weiterhin unerreichbar sein. Nach der Löschung können Sie mit dem DNSSEC-Checker überprüfen, ob in der übergeordneten Zone tatsächlich kein DS-Eintrag mehr vorhanden ist.
• Überprüfen Sie bei Ihrem eigenen Nameserver, ob die Signatursoftware ausgeführt wird und ob die Signaturen gültig sind.

Sollte Ihre Website nach der Änderung der Nameserver nicht mehr aufgerufen werden können, finden Sie weitere mögliche Ursachen im Artikel „Warum lässt sich meine Website nach der NS-Änderung nicht aufrufen?“.