Das DNS (Domain Name System) ist das Adressbuch des Internets: Es übersetzt die leicht zu merkenden Domainnamen (zum Beispiel „pelda.hu“) in die von Computern verwendeten IP-Adressen und gibt zudem an, welcher Server die E-Mails der Domain empfängt. DNSSEC (Domain Name System Security Extensions) ist kein separates System, sondern eine Erweiterung des DNS: Es bestätigt mittels digitaler Signaturen, dass die erhaltene Antwort tatsächlich aus der Zone der Domain stammt und unterwegs von niemandem verändert wurde.

Wie funktioniert das herkömmliche DNS?

Wenn Sie eine Adresse in den Browser eingeben, wendet sich der Computer an einen DNS-Resolver (in der Regel den Ihres Internetdienstanbieters oder einen öffentlichen Resolver). Der Resolver durchläuft die Hierarchie beginnend mit der Root-Zone: Von den Nameservern der TLD erfährt er, welcher Nameserver für die Domain zuständig ist, und ruft von dort den angeforderten Eintrag ab, beispielsweise den A-Eintrag. Die Antworten werden für eine bestimmte Zeit (bis zum Ablauf der TTL) in seinem Cache gespeichert.

Im herkömmlichen DNS-System hat der Auflöser keine Möglichkeit zu überprüfen, ob die Antwort authentisch ist. Dies wird durch Cache-Poisoning ausgenutzt: Der Angreifer schleust eine gefälschte Antwort in den Auflöser ein, der die Nutzer daraufhin auf einen anderen Server umleitet, bei dem es sich beispielsweise um einen Phishing-Server handeln kann.

Was bietet DNSSEC zusätzlich?

Bei der Aktivierung von DNSSEC wird die Zone der Domain signiert. Die Einträge werden mit einer Signatur (RRSIG) versehen, die Zone veröffentlicht ihre öffentlichen Schlüssel (DNSKEY), und in der TLD-Zone wird in einem DS-Eintrag festgehalten, welcher Schlüssel zur Domain gehört. Auf diese Weise entsteht eine Vertrauenskette von der Root-Zone bis zur Domain, und der prüfende Resolver kann jeden Schritt überprüfen. Der Prozess wird Schritt für Schritt im Artikel „Wie funktioniert die DNSSEC-Authentifizierung?“ erläutert.

Die Unterschiede in einer Tabelle

	DNS	DNSSEC
Aufgabe	Auflösung von Domainnamen in IP-Adressen und andere Daten	Überprüfung der Authentizität von DNS-Antworten
Rekorde	A, AAAA, MX, CNAME, TXT, NS und weitere	zusätzlich zu den oben genannten: DNSKEY, RRSIG, DS, NSEC/NSEC3
Im Falle einer falschen Antwort	Der Freischalter stimmt zu	Der Prüfer lehnt die Freigabe ab
Einrichtung	in der DNS-Zone	Die Signatur der Zone sowie die Eintragung des DS-Eintrags beim Registry
Wartungsarbeiten	nur bei Änderungen an den Datensätzen	Laufende Erneuerung der Signaturen, Schlüsselwechsel

Wovor schützt DNSSEC nicht?

• Es findet keine Verschlüsselung statt. DNSSEC bestätigt die Authentizität der Antworten, doch die Abfragen bleiben weiterhin lesbar. Zur Verschlüsselung der Abfragen dienen DNS over TLS (DoT) und DNS over HTTPS (DoH).
• Dies schützt nicht vor einem Hackerangriff auf Ihr Konto. Wenn jemand Zugriff auf die Domainverwaltung oder die DNS-Zone erhält, werden auch gefälschte Einträge vom System als authentisch anerkannt. Schutz vor solchen Angriffen bieten ein starkes Passwort, die Zwei-Faktor-Authentifizierung und die Sperrung der Domain.
• Dies ist kein Ersatz für ein SSL-Zertifikat. DNSSEC schützt die Adressauflösung, während der Datenverkehr zwischen der Website und dem Besucher weiterhin durch HTTPS verschlüsselt wird.

Sind beide erforderlich?

Ohne DNS funktioniert eine Domain nicht, DNSSEC ist jedoch nicht verpflichtend. Wenn Sie diese Funktion aktivieren, akzeptieren die Resolver, die den Domainnamen abfragen und überprüfen, nur authentifizierte Antworten. Der Preis dafür ist, dass eine fehlerhafte Konfiguration (beispielsweise ein veralteter DS-Eintrag nach einem Wechsel des Nameservers) dazu führen kann, dass die Domain nicht erreichbar ist. Daher empfiehlt es sich, DNSSEC dort zu aktivieren, wo die Zone und der DS-Eintrag vom selben Anbieter verwaltet werden oder wo die Änderungen sorgfältig überwacht werden.