Blog · Grundlagen ·
Was ist DNSSEC?
DNSSEC signiert DNS-Antworten, damit Fälschungen auffallen. Wie die Kette vom Punkt bis zum Namen prüft und wo ihre Grenzen liegen.
Die Kette vom Punkt
Jede Prüfung beginnt oben: Die Wurzelzone ist signiert, und ihr Schlüssel steht in jedem prüfenden Resolver als Vertrauensanker. Von dort reicht die Kette nach unten: Die Mutterzone belegt per DS-Eintrag den Schlüssel der Tochter, die Tochter signiert damit ihre Einträge. Wer www.beispiel.de auflöst, prüft vom Punkt über de bis zum Namen, jede Stufe belegt die nächste.
Getrennt wird nach Aufgabe: Der Zonensignaturschlüssel signiert die Einträge und wechselt oft, der Schlüsselsignaturschlüssel steht darüber und wechselt selten. Wechselt einer, überlappen sich alter und neuer, bis kein Prüfer mehr den alten braucht. So bleibt die Kette geschlossen, während sich ihre Glieder erneuern.
Was schiefläuft
Der häufigste Ausfall ist vergessenes Neu-Signieren: Signaturen tragen ein Verfallsdatum, und wer es verstreichen lässt, liefert Antworten, die kein Prüfer mehr annimmt. Die Domain verschwindet für alle, die prüfen, während sie für alle anderen erreichbar bleibt, ein Ausfall, der nur die Sorgfältigen trifft.
Der zweite Klassiker ist der Bruch zwischen Mutter und Tochter: Schlüssel gewechselt, DS-Eintrag vergessen, und die Kette endet im Leeren. Beides heilt dieselbe Medizin: Automatisierung, Überwachung und ein Wechselverfahren, das man geprobt hat, bevor man es braucht.
Was DNSSEC nicht ist
Es verschlüsselt nichts: Anfrager und Antwort lesen unterwegs mit, dafür sind DoH und DoT zuständig. Es schützt nicht vor Überlast und nicht vor falschen Inhalten eines ehrlichen Signierers: Die Signatur belegt Herkunft und Unversehrtheit, nicht Wahrheit. Wer das versteht, erwartet genau das Richtige.
Und es wirkt nur, wo geprüft wird: Ein Resolver, der nicht validiert, verteilt signierte Antworten wie unsignierte. Die Kette ist so stark wie ihr letztes Glied, und das sitzt beim Fragenden.
DNSSEC bei obhut
DNSSEC gehört zum Angebot: Die Zone wird am versteckten Primary signiert, die Signaturen wandern mit dem Zonentransfer nach draußen. Wer die Zone bei obhut führt, bekommt die Signatur dazu, nicht als Zusatz.
Resolver prüfen sie, bevor sie antworten: Stimmt die Kette, stammt die Antwort unverändert von der Quelle. So wird aus der zuständigen Stelle eine beglaubigte.
Häufige Fragen
Macht DNSSEC meine Seite langsamer? Messbar kaum: Antworten werden größer, die Prüfung kostet Millisekunden beim Resolver, nicht beim Nutzer. Was langsam macht, sind kaputte Ketten, nicht intakte.
Brauche ich DNSSEC, wenn ich TLS habe? Ja, für verschiedene Fragen: TLS schützt die Verbindung zum Server, DNSSEC die Antwort auf die Frage, wohin überhaupt. Ohne DNSSEC kann ein Angreifer die Frage umbiegen, bevor TLS beginnt.
Warum ist DNSSEC nicht überall? Weil es Betrieb kostet: Schlüssel pflegen, rechtzeitig neu signieren, Elternzone synchron halten. Wer das scheut, lässt es, und verteilt Antworten ohne Beglaubigung.