DNSSEC klingt zunächst nach einer komplizierten Erweiterung für Spezialisten. Im Kern geht es aber um eine einfache Frage: Woher weiß ein Resolver, dass eine DNS-Antwort wirklich aus der richtigen Zone kommt und unterwegs nicht verändert wurde?
Was DNSSEC grundsätzlich macht
DNSSEC versieht DNS-Daten mit digitalen Signaturen. Ein validierender Resolver kann dadurch prüfen, ob die Antwort zu der signierten Zone gehört und ob die Daten unverändert sind. Das betrifft zum Beispiel die Zuordnung einer Domain zu einer IP-Adresse oder den Nachweis, dass ein bestimmter Eintrag nicht existiert.
Wichtig ist dabei die Abgrenzung: DNSSEC verschlüsselt die DNS-Anfrage nicht. Es versteckt also weder die Domain, nach der gefragt wird, noch schützt es automatisch den Webserver. Es geht um Authentizität und Integrität der DNS-Daten – nicht um Vertraulichkeit.
Wie die Vertrauenskette funktioniert
DNSSEC arbeitet mit mehreren zusammengehörenden DNS-Record-Typen. Der DNSKEY-Record enthält einen öffentlichen Schlüssel, RRSIG-Records enthalten die Signaturen und DS-Records verbinden die signierte Zone mit ihrer übergeordneten Zone. Für nicht vorhandene Namen oder Record-Typen kommen je nach Verfahren NSEC- oder NSEC3-Nachweise zum Einsatz.
Entscheidend ist die Vertrauenskette. Ein Resolver muss nicht einfach irgendeinen Schlüssel aus dem DNS glauben, sondern prüft den Weg zurück zu einem bekannten Vertrauensanker. Ist diese Kette vollständig und gültig, kann die Antwort als sicher validiert werden.
Was DNSSEC schützt – und was nicht
- Schützt die Authentizität und Integrität signierter DNS-Daten
- Kann manipulierte oder gefälschte Antworten erkennbar machen
- Kann den authentischen Nachweis einer nicht vorhandenen DNS-Antwort liefern
- Verschlüsselt keine DNS-Anfragen
- Schützt keine Passwörter, Webseiteninhalte oder E-Mail-Postfächer
- Ersetzt weder TLS noch sichere Server- und Kontozugänge
Diese Grenzen sind für eine seriöse Einordnung wichtig. DNSSEC ist kein allgemeines Sicherheitszertifikat für eine Website. Eine Domain kann korrekt signiert sein und trotzdem eine unsichere Anwendung, eine falsch konfigurierte E-Mail-Authentifizierung oder einen veralteten Server betreiben.
Warum DNSSEC in der Praxis Aufmerksamkeit braucht
Eine Signatur muss gültig sein und zur aktuellen DNS-Konfiguration passen. Änderungen beim Registrar, beim DNS-Provider oder an der Delegation können die Vertrauenskette unterbrechen. Dann sehen manche Resolver die Domain als fehlerhaft oder nicht erreichbar, obwohl der Webserver selbst funktioniert.
Deshalb sollte DNSSEC nicht einmalig aktiviert und anschließend vergessen werden. Nach einem Providerwechsel, einer Änderung der Nameserver oder einer Schlüsselrotation gehört eine erneute Prüfung dazu. Auch das Ablaufdatum von Signaturen und die Erreichbarkeit der autoritativen Nameserver sind Teil der praktischen Wartung.
DNSSEC im größeren Domain-Sicherheitscheck
Bei einer Domainprüfung schaue ich nicht nur auf einen einzelnen Schalter. DNSSEC gehört für mich in eine Reihe mit TLS, SPF, DKIM, DMARC und MTA-STS. In meinem Domain-Sicherheitscheck geht es deshalb um das Zusammenspiel dieser Bereiche und nicht um eine isolierte Punktzahl.
Gerade bei privaten Projekten ist eine nachvollziehbare Dokumentation hilfreich. Wenn später ein Registrar oder DNS-Anbieter gewechselt wird, lässt sich leichter prüfen, welche Einträge bewusst gesetzt wurden und welche Abhängigkeiten bestehen.
Mein Fazit
DNSSEC ist ein sinnvoller Sicherheitsbaustein für das DNS, aber kein Ersatz für alle anderen Schutzmaßnahmen. Die Technik hilft dabei, die Herkunft und Unverändertheit von DNS-Daten zu überprüfen. Ihr Nutzen zeigt sich vor allem dann, wenn die Signierung dauerhaft sauber betrieben und bei Änderungen kontrolliert wird.
Weiterführend: RFC 4033 – DNS Security Introduction and Requirements. Der Beitrag erklärt die Grundlagen und ersetzt keine individuelle Sicherheitsprüfung.
