DNSSEC

Was ist DNSSEC?

DNSSEC ist eine Sicherheitserweiterung für das Domain Name System. Digitale Signaturen ermöglichen DNS-Resolvern zu prüfen, ob eine Antwort tatsächlich von der zuständigen DNS-Zone stammt und unverändert übertragen wurde. DNSSEC schützt damit die Authentizität und Integrität von DNS-Daten, verschlüsselt jedoch weder DNS-Abfragen noch die Verbindung zur Website.

Wie DNSSEC das DNS absichert

DNSSEC steht für Domain Name System Security Extensions und ergänzt das klassische DNS um kryptografisch überprüfbare Signaturen. Das DNS übersetzt Domainnamen wie example.de in technische Informationen, etwa eine IP-Adresse. Ohne zusätzliche Prüfung kann ein Resolver grundsätzlich nicht erkennen, ob eine empfangene DNS-Antwort manipuliert wurde.

DNSSEC signiert nicht jede einzelne Antwort spontan. Der Betreiber einer DNS-Zone signiert zusammengehörige Ressourceneinträge vorab. Dazu gehören beispielsweise A-Records für IPv4-Adressen, AAAA-Records für IPv6-Adressen oder MX-Records für Mailserver. Ein validierender Resolver prüft anschließend, ob die Signatur zum veröffentlichten Schlüssel und zu den ausgelieferten DNS-Daten passt.

Der verbreitete Denkfehler lautet, DNSSEC mache eine Website vollständig sicher. DNSSEC bestätigt ausschließlich die Herkunft und Unverändertheit signierter DNS-Daten. Schadcode auf dem Webserver, unsichere Formulare oder ein kompromittiertes Content-Management-System erkennt DNSSEC nicht. Technische Sicherheit muss deshalb als Kette aus DNS-Schutz, HTTPS, Serverabsicherung und laufender Überwachung betrachtet werden.

So funktioniert die DNSSEC-Validierung

Die Validierung folgt einer Vertrauenskette, die an der DNS-Root beginnt und über die Top-Level-Domain bis zur angefragten Domain reicht. Die übergeordnete Zone veröffentlicht dazu einen DS-Eintrag. Dieser enthält einen kryptografischen Verweis auf einen Schlüssel der untergeordneten Zone. Stimmen DS-Eintrag, öffentlicher Schlüssel und Signatur zusammen, kann der Resolver die Antwort als authentisch einstufen.

DNSKEY: Dieser Eintrag veröffentlicht den öffentlichen Schlüssel der DNS-Zone.
RRSIG: Dieser Eintrag enthält die digitale Signatur eines zusammengehörigen DNS-Datensatzes.
DS: Dieser Eintrag verknüpft die übergeordnete Zone mit dem Schlüssel der untergeordneten Zone.
NSEC oder NSEC3: Diese Einträge belegen kryptografisch, dass ein angefragter Name oder Datensatz nicht existiert.

Ein validierender Resolver unterscheidet im Ergebnis zwischen sicheren, unsicheren und fehlerhaften Antworten. Eine nicht signierte Domain kann regulär als unsicher aufgelöst werden. Eine Domain mit beschädigter Vertrauenskette gilt dagegen als fehlerhaft. Viele validierende Resolver beantworten die Anfrage dann mit SERVFAIL, sodass die Website trotz erreichbarem Webserver nicht aufgerufen werden kann.

Eine gültige Signatur allein genügt nicht. Der Resolver prüft zusätzlich, ob die Signatur zum DNS-Datensatz passt, innerhalb ihres Gültigkeitszeitraums liegt und über den DS-Eintrag mit der übergeordneten Zone verbunden ist. Fehlt eines dieser Elemente, ist die Vertrauenskette nicht vollständig validierbar.

Schlüssel und Signaturen richtig einordnen

Viele DNSSEC-Konfigurationen unterscheiden zwischen einem Key Signing Key und einem Zone Signing Key. Der Key Signing Key sichert vor allem den DNSKEY-Datensatz ab und ist mit dem DS-Eintrag der übergeordneten Zone verbunden. Der Zone Signing Key signiert die übrigen Ressourceneinträge. Einige Systeme verwenden stattdessen einen gemeinsamen Schlüssel für beide Aufgaben.

DNSSEC-Signaturen besitzen einen festgelegten Beginn und ein Ablaufdatum. Der DNS-Anbieter muss die Signaturen deshalb rechtzeitig erneuern. Bei einem Schlüsselwechsel müssen alte und neue Schlüssel zeitweise koordiniert veröffentlicht werden. Wird der alte Schlüssel zu früh entfernt oder der DS-Eintrag beim Registrar falsch aktualisiert, lehnen validierende Resolver selbst technisch korrekte DNS-Antworten ab.

DNSSEC und HTTPS im Vergleich

Verfahren	Schutzbereich	Kein Schutz vor
DNSSEC	Herkunft und Integrität von DNS-Daten	Mitlesen der DNS-Anfrage und Angriffen auf die Website
HTTPS beziehungsweise TLS	Verschlüsselte und authentifizierte Verbindung zur Website	Manipulierten DNS-Antworten vor dem Verbindungsaufbau
DNS over HTTPS oder DNS over TLS	Verschlüsselte Verbindung zwischen Client und DNS-Resolver	Fehlerhaften oder manipulierten Daten einer DNS-Zone ohne DNSSEC-Prüfung

Der Unterschied zwischen DNSSEC und HTTPS liegt im Zeitpunkt der Absicherung. DNSSEC prüft die Namensauflösung, bevor der Browser eine Verbindung zum Zielserver aufbaut. HTTPS schützt anschließend die Übertragung zwischen Browser und Website. Beide Verfahren ergänzen sich, ersetzen einander aber nicht.

Welche Bedeutung hat DNSSEC für SEO?

DNSSEC ist kein allgemein bestätigter direkter Ranking-Faktor. Eine korrekt signierte Domain erhält deshalb nicht automatisch bessere Positionen. Technische Fehler können die SEO-Sichtbarkeit dennoch beeinträchtigen: Kann ein DNS-Resolver die Domain nicht auflösen, erreichen Nutzer und Suchmaschinen-Crawler weder HTML-Seiten noch Bilder, JavaScript-Dateien oder die XML-Sitemap.

Ausfälle der DNS-Auflösung betreffen auch SEA und GEO, also Generative Engine Optimization. Anzeigen führen bei einer fehlerhaften Domain auf eine nicht erreichbare Zielseite. KI-Systeme und ihre Crawler können Inhalte nur verarbeiten, wenn die Domain zuverlässig erreichbar ist. DNSSEC liefert somit keinen eigenen Ranking-Vorteil, unterstützt aber eine belastbare technische Infrastruktur für organische Suche, Anzeigen und KI-Sichtbarkeit.

Bei einem Relaunch, Providerwechsel oder Nameserverwechsel sollte DNSSEC fester Bestandteil der technischen Planung sein. Besonders kritisch ist ein bestehender DS-Eintrag beim Registrar, wenn die neue DNS-Zone noch nicht passend signiert ist. Eine strukturierte SEO-Checkliste für den Website-Relaunch reduziert das Risiko, DNS, Weiterleitungen und Indexierung getrennt voneinander zu behandeln.

DNSSEC prüfen und aktivieren

Die Aktivierung verteilt sich meist auf zwei Stellen. Der DNS-Provider signiert die Zone und stellt die notwendigen Schlüsseldaten bereit. Der Registrar veröffentlicht anschließend den DS-Eintrag in der übergeordneten Zone. Unterstützt ein Anbieter eine automatische Einrichtung, werden diese Schritte teilweise über eine gemeinsame Verwaltungsoberfläche koordiniert.

Messbar ist DNSSEC durch eine vollständige Prüfung der Vertrauenskette. Prüfe dabei nicht nur, ob DNSKEY- und RRSIG-Einträge vorhanden sind. Ein belastbarer Test validiert den DS-Eintrag, den verwendeten Algorithmus, den Gültigkeitszeitraum der Signaturen und positive sowie nicht vorhandene DNS-Antworten. Eine umfassende technische SEO-Analyse sollte DNS-Fehler zusätzlich gegen Crawling, Erreichbarkeit und Serverantworten abgleichen.

Prüfe zuerst, ob DNS-Provider und Registrar DNSSEC unterstützen.
Aktiviere die Signierung der Zone beim zuständigen DNS-Provider.
Übertrage den DS-Eintrag exakt an den Registrar.
Validiere die Domain über mehrere rekursive Resolver.
Plane Schlüsselwechsel und Providerumzüge vor der DNS-Umstellung.

DNSSEC sollte nach der Aktivierung dauerhaft überwacht werden. Relevante Ereignisse sind ablaufende Signaturen, geänderte Schlüssel, entfernte DS-Einträge und unerwartete Validierungsfehler. Technisches Monitoring ergänzt dabei regelmäßige Crawls, wie sie auch bei der automatisierten Prüfung technischer SEO-Fehler eingesetzt werden.

Häufige Fragen zu DNSSEC

Kann ich im Browser erkennen, ob DNSSEC aktiv ist?

Die meisten Browser zeigen den DNSSEC-Status nicht direkt in der Adresszeile an. Für eine zuverlässige Prüfung benötigst du einen Validator, der die vollständige Vertrauenskette vom DS-Eintrag bis zur Signatur kontrolliert.

Wie lange dauert die Aktivierung von DNSSEC?

Die technische Aktivierung kann unmittelbar erfolgen, Änderungen am DS-Eintrag und zwischengespeicherte DNS-Daten benötigen jedoch Zeit. Maßgeblich sind die jeweiligen TTL-Werte und die Verarbeitung durch DNS-Provider und Registrar.

Kann DNSSEC den Aufruf einer Website verhindern?

Ja. Ein falscher DS-Eintrag, eine abgelaufene Signatur oder ein nicht passender Schlüssel kann bei validierenden Resolvern zu SERVFAIL führen. Die Domain ist dann für betroffene Nutzer und Crawler nicht erreichbar.

Schützt DNSSEC auch den E-Mail-Verkehr?

DNSSEC kann die Echtheit signierter MX- und weiterer DNS-Einträge absichern. Die Inhalte einer E-Mail werden dadurch jedoch nicht verschlüsselt. Für den Transport und die Absenderprüfung sind zusätzliche Verfahren erforderlich.

Braucht jede Subdomain eine eigene DNSSEC-Konfiguration?

Subdomains innerhalb derselben signierten DNS-Zone werden über deren Schlüssel abgesichert. Wird eine Subdomain als eigenständige Zone delegiert, benötigt sie eine eigene Signierung und eine passende Verbindung zur übergeordneten Zone.

Kann ich DNSSEC bei einem Providerwechsel deaktivieren?

DNSSEC kann deaktiviert werden, die Reihenfolge ist jedoch wichtig. Zuerst muss der DS-Eintrag bei der übergeordneten Zone entfernt werden. Erst danach sollte die Signierung der alten Zone enden, damit keine fehlerhafte Vertrauenskette entsteht.