DNSSEC bei .de-Domains ist selten und hängt am Nameserver-Set

Von 8.215.777 vermessenen .de-Domains tragen 296.054 eine DNSSEC-Signatur, 3,6 Prozent. Ob eine Domain dazugehört, hängt fast immer an ihrem Nameserver-Set. Das sind die Server, die für sie die DNS-Antworten geben. Die meisten Sets signieren fast keine ihrer Domains, wenige fast alle. Gezählt sind Sets, nicht Firmen.

DNSSEC versiegelt die Antworten des DNS, des Telefonbuchs im Netz, das dem Browser sagt, welcher Server zu einer Adresse gehört. Dann kann sie niemand unbemerkt fälschen, um Besucher auf eine nachgebaute Seite zu lenken. Das Siegel reicht als Kette von der Wurzel über .de bis zur einzelnen Domain. Die Wurzel ist seit dem 11. Oktober nur noch mit dem neuen Schlüssel KSK-2024¹ signiert, den ICANN verwaltet.

Gezählt sind die .de-Domains, die in der DNS-Runde vom 26. Oktober 2026 sauber antworteten, nicht alle registrierten .de-Domains. 188.212 Domains ohne saubere Antwort fehlen. Erfasst ist das in der .de-Zone hinterlegte Siegel (DS-Eintrag), nicht seine Gültigkeit. Ohne die 1.191.706 Domains bei großen Parkplatz-Anbietern sind 4,2 Prozent der übrigen 7.024.071 signiert.

Wie sich DNSSEC auf die Nameserver-Sets verteilt#

Die Grafik ordnet 638 Sets mit je mindestens 1.000 Domains, zusammen 6.437.133, nach ihrem Anteil signierter Domains.

Mehr als neun von zehn dieser Domains liegen in Sets, die weniger als 10 Prozent signieren. Am anderen Ende signieren 8 Sets fast alles. Sie tragen 107.347 der 242.396 signierten Domains in den großen Sets. Das größte Set zählt 502.822 Domains, eine davon ist signiert.

Gemessen ist die Verteilung, nicht ihr Grund. Ein Anbieter kann mehrere Sets betreiben, 8 Sets sind also nicht 8 Anbieter. Naheliegend, aber nicht gemessen: Meist betreibt der Hoster das Set und legt fest, ob signiert wird, nicht der Inhaber. Hinge es an jedem Inhaber einzeln, lägen die Anteile je Set breiter gestreut.

Am 5. Mai ging bei der .de-Registry DENIC ein regulärer DNSSEC-Schlüsselwechsel schief². Rund drei Stunden waren .de-Domains schlecht erreichbar, nicht nur signierte.

Wer eine .de-Domain besitzt, fragt beim Anbieter nach, ob DNSSEC eingeschaltet ist. Bietet der Anbieter es nicht an, lässt sich die Domain umziehen. DNSSEC schützt vor gefälschten DNS-Antworten, nicht vor Phishing-Mails oder einer gehackten Website.