Wie die Sicherheitsforscher von Dmarcwise aufzeigen, kollidiert die Definition nicht existierender Domains in RFC 9989 mit der 2025 veröffentlichten DNSSEC-Spezifikation RFC 9824 ("Compact Denial of Existence"). Betroffen sind unter anderem DNS-Dienste von Cloudflare, AWS Route 53, Azure DNS und NS1, sofern DNSSEC aktiviert ist.

NXDOMAIN bleibt aus

DMARC wertet eine Subdomain derzeit nur dann als nicht existent, wenn ein DNS-Server den Status NXDOMAIN zurückliefert. Moderne DNSSEC-Implementierungen nutzen jedoch häufig das Verfahren "Compact Denial of Existence". Dabei wird statt NXDOMAIN ein NOERROR mit speziellen NSEC-Einträgen zurückgegeben, um DNS-Antworten kompakter zu halten. Für viele DMARC-Implementierungen sieht die Subdomain dadurch fälschlicherweise wie eine existierende Domain aus.

Weit verbreitete DNS-Anbieter betroffen

Nach Angaben der Autoren setzen mehrere große DNS-Anbieter bereits auf dieses Verfahren. Gleichzeitig unterstützen viele DMARC-Implementierungen die neue np-Direktive noch gar nicht oder orientieren sich strikt an der RFC-Vorgabe und prüfen ausschließlich auf NXDOMAIN. Dadurch greift die Schutzfunktion in vielen Fällen nicht wie erwartet.

IETF kennt das Problem

Die Forscher haben den Konflikt bereits in die zuständige IETF-Arbeitsgruppe eingebracht. Dort wurde das Problem zwar anerkannt, bislang konnte jedoch keine Einigung über eine Anpassung der Spezifikation erzielt werden. Als mögliche Lösungen gelten entweder Änderungen an RFC 9989 oder eine konsequentere Unterstützung der in RFC 9824 vorgesehenen Mechanismen zur Wiederherstellung des NXDOMAIN-Status.

Bis dahin sollten Administratoren nicht davon ausgehen, dass die neue np-Richtlinie in allen Umgebungen zuverlässig greift – insbesondere dann nicht, wenn DNSSEC und einer der betroffenen DNS-Anbieter zum Einsatz kommen.