DNSSEC

Ein einzelner Kommandozeilenbefehl räumt verwaiste DNS-Einträge aus dem Weg und behebt oft schneller Netzwerkprobleme als jede Fehlersuche. Wer weiß, wie der Cache wirklich funktioniert und wo seine Grenzen liegen, nutzt ihn auch zur Absicherung gegen DNS-Spoofing.

Mit der im Mai 2026 veröffentlichten DMARC-Spezifikation RFC 9989 hält die neue np-Richtlinie (Non-Existent Subdomain Policy) Einzug. Sie soll verhindern, dass Angreifer nicht existierende Subdomains für E-Mail-Spoofing missbrauchen. Doch ausgerechnet in Kombination mit DNSSEC funktioniert die neue Funktion nicht immer wie vorgesehen.

DNS läuft in vielen Umgebungen als Dienst im Hintergrund, den man einmal einrichtet und dann vergisst. Der kürzliche DENIC-Ausfall hat gezeigt, warum das ein Trugschluss ist. Dieser Artikel erklärt, wie DNSSEC, DoT, DoH und die Wahl des richtigen Resolvers zusammenspielen – und wo die Grenzen jedes einzelnen Mechanismus liegen.

Am Abend des 5. Mai waren zeitweise zahlreiche .de-Domains nicht erreichbar. Ausgerechnet der Sicherheitsmechanismus DNSSEC wurde dabei zum Problem – die Ursache lag offenbar in einer fehlerhaften RRSIG-Signatur, was die Validierung durch DNS-Dienste ausgehebelt hat.