DNSSEC (Domain Name System Security Extensions) signiert DNS-Antworten, damit Systeme deren Echtheit prüfen können. Es verschlüsselt sie nicht. Barbara Jantzen (deSEC) prüft im dotmagazine, das am 28.10.2026 neu veröffentlicht wurde und erstmals am 13.10.2026 bei CircleID erschien, die verbreiteten Einwände gegen das Verfahren. Nach der zitierten Studie von John Kristoff und anderen, die den Zeitraum 2010 bis 2025 auswertet, lag die DNSSEC-bedingte Verfügbarkeit in 15 von 16 gemessenen Jahren über 99,99 Prozent. Die Zahl der Störungen sei in den letzten fünf Jahren deutlich gesunken. Zum praktischen Nutzen nennt der Beitrag zwei Punkte. Mit DANE (DNS-based Authentication of Named Entities) lässt sich der Schlüssel des Mailservers an die Domain binden. So wird verschlüsselte Zustellung durchsetzbar. Außerdem müssen Zertifizierungsstellen bei der Ausstellung von Zertifikaten DNSSEC prüfen, was einen Angriff auf die Domain-Kontrollprüfung erschwert. Die Autorin räumt ein, dass manche Bedenken Abwägungen bleiben, etwa der Aufwand für Wissen und Betrieb. Wer DNS-Dienste auslagert, kann diesen Aufwand an einen erfahrenen Anbieter abgeben. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank gehört die Entscheidung für oder gegen DNSSEC als dokumentierte Risikoabwägung in die Sicherheitsarchitektur, nicht in die Erinnerung einzelner Administratoren. Bei den Anbietern der Domain-Dienste ist zu klären, ob Signierung und Schlüsselwechsel automatisiert sind.
Originalquelle: dotmagazine (eco – Verband der Internetwirtschaft) →