DNSSEC aktivieren (und was tun, wenn es nicht funktioniert)

DNSSEC fügt den DNS-Antworten deiner Domain eine digitale Signatur hinzu, damit niemand sie auf dem Weg zu deinen Besuchern fälschen kann. Dieser Artikel richtet sich an alle, die DNSSEC ein- oder ausschalten oder es reparieren, wenn etwas schiefgelaufen ist.

#Überblick

• DNSSEC lohnt sich, aber es ist die eine DNS-Einstellung, die deine Domain komplett vom Internet trennen kann, wenn sie falsch eingerichtet ist.
• Es wird von zwei verschiedenen Stellen gemeinsam gesteuert: deinem DNS-Anbieter und deinem Registrar.
• InfraNest zeigt den Status auf der DNS-Seite Zone neben deinen Nameservern an — nicht im Eintrags-Editor.

#Die beiden Stellen verstehen, an denen DNSSEC eingerichtet wird

Das ist der Teil, über den fast jeder stolpert.

1. Dein DNS-Anbieter signiert die Zone — er erzeugt einen Schlüssel und signiert jede Antwort, die er ausgibt.
2. Dein Registrar veröffentlicht einen kurzen Fingerabdruck dieses Schlüssels, genannt DS-Eintrag, in der Zone oberhalb deiner eigenen (bei der Registry, die deine Domain-Endung verwaltet, z. B. .com oder .nl).

Keiner der beiden Schritte bewirkt für sich allein etwas. Signieren ohne DS bedeutet, dass niemand die Signaturen prüft; ein DS ohne Signierung bedeutet, dass jede Prüfung fehlschlägt.

NoteDer DS-Eintrag gehört nicht in deine eigene DNS-Zone — es ist der eine DNS-Eintrag, den du nicht selbst veröffentlichen kannst. Deshalb läuft er über deinen Registrar, und deshalb zeigt InfraNest DNSSEC neben deinen Nameservern an und nicht im Eintrags-Editor.

#DNSSEC einschalten

1. Öffne die Zone unter DNS.
2. Wähle Set up DNSSEC — du findest es im Menü Aktionen und auch unter Protection, wo der Berater Verbesserungen auflistet.
3. InfraNest erledigt beide Schritte für dich, soweit möglich: Es bittet deinen DNS-Anbieter, die Zone zu signieren, und übergibt den Fingerabdruck dann an deinen Registrar.
4. Prüfe das Ergebnis:
   • Done — nichts weiter zu tun; der Rest des Internets zieht innerhalb weniger Stunden nach.
   • We cannot publish the fingerprint for you at this registrar — kopiere die angezeigte Zeile und füge sie in die Kontrollfläche deines Registrars ein.
   • This provider does not hand out the key — hole den Fingerabdruck aus dem Panel deines Anbieters und trage ihn dann bei deinem Registrar ein.
   • Your provider is still starting to sign — nichts zu tun; InfraNest prüft alle zwanzig Minuten erneut und veröffentlicht den Fingerabdruck, sobald er bereit ist.

Wenn Set up DNSSEC gar nicht angeboten wird, hat dein DNS-Anbieter keine Möglichkeit, die Signierung über seine Verbindung zu InfraNest einzuschalten — das trifft derzeit auf Hetzner und DigitalOcean zu.

Du kannst es trotzdem von Hand erledigen: Schalte die Signierung bei deinem DNS-Anbieter ein, öffne dann die Domain in InfraNest, wähle Manage DNSSEC und gib ein, was dir dein Anbieter mitgeteilt hat.

#DNSSEC ausschalten

1. Drücke einmal Turn off DNSSEC.
2. Dadurch wird zuerst der Fingerabdruck bei deinem Registrar entfernt, während die Zone bewusst signiert bleibt — das ist die sichere Reihenfolge. Würde man beides gleichzeitig tun, bliebe ein Fingerabdruck übrig, der auf einen Schlüssel verweist, der nichts mehr signiert — und genau das legt eine Domain lahm.
3. InfraNest erledigt den Rest von selbst, etwa einen Tag später, sobald der alte Fingerabdruck überall abgelaufen ist. Du musst nicht noch einmal zurückkommen.

#Einen Schlüssel von Hand eingeben

1. Wo InfraNest den Fingerabdruck nicht für dich veröffentlichen kann, öffne Manage DNSSEC auf der Domain-Seite.
2. Füge die ganze Zeile, die dir dein DNS-Anbieter gegeben hat, in das Feld oben ein, statt jedes Feld einzeln auszufüllen. Beide Formen werden erkannt:

62949 13 2 FBF66B8D019C1EEC…          ein DS
257 3 13 mdsswUyr3DPW132mOi8V…        ein Schlüssel

3. Das funktioniert mit oder ohne den vorangestellten Teil example.com. 3600 IN DS. InfraNest zeigt dir, was es verstanden hat, bevor du speicherst — kann es die Zeile nicht lesen, sagt es das, statt zu raten, denn eine falsch gelesene Zeile veröffentlicht den falschen Fingerabdruck, was schlimmer ist, als gar keinen zu veröffentlichen.

#Wenn DNSSEC nicht mehr funktioniert

Eine fehlerhafte Einrichtung lässt deine Website nicht einfach falsch aussehen — sie lässt deine Domain verschwinden. Jeder, dessen Resolver DNSSEC prüft, bekommt gar keine Antwort: keine Website, keine E-Mail, keine Warnseite zum Durchklicken. Das passiert meist, wenn ein Schlüssel beim DNS-Anbieter gewechselt wird, ohne dass der DS aktualisiert wird, oder nach einem Umzug einer Domain zwischen Anbietern.

InfraNest prüft jede Domain darauf und benachrichtigt dich, sobald es auftritt, denn nichts in deinen eigenen Systemen zeigt diesen Fehler an.

Wenn du diese Benachrichtigung bekommst:

1. Vergleiche den DS-Eintrag bei deinem Registrar mit dem Schlüssel, mit dem dein DNS-Anbieter gerade signiert — eine Abweichung ist die übliche Ursache.
2. Kannst du das nicht schnell beheben, entferne den DS-Eintrag beim Registrar. Das schaltet DNSSEC aus und bringt die Domain für alle fast sofort zurück. Es ist besser, unsigniert zu sein als unsichtbar.
3. Behebe die Abweichung und setze den DS-Eintrag danach wieder ein.

#Füge DNSKEY- oder DS-Einträge nicht selbst hinzu

Der Eintrags-Editor lässt dich DNSKEY und DS als Eintragstypen wählen, aber keiner von beiden ist der Weg, DNSSEC einzuschalten:

• Ein DNSKEY wird von deinem DNS-Anbieter erzeugt, wenn er die Zone signiert — du gibst nie selbst einen ein.
• Ein DS-Eintrag gehört in die Zone oberhalb deiner eigenen, bei der Registry. Einer, der in deiner eigenen Zone hinzugefügt wird, bewirkt gar nichts.

InfraNest erklärt das direkt neben dem Feld, wenn du einen der beiden Typen auswählst. Es hält dich nicht davon ab, denn es gibt einen echten Anwendungsfall: die Delegierung einer Subdomain, die jemand anderes bereits signiert hat. Wenn das nicht dein Fall ist, nutze stattdessen Set up DNSSEC neben deinen Nameservern.

#Was die Status-Bezeichnungen bedeuten

Auf der DNS-Zonenseite siehst du neben den Nameservern eine von diesen Bezeichnungen:

• DNSSEC on — signiert, und Resolver validieren es. Nichts zu tun.
• DNSSEC off — nicht signiert. Das ist eine Entscheidung, kein Fehler.
• DNSSEC failing — signiert, aber die Validierung schlägt fehl, sodass die Domain für die meisten Nutzer nicht auflöst. Jetzt handeln.

WarningEine Bezeichnung mit einem Sternchen beruht auf den Einträgen, die InfraNest gespeichert hat, statt auf einer Live-Prüfung, und kann von dem abweichen, was das Internet tatsächlich sieht.

#Tipps

TipWenn du dir je unsicher bist, ob DNSSEC ein Problem verursacht: Das Entfernen des DS-Eintrags beim Registrar ist die schnelle, sichere Lösung — sie bringt die Domain sofort zurück, und du kannst ihn wieder hinzufügen, sobald das eigentliche Problem behoben ist.