.de-Ausfall durch fehlerhaften DNSSEC-Schlüsselwechsel

Die DENIC eG, zentrale Registrierungsstelle für deutsche Domains, erlebte am 5. Mai einen weitreichenden Ausfall. Ein fehlerhafter Wechsel des Zone Signing Keys (ZSK) für DNSSEC führte dazu, dass Millionen .de-Domains weltweit für etwa zwei Stunden nicht erreichbar waren.

Das Paradoxon des Vorfalls: Gerade Nutzer mit einer sicherheitsorientierten DNS-Konfiguration, die DNSSEC-Signaturen aktiv prüften, waren betroffen. DNSSEC (Domain Name System Security Extensions) dient dem Schutz vor Manipulationen, indem es DNS-Antworten kryptografisch signiert. Als die DENIC ihren Sicherheitsschlüssel routinemäßig wechselte, wurde eine ungültige Signatur in die .de-Zone eingespielt. DNSSEC-validierende Resolver wie die von Cloudflare, Google und Quad9 verwarfen daraufhin die Antworten konsequent und lieferten Fehlermeldungen, was die Erreichbarkeit von .de-Domains verhinderte.

Der Ausfall begann gegen 21:40 Uhr Ortszeit. Die DENIC veröffentlichte ihre erste offizielle Mitteilung erst um 23:28 Uhr. Die Korrektur der Zonendaten wurde eingeleitet, und gegen 01:15 Uhr am Morgen des 6. Mai wurde der reguläre Betrieb weitgehend wiederhergestellt. Viele .de-Domains bekannter Unternehmen waren betroffen.

IT-Verantwortliche können aus dem Vorfall lernen: Eine kontinuierliche Überwachung des DNS-Systems, die Beachtung von DNSSEC-Fehlern und eine klare Eskalationsstrategie können das Risiko solcher Ausfälle minimieren. Der Vorfall unterstreicht die Bedeutung robuster Sicherheitsmechanismen und die Notwendigkeit, auch bei etablierten Systemen auf Ausfallsicherheit zu achten.