DENIC-Störung bei .de-Domains durch Signaturfehler verursacht

In der Nacht vom 5. auf den 6. Mai 2026 kam es bei der DENIC, der Registrierungsstelle für deutsche Top-Level-Domains, zu einer weitreichenden Störung. Tausende .de-Domains, darunter prominente Adressen wie bahn.de und spiegel.de, waren für Teile der weltweiten Nutzer nicht erreichbar. Als Ursache wurde kein Cyberangriff oder Konfigurationsfehler identifiziert, sondern ein tiefer liegender Signaturfehler in der deutschen DNS-Infrastruktur.

Die Probleme begannen während eines angekündigten Wartungsfensters am Abend des 5. Mai gegen 21:40 Uhr MESZ und dauerten bis etwa 23:30 Uhr an. Nutzer sahen stattdessen Fehlermeldungen wie „DNS-Adresse des Servers nicht gefunden“. Die DENIC bestätigte die Störung noch in der Nacht und meldete kurz nach 23:30 Uhr die Behebung.

Technisch lag der Fehler in fehlerhaft ausgelieferten DNSSEC-Signaturen in der .de-Zone. Konkret betraf dies NSEC3-Records, die kryptografisch belegen, dass eine Domain keinen DS-Record besitzt. Diese Verneinungsaussage war mit einer fehlerhaften Signatur versehen. Dies führte dazu, dass DNS-Resolver, die DNSSEC-Signaturen prüfen (wie Google DNS oder Cloudflare), die Vertrauenskette als ungültig einstuften und die Auflösung verweigerten (SERVFAIL).

DNSSEC ist ein Sicherheitsmechanismus, der DNS-Antworten kryptografisch signiert, um Manipulationen zu verhindern. In diesem Fall war jedoch nicht die Domain kompromittiert, sondern die Signaturinfrastruktur der Registrierungsstelle selbst wies einen Fehler auf. Die Schutzfunktion wurde so zur Ursache des Ausfalls.

Das Störungsbild war selektiv: Nutzer mit streng validierenden DNS-Einstellungen waren betroffen, während Nutzer mit Standard-DNS-Servern von Internetanbietern oft nicht beeinträchtigt waren. Für Domainbetreiber gab es in dieser Situation keine Handlungsmöglichkeit, da der Fehler ausschließlich bei der DENIC lag.