Utfall av .de-domäner berodde på DNSSEC-fel

DENIC eG, den centrala registreringsenheten för alla tyska domäner, drabbades av ett betydande driftstopp den 5 maj. En felaktig DNSSEC-nyckelrotation ledde till att miljontals .de-domäner blev otillgängliga globalt i ungefär två timmar.

Paradoxalt nog drabbades användare som aktivt använde säkerhetsorienterad DNS-konfiguration hårdare. DNSSEC (Domain Name System Security Extensions) är en säkerhetsmekanism som kryptografiskt signerar DNS-svar för att förhindra förfalskning och cache-förgiftningsattacker. När DENIC:s rutinmässiga nyckelrotation misslyckades och en ogiltig signatur infördes i .de-zonen, avvisade alla DNS-servrar som utförde DNSSEC-validering – inklusive de från Cloudflare, Google och Quad9 – svaren. Detta gjorde att användare inte kunde nå .de-webbplatser, även om de underliggande webbservrarna fungerade normalt.

Störningen började runt kl. 21:40, och DENIC publicerade sitt första officiella incidentmeddelande först kl. 23:28. Korrigerad data spreds snabbt, och normal drift återställdes till stor del tidigt på morgonen den 6 maj. Flera framstående företag, inklusive Deutsche Bahn och DHL, påverkades av störningen.

Enligt experter kan företag skydda sig mot liknande händelser genom att förbättra sin DNS-övervakning, vara uppmärksamma på DNSSEC-fel och välja DNS-leverantörer med tydliga eskaleringsvägar för problem. Även om DNSSEC är en viktig säkerhetsfunktion, understryker denna incident behovet av robust nätverksresiliensplanering.