DENIC:s .de-domänstörning orsakades av signeringsfel

Tyska domänregistratorn DENIC upplevde en betydande störning natten mellan den 5 och 6 maj 2026, vilket gjorde ett stort antal .de-domäner, inklusive framstående som bahn.de och spiegel.de, globalt oåtkomliga för en del användare. Problemet berodde inte på en cyberattack eller felaktig konfiguration av domänerna, utan på ett djupt rotat signeringsfel i Tysklands DNS-infrastruktur.

Störningen började under ett schemalagt underhållsfönster den 5 maj, omkring kl. 21:40, och varade till 23:30. Under denna tid möttes användare av felmeddelanden som "DNS-adressen för servern hittas inte". DENIC bekräftade störningen och meddelade om dess lösning senare samma natt.

Den tekniska orsaken var en felaktig DNSSEC-signering i DNSSEC-data för .de-domänerna. Specifikt påverkades NSEC3-poster, som kryptografiskt intygar att en viss domän saknar en DS-post. Den felaktiga signaturen fick DNSSEC-verifierande tjänster, såsom Google DNS och Cloudflare, att avvisa uppslagningar av .de-domäner, vilket resulterade i ett SERVFAIL-fel.

DNSSEC (Domain Name System Security Extensions) är en säkerhetsmekanism som skyddar DNS-förfrågningar från manipulation genom att säkerställa äktheten hos svaren med kryptografiska signaturer. Även om mekanismen fungerade tekniskt korrekt för att skydda användarna, låg felet i detta fall i registratorns egen signeringsinfrastruktur, inte i att domänerna komprometterats.

Störningens effekter var selektiva. Användare som använde moderna DNS-tjänster som aktivt kontrollerar DNSSEC-signeringar drabbades. Många inhemska internetleverantörer, som inte validerar signeringar lika strikt, påverkades inte. Domäninnehavarna hade i detta fall inga åtgärder att vidta, då felet låg i infrastrukturen som DENIC administrerar.