DNSSEC ist für die Domain nicht aktiv

Was das ist

DNSSEC ist eine Signatur auf DNS-Antworten. Damit kann ein Rechner prüfen, dass die Antwort auf „wo liegt example.de“ wirklich von Ihnen stammt und unterwegs niemand sie verändert hat. Ihr DNS-Server signiert die Zone mit einem Schlüssel (DNSKEY-Eintrag), und ein Fingerabdruck des Schlüssels (DS-Eintrag) wird bei der Domain-Registry hinterlegt.

Wir haben nur das öffentliche DNS angesehen: ob die Zone einen DNSKEY-Eintrag hat. Ob die Signaturkette bis zur Wurzel stimmt, prüfen wir nicht.

Warum das ein Problem ist

Ohne DNSSEC lässt sich eine gefälschte Antwort einschleusen, etwa durch Vergiften des Caches bei einem Internetanbieter. Ein Besucher oder ein Mailserver landet dann an der falschen Adresse.

Das ist kein aktiver Abfluss. Es fehlt eine Schutzschicht, deshalb ist es eine Empfehlung.
DNSSEC verschlüsselt nichts und prüft nicht den Inhalt Ihrer Website. Es schützt nur die Echtheit der DNS-Antworten.
Auf dieser Schicht bauen auch DANE und einige weitere Mailschutzverfahren auf.

So beheben Sie es

1. Signierung beim DNS-Hoster einschalten

Suchen Sie bei dem Anbieter, der Ihr DNS betreibt (Registrar, Cloudflare und andere), die Option „DNSSEC“. Nach dem Einschalten zeigt er die Daten des DS-Eintrags: Key Tag, Algorithmus, Digest-Typ und Digest.

2. Den DS-Eintrag bei der Registry hinterlegen

Liegen DNS und Domain-Registrierung am selben Ort, geschieht das oft automatisch. Sonst tragen Sie die DS-Daten in der Verwaltung Ihres Registrars ein. Eine .cz-Domain ist hier kein Problem: Die Registry CZ.NIC unterstützt DNSSEC, auch die automatische DS-Aktualisierung aus CDS/CDNSKEY-Einträgen, wenn Ihr DNS-Hoster sie veröffentlicht.

3. Prüfen

dig +short DNSKEY example.de
dig +short DS example.de

Beide Befehle sollten ein nicht leeres Ergebnis liefern.

Vorsicht beim DNS-Umzug

Schalten Sie DNSSEC ein und ziehen das DNS später um, während der DS-Eintrag bei der Registry bleibt, funktioniert die Domain für alle nicht mehr, die Signaturen prüfen. Entfernen Sie vor dem Wechsel des DNS-Hosters zuerst den DS-Eintrag bei der Registry oder nehmen Sie die Schlüssel mit.