Was ist DNSSEC, und sollte ich es einschalten?

DNSSEC unterschreibt die Antworten Ihrer Nameserver. Prüfende Resolver – etwa bei vielen Internetanbietern – erkennen damit gefälschte Antworten, und niemand kann Besucher Ihrer Domain unbemerkt auf einen anderen Server umlenken.

Das Risiko

DNSSEC schalten Sie auf eigene Gefahr ein. Passt der Schlüssel bei der Registrierungsstelle nicht mehr zur Unterschrift Ihrer Zone, ist Ihre Domain für prüfende Resolver gar nicht mehr erreichbar – Webseite und E-Mail zugleich, ohne dass man von außen sieht, warum. Das passiert vor allem beim Wechsel der Nameserver. Deshalb lassen sich die Nameserver nicht ändern, solange DNSSEC eingeschaltet ist.

Einschalten

1. Unter Meine Domains die Domain öffnen und den Reiter Nameserver wählen.
2. Im Abschnitt DNSSEC den Hinweis lesen, das Häkchen setzen und DNSSEC einschalten.

Der Nameserver unterschreibt die Zone, danach geben wir den Schlüssel an die Registrierungsstelle. Das dauert in der Regel wenige Minuten bis eine Stunde; der Stand steht auf der Seite. DNSSEC geht nur, solange Ihre Domain unsere Nameserver nutzt.

Ausschalten

Mit DNSSEC ausschalten entfernen wir zuerst den Schlüssel bei der Registrierungsstelle. Resolver im Internet merken ihn sich bis zu einem Tag, und manche Registrierungsstelle übernimmt die Änderung verzögert. Erst nach 48 Stunden nehmen wir die Unterschrift von der Zone – andersherum wäre Ihre Domain in der Zwischenzeit für viele nicht erreichbar. So lange lassen sich die Nameserver nicht ändern.

Brauche ich das?

Für die meisten Webseiten ist DNSSEC kein Muss. Sinnvoll ist es, wenn Ihre Domain ein lohnendes Ziel für Umleitungen ist – etwa bei einem Shop oder einer Anmeldung – und Sie Ihre Nameserver auf absehbare Zeit nicht wechseln.