DNSSEC signiert die DNS-Einträge einer Domain, sodass Browser, Mailserver und KI-Agenten prüfen können, dass eine Adresse vom Inhaber stammt und nicht gefälscht wurde. Das Einschalten hat zwei Schritte: das Signieren der Zone auf den Nameservern (das übernimmt Aderlo Cloud) und einen DS-Eintrag in der Registry — Resolver können ihn bis zu 24 Stunden zwischenspeichern, deshalb gilt bei Änderungen: zuerst den DS entfernen, einen Tag warten, dann die Nameserver wechseln.
Was DNSSEC macht
Ohne DNSSEC trägt eine DNS-Antwort („die Website liegt unter dieser IP“, „Mail geht an diesen Server“) keine Signatur, und jeder auf dem Weg kann sie austauschen. Mit DNSSEC ist jede Antwort signiert, und die Registry der Domain speichert einen Hash des Schlüssels — den DS-Eintrag. Ein validierender Resolver (Google 8.8.8.8, Cloudflare 1.1.1.1, Quad9 und viele Provider) folgt der Vertrauenskette von der Registry bis zu Ihrer Zone und verwirft eine Antwort, die nicht passt.
DNSSEC ist außerdem ein Kriterium für eine KI-bereite Website: Die DNS-AID-Einträge, über die Agenten den MCP-Server einer Domain finden, erkennen Scanner nur mit dem AD-Flag an, also mit gültiger Signatur.
DNSSEC bei Aderlo Cloud einschalten
Für Domains auf den Nameservern ns3.aderlo.cloud und ns4.aderlo.cloud schaltet derzeit das Team von Aderlo Cloud DNSSEC ein — schreiben Sie dem Support aus dem Panel. Im Panel unter Domains → DNSSEC & KI sehen Sie jeden Schritt und die Werte zum Kopieren.
Wir signieren die Zone
mit einem ECDSA-P-256-Schlüssel (Algorithmus 13) und prüfen, dass beide Nameserver dieselben gültigen Signaturen ausliefern.
Wir warten eine Stunde
damit die Resolver-Caches bereits signierte Einträge haben, bevor in der Registry ein DS erscheint.
Der DS-Eintrag
für eine bei uns registrierte Domain hinterlegen wir ihn über die Registrar-API; bei einem anderen Registrar tragen Sie ihn ein — siehe unten.
Wir prüfen die Kette
über drei öffentliche Resolver. Bestätigen alle die Signatur, zeigt das Panel „Aktiv“.
Die Signaturen werden jede Woche und nach jeder Änderung eines Eintrags automatisch erneuert, und ihre Gültigkeit auf beiden Nameservern wird stündlich geprüft.
DS-Eintrag bei einem anderen Registrar
Ist die Domain anderswo registriert, nutzt aber die Nameserver von Aderlo Cloud, zeigt das Panel nach dem Signieren vier Werte. Tragen Sie sie in den DNSSEC-Einstellungen (manchmal „DS-Einträge“) Ihres Registrars ein.
| Feld | Wert |
|---|---|
| Key Tag | die Zahl aus dem Panel, z. B. 38880 |
| Algorithmus | 13 (ECDSA P-256 mit SHA-256) |
| Digest-Typ | 2 (SHA-256) |
| Digest | 64 Hexadezimalzeichen aus dem Panel, ohne Leerzeichen |
Manche Registrare verlangen statt des DS den öffentlichen Schlüssel (DNSKEY: Flags 257, Protokoll 3, Algorithmus 13 und der Schlüssel). Das Panel zeigt auch diesen Eintrag.
Was Sie bei aktivem DNSSEC nicht tun sollten
Wechseln Sie die Nameserver nicht, solange der DS-Eintrag in der Registry steht. Die neuen Server haben Ihre Schlüssel nicht, also halten validierende Resolver die Domain für gefälscht: Website und Mail fallen für einen großen Teil der Nutzer bis zu einen Tag aus. Reihenfolge: DS entfernen → 24 Stunden warten → Nameserver wechseln.
- Umzug der Domain zu einem anderen Registrar oder Hoster: zuerst DNSSEC ausschalten. Einen Umzug zwischen Konten bei Aderlo Cloud führt das System nicht aus, solange der DS aktiv ist — es wartet und schließt ihn ab, sobald es sicher ist.
- DNS-Einträge nur im Panel ändern oder in DirectAdmin — jede Änderung wird dann sofort auf beiden Nameservern neu signiert.
- Das Abschalten dauert etwa zwei Tage: Zuerst verschwindet der DS aus der Registry, die Signatur bleibt, bis alle Caches den alten DS vergessen haben.
So prüfen Sie, ob es funktioniert
- DNSViz — zeichnet die ganze Kette von der Root bis zur Domain; alles sollte als „secure“ markiert sein.
- Verisign DNSSEC Analyzer — eine Prüfliste; alle Zeilen sollten grün sein.
- Im Terminal:
dig +dnssec ihredomain.de @1.1.1.1— die Antwort sollte das Flagadtragen.
Häufige Fragen
- Macht DNSSEC die Website langsamer?
- Nicht spürbar. ECDSA-Signaturen sind klein, und Resolver speichern sie wie jeden anderen Eintrag zwischen.
- Ersetzt DNSSEC das SSL-Zertifikat?
- Nein. Das Zertifikat verschlüsselt die Verbindung zur Website, DNSSEC schützt die DNS-Antwort, die sagt, mit welchem Server verbunden wird. Beide wirken zusammen.