[{"data":1,"prerenderedAt":218},["ShallowReactive",2],{"news-denic-dnssec-ausfall-de-domains":3},{"id":4,"title":5,"author":6,"body":7,"cover":206,"date":207,"description":208,"extension":209,"hero":210,"meta":211,"navigation":212,"path":213,"seo":214,"showContactForm":215,"showTechNav":215,"stem":216,"__hash__":217},"content\u002Fnews\u002Fdenic-dnssec-ausfall-de-domains.md",".de-Ausfall durch DNSSEC-Panne: Was der DENIC-Vorfall für Ihre Erreichbarkeit bedeutet","Thomas K.",{"type":8,"value":9,"toc":199},"minimark",[10,14,19,22,25,28,32,35,39,56,125,128,154,158,167,171,195],[11,12,13],"p",{},"Am Abend des 5. Mai 2026 waren .de-Domains wegen fehlerhafter DNSSEC-Signaturen für viele Nutzer rund drei Stunden lang kaum erreichbar. Wir erklären, was passiert ist, warum auch Domains ohne DNSSEC betroffen waren und wie Sie sich auf solche Ausfälle vorbereiten können.",[15,16,18],"h2",{"id":17},"was-ist-passiert","Was ist passiert?",[11,20,21],{},"DENIC, die Registry für .de-Domains, führte eine routinemäßige, geplante Rotation des Zone Signing Keys durch. Dabei wurden Signaturen erzeugt und verteilt, die sich nicht validieren ließen. Nach der Analyse von DENIC lag die Ursache in fehlerhaftem Code der hauseigenen Signiersoftware: Statt eines gemeinsamen Schlüsselpaars wurden mehrere erzeugt, veröffentlicht wurde aber nur ein öffentlicher Schlüssel. Ein Teil der Antworten war dadurch ungültig signiert. Drei Prüfwerkzeuge hatten die Auffälligkeiten zwar erkannt, die Meldungen wurden laut DENIC aber nicht korrekt verarbeitet.",[11,23,24],{},"Die Folge: Validierende Resolver – etwa bei großen Internetprovidern oder öffentlichen DNS-Diensten – stuften die Antworten als ungültig ein und lieferten Fehler statt Adressen. Betroffen waren nicht nur DNSSEC-signierte Domains. Weil auch die Delegationsinformationen der Zone als fehlerhaft galten, ließen sich selbst .de-Domains ohne DNSSEC nicht mehr auflösen.",[11,26,27],{},"Die Störung begann am späten Abend. Laut DENIC wurde ab 00:08 Uhr eine korrekte Zone verteilt, um 01:15 Uhr war der Normalbetrieb wiederhergestellt. Einige große Resolver-Betreiber, darunter Cloudflare, setzten die DNSSEC-Validierung für .de vorübergehend aus und milderten so die Auswirkungen für ihre Nutzer. Es handelte sich um eine technische Panne, nicht um einen Angriff. DENIC hat weitere Schlüsselrotationen bis zur vollständigen Klärung ausgesetzt und eine erste Analyse veröffentlicht.",[15,29,31],{"id":30},"warum-betrifft-sie-das","Warum betrifft Sie das?",[11,33,34],{},"Fast jedes deutsche Unternehmen hängt an einer .de-Domain – auch wir mit turboad.de. Website, Onlineshop, E-Mail, APIs und Login-Dienste laufen meist über dieselbe Domain. Fällt die Namensauflösung der Top-Level-Domain aus, hilft weder ein redundantes Hosting noch ein zweiter DNS-Provider: Das Problem liegt eine Ebene darüber. Der Vorfall war ungewöhnlich, zeigt aber, dass „die Website ist down\" auch Ursachen haben kann, die außerhalb Ihrer eigenen Infrastruktur liegen.",[15,36,38],{"id":37},"was-sie-jetzt-tun-sollten","Was Sie jetzt tun sollten",[40,41,42,50],"ul",{},[43,44,45,49],"li",{},[46,47,48],"strong",{},"Abhängigkeiten erfassen:"," Listen Sie auf, welche Dienste an Ihrer .de-Domain hängen – Website, Mail, Kundenportal, Schnittstellen zu Partnern, interne Tools.",[43,51,52,55],{},[46,53,54],{},"DNS-Auflösung überwachen:"," Prüfen Sie nicht nur, ob Ihr Server antwortet, sondern auch, ob Ihre Domain über validierende Resolver auflösbar ist. Ein einfacher Check:",[57,58,63],"pre",{"className":59,"code":60,"language":61,"meta":62,"style":62},"language-bash shiki shiki-themes material-theme-lighter material-theme material-theme-palenight","# Liefert \"SERVFAIL\" statt \"NOERROR\", wenn die Validierung scheitert\ndig +dnssec www.ihre-domain.de A @1.1.1.1 | grep status\ndig +dnssec www.ihre-domain.de A @9.9.9.9 | grep status\n","bash","",[64,65,66,75,105],"code",{"__ignoreMap":62},[67,68,71],"span",{"class":69,"line":70},"line",1,[67,72,74],{"class":73},"sHwdD","# Liefert \"SERVFAIL\" statt \"NOERROR\", wenn die Validierung scheitert\n",[67,76,78,82,86,89,92,95,99,102],{"class":69,"line":77},2,[67,79,81],{"class":80},"sBMFI","dig",[67,83,85],{"class":84},"sfazB"," +dnssec",[67,87,88],{"class":84}," www.ihre-domain.de",[67,90,91],{"class":84}," A",[67,93,94],{"class":84}," @1.1.1.1",[67,96,98],{"class":97},"sMK4o"," |",[67,100,101],{"class":80}," grep",[67,103,104],{"class":84}," status\n",[67,106,108,110,112,114,116,119,121,123],{"class":69,"line":107},3,[67,109,81],{"class":80},[67,111,85],{"class":84},[67,113,88],{"class":84},[67,115,91],{"class":84},[67,117,118],{"class":84}," @9.9.9.9",[67,120,98],{"class":97},[67,122,101],{"class":80},[67,124,104],{"class":84},[11,126,127],{},"Solche Abfragen lassen sich in bestehende Monitoring-Werkzeuge einbinden und von mehreren Standorten ausführen.",[40,129,130,136,142,148],{},[43,131,132,135],{},[46,133,134],{},"Fehlerbilder unterscheiden:"," Halten Sie im Runbook fest, wie Sie einen eigenen Ausfall von einem Problem beim DNS-Provider oder der Registry unterscheiden – etwa über die Statusseite von DENIC.",[43,137,138,141],{},[46,139,140],{},"Notfallkommunikation vorbereiten:"," Legen Sie fest, wie Sie Kunden informieren, wenn Ihre Domain nicht erreichbar ist: Social-Media-Kanäle, Newsletter-Tool mit eigener Domain oder eine vorbereitete Ausweichdomain unter einer anderen Top-Level-Domain.",[43,143,144,147],{},[46,145,146],{},"Kritische Schnittstellen prüfen:"," Für wichtige Integrationen kann eine zweite Domain unter einer anderen TLD als Fallback sinnvoll sein.",[43,149,150,153],{},[46,151,152],{},"DNSSEC nicht vorschnell abschalten:"," Der Fehler lag bei der Registry, nicht an DNSSEC als Technik. Für Ihre eigene Domain bleibt DNSSEC ein sinnvoller Schutz.",[15,155,157],{"id":156},"fazit","Fazit",[11,159,160,161,166],{},"Der DENIC-Vorfall war kurz, aber lehrreich: Auch die Infrastruktur über Ihrer eigenen Domain kann ausfallen. Mit einem Überblick über Ihre Abhängigkeiten, gezieltem DNS-Monitoring und einem vorbereiteten Kommunikationsplan sind Sie beim nächsten Mal schneller handlungsfähig. Wenn Sie Ihr Monitoring oder Ihre Notfallplanung überprüfen möchten, ",[162,163,165],"a",{"href":164},"\u002Fkontakt","sprechen Sie uns an",".",[15,168,170],{"id":169},"quellen","Quellen",[40,172,173,181,188],{},[43,174,175],{},[162,176,180],{"href":177,"rel":178},"https:\u002F\u002Fblog.denic.de\u002Fen\u002Ftechnical-issue-with-de-domains-resolved\u002F",[179],"nofollow","Technical issue with .de domains resolved – DENIC",[43,182,183],{},[162,184,187],{"href":185,"rel":186},"https:\u002F\u002Fheise.de\u002F-11288270",[179],"DENIC liefert erste Erklärung zum .de-Ausfall – heise online",[43,189,190],{},[162,191,194],{"href":192,"rel":193},"https:\u002F\u002Fblog.cloudflare.com\u002Fde-tld-outage-dnssec\u002F",[179],"When DNSSEC goes wrong: how we responded to the .de TLD outage – Cloudflare",[196,197,198],"style",{},"html pre.shiki code .sHwdD, html code.shiki .sHwdD{--shiki-light:#90A4AE;--shiki-light-font-style:italic;--shiki-default:#546E7A;--shiki-default-font-style:italic;--shiki-dark:#676E95;--shiki-dark-font-style:italic}html pre.shiki code .sBMFI, html code.shiki .sBMFI{--shiki-light:#E2931D;--shiki-default:#FFCB6B;--shiki-dark:#FFCB6B}html pre.shiki code .sfazB, html code.shiki .sfazB{--shiki-light:#91B859;--shiki-default:#C3E88D;--shiki-dark:#C3E88D}html pre.shiki code .sMK4o, html code.shiki .sMK4o{--shiki-light:#39ADB5;--shiki-default:#89DDFF;--shiki-dark:#89DDFF}html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":62,"searchDepth":77,"depth":77,"links":200},[201,202,203,204,205],{"id":17,"depth":77,"text":18},{"id":30,"depth":77,"text":31},{"id":37,"depth":77,"text":38},{"id":156,"depth":77,"text":157},{"id":169,"depth":77,"text":170},"\u002Fimages\u002Fnews\u002Fdenic-dnssec-ausfall-de-domains.webp","2026-05-27","Am 5. Mai waren .de-Domains wegen fehlerhafter DNSSEC-Signaturen stundenlang kaum erreichbar. Was passiert ist und wie Sie sich darauf vorbereiten.","md",null,{},true,"\u002Fnews\u002Fdenic-dnssec-ausfall-de-domains",{"title":5,"description":208},false,"news\u002Fdenic-dnssec-ausfall-de-domains","5izVoSaV6Q4_YVK0ODQK5TLG3Q2HwsKLb5Bo5Vf4ugE",1793714089327]