DNSSEC: die Echtheitsprüfung fürs Telefonbuch des Internets

Jedes Mal, wenn du eine Website aufrufst, fragt dein Gerät das DNS: "Welche Adresse gehört zu diesem Namen?" Das DNS ist das Telefonbuch des Internets. Das Problem: Eine normale DNS-Antwort trägt keinen Echtheitsnachweis. Wer sich in die richtige Position bringt, kann dir eine gefälschte Adresse unterschieben — und du landest unbemerkt auf einem fremden Server.

Was DNSSEC macht

DNSSEC versieht DNS-Antworten mit digitalen Signaturen. Dein Auflöser kann so prüfen: Stammt diese Antwort wirklich vom zuständigen Namensserver, oder wurde sie unterwegs manipuliert? Ist die Signatur ungültig, wird die Antwort verworfen — lieber keine Verbindung als eine zu einem Betrüger.

Die Vertrauenskette

Das Elegante daran ist die Kette: Die Wurzel des DNS signiert die Top-Level-Domains, diese signieren die einzelnen Domains, und so weiter. Jede Stufe bürgt für die nächste. Dein Auflöser muss nur der Wurzel vertrauen und kann den Rest lückenlos nachprüfen.

Was es dir bringt — und was nicht

DNSSEC stellt sicher, dass die Adresse echt ist. Es verschlüsselt aber nicht den Inhalt deiner Verbindung — das ist die Aufgabe von HTTPS. Beide ergänzen sich: DNSSEC sorgt dafür, dass du beim richtigen Server ankommst, HTTPS dafür, dass niemand mitliest.

Ein schöner Nebeneffekt: Erst mit DNSSEC lassen sich weitere Sicherheitsmechanismen zuverlässig im DNS verankern — etwa Angaben dazu, welches Zertifikat ein Mailserver verwenden muss. Ohne die Echtheitsgarantie von DNSSEC wären solche Angaben wertlos.