Was ist DNSSEC?

one.com unterstützt DNSSEC, die Domain Name System Security Extensions. Diese sind standardmäßig aktiviert, wenn Sie die Nameserver von one.com verwenden. In diesem Artikel erfahren Sie mehr über DNSSEC.

Um DNSSEC zu verstehen, ist es hilfreich, die Grundlagen des DNS (Domain Name System) zu kennen. Zur Auffrischung können Sie unseren Leitfaden lesen: Was ist DNS?

• Was ist DNSSEC?
• Was schützt DNSSEC?
• So verwalten Sie DNSSEC
• So überprüfen Sie, ob DNSSEC funktioniert
• Externe Nameserver → DS-Einträge

Was ist DNSSEC?

DNS an sich ist nicht sicher. Um die Sicherheit zu erhöhen, wurde DNSSEC entwickelt. Es handelt sich um eine Reihe von Erweiterungen, die der DNS-Zone durch digitale Signierung eine zusätzliche Sicherheitsebene verleihen. Wenn ein Domainname DNSSEC verwendet, werden die DNS-Einträge mit kryptografischen Signaturen (Sicherheitsschlüsseln) versehen.

Diese Signaturen werden von den DNS-Resolvern validiert, um sicherzustellen, dass die DNS-Informationen vom korrekten DNS-Server stammen. Auf diese Weise kann der DNS-Eintrag nicht verändert oder gefälscht werden und wurde während der Übertragung nicht manipuliert. Dies bietet eine sichere Möglichkeit, auf Ihre Website und Online-Dienste zuzugreifen.

Was wird durch DNSSEC geschützt?

DNS ist anfällig für verschiedene DNS-basierte Angriffe wie DNS-Spoofing, DNS-Hijacking und DNS-Cache-Poisoning. Diese Angriffe können schwerwiegende Folgen haben: Sie können auf schädliche oder betrügerische Websites umgeleitet, sensible Informationen gestohlen oder der normale Betrieb des Internets gestört werden.

DNSSEC-signierte Domains garantieren die Authentizität und Integrität der DNS-Daten, die zwischen signierten Zonen ausgetauscht werden. Dies erhöht die Vertrauenswürdigkeit und verbessert die allgemeine Sicherheit der DNS-Infrastruktur in einer einzelnen Zone.

DNS-Daten werden nicht verschlüsselt und ihre Vertraulichkeit wird nicht geschützt. TLS/SSL verschlüsselt Daten, die zwischen Clients und Servern ausgetauscht werden, und sichert so verschiedene Internetprotokolle ab, darunter das Surfen im Internet (HTTPS) und E-Mail (SMTP, IMAP). Ein SSL-Zertifikat bietet hingegen keinen Schutz vor Spoofing, DNSSEC dagegen schon. Weitere Informationen zu SSL finden Sie in unseren Artikeln in diesem Bereich.

 

Tipp: Wenn Sie mehr darüber erfahren möchten, was DNSSEC ist und warum es wichtig ist, lesen Sie diesen Artikel von ICANN 

Wie verwaltet man DNSSEC?

DNSSEC ist standardmäßig aktiviert, wenn Sie die Nameserver von one.com verwenden. Falls Sie es deaktivieren möchten, folgen Sie diesen Schritten:

1. Loggen Sie sich im one.com Kontrollpanel ein.
2. Klicken Sie im Menü **Domain** auf **DNS-Einstellungen**.

   

3. Klicken Sie auf die Registerkarte Nameserver.
4. Klicken Sie in Ihrer Nameserververwaltung auf die Registerkarte DNSSEC.
5. Klicken Sie auf den Button Deaktivieren .

   

Wie kann ich überprüfen, ob DNSSEC funktioniert?

Sie können ein webbasiertes Validierungstool verwenden, um zu überprüfen, ob die DNSSEC-Konfiguration für Ihre Domain funktioniert. Wir haben unten zwei aufgeführt. Sie prüfen, ob die DNS-Records Ihrer Domain korrekt signiert wurden und von DNS-Resolvern überprüft werden können; außerdem liefern sie einen Bericht über etwaige Probleme oder Fehler.

• DNSViz.net - Bietet eine visuelle Darstellung. Sie sollten in der linken Spalte nur "Secure" (sicher) sehen.
   
• DNSSEC-Analyzer.VeriSignLabs.com - Liefert detaillierte Informationen. Sie sollten nur grüne Häkchen sehen.

Haben Sie DNSSEC über das one.com-Kontrollpanel aktiviert? Dann kann die Überprüfung bis zu 24 Stunden dauern. Wenn die Aktivierung erfolgreich war, wird ein grüner Balken mit der Erfolgsmeldung angezeigt, wie im Screenshot unten zu sehen ist. Wenn Sie die Seite erneut aufrufen, wird diese Meldung nicht mehr angezeigt.



 

Keine Verwendung unserer Nameserver?

DNSSEC wird automatisch deaktiviert, wenn Sie zu externen Nameservern wechseln. Die Benachrichtigung im Screenshot unten wird dann im one.com-Kontrollpanel unter **DNS-Einstellungen** → **Nameserver** → **DNSSEC** angezeigt. Wenn DNSSEC bei Ihrem externen DNS-Anbieter aktiviert ist, fügen Sie die DS-Einträge manuell bei uns hinzu. 

Hinzufügen von DS-Records

Delegation-Signer-Einträge (DS-Einträge) sind ein wesentlicher Bestandteil von DNSSEC. Sie ermöglichen es Ihnen, Vertrauen von einer übergeordneten Zone an eine untergeordnete Zone zu delegieren, was als „Vertrauenskette“ bezeichnet wird. Der DS-Eintrag wird verwendet, um die Authentizität von untergeordneten Zonen zu überprüfen. DS-Einträge werden automatisch konfiguriert, wenn die Domain die Nameserver von one.com verwendet.

Wenn die Nameserver von one.com nicht verwendet werden, fügen Sie DS-Einträge manuell über das one.com-Kontrollpanel hinzu. Sie erhalten die 4 benötigten Werte – KeyTag, Algorithmus, Digest-Typ und Digest – von Ihrem Nameserver-Anbieter oder über ein Generator-Tool. Befolgen Sie dann diese Schritte, um den DS-Eintrag zu erstellen:

1. Loggen Sie sich im one.com Kontrollpanel ein.
2. Wählen Sie im Menü **Domain** die Option **DNS-Einstellungen**.
3. Klicken Sie auf die Registerkarte Nameserver.
4. Klicken Sie in Ihrer Nameserververwaltung auf die Registerkarte DS Records.
5. Geben Sie den Wert in die 4 separaten Felder für KeyTag, Algorithmus, Digest-Typ und Digest ein
6. Klicken Sie auf Speichern.
7. Es beginnt nun mit dem Laden Ihrer bestehenden DNS-Records. Bei erfolgreichem Hinzufügen wird ein grüner Balken mit einer Erfolgsmeldung angezeigt.

Hinweis: Das Hinzufügen falscher DNS-Records kann zu Ausfallzeiten der Website führen. Sie können unseren Support um Hilfe bitten, wenn Sie Bedenken bezüglich der DNS-Einstellungen haben.

Verwandte Artikel:

• Was ist DNS?
• Verwaltung Ihrer DNS-Einstellungen