Wurzel
Die Spitze des DNS-Baums. Root-Server helfen Resolvern dabei, den richtigen TLD zu finden.
DOMAIN-INFRASTRUKTUR & SICHERHEIT
DNS & DNSSEC
Verstehen Sie, wie Ihre Domain eine Verbindung herstellt – und wie DNSSEC zum Schutz beiträgt
DNS verbindet Ihren Domainnamen mit Websites, E-Mail- und Onlinediensten. DNSSEC fügt eine kryptografische Validierung hinzu, die Benutzern und Resolvern hilft, den empfangenen DNS-Informationen zu vertrauen.
Stiftung
Was ist DNS?
DNS steht für Domain Name System. Es übersetzt für Menschen lesbare Domainsnamen wie example.com in Informationen, die Computer verwenden können, wie z. B. 93.184.216.34.
Stellen Sie sich die Domain als die Adresse vor, an die sich die Leute erinnern, die IP als die Adresse, die Computer verwenden, und DNS als das System, das sie verbindet.
Domainsname example.com Einfach zu merken.
DNS Suchsystem Sucht nach, wohin die Domain zeigen soll.
IP-Adresse 93.184.216.34 Hilft Geräten, den Server zu finden.
Auflösung
So funktioniert DNS
Was passiert, nachdem jemand Ihre Domain in einen Browser eingegeben hat?
01
Benutzer
Jemand gibt example.com in einen Browser oder eine App ein.
02
Rekursiver Resolver
Der rekursive Resolver startet die Suche, wenn die Antwort nicht bereits zwischengespeichert ist.
03
Root-Server
Root DNS weist den Resolver auf die richtige Top-Level-Domain hin.
04
TLD-Server
Die TLD-Zone leitet den Resolver an den autorisierenden nameservers der Domain weiter.
05
Autorisierender DNS
Autorisierende Server speichern die veröffentlichten Datensätze der Domain und geben die Antwort zurück.
06
IP-/Dienstdaten
Der Resolver erhält die IP-Adresse oder einen anderen für die Anfrage benötigten Datensatz.
07
Website / Service
Der Client verwendet diese Antwort, um die Website, das Mailsystem oder einen anderen Dienst zu erreichen.
Struktur
DNS ist eine globale Hierarchie
DNS ist als Baum organisiert – vom Stamm bis zur autorisierenden Zone Ihrer Domain.
Wurzel (.)
.COM
.AM
.GE
Autorisierender Nameservers
example.com
TLD
Top-Level-Domains wie .com, .am oder .ge verwalten Delegationen für ihre Namespaces.
Maßgeblich
Autorisierende Server veröffentlichen die Datensätze, die definieren, wohin Ihre Domain verweist.
Rekursiv
Rekursive Resolver durchlaufen die Hierarchie im Namen der Benutzer und speichern Antworten im Cache.
Datensatztypen
Die Bausteine von DNS
Diese Datensätze teilen dem Internet mit, wie Ihre Domain eine Verbindung zu Diensten herstellen soll.
IPv4-Adresse
Ordnet einen Hostnamen einer IPv4-Adresse zu.
example.com → 93.184.216.34
IPv6-Adresse
Ordnet einen Hostnamen einer IPv6-Adresse zu.
example.com → 2606:2800:220:1:248:1893:25c8:1946
Kanonischer Name
Versieht einen Hostnamen mit einem anderen Hostnamen.
www.example.com → example.com
Mail-Austausch
Leitet E-Mails für die Domain an Mailserver weiter.
example.com → mail.example.com
Textdaten
Veröffentlicht Verifizierung, SPF, DKIM und andere Textrichtlinien.
v=spf1 include:_spf.example.com ~all
Nameserver
Delegiert die Zone an den autorisierenden nameservers.
example.com → ns1.example.net
Auswirkungen
DNS unterstützt mehr als nur Ihre Website
DNS ist die Routing-Ebene, die dahinter steckt, wie Menschen und Systeme Ihre Online-Präsenz finden.
Webseite
A- und AAAA-Datensätze (und verwandte Datensätze) entscheiden darüber, welche Server für Ihre Site antworten.
MX- und unterstützende TXT-Datensätze steuern die E-Mail-Zustellung und Authentifizierungsprüfungen.
Dienstleistungen
APIs, CDNs, Verifizierungstokens und SaaS-Tools hängen häufig von DNS-Einträgen ab.
Domainsinfrastruktur
NS-Einträge und Zonendaten legen fest, wer maßgebliche Antworten für die Domain veröffentlicht.
Sicherheitserweiterungen
Was ist DNSSEC?
DNSSEC (Domain Name System Security Extensions) fügt den DNS-Daten kryptografische Signaturen hinzu, damit ein validierender Resolver überprüfen kann, ob die Antworten authentisch sind und nicht manipuliert wurden.
Ohne DNSSEC
- DNS-Antworten können nachgeschlagen, aber nicht kryptografisch validiert werden
- Eine gefälschte Antwort kann wie eine normale Antwort aussehen
- Vertrauen hängt hauptsächlich vom Netzwerkpfad und dem Caching-Verhalten ab
Mit DNSSEC
- Signierte DNS-Daten können validiert werden
- Ungültige Signaturen können abgelehnt werden
- Eine Vertrauenskette verbindet Root → TLD → Domain
Klärung
DNSSEC ersetzt DNS nicht
DNS + DNSSEC = DNS mit Validierung
DNS veröffentlicht und löst weiterhin Datensätze. DNSSEC fügt diesen Daten eine Verifizierungsebene hinzu.
Was DNSSEC ist
Eine Möglichkeit, validierenden Resolvern zu helfen, zu bestätigen, dass DNS-Antworten mit den signierten Zonendaten in der Vertrauenskette übereinstimmen.
Was man nicht annehmen sollte
DNSSEC verschlüsselt den Website-Verkehr nicht, ersetzt HTTPS/TLS nicht, verbirgt keine IP-Adressen und macht DNS nicht privat.
Vergleich
DNS vs. DNSSEC
DNS findet die Antwort. DNSSEC hilft bei der Überprüfung der Antwort.
DNS
- Löst Namen in Datensätze auf
- Verbindet Domains mit Websites, E-Mails und Diensten
- Führt keine eigenständige kryptografische Validierung der Antworten durch
DNSSEC
- Signiert DNS-Daten mit kryptografischen Schlüsseln
- Ermöglicht validierenden Resolvern die Überprüfung der Authentizität
- Hilft bei der Erkennung manipulierter oder gefälschter signierter Antworten
Validierungspfad
Wie DNSSEC Vertrauen aufbaut
Ein DNSSEC-fähiger validierender Resolver prüft Signaturen entlang der Vertrauenskette, bevor er eine Antwort akzeptiert.
01
Abfrage
Ein Client fragt nach DNS-Daten für eine signierte Domain.
02
Validierender Resolver
Ein DNSSEC-fähiger rekursiver Resolver fordert Antworten und zugehörige Signaturen an.
03
Unterzeichnete Antwort
Die autorisierende Zone gibt Datensätze plus RRSIG-Signaturen zurück.
04
DNSKEY
Der Resolver erhält die öffentlichen Schlüssel der Zone, die als DNSKEY-Einträge veröffentlicht werden.
05
DS bei Parent
Ein DS-Eintrag in der übergeordneten Zone verknüpft den untergeordneten Schlüssel mit der Hierarchie.
06
Kettenprüfung
Die Validierung wird bei Bedarf über TLD und Root-Vertrauensanker nach oben fortgesetzt.
07
Signaturüberprüfung
Der validierende Resolver prüft, ob die Signaturen mit den zurückgegebenen Daten übereinstimmen.
08
Akzeptieren oder ablehnen
Gültige Antworten werden akzeptiert; Eine fehlgeschlagene Validierung kann dazu führen, dass die Antwort abgelehnt wird.
Vertrauensmodell
Die DNSSEC-Vertrauenskette
Jeder Link authentifiziert den nächsten – vom Stamm bis zu den signierten Daten Ihrer Domain.
Root DNSKEY Vertrauensanker
DS Zeigt auf TLD
TLD DNSKEY Schlüssel der übergeordneten Zone
DS Zeigt auf die Domain
Domains-DNSKEY Unterzonenschlüssel
RRSIG Unterschreibt Datensätze
Validiert Vertrauenswürdige Antwort
DNSSEC-Datensätze
Wichtige DNSSEC-Datensätze
Diese Datensätze ermöglichen eine kryptografische Validierung.
Öffentlicher Zonenschlüssel
Veröffentlicht den öffentlichen Schlüssel, der zur Überprüfung von Signaturen für eine signierte Zone verwendet wird.
example.com DNSKEY …
Unterzeichner der Delegation
Wird in der übergeordneten Zone veröffentlicht, um einen untergeordneten DNSKEY sicher in die Kette einzubinden.
example.com DS 2371 13 2 5A8F…
Signatursatz
Trägt die kryptografische Signatur für eine Reihe von DNS-Datensätzen.
example.com RRSIG A …
Wie sie sich verbinden
DNSKEY signiert Zonendaten über RRSIG. DS beim übergeordneten Element authentifiziert den untergeordneten DNSKEY. Zusammen bilden sie den Validierungspfad.
Warum es wichtig ist
Warum DNSSEC wichtig ist
DNSSEC hilft beim Schutz, der Erkennung und der Verhinderung bestimmter Klassen von DNS-Integritätsangriffen – es ist keine vollständige Sicherheitslösung für sich.
Spoofing
Hilft bei der Erkennung gefälschter DNS-Antworten, die die Signaturprüfungen bei einem validierenden Resolver nicht bestehen.
Cache-Vergiftung
Hilft zu verhindern, dass vergiftete Cache-Einträge akzeptiert werden, wenn die Validierung für signierte Daten fehlschlägt.
Manipulierte Daten
Hilft bei der Erkennung geänderter DNS-Datensätze, die nicht mehr mit ihren kryptografischen Signaturen übereinstimmen.
Domain-Umleitung
Schützt Benutzer davor, unbemerkt über gefälschte DNS-Ziele umgeleitet zu werden.
Integritätsprüfung
Was passiert, wenn DNS angegriffen wird?
Eine einfache Ansicht, wie die Validierung das Ergebnis einer gefälschten Antwort verändert.
Ohne DNSSEC
Gefälschte Antwort akzeptiert
Ein Angreifer fügt eine gefälschte DNS-Antwort ein. Ohne zu überprüfende Signaturen akzeptiert ein Resolver möglicherweise die gefälschte Antwort und leitet Benutzer an das falsche Ziel weiter.
Keine kryptografische Validierung der DNS-Antwort
Mit DNSSEC
Ungültig abgelehnt / gültig akzeptiert
Ein validierender Resolver prüft Signaturen. Ungültige oder manipulierte Antworten können abgelehnt werden; Korrekt signierte Antworten können mit größerer Sicherheit akzeptiert werden.
Signaturprüfung, bevor der Antwort vertraut wird
Schichten
DNSSEC und HTTPS schützen verschiedene Dinge
Sie sichern verschiedene Schichten. Zusammen sind sie stärker.
DNS Antwortintegrität
Hilft bei der Validierung von Resolvern bei der Bestätigung, dass DNS-Datensätze authentisch und unverfälscht sind.
Verbindungssicherheit
Verschlüsselt und authentifiziert die Verbindung zwischen einem Client und einem Webserver.
DNSSEC ersetzt TLS nicht
Verwenden Sie DNSSEC, um das DNS-Vertrauen zu stärken, sofern unterstützt, und HTTPS, um Website-Sitzungen zu schützen. Das eine ersetzt das andere nicht.
Ehrliche Grenzen
Was DNSSEC schützt – und was nicht
Klare Grenzen schaffen Vertrauen. DNSSEC ist innerhalb der DNS-Ebene leistungsstark – und nur dort.
DNSSEC hilft
- Validieren Sie DNS-Antworten
- Erkennen Sie geänderte signierte DNS-Daten
- EBauen Sie eine Vertrauenskette auf
- Reduzieren Sie bestimmte Spoofing-Risiken
DNSSEC nicht
- EWebsite-Verkehr verschlüsseln
- HTTPS ersetzen
- Schützen Sie schwache Passwörter
- Sicherer Anwendungscode
- Verhindern Sie jeden Cyberangriff
GlobalR
Verwalten Sie DNSSEC mit GlobalR
Für unterstützte Domains können Sie mit GlobalR DNSSEC DS-Einträge in der Domainsverwaltungsoberfläche verwalten. Die Verfügbarkeit hängt von der Domainendung und der registry-Unterstützung ab.
Ihr DNS-Anbieter signiert normalerweise die Zone und stellt DS-Details bereit. Sie konfigurieren diese DS-Werte in GlobalR, damit der übergeordnete registry sie veröffentlichen kann. GlobalR erfindet auf dieser Seite keine automatische Schlüsselgenerierung.
Überblick
DNSSEC-Datensätze
Nameservers
Illustrative Vorschau – kein Live-Domain-Status.
| Feld | DS-Rekord Nr. 1 | |
|---|---|---|
| Schlüsselanhänger | 2371 | |
| Algorithmus | 13 | |
| Digest-Typ | 2 | |
| Verdauen | 5A8F… | Edit |
DS Datensatz #2 DNSSEC Datensatz hinzufügen
Änderungen speichern
Flexibilität
Unterstützung für mehrere DS-Einträge
Einige DNSSEC-Konfigurationen verwenden mehrere DS-Einträge – beispielsweise bei Schlüsseländerungen oder abhängig von der registry-Konfiguration.
DOMÄNE DNSSEC
├── DS-Eintrag 1 ├── DS-Eintrag 2 └── DS-Eintrag 3
Aktivierung
So funktioniert die DNSSEC-Konfiguration normalerweise
Die genauen Schritte variieren je nach Hosting-Anbieter DNS, registry und TLD.
01
DNS Anbieter
Signiert die DNS-Zone und bereitet DNSSEC-Material vor.
02
DS-Info
Stellt DS/DNSSEC-Details bereit, die beim übergeordneten Element benötigt werden.
03
GlobalR
Für eine unterstützte Domain konfigurierter DS-Eintrag.
04
Registry
Die übergeordnete Zone veröffentlicht die DS-Informationen.
05
Validierender Resolver
Kann die Vertrauenskette für signierte Antworten validieren.
Anbieter und TLD-Varianz
Die Arbeitsabläufe unterscheiden sich zwischen DNS-Hosts und registries. Die Verfügbarkeit von DNSSEC hängt von der Domainserweiterung und der registry-Unterstützung ab – GlobalR verspricht nicht DNSSEC für jede Erweiterung.
Anwendungsfälle
Wer profitiert von DNSSEC?
DNSSEC ist besonders nützlich, wenn gefälschte DNS-Antworten ernsthaftes Vertrauen oder Markenschaden verursachen würden.
Unternehmenswebsites
Fügen Sie eine weitere DNS-Vertrauensebene für Unternehmensdomänen hinzu.
Finanzen / Handel
Nützlich, wenn die Domainsintegrität für Transaktionen und Konten von großer Bedeutung ist.
Kundenportale
Trägt dazu bei, das DNS-Vertrauen rund um Anmelde- und Kontodienst-Hostnamen zu schützen.
E-Mail-Domains
Kann zu einer stärkeren DNS-Sicherheitslage beitragen. Durch die alleinige Aktivierung von DNSSEC werden E-Mail-Inhalte nicht gesichert.
Markenkritische Domains
Reduziert Risiken im Zusammenhang mit gefälschten DNS-Antworten für hochwertige Marken.
Öffentliche Dienstleistungen
Nützlich für Domains, bei denen die Authentizität des Ziels besonders wichtig ist.
Illustrativer Status
Domain-Sicherheit auf einen Blick
Nur Beispielpanel – keine Live-Überwachung einer realen Domain.
Domainssicherheit
example.com
DNS ● Aktiv
Nameservers ● Verbunden
DNSSEC ● Aktiviert
DS Records 2
Chain of Trust ✓ Gültig
Letzte Überprüfung Kürzlich
FAQ
Häufig gestellte Fragen
Kurze Antworten zu DNS, DNSSEC und der Verwaltung von DS-Datensätzen mit GlobalR.
Was ist DNS?
DNS (Domain Name System) übersetzt menschenlesbare Domainnamen wie example.com in maschinenverwendbare Antworten wie IP-Adressen, Mailserver und andere Dienstdatensätze.
Warum benötigt meine Domain DNS?
Ohne DNS können Browser und Apps nicht nachschlagen, wohin Ihre Domain verweisen soll. DNS verbindet Ihre Domain mit Websites, E-Mail und anderen Onlinediensten.
Was ist ein DNS-Eintrag?
Ein DNS-Eintrag ist eine veröffentlichte Anweisung für eine Domain – wie A, AAAA, CNAME, MX, TXT oder NS –, die Resolvern mitteilt, wie sie einen Dienst oder einen zugehörigen Namen finden können.
Was ist der Unterschied zwischen A- und CNAME-Einträgen?
Ein A-Eintrag ordnet einen Namen direkt einer IPv4-Adresse zu. Ein CNAME ordnet einen Namen einem anderen Hostnamen zu, der dann weiter aufgelöst wird.
Was ist DNSSEC?
DNSSEC (Domain Name System Security Extensions) fügt kryptografische Signaturen hinzu, sodass validierende Resolver überprüfen können, ob DNS-Antworten authentisch sind und während der Übertragung nicht manipuliert wurden.
Ersetzt DNSSEC DNS?
Nein. DNSSEC erweitert DNS um Validierung. Sie benötigen weiterhin DNS, um Datensätze zu veröffentlichen und aufzulösen; DNSSEC hilft bei der Bestätigung, dass diese Antworten vertrauenswürdig sind.
Verschlüsselt DNSSEC den DNS-Verkehr?
Nein. DNSSEC signiert DNS-Daten für Authentizität und Integrität. DNS-Anfragen oder Website-Verkehr werden nicht verschlüsselt.
Ersetzt DNSSEC HTTPS?
Nein. DNSSEC hilft bei der Validierung von DNS-Antworten. HTTPS/TLS verschlüsselt und authentifiziert die Verbindung zu einem Webserver. Sie schützen verschiedene Schichten und arbeiten am besten zusammen.
Was ist ein DS-Eintrag?
In der übergeordneten Zone wird ein DS-Datensatz (Delegation Signer) veröffentlicht. Es verknüpft den DNSKEY einer untergeordneten Domain mit der DNSSEC-Vertrauenskette.
Was ist DNSKEY?
Ein DNSKEY-Eintrag veröffentlicht einen öffentlichen Schlüssel, der in einer DNSSEC-signierten Zone verwendet wird, sodass Resolver die Signaturen für die Daten dieser Zone überprüfen können.
Was ist RRSIG?
Ein RRSIG-Eintrag ist eine kryptografische Signatur, die einen Satz von DNS-Einträgen (ein RRset) abdeckt und es einem validierenden Resolver ermöglicht, zu überprüfen, ob die Daten mit den Schlüsseln der Zone übereinstimmen.
Was ist die DNSSEC-Vertrauenskette?
Die Vertrauenskette ist der verknüpfte Pfad von Schlüsseln und DS-Einträgen vom DNS-Root über TLDs bis zu Ihrer Domain, sodass ein validierender Resolver die Authentizität der Antworten überprüfen kann.
Kann jede Domain DNSSEC verwenden?
Die Verfügbarkeit von DNSSEC hängt von der Domainserweiterung und der registry-Unterstützung ab. Ihr DNS-Anbieter und der registrar-Workflow müssen auch das Signieren und die DS-Veröffentlichung unterstützen.
Kann ich mehrere DS-Einträge konfigurieren?
Ja. Einige Setups verwenden mehrere DS-Datensätze – beispielsweise bei Schlüsseländerungen oder basierend auf registry-Anforderungen. GlobalR unterstützt die Verwaltung mehrerer DS-Datensätze, wenn DNSSEC verfügbar ist.
Wie verwalte ich DNSSEC in GlobalR?
Melden Sie sich bei unterstützten Domains bei Ihrem GlobalR-Konto an, öffnen Sie die DNSSEC-Einstellungen der Domain und konfigurieren Sie die von Ihrem DNS-Anbieter bereitgestellten DS-Eintragsdetails. Die Verfügbarkeit von DNSSEC hängt von der Domainserweiterung und der registry-Unterstützung ab.
Nächster Schritt
Geben Sie Ihrer Domain ein stärkeres DNS-Fundament
Verstehen Sie Ihre DNS-Konfiguration, verwalten Sie Ihre Domainsinfrastruktur und fügen Sie die DNSSEC-Validierung hinzu, sofern unterstützt.
Die Verfügbarkeit von DNSSEC hängt von der Domainserweiterung und der registry-Unterstützung ab.