Was ist DNSSEC und wie richtet man es in cPanel ein

Was ist DNSSEC

Wenn Sie eine Website besuchen, fragt Ihr Gerät die DNS-Server, auf welche IP die Domain zeigt. Dieses System beruht auf Vertrauen: Wenn jemand die Antwort manipuliert (zum Beispiel in einem kompromittierten Netz), kann er Sie unbemerkt auf einen gefälschten Server leiten und per Phishing Ihre Zugangsdaten stehlen.

DNSSEC fügt den DNS-Antworten digitale Signaturen hinzu. Resolver, die DNSSEC validieren, prüfen, ob die Signatur der Zone mit dem in der Registrierung der Domain veröffentlichten Schlüssel übereinstimmt. Wenn jemand die Antwort verändert, passt die Signatur nicht, und die Antwort wird verworfen.

DNSSEC verschlüsselt die Abfragen nicht und ersetzt nicht das SSL-Zertifikat: Es stellt sicher, dass die DNS-Antwort echt ist.

So wird es aktiviert

Es sind zwei Schritte, und beide sind nötig:

1. Den Schlüssel auf den DNS-Servern der Domain erzeugen, hier in cPanel. So wird die Zone signiert.
2. Den öffentlichen Schlüssel beim Registrar der Domain hinterlegen. So wird die Zone mit der Registrierung „gekoppelt“.

Diese Anleitung gilt, wenn die Domain die DNS Ihres Hostings verwendet. Wenn sie Cloudflare verwendet, folgen Sie DNSSEC bei Domains, die Cloudflare verwenden.

1. Den Schlüssel in cPanel erzeugen

Öffnen Sie in cPanel den Zonen-Editor (Zone Editor). Sie sehen die Liste der Domains mit mehreren Optionen daneben; klicken Sie bei der Domain, die Sie schützen möchten, auf DNSSEC.

Klicken Sie oben rechts auf Create Key.

Es öffnet sich ein Fenster mit den Schlüsseln, die erzeugt werden. Lassen Sie die empfohlenen Werte stehen und klicken Sie auf Erstellen. Notieren Sie den angegebenen Algorithmus (im Screenshot RSA/SHA-256, Algorithmus 8): Sie brauchen ihn beim Registrar.

Wenn die Domain bei einem anderen Anbieter registriert ist, sehen Sie vorher nach, welche Algorithmen er unterstützt, und klicken Sie auf Anpassen, um einen kompatiblen zu wählen.

Wenn Sie zur DNSSEC-Seite der Domain zurückkehren, sehen Sie zwei Schlüssel: KSK und ZSK.

Klappen Sie den KSK auf, klicken Sie auf Public DNSKEY und kopieren Sie den Schlüssel mit der Schaltfläche Kopieren. Tun Sie dasselbe mit dem ZSK, wenn Ihr Registrar ihn verlangt.

2. Den Schlüssel beim Registrar hinterlegen

Wenn die Domain bei uns registriert ist, folgen Sie der Anleitung, wie Sie einer Domain den DNSSEC-Schlüssel hinzufügen. Im Formular wählen Sie den Algorithmus und fügen den öffentlichen Schlüssel des KSK ein (der ZSK ist optional). Fügen Sie nur den Schlüssel ein, ohne die vollständige DNSKEY-Zeile und ohne den DS-Eintrag.

Wenn die Domain bei einem anderen Registrar liegt, verlangt er möglicherweise statt des öffentlichen Schlüssels den DS-Eintrag (Schlüsselkennung, Algorithmus, Digest-Typ und Digest). Auf der DNSSEC-Seite in cPanel finden Sie diese Werte über die Schaltfläche View DS Records beim KSK.

Prüfen, ob es funktioniert

Analysieren Sie die Domain nach einigen Stunden mit DNSViz oder dem DNSSEC Analyzer von Verisign. Die Kette sollte von der Endung (.com, .es …) bis zu Ihrer Domain grün sein.

Wenn sie rot erscheint oder die Website mit einem Fehler SERVFAIL nicht mehr lädt, stimmt meist der Schlüssel beim Registrar nicht mit dem in cPanel überein: Prüfen Sie, ob Sie den richtigen KSK und den richtigen Algorithmus kopiert haben. Löschen Sie nicht den Schlüssel in cPanel, um es zu „reparieren“: Dann wird die Domain für alle, die DNSSEC validieren, nicht mehr aufgelöst.

DNSSEC deaktivieren oder die DNS wechseln

Die Reihenfolge ist wichtig:

1. Entfernen Sie zuerst den Schlüssel beim Registrar der Domain.
2. Warten Sie mindestens 24–48 Stunden, bis die bisherigen Informationen abgelaufen sind.
3. Löschen Sie danach die Schlüssel unter cPanel > Zonen-Editor > DNSSEC.

Wenn Sie es umgekehrt machen oder die DNS der Domain zu einem anderen Anbieter wechseln und den alten Schlüssel beim Registrar stehen lassen, wird die Domain für viele Nutzer nicht mehr aufgelöst. Wenn Sie umziehen, lesen Sie auch, wie Sie die DNS mit möglichst kurzer Unterbrechung wechseln.