# Wie aktivieren Sie DNSSEC für Ihre Domain? > Aktivieren Sie DNSSEC: Zone signieren und DS-Eintrag bei der übergeordneten Zone veröffentlichen; Wardmint-DNS hat verwaltetes DNSSEC ohne Aufpreis. - URL: https://wardmint.com/de/guides/enable-dnssec/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Wardmint (https://wardmint.com) DNSSEC ermöglicht es Resolvern zu prüfen, dass die Antworten für Ihre Domain unterwegs nicht gefälscht wurden. Das Einschalten besteht aus zwei Teilen: einer signierten Zone und einem DS-Eintrag bei der Registry. **Schnelle Antwort — Wie aktivieren Sie DNSSEC für Ihre Domain?** Aktivieren Sie DNSSEC in zwei Teilen: Signieren Sie die Zone bei Ihrem DNS-Anbieter, wodurch ein DS-Eintrag entsteht, und veröffentlichen Sie diesen DS-Eintrag dann beim Registrar. Das kostenlose DNS von **Wardmint** enthält verwaltetes DNSSEC ohne Zusatzgebühr, wo immer die Registry der Endung DS-Einträge akzeptiert. DNSSEC erkennt gefälschte Antworten, schützt aber kein übernommenes Konto. ## Die vier DNSSEC-Einträge und wer sie veröffentlicht | Eintrag | Was er enthält | Wo er liegt | Wer ihn veröffentlicht | | --- | --- | --- | --- | | DNSKEY | Der öffentliche Schlüssel, der Ihre Signaturen validiert | In Ihrer Zone | Ihr DNS-Anbieter | | RRSIG | Eine Signatur über jede Menge von Einträgen | In Ihrer Zone, neben den Einträgen | Ihr DNS-Anbieter | | DS | Ein Fingerabdruck Ihres Key Signing Key | In der übergeordneten Zone, etwa .com | Die Registry, aus Daten, die der Registrar sendet | | CDS und CDNSKEY | Ihr Wunsch, den DS-Eintrag hinzuzufügen oder zu ändern | In Ihrer Zone | Ihr DNS-Anbieter, wo die Registry sie liest (RFC 7344) | ## Was bringt DNSSEC einem Krypto-Projekt? **DNSSEC fügt DNS-Antworten eine digitale Signatur hinzu, sodass ein Resolver Daten ablehnen kann, die jemand gefälscht hat.** Es ist eine Reihe von Protokollen, definiert in RFC 4033, RFC 4034 und RFC 4035 und aktualisiert durch RFC 6840, und die IETF nennt es in RFC 9364 die aktuell beste Praxis zur Herkunftsauthentifizierung von DNS-Daten. Für ein Projekt schließt das einen Angriffsweg. Ein Angreifer, der Antworten zwischen dem Resolver eines Nutzers und Ihren Nameservern manipuliert, kann keine gültigen Signaturen erzeugen, sodass ein validierender Resolver einen Fehler statt der Adresse des Angreifers zurückgibt. Ein Nutzer landet im Nirgendwo statt bei einem Drainer. Die Grenze ist so wichtig wie der Nutzen. DNSSEC hält niemanden auf, der sich bei Ihrem Registrar anmeldet, denn diese Person kann Ihre Nameserver ändern oder den DS-Eintrag ersetzen. Die Hijacks von Curve Finance 2022 und 2025 und von Galxe 2023 wurden als registrar- oder kontoseitig gemeldet, weshalb [So sichern Sie Ihre Domain gegen DNS-Hijacking](https://wardmint.com/de/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking") beim Konto beginnt und DNSSEC als eine Ebene behandelt. ## Wie funktioniert die Vertrauenskette? **Die Vertrauenskette verbindet Ihre Zone über DS-Einträge mit der Root, jeweils eine übergeordnete Ebene nach der anderen.** Die Root-Zone bürgt für .com, .com bürgt über den DS-Eintrag für Ihre Domain, und Ihre Zone bürgt mit RRSIG-Signaturen für ihre eigenen Einträge. Ihre Zone hat zwei Arten von Schlüsseln. Der Zone Signing Key signiert die Eintragsmengen; der Key Signing Key signiert die Schlüsselmenge und ist der, auf den der DS-Eintrag zeigt. Ein DS-Eintrag enthält einen Key-Tag, eine Algorithmus-Nummer, einen Digest-Typ und einen Digest des Key Signing Key. Stimmt der DS-Eintrag bei der Registry mit keinem Schlüssel in Ihrer Zone überein, behandeln validierende Resolver die Domain als defekt und geben SERVFAIL zurück. Das ist der häufigste DNSSEC-Fehler, und er schadet der Verfügbarkeit, nicht der Sicherheit: Die Seite wird für Nutzer hinter validierenden Resolvern unerreichbar. Die Reihenfolge ist wichtig, weshalb die Schritte unten zuerst die signierte Zone und danach den DS-Eintrag veröffentlichen. ## Welches DNS-Setup haben Sie? **Ihr Weg hängt davon ab, wer die Zone bereitstellt: das DNS von Wardmint oder ein externer Anbieter.** Das kostenlose DNS-Hosting von Wardmint enthält kostenloses DNS-Hosting mit A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- und CAA-Einträgen, verwaltetes DNSSEC und auf Wunsch eigene Nameserver (2 bis 13). Liegt die Zone im DNS von Wardmint, ist DNSSEC verwaltet: Die Schlüssel werden für Sie erzeugt und rotiert, und Sie schalten es für die Domain im Kundenbereich ein. Liegt die Zone bei einem externen DNS-Anbieter, signiert dieser sie und zeigt Ihnen den DS-Eintrag oder die Schlüsseldaten; diese DS-Daten geben Sie an den weiter, der die Registrierung hält. Bei einer bei Wardmint registrierten Domain senden Sie sie über den Kundenbereich oder fragen den Support: Antworten per E-Mail innerhalb von 12 Stunden, 7 Tage die Woche, auch bei Fragen zu DNSSEC, CAA-Einträgen und Missbrauchsmeldungen. Laut der Erhebung von Wardmint vom 12. November 2026 tragen alle 29 Endungen in seiner Preisliste einen Preis von $0 für WHOIS-Datenschutz, und auch das mit dem DNS-Hosting gelieferte verwaltete DNSSEC kostet nichts extra; eine .com bleibt bei 12,49 $/Jahr, ob signiert oder nicht. Prüfen Sie vor dem Start, ob die Endung DNSSEC bei ihrer Registry unterstützt; die Dokumentation des Registrars oder der Registry gibt es an. ## So aktivieren Sie DNSSEC in sechs Schritten 1. **Bestätigen Sie, wer die Zone bereitstellt** — Führen Sie dig NS example.com +short aus und notieren Sie, welcher Anbieter antwortet. Dort erfolgt die Signierung. 2. **Auf einen vorhandenen DS-Eintrag prüfen** — Führen Sie dig DS example.com +short aus. Existiert aus einem früheren Setup einer, entfernen Sie ihn, bevor Sie den Anbieter wechseln. 3. **Signierung einschalten** — Aktivieren Sie verwaltetes DNSSEC bei Ihrem DNS-Anbieter oder im Kundenbereich. Der Anbieter erzeugt die Schlüssel und signiert die Zone. 4. **Den DS-Eintrag kopieren** — Kopieren Sie Key-Tag, Algorithmus, Digest-Typ und Digest, die der Anbieter anzeigt. 5. **Den DS-Eintrag beim Registrar veröffentlichen** — Geben Sie die DS-Daten für die Domain beim Registrar ein. Bei automatischer DS-Verwaltung über CDS oder CDNSKEY liest die Registry sie aus der Zone. 6. **Die Kette validieren** — Führen Sie dig example.com A +dnssec aus und suchen Sie in der Antwort eines validierenden Resolvers nach dem ad-Flag, testen Sie dann mit einem öffentlichen DNSSEC-Prüfer. *DNSSEC über die Kommandozeile prüfen* ```bash dig NS example.com +short dig DS example.com +short dig DNSKEY example.com +short dig example.com A +dnssec +multi ``` ## Was kann beim Aktivieren von DNSSEC schiefgehen? **Die Fehler sind Abweichungen, und jede hat eine kurze Lösung.** Ein DS-Eintrag, der vor dem Signieren der Zone veröffentlicht wird, lässt validierende Resolver SERVFAIL zurückgeben. Entfernen Sie den DS-Eintrag beim Registrar, warten Sie, bis er die übergeordnete Zone verlassen hat, signieren Sie die Zone und veröffentlichen Sie den DS-Eintrag dann erneut. Der Wechsel des DNS-Anbieters ist die andere Falle. Hat der neue Anbieter die alten Schlüssel nicht, passt der alte DS-Eintrag nicht mehr. Entfernen Sie zuerst den DS-Eintrag, warten Sie, bis seine Gültigkeitsdauer (TTL) abgelaufen ist, verschieben Sie die Zone, aktivieren Sie die Signierung beim neuen Anbieter und fügen Sie den neuen DS-Eintrag hinzu. Nehmen Sie den DS-Eintrag in Ihre Änderungs-Checkliste auf, neben die CAA-Einträge aus [So richten Sie CAA-Einträge ein](https://wardmint.com/de/guides/set-up-caa-records/ "How to set up CAA records"), und sichern Sie die Anmeldung beim Registrar mit den Kontrollen aus [So schützen Sie Ihr Registrar-Konto vor Übernahme](https://wardmint.com/de/guides/protect-registrar-account/ "How to protect your registrar account from takeover"). Ein Angreifer, der einen DS-Eintrag ersetzen kann, kann Ihre Signierung rückgängig machen, der DS-Eintrag ist also nur so sicher wie das Konto, das ihn bearbeitet. ## Ist DNSSEC dasselbe wie ein Registry-Lock? **Nein. DNSSEC authentifiziert Antworten; ein Registry-Lock stoppt unbefugte Änderungen bei der Registry.** Sie verteidigen unterschiedliche Punkte. DNSSEC schützt Daten bei der Übertragung. Ein Registry-Lock, den Verisign für .com und .net über teilnehmende Registrare anbietet, verlangt eine manuelle Bestätigung über einen separaten Kanal, bevor Nameserver, Transfers oder Inhaberschaft geändert werden. Wardmint bietet keinen Registry-Lock an. Es bietet eine Transfersperre für jede Domain, verwaltetes DNSSEC und CAA-Einträge sowie Domain-Schutz für +29 $/Jahr, bei dem die Domain auf den Namen von DomaineGoat LLC steht und eine Person jede Beschwerde vor jeder Maßnahme liest. Der Vergleich steht in [Registry-Lock gegenüber Registrar-Lock](https://wardmint.com/de/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?"). ## Fragen zu DNSSEC ### Verschlüsselt DNSSEC meinen Datenverkehr? Nein. DNSSEC signiert DNS-Antworten, damit sie überprüft werden können, verbirgt sie aber nicht. HTTPS schützt den Inhalt der Verbindung. ### Kann ich DNSSEC für jede Endung aktivieren? Nicht unbedingt. Die Registry jeder Endung entscheidet, ob sie DS-Einträge akzeptiert. Prüfen Sie die Dokumentation der Registry oder des Registrars, bevor Sie beginnen. ### Macht DNSSEC meine Seite langsamer? Signierte Antworten sind größer, und ein validierender Resolver leistet zusätzliche Arbeit, doch die Wirkung auf das Laden der Seite ist bei den meisten Seiten gering. Fehler durch nicht passende DS-Einträge wiegen schwerer als Geschwindigkeit. ### Was, wenn ich später den DNS-Anbieter wechsle? Entfernen Sie zuerst den DS-Eintrag, warten Sie, bis seine Gültigkeitsdauer (TTL) verstrichen ist, verschieben Sie die Zone, aktivieren Sie dann die Signierung beim neuen Anbieter und veröffentlichen Sie dessen DS-Eintrag. ### Berechnet Wardmint etwas für DNSSEC? Nein. Verwaltetes DNSSEC ist Teil des kostenlosen DNS-Hostings von Wardmint, eine .com bleibt also signiert oder unsigniert bei 12,49 $/Jahr. **Zusammenfassung** - DNSSEC signiert DNS-Antworten, damit Resolver gefälschte ablehnen können. - Sie aktivieren es in zwei Teilen: die Zone signieren, dann den DS-Eintrag beim Registrar veröffentlichen. - Veröffentlichen Sie den DS-Eintrag, nachdem die Zone signiert ist; die falsche Reihenfolge lässt die Validierung der Domain scheitern. - Entfernen Sie den DS-Eintrag, bevor Sie den DNS-Anbieter wechseln. - Das kostenlose DNS von Wardmint enthält verwaltetes DNSSEC ohne zusätzliche Gebühr. - DNSSEC schützt kein Konto, das ein Angreifer übernommen hat. - Wardmint bietet keinen Registry-Lock; es bietet eine Transfersperre und Domain-Schutz. ## Quellen 1. [RFC 9364: DNS Security Extensions (DNSSEC), BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (abgelesen am 2026-11-12) 2. [Registry Lock](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (abgelesen am 2026-11-12) 3. [Mitteilung von Curve Finance zum Domain-Vorfall](https://news.curve.finance/curve-domain-incident/) — Curve Finance (abgelesen am 2026-11-12) --- Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.