DNS
Am 11. Oktober wechselt der Schlüssel der Root-Zone, und niemand weiß genau, wer darauf vorbereitet ist
ICANN tauscht am 11. Oktober den Schlüssel aus, der die Wurzel des Domain Name Systems absichert. Wer einen DNSSEC-prüfenden Resolver betreibt und die Umstellung verpasst, bei dem fällt die Namensauflösung vollständig aus. Wie viele Systeme vorbereitet sind, ist strittig.
Betroffen sind die Betreiber validierender Resolver: Zugangsanbieter, Hoster und Unternehmens-IT. Registrare und Registrys als solche nicht.
Am 11. Oktober beginnt der Schlüssel KSK-2024 allein den DNSKEY-Satz der Root-Zone zu signieren. KSK-2017 wird dann nicht mehr signiert, bleibt jedoch zunächst veröffentlicht. Widerrufen werden soll er im Januar 2027. Dieser Schlüssel wurde bisher nur einmal im Oktober 2018 gewechselt.
Ein Resolver prüft die Signaturen der Root-Zone anhand des hinterlegten öffentlichen Schlüssels, den Trust Anchor. Passt der nicht mehr, hält er korrekte Antworten für manipuliert und verwirft sie. ICANN spricht von "total DNS resolution failures". Beim Endkunden kommt das als Ausfall an, nicht als Sicherheitsmaßnahme.
Der neue Schlüssel liegt seit Januar 2025 in der Root-Zone. Systeme mit funktionierender automatischer Aktualisierung sollten ihn längst übernommen haben. Gerade deshalb lohnt sich die Kontrolle. Im Trust-Anchor-File muss Key Tag 38696 stehen, bei BIND in bind.keys, bei Unbound und PowerDNS Recursor in root.key, bei Knot Resolver in root.keys. Fehlt er, ist zu klären, ob die automatische Aktualisierung aktiviert ist und ob das Programm Schreibrechte für die Datei hat.
Zwei Messungen, zwei Antworten
Wie gut die Umstellung läuft, lässt sich von außen nur schwer einschätzen. ICANN meldet mehr als 95 Prozent, gezählt werden dabei allerdings nur Resolver, die ihren Stand selbst melden. Geoff Huston, Chefwissenschaftler des Regionalregisters APNIC, hat im Mai ein zweites Verfahren dagegengehalten, das über Endnutzer misst. Diese Messung kam im April 2026 auf unter 20 Prozent, nach einem zusätzlichen Test auf etwa 12 Prozent.
im April 2026 auf unter 20 Prozent, nach einem zusätzlichen Test auf etwa 12 Prozent.
Eine Bereitschaftsquote lässt sich aus beiden Zahlen nach seiner Einschätzung nicht ableiten. Das Signalling zeigt die Systeme nicht, die nichts melden. Der Endnutzertest verrauscht, weil Anfragen über mehrere Resolver laufen und das DNS bei Fehlern ausweicht, statt diese zu melden. Gegenüber CIO.com sagte Huston, man fliege bei diesem Wechsel blind, genau wie beim letzten Mal.
Beim ersten Anlauf 2017 hatte ICANN zwei Wochen vor dem Termin abgesagt, weil die Telemetrie auf viele unvorbereitete Resolver hindeutete. Ein Jahr später lief der Wechsel durch, betroffen waren nach Hustons Auswertung 0,2 bis 0,3 Prozent der Nutzer. Aus ICANNs Rückblick stammt der Satz, der die Sache am besten beschreibt: Manche Betreiber wüssten schlicht nicht, was ihre Resolver tun. Wer am 12. Oktober Störungen meldet, sollte diesen Termin auf der Liste möglicher Ursachen haben.