DNS-Probleme: .de-Domains nicht erreichbar

Wenn Sie diese Nachricht auf heise.de am Abend des 5. Mai lesen, war die IP-Adresse für die Domain heise.de noch in einem DNS-Cache gespeichert. Wer hingegen in den Abendstunden versucht, eine deutsche .de-Domain aufzulösen, erhält vom DNS-Server regelmäßig die Antwort NXDOMAIN.

Erste Hinweise auf das Problem erreichten uns gegen 21:50. Für Nutzer äußert sich das Problem durch nicht funktionierende Apps (wie die der Deutschen Bahn), Fehlermeldungen im Browser und im Mailprogramm. Einen Ausweg für Nutzer gibt es derzeit noch nicht. Es hilft auch nicht, den DNS-Anbieter auf dem eigenen Rechner oder im Router zu ändern – die Fehler treten sowohl mit den DNS-Servern von Google (8.8.8.8), Cloudflare (1.1.1.1) als auch mit denen der Provider selbst auf. Das Problem ist auch nicht auf einzelne Internet Provider beschränkt.

Spurensuche

Die Spurensuche mit dem Kommandozeilenwerkzeug dig führt zu einem Konfigurationsfehler für die Zone .de:

dig @8.8.8.8 "de."

[...]RRSIG with malformed signature found for de/soa (keytag=33834)

Ein RRSIG-Eintrag enthält eine digitale Signatur, die die Echtheit einer DNS-Antwort bestätigt. Der SOA-Eintrag für die Zone .de ist aktuell nicht gültig signiert.

Die für .de-Domains zuständige Denic hat auf Ihrer Status-Website (status.denic.de) kurz nach 22:55 Uhr einen Hinweis veröffentlicht: Es bestehe eine „Partial Service Disruption“. Weitere Informationen folgen.

Hotfix: Nicht-validierender DNS-Server

Wer in den Abendstunden auf .de-Domains angewiesen ist, kann zur Umgehung des Problems einen DNS-Server im eigenen Router oder in den Netzwerkeinstellungen des Computers hinterlegen, der DNSSEC nicht validiert. Ein solcher wird zum Beispiel von Level 3 unter den Adressen 4.2.2.1 und 4.2.2.6 betrieben.

(jam)