DNSSEC bei netcup aktivieren: Domain im CCP absichern und prüfen

Dies ist Teil 21 unserer netcup-Serie. Davor: Teil 20: Mailversand. Weiter geht es mit Teil 22.

Diese Anleitung ist mit der netcup-Dokumentation und der Oberfläche von SCP und CCP abgeglichen (Stand 30.10.2026). Die Befehle wurden nicht auf einem netcup-Server getestet.

Das Domain Name System wurde ohne Echtheitsprüfung entworfen. Ein Resolver glaubt der ersten passenden Antwort, und genau das nutzen gefälschte DNS-Antworten aus. DNSSEC ergänzt die Einträge um kryptografische Signaturen, sodass prüfende Resolver Manipulationen erkennen. Diese Anleitung zeigt, wie Sie DNSSEC im netcup Customer Control Panel (CCP) für eine Domain einschalten, wie Sie das Ergebnis prüfen und wann Sie es besser vorübergehend abschalten.

Voraussetzungen

• Eine Domain bei netcup, die die netcup-Nameserver nutzt. Für eigene Nameserver gilt ein anderer Weg, siehe Schritt 4.
• Eine Domainendung, die DNSSEC unterstützt. Die Liste steht im netcup Helpcenter.
• Zugang zum CCP und ein Rechner mit dig (Paket dnsutils oder bind-utils).

Diese Anleitung beschreibt die Oberfläche für Bestand-Domains. Für neu registrierte Domains mit CloudDNS führt netcup eine eigene Anleitung, die Sie unter den Quellen finden.

Schritt 1: Was DNSSEC leistet und was nicht

DNSSEC signiert die Einträge Ihrer Zone. Die übergeordnete Zone bestätigt den passenden Schlüssel, und so entsteht eine Vertrauenskette von der Root-Zone bis zu Ihrer Domain. Ein prüfender Resolver lehnt Antworten ab, deren Signatur nicht passt.

DNSSEC verschlüsselt aber nichts. Wer den Verkehr mitliest, sieht weiter, welche Namen abgefragt werden. Es ersetzt auch weder HTTPS noch Ihre Kontosicherheit: Wer Ihr CCP übernimmt, kann gültig signierte falsche Einträge setzen. Deshalb gehört ein abgesichertes Konto (Teil 28) zuerst auf die Liste.

Verifizieren: Sie wissen, ob Ihre Domain die netcup-Nameserver nutzt. Der Befehl dig NS example.com +short nennt die Nameserver.

Schritt 2: DNSSEC im CCP einschalten

• Melden Sie sich im CCP an und öffnen Sie links Domains.
• Klicken Sie auf die Lupe vor der Domain.
• Wechseln Sie in den Tab DNS.

• Setzen Sie den Haken bei DNSSEC Status.
• Klicken Sie unten auf DNS Records speichern.

Bei neuen Domains mit CloudDNS sieht es anders aus: Dort öffnen Sie laut netcup den Tab DNSSEC und klicken auf DNSSEC aktivieren.

Ändern Sie dabei möglichst nichts anderes. Zwei Änderungen auf einmal machen die Fehlersuche unnötig schwer. Prüfen Sie vorher, ob Ihre Einträge stimmen, denn die Signatur bestätigt auch falsche Werte.

Verifizieren: Nach dem erneuten Öffnen des Tabs ist der Haken bei DNSSEC Status gesetzt.

Schritt 3: Ergebnis prüfen

Warten Sie einige Zeit. Laut netcup kann die Verbreitung bis zu 48 Stunden dauern. Ersetzen Sie in den Befehlen example.com durch Ihre Domain:

dig example.com DS +short
dig example.com A +dnssec +multiline
delv example.com A

Der erste Befehl fragt den DS-Eintrag in der übergeordneten Zone ab. Eine Ausgabe zeigt, dass die Vertrauenskette dort angekommen ist. Der zweite zeigt zusätzlich RRSIG-Einträge, also die Signaturen. Der dritte prüft selbst und meldet bei Erfolg:

; fully validated

Verifizieren: dig example.com DS +short liefert mindestens eine Zeile, und delv meldet fully validated. Solange die Ausgabe unsigned answer lautet, ist die Änderung noch nicht überall angekommen.

Schritt 4: DNSSEC mit eigenen Nameservern

Nutzen Sie eigene Nameserver, signiert Ihr Nameserver die Zone. Laut netcup tragen Sie dann im Tab DNS über + Neuer DNSSEC Eintrag den öffentlichen Schlüssel, die Flags und den Algorithmus ein. Die Daten liefert Ihr Nameserver-Anbieter. Die Zone muss korrekt signiert sein, bevor Sie die Daten an den Registrar senden. DS-Einträge unterstützt netcup laut Helpcenter nicht, hinterlegt wird der Schlüssel selbst. Prüfen Sie außerdem in der Tabelle im Helpcenter, welche Algorithmen für Ihre Domainendung genannt sind, denn sie unterscheiden sich je Endung.

Zurück zu den netcup-Nameservern geht es laut netcup in dieser Reihenfolge: Schlüssel im Panel löschen, Schlüssel im Nameserver für die doppelte TTL aufbewahren (meist 48 Stunden), im Auswahlfeld zu netcup Nameserver wechseln, Haken bei DNSSEC Status setzen und speichern.

Verifizieren: Nach Ablauf der Wartezeit meldet delv example.com A wieder fully validated.

Schritt 5: Vor Anbieterwechsel und Umzug

Der häufigste Ausfall mit DNSSEC entsteht beim Umzug. Zeigt die übergeordnete Zone noch auf den alten Schlüssel, während die neuen Nameserver anders oder gar nicht signieren, lehnen prüfende Resolver die Antworten ab. Besucher mit prüfendem Resolver erreichen die Domain dann nicht, für alle anderen wirkt alles normal.

Schalten Sie DNSSEC deshalb vor einem Transfer oder Nameserver-Wechsel ab: Bei netcup-Nameservern nehmen Sie den Haken bei DNSSEC Status heraus, bei eigenen Nameservern löschen Sie die Schlüssel im Panel und lassen sie laut netcup für die doppelte TTL im Nameserver, meist 48 Stunden. Einen eigenen Ablauf zum Abschalten nennt netcup für die netcup-Nameserver nicht. Gehen Sie deshalb erst weiter, wenn dig example.com DS +short leer bleibt und die TTL des alten Eintrags abgelaufen ist. Bleibt der Eintrag stehen, fragen Sie den Support. Liegt die Domain noch beim alten Anbieter, gilt das Gleiche dort. Aktivieren Sie DNSSEC erst nach dem Umzug wieder. Wie ein Umzug zu netcup abläuft, zeigt Teil 22.

Verifizieren: dig example.com DS +short liefert vor dem Umzug nichts mehr.

Schritt 6: Fehlerbilder sicher unterscheiden

Meldet ein Resolver SERVFAIL, muss das nicht an DNSSEC liegen. Ein einfacher Vergleich klärt das. Der Schalter +cd bittet den Resolver, die Prüfung auszulassen:

dig example.com A @1.1.1.1 | grep status
dig example.com A @1.1.1.1 +cd | grep status
dig example.com A @1.1.1.1 | grep flags

Das Flag ad steht für „authenticated data“. Es erscheint nur, wenn der Resolver selbst prüft. Testen Sie deshalb mit einem prüfenden Resolver wie 1.1.1.1 und nicht mit einem beliebigen Router zu Hause.

Für eine grafische Prüfung gibt es öffentliche Werkzeuge wie DNSViz, das die gesamte Kette von der Root-Zone bis zu Ihrer Domain zeichnet. Das hilft besonders, wenn Sie einem Kollegen zeigen wollen, an welcher Stelle die Kette reißt.

Verifizieren: Sie können eine fehlerhafte Signatur von einem Nameserver-Problem unterscheiden, und eine gesunde Domain zeigt das Flag ad.

Troubleshooting

Häufige Fragen

Macht DNSSEC meine Webseite schneller oder langsamer?

Spürbar in der Regel nicht. Antworten werden etwas größer, für normale Seiten fällt das nicht ins Gewicht.

Brauche ich DNSSEC für einen kleinen Betrieb?

Pflicht ist es nicht, sinnvoll aber bei Domains für Mail oder Kundenzugänge. Auf netcup-Nameservern kostet es nur einen Haken.

Muss ich Schlüssel selbst erneuern?

Bei den netcup-Nameservern verlangt die Anleitung von netcup nur den Haken, eigene Schlüsseldaten hinterlegen Sie dort nicht. Bei eigenen Nameservern liegt das bei Ihnen oder Ihrem Anbieter.

Wie lange dauert das Einschalten?

Das Speichern geht sofort, die weltweite Verteilung braucht laut netcup bis zu 48 Stunden.

Fazit

Auf den netcup-Nameservern ist DNSSEC schnell eingeschaltet. Die eigentliche Arbeit liegt darin, die Vertrauenskette beim Umzug nicht zu zerreißen. Merken Sie sich deshalb vor jedem Wechsel: erst abschalten, warten, umziehen und danach wieder einschalten.

Weiterführende Anleitungen und Quellen

• Teil 7: DNS-Records bei netcup verwalten
• netcup Helpcenter: DNSSEC (Bestand-Domains)
• netcup Helpcenter: DNSSEC (CloudDNS)
• netcup Helpcenter: Eigene Nameserver hinterlegen