Woran erkenne ich, ob DNSSEC aktiv ist?

Am DS-Eintrag der Domain in der übergeordneten Zone und an DNSKEY-Einträgen in der Zone der Domain selbst. Diese Prüfung fragt beides ab und zeigt, ob ein validierender Resolver die Kette akzeptiert hat.

Was passiert, wenn DNSSEC defekt ist?

Validierende Resolver, darunter Google Public DNS, Cloudflare 1.1.1.1 und Quad9, antworten für die Domain mit SERVFAIL, sodass Website und E-Mail für alle Nutzer dieser Resolver ausfallen. Den veralteten DS-Eintrag beim Registrar zu entfernen behebt das, sobald die Caches ablaufen.

Wo schalte ich DNSSEC ein?

An zwei Stellen. Schalten Sie das Signieren bei Ihrem DNS-Anbieter ein (zum Beispiel Cloudflare oder Route 53) und kopieren Sie den DS-Eintrag, den er Ihnen gibt, in die DNSSEC-Einstellungen Ihres Registrars. Ist der Registrar auch der DNS-Anbieter, ist es oft ein einziger Schalter.

Kann ich DNSSEC für viele Domains auf einmal prüfen?

Ja. Fügen Sie bis zu 100 Domains pro Durchlauf ein, oder 500 nach einer kostenlosen Anmeldung mit Google, und laden Sie die Ergebnisse als CSV herunter.

Beeinflusst DNSSEC die Zustellbarkeit von E-Mails?

Nicht signiert zu sein schadet der Zustellbarkeit nicht. Defektes DNSSEC schon: Validierende Mailserver können MX-, SPF- oder DKIM-Einträge der Domain nicht abfragen, sodass E-Mails an die Domain und von ihr fehlschlagen. Die Domain-Prüfung für Cold E-Mail prüft diese Einträge.

Ist die DNSSEC-Prüfung kostenlos?

Ja. 100 Domains pro Durchlauf ohne Konto und 500 nach einer kostenlosen Anmeldung mit Google, ohne Karte.

DNSSEC prüfen: Ist diese Domain signiert, und lässt sich die Signatur validieren?

Kurz gesagt: Fügen Sie eine Domain oder eine Liste ein und sehen Sie, welche signiert sind und validieren, welche defekt sind (validierende Resolver lehnen sie ab), welche Schlüssel, aber keinen DS bei der Registry haben und welche nicht signiert sind. Grenze: Es fragt einen einzigen validierenden öffentlichen Resolver: Es geht die Kette nicht selbst ab, prüft die Nameserver nicht einzeln und auch nicht das Ablaufdatum der Signaturen, und es prüft nur die registrierte Domain.

Eine DNSSEC-Prüfung sagt Ihnen, ob eine Domain signiert ist und ob sich die Signaturen validieren lassen. Fügen Sie eine Domain ein, oder bis zu 100 (500 nach einer Anmeldung mit Google): Für jede werden der DS-Eintrag bei der Registry und die DNSKEY-Einträge beim DNS-Anbieter über einen validierenden öffentlichen Resolver abgefragt, und sie kommt zurück als Signed and valid, Broken, Keys but no DS oder Not signed.

Domains, one per line (up to 100)

Upload a CSV or TXT fileDS and DNSKEY asked of a validating public resolver over HTTPS; nothing is sent to the domain. 100 domains a run, or 500 when you sign in.

Das Tool ist dasselbe wie auf der englischen Seite: Schaltflächen und Ergebnisse erscheinen auf Englisch. Aktualisiert am 5. November 2026

So prüfen Sie, ob DNSSEC für eine Domain aktiv ist

Fügen Sie eine Domain ein, oder eine Liste mit einer pro Zeile: bis zu 100 pro Durchlauf, oder 500 nach einer kostenlosen Anmeldung mit Google. E-Mail-Adressen und URLs funktionieren; Subdomains werden auf den registrierten Namen gekürzt.
Klicken Sie auf Check DNSSEC. Die DS- und DNSKEY-Einträge jeder Domain werden über HTTPS bei Google Public DNS abgefragt, mit Cloudflare als Ausweichlösung.
Lesen Sie Status und Gründe: die gefundenen Key-Tags und Algorithmen, ob der DS zu einem Schlüssel passt und ob der Resolver die Antwort validiert hat.
Beheben Sie zuerst Broken, denn validierende Resolver lehnen diese Domains ab. Bei Keys but no DS kopieren Sie den DS-Eintrag von Ihrem DNS-Anbieter in die DNSSEC-Einstellungen Ihres Registrars.

Wie funktioniert die DNSSEC-Validierung?

DNSSEC fügt DNS-Antworten Signaturen hinzu, damit ein Resolver erkennen kann, dass sie nicht gefälscht sind (RFC 4033). Der DNS-Anbieter der Domain signiert die Zone und veröffentlicht ihre öffentlichen Schlüssel als DNSKEY-Einträge. Die Registry veröffentlicht in der übergeordneten Zone (.com, .org usw.) einen DS-Eintrag, einen Fingerabdruck des Key-Signing-Keys. Ein validierender Resolver folgt der Kette vom Schlüssel der Root-Zone über jeden DS bis zu den Schlüsseln der Domain (RFC 4035).

Diese Prüfung fragt beide Einträge bei einem validierenden Resolver ab und fordert dabei das AD-Flag (Authenticated Data) an, wie es RFC 6840 beschreibt. Setzt der Resolver AD, wurde die Kette validiert. Antwortet er mit SERVFAIL, aber mit abgeschalteter Prüfung normal, ist die Kette vorhanden, schlägt aber fehl: Das ist Broken.

Was bedeuten die Status?

Signed and valid: DS bei der Registry, DNSKEY in der Zone, und der Resolver hat validiert. Broken: Ein DS ist veröffentlicht, aber Schlüssel oder Signaturen der Zone passen nicht dazu, sodass validierende Resolver für die Domain gar keine Antwort mehr geben. Das ist sofort zu beheben; die übliche Ursache ist ein Wechsel zu einem neuen DNS-Anbieter, ohne den alten DS beim Registrar zu entfernen.

Keys but no DS: Der DNS-Anbieter signiert die Zone, aber der DS wurde nie beim Registrar eingetragen, also wird nichts validiert. Signed, not validated: Beides ist veröffentlicht, aber der Resolver hat nicht validiert, meist wegen eines Algorithmus, den er nicht unterstützt. Not signed: Keiner der beiden Einträge existiert, was für die meisten Domains noch der Fall ist.

Welche DNSSEC-Algorithmen sollte eine Domain verwenden?

RFC 8624 legt fest, welche Algorithmen beim Signieren und Validieren verwendet werden sollen. ECDSAP256SHA256 (Algorithmus 13) und RSASHA256 (8) muss jeder Signierer unterstützen; RSAMD5, DSA und ECC-GOST dürfen nicht zum Signieren verwendet werden, und RSASHA1 (5 und 7) wird nicht empfohlen. Für DS-Digests ist SHA-256 (Typ 2) Pflicht, und SHA-1 darf für neue Delegationen nicht verwendet werden. Die Prüfung benennt jeden Algorithmus nach dem DNSSEC-Algorithmenregister der IANA und markiert die schwachen.

Häufige Fragen

Woran erkenne ich, ob DNSSEC aktiv ist?: Am DS-Eintrag der Domain in der übergeordneten Zone und an DNSKEY-Einträgen in der Zone der Domain selbst. Diese Prüfung fragt beides ab und zeigt, ob ein validierender Resolver die Kette akzeptiert hat.
Was passiert, wenn DNSSEC defekt ist?: Validierende Resolver, darunter Google Public DNS, Cloudflare 1.1.1.1 und Quad9, antworten für die Domain mit SERVFAIL, sodass Website und E-Mail für alle Nutzer dieser Resolver ausfallen. Den veralteten DS-Eintrag beim Registrar zu entfernen behebt das, sobald die Caches ablaufen.
Wo schalte ich DNSSEC ein?: An zwei Stellen. Schalten Sie das Signieren bei Ihrem DNS-Anbieter ein (zum Beispiel Cloudflare oder Route 53) und kopieren Sie den DS-Eintrag, den er Ihnen gibt, in die DNSSEC-Einstellungen Ihres Registrars. Ist der Registrar auch der DNS-Anbieter, ist es oft ein einziger Schalter.
Kann ich DNSSEC für viele Domains auf einmal prüfen?: Ja. Fügen Sie bis zu 100 Domains pro Durchlauf ein, oder 500 nach einer kostenlosen Anmeldung mit Google, und laden Sie die Ergebnisse als CSV herunter.
Beeinflusst DNSSEC die Zustellbarkeit von E-Mails?: Nicht signiert zu sein schadet der Zustellbarkeit nicht. Defektes DNSSEC schon: Validierende Mailserver können MX-, SPF- oder DKIM-Einträge der Domain nicht abfragen, sodass E-Mails an die Domain und von ihr fehlschlagen. Die Domain-Prüfung für Cold E-Mail prüft diese Einträge.
Ist die DNSSEC-Prüfung kostenlos?: Ja. 100 Domains pro Durchlauf ohne Konto und 500 nach einer kostenlosen Anmeldung mit Google, ohne Karte.

Eine ganze Liste prüfen? Die ersten 100 Adressen sind kostenlos.

Melden Sie sich mit Google an, fügen Sie die Adressen ein oder laden Sie eine CSV-Datei hoch. Jede Adresse erhält eine echte SMTP-Postfachprüfung, mit Ergebnissen zum Herunterladen. Keine Kreditkarte.

Catch-all-Domains und Server, die nicht antworten, werden als riskant ausgewiesen, niemals als gültig.

Mit der Anmeldung akzeptieren Sie die Nutzungsbedingungen und die Datenschutzerklärung (auf Englisch). Terms · Privacy