# Was ist Domain Name System Security Extensions (DNSSEC)?
> DNSSEC fügt DNS-Daten kryptographische Signaturen hinzu, damit Resolver verifizieren können, dass eine Antwort aus der autoritativen Zone stammt und unterwegs nicht verändert wurde.
- Kanonische URL: https://yellowcube.eu/de/glossary/domain-name-system-security-extensions/
- Herausgeber: Yellow Cube
- Sprache: de
- Kontakt: hello@yellowcube.eu
## Inhalt
DNS wurde ohne Authentifizierung entworfen, sodass gefälschte Antworten — Cache Poisoning, gekaperte Antworten — Benutzer unbemerkt umleiten können. DNSSEC signiert Zonendaten mit den Schlüsseln der Zone und verkettet Vertrauen über Elternzonen, sodass validierende Resolver manipulierte oder gefälschte Antworten erkennen können.
### Wichtigste Punkte
- **Schutzumfang:** DNSSEC beweist Datenherkunft und -integrität — es verschlüsselt keine Anfragen, verbirgt keine Lookups und hindert die Domain nicht daran, auf ein bösartiges Ziel zu zeigen.
- **Bereitstellungskette:** Die Zone muss signiert sein, die Elternzone muss den Delegation Signer veröffentlichen, und Resolver müssen validieren; jedes Glied kann unabhängig scheitern.
- **Wichtige Einschränkung:** Validierungsfehler sehen wie Ausfälle aus, und Fehler bei der Schlüsselrotation können eine Domain offline nehmen. DNSSEC hilft zudem nichts gegen kompromittierte autoritative Server, Kontoübernahmen beim Registrar oder Angriffspfade außerhalb von DNS.
### Verwandte Begriffe
[DNS-Sicherheit]() · [Domain Name System (DNS)]() · [DNS-Cache-Poisoning]() · [DNS-Hijacking]() · [Protective DNS]()
### Quellen
[IETF RFC 4033–4035, DNS Security Extensions](https://www.rfc-editor.org/rfc/rfc4033.html) · [NIST SP 800-81 Rev. 3, Secure Domain Name System Deployment Guide](https://csrc.nist.gov/pubs/sp/800/81/r3/final)
## Quellenangabe und Geltungsbereich
Diese Markdown-Darstellung wird aus denselben freigegebenen Inhalten wie die kanonische HTML-Seite erzeugt. Verwenden Sie beim Zitieren die kanonische URL.