DNSSEC root key rollover gelingt trotz lokaler Rückschläge

Der DNSSEC root key rollover wurde laut Messungen, über die APNIC nach der Umstellung am 11. Oktober 2026 berichtete, ohne größeren weltweiten Ausfall abgeschlossen. Mit DNS Security Extensions (DNSSEC) kann ein resolver prüfen, ob DNS-Antworten authentisch sind und nicht verändert wurden. Das werbebasierte Messnetzwerk von APNIC stellte fest, dass der weltweite Anteil der gemessenen Nutzer, die ausschließlich DNSSEC-validierende resolvers verwenden, von 39,7 % vor dem rollover auf 40,6 % danach stieg.

Die Umstellung begann am 11. Oktober um 14:00 UTC. Dabei wurde die Key Signing Key (KSK) der root zone ersetzt, eine kryptografische Berechtigung, mit der die signierten records der DNS root überprüft werden. Die root zone steht an der Spitze des Domain Name System und verweist resolvers an die Server, die für die darunterliegenden Domains zuständig sind. Ein resolver ist der Dienst, der die mit einem Domainnamen verknüpfte Internetadresse ermittelt.

Vor der Umstellung mussten validierende resolvers der bisherigen KSK vertrauen. Nachdem sie ihren lokal zwischengespeicherten DNSKEY resource record aktualisiert hatten, der die für die DNSSEC-Überprüfung verwendeten öffentlichen Informationen enthält, mussten sie dem neuen key vertrauen. Diese zwischengespeicherten records konnten zwei Tage lang gültig bleiben, sodass der Übergangszeitraum bis zum 13. Oktober um 14:00 UTC andauerte. Bei einem resolver, der den neuen key nicht akzeptiert hatte, konnten DNSSEC-Prüfungen fehlschlagen, wodurch korrekt signierte Domains für seine Nutzer möglicherweise nicht erreichbar erschienen.

APNIC untersuchte Daten aus den ersten 16 Oktobertagen. Die tägliche Zahl der Messungen blieb während des rollover innerhalb ihres normalen Schwankungsbereichs. Obwohl das globale Ergebnis positiv ausfiel, zeigten die nationalen Durchschnittswerte gegensätzliche Entwicklungen in Brasilien und Indien, wo viele Nutzer auf DNSSEC-validierende recursive resolvers ihrer Internetanbieter angewiesen sind. Ein recursive resolver führt die Abfolge von DNS-Abfragen aus, die erforderlich ist, um eine Antwort für einen Nutzer zu erhalten.

APNIC kontaktierte am 9. Oktober einen großen indischen Internetanbieter, nachdem das KSK Sentinel-Signal darauf hingedeutet hatte, dass dessen resolvers noch kein lokales Vertrauen in den neuen key hergestellt hatten und nach dem rollover wahrscheinlich ausfallen würden. KSK Sentinel ist ein Messmechanismus, mit dem ermittelt wird, ob ein resolver einem bestimmten root key vertraut. Der Internetanbieter handelte vor der Umstellung, und die gemessene DNSSEC-Validierungsrate unter indischen Nutzern stieg von 55 % auf 59 %. APNIC konnte die brasilianischen Internetanbieter, bei denen im selben Zeitraum die gleiche Warnung auftrat, nicht erreichen, und die gemessene Rate Brasiliens sank von 54 % auf 50 %.

Frühere Messungen hatten die 50 Netzwerke mit den niedrigsten Akzeptanzquoten für KSK-2024 ermittelt. Jedes von ihnen hatte mindestens 1.000 Tests hervorgebracht, die eine Unterstützung für KSK Sentinel anzeigten, während bei weniger als der Hälfte seiner Messungen der neue key akzeptiert wurde. Folgedaten bis zum 18. Oktober ergaben ein unerwartetes Ergebnis: Keines dieser Netzwerke blieb zurück. Alle 50 nahmen KSK-2024 zwischen dem 7. und 13. Oktober in ihre trusted key sets auf, und jedes verzeichnete anschließend eine Akzeptanzquote von mehr als 50 %.

APNIC verglich außerdem für jedes Netzwerk die Validierungsrate nach dem rollover mit dessen Durchschnittswert während der ersten zehn Oktobertage. Der Datensatz umfasste 13.538 Netzwerke mit durchschnittlich mindestens 20 täglichen Stichproben sowohl im Zeitraum davor als auch danach. In 35 Netzwerken stieg die Validierung um mehr als 50 %. APNIC zufolge war eine wahrscheinliche Erklärung, dass ihre resolvers dem neuen key, nicht aber dem bisherigen key vertrauten. Insgesamt verzeichneten 594 Netzwerke einen Anstieg von mindestens 10 %. In der entgegengesetzten Richtung verloren 58 Netzwerke mindestens 50 % ihrer Validierungsrate, während sie in 660 Netzwerken um mindestens 10 % sank.

Die geschätzte Zahl der Nutzer hinter DNSSEC-validierenden resolvers stieg von 1.654.477.399 vor dem rollover auf 1.700.275.794 danach, bei einer geschätzten Gesamtpopulation von 4.308.517.174 Nutzern. APNIC bezeichnete dies als Nettozuwachs von 45,8 Millionen Nutzern mit Validierung.

Indien verzeichnete den größten geschätzten Zuwachs: Die Zahl der Nutzer mit DNSSEC-Validierung stieg von 321.679.249 auf 367.102.609, was bei einer Gesamtnutzerpopulation von 655.274.727 einem Plus von 45.423.360 entspricht. Weitere geschätzte Zuwächse entfielen auf Vietnam mit 9.157.450, Algerien mit 3.266.261, Marokko mit 2.360.854, Kasachstan mit 950.982, die Slowakei mit 664.669, Iran mit 558.706, Thailand mit 282.420, Sri Lanka mit 263.373 und Litauen mit 208.987. Ihre jeweilige Zahl validierender Nutzer nach dem rollover betrug 32.490.227, 10.692.147, 26.111.432, 7.417.541, 1.767.006, 16.548.704, 29.149.702, 1.870.630 und 838.531.

Brasilien verzeichnete den größten geschätzten Rückgang: Die Zahl validierender Nutzer fiel von 80.503.978 auf 72.723.712, was bei einer Gesamtnutzerpopulation von 162.001.400 einem Verlust von 7.780.266 entspricht. Die weiteren größten geschätzten Rückgänge entfielen auf die Russische Föderation mit 3.078.946, China mit 1.756.584, die Vereinigten Staaten mit 906.565, Bulgarien mit 760.869, Bangladesch mit 610.974, Japan mit 609.093, Uganda mit 329.937, Pakistan mit 312.472 und Ägypten mit 300.999. Ihre jeweilige Zahl validierender Nutzer nach dem rollover betrug 17.668.816, 4.955.581, 98.812.775, 1.002.739, 30.315.215, 15.785.216, 8.834.481, 37.347.439 und 47.290.182.

Diese Zahlen bedeuten nicht, dass jeder lokale Übergang reibungslos verlief. DNS ist stark verteilt und nur lose koordiniert, sodass sich das Verhalten von resolvers naturgemäß zwischen Netzwerken unterscheidet. APNIC kam dennoch zu dem Schluss, dass der rollover im Oktober 2026 gemessen am Maßstab des Internets erfolgreich war. Die Messungen zeigen beide Seiten dieses Ergebnisses: Es gab keine größere weltweite Störung, aber erhebliche Verluste in einigen Netzwerken und Volkswirtschaften, in denen die Validierung nicht auf dem vorherigen Niveau gehalten werden konnte.

Für Leser, die eine Alternative zum standardmäßigen resolver ihres Internetanbieters suchen, gilt: AEU DNS bietet privates, sicheres DNS für alle. DNSSEC-Authentizität und DNS-Datenschutz sind miteinander verbunden, aber dennoch unterschiedliche Aspekte. Nutzer und IT-Teams sollten daher prüfen, was der von ihnen gewählte resolver unterstützt und wie er seine Informationen zum Vertrauen in die root verwaltet.