DENIC mit DNS-Problem: Zahllose .de-Domains unerreichbar (Update)

Ein massiver Ausfall legt aktuell einen Großteil der deutschen .de-Domains lahm. Ursache ist ein technisches Problem bei der zentralen Registrierungsstelle DENIC, wo eine fehlerhafte DNSSEC-Signatur den Zugriff bundesweit blockiert. Update 06.05. 2026, 02:00 Uhr: Mittlerweile hat die DENIC das Ende der Störung bekannt gegeben. Die Probleme bei der DNS-Auflösung von .de-Domains seien nach der Beseitigung der DNSSEC-Störung behoben worden. Genaue Details zu den Ursachen wolle man transparent kommunizieren, sobald diese verfügbar seien, hieß es über Bluesky. /Update

Schön, dass ihr uns noch lest

Es ist ein glücklicher Umstand, dass das Aufrufen unserer Webseite gerade funktioniert. Am Abend des 5. Mai 2026 ist ein Großteil der deutschen .de-Domains aus dem Internet verschwunden. Seit etwa 21:50 Uhr melden Nutzer bundesweit Ausfälle bei Webseiten, E-Mail-Diensten und Smartphone-Apps der Deutschen Bahn. Ursache ist ein technisches Problem bei der zentralen Registrierungsstelle DENIC in Frankfurt am Main.

Das Domain Name System, kurz DNS, fungiert als Adressbuch des Internets und übersetzt Webadressen in IP-Adressen. Um Manipulationen zu verhindern, nutzen viele Betreiber die Sicherheitserweiterung DNSSEC. Das signiert die Antworten kryptografisch. Genau hier liegt der Fehler: Eine ungültige Signatur für die gesamte deutsche Top-Level-Domain führt dazu, dass DNS-Resolver die Namensauflösung verweigern. Wie heise online berichtet, lässt sich der Fehler mit Diagnosewerkzeugen auf eine fehlerhafte digitale Signatur eingrenzen. DNS-Dienste von Google oder Cloudflare blockieren den Zugriff, da die Echtheit der Zone nicht bestätigt werden kann. Anwender erhalten im Browser Hinweise auf nicht gefundene Server.

Ein Wechsel des DNS-Anbieters im Router bringt in der Regel keine Abhilfe. Lediglich Domains, deren Daten noch im Browser- oder Resolver-Cache hinterlegt sind, lassen sich derzeit ohne Probleme aufrufen.

Update: Hotfix mit nicht-validierendem DNS-Server

Wer in den Abendstunden dringend auf .de-Domains angewiesen ist, kann zur Umgehung des Problems einen DNS-Server im eigenen Router oder in den Netzwerkeinstellungen des Computers hinterlegen, der DNSSEC nicht validiert.

Ein solcher wird zum Beispiel von Level 3 unter den Adressen 4.2.2.1 und 4.2.2.6 betrieben. Quad9 stellt einen nicht-validierenden Server unter der Adresse 9.9.9.10 bereit.

Kein Hackerangriff erkennbar

Nach aktuellem Kenntnisstand liegt kein gezielter Angriff auf die Infrastruktur vor. Auf ihrer Statusseite spricht die DENIC offiziell von einer "Partiellen Dienste-Störung" (Partial Service Disruption): Der DNS-Service der Registry für .de-Domains sei ausgefallen, wodurch alle DNSSEC-signierten Domains in ihrer Erreichbarkeit eingeschränkt sein können.

Die technischen Teams analysieren derzeit die Ursachen, um den stabilen Betrieb möglichst rasch wiederherzustellen. Sobald weitere Details vorliegen, will die Registry umfassend über die Hintergründe informieren. Ironischerweise ist die Statusseite der DENIC aufgrund des Fehlers zeitweise selbst nicht erreichbar.

Die DENIC verwaltet mit über 17 Millionen Einträgen eine der größten Domain-Zonen weltweit. Das System ist hochkomplex, weshalb selbst kleine Konfigurationsfehler direkte Auswirkungen auf die Erreichbarkeit haben.

Ein Ausfall einer gesamten Länderkennung passiert außergewöhnlich selten. Ein vergleichbarer Vorfall ereignete sich im Jahr 2009, als die schwedische Endung .se durch falsch konfigurierte Schlüssel für zwei Stunden vom Netz ging. Damals waren rund 900.000 Domains unerreichbar.


Für betroffene Administratoren gilt nun, folgende Punkte zu beachten:

Ein Eingriff in die eigene Infrastruktur kann zu langfristigen Folgeproblemen führen, sobald das Hauptproblem behoben ist. Während Domains ohne eigene Absicherung je nach Cache des Anbieters bald wieder funktionieren, bleiben streng abgesicherte Seiten vorerst offline. Der Vorfall verdeutlicht die Abhängigkeit von zentralen Sicherheitsmechanismen. Das System handelt jedoch exakt nach Spezifikation und blockiert fehlerhafte Verbindungen konsequent.

Update vom 06.05.2026, 00:47 Uhr

DENIC hat um 23:28 Uhr ein Statusupdate auf seiner Website veröffentlicht. Darin heißt es unter anderem:

DENIC eG is currently experiencing a disruption in its DNS service for .de domains. As a result, all DNSSEC-signed .de domains are currently affected in their reachability.

Das deckt sich allerdings nicht mit unseren Beobachtungen: Betroffen sind auch .de-Domains, die nicht mit DNSSEC signiert sind. Weiter schreibt DENIC:

The root cause of the disruption has not yet been fully identified. DENIC's technical teams are working intensively on analysis and on restoring stable operations as quickly as possible.

Kontaktieren könne man die Genossenschaft "via the usual channels" - E-Mails an die Domain denic.de dürften derzeit allerdings nicht der beste Kanal sein.

Unterdessen hat Cloudflare, Betreiber des DNS-Servers 1.1.1.1, reagiert. Über den Nachrichtendienst X gab Dane Knecht, CTO bei Cloudflare, bekannt, dass man die DNSSEC-Validierung für .de-Domains deaktiviert habe.


Im RFC 7646 ist dafür ein Verfahren in Form eines sogenannten "Negative Trust Anchor" vorgesehen, mit dem sich DNSSEC-Validierungsfehler temporär für eine bestimmte Domain umgehen lassen.

Wie verbringt ihr den unfreiwilligen Offline-Abend und welche Dienste vermisst ihr aktuell am meisten? Teilt eure Erfahrungen und Beobachtungen gerne mit uns in den Kommentaren!