Die digitale Grenze sichern: DNSSEC in der Schweiz

Das Domain Name System (DNS) funktioniert wie das Telefonbuch des Internets: Es übersetzt Adressen wie bank.ch in IP-Adressen. Das ursprüngliche Protokoll wurde ohne eingebaute Authentifizierung entwickelt und ist daher anfällig für Angriffe wie DNS-Cache-Poisoning und Man-in-the-Middle-Spoofing.

Bei einem DNS-Hijacking manipuliert ein Angreifer Name-Server-Einträge und leitet Nutzer, die eine legitime Website aufrufen möchten, unbemerkt auf einen betrügerischen Server um, der Passwörter oder Finanzdaten abgreift.

DNSSEC schliesst diese Lücke, indem es DNS-Einträge mit kryptografischen Signaturen versieht. So entsteht eine durchgehende „Vertrauenskette“ (Chain of Trust). Validierende DNS-Resolver können damit prüfen, ob die zurückgegebene Adresse tatsächlich zum authentischen Ziel gehört, bevor eine Verbindung aufgebaut wird.

Die Schweiz und die .ch-Zone

SWITCH, der Registry-Betreiber der Schweizer Domainendung .ch, hat DNSSEC für die Zone bereits 2010 eingeführt. Die Verbreitung bei den Domains selbst hat danach deutlich zugenommen. Laut der Statistik von nic.ch sind rund 53 % der .ch-Zonen signiert (Stand: 3. Quartal 2026, rund 1,4 Mio. Domains, SWITCH). Ein wesentlicher Treiber war, dass wir, einige Hoster und Registrare DNSSEC bei neuen Domains standardmässig aktivieren.

Auf der Seite der Internetanbieter sieht es weniger gut aus: Viele Schweizer Resolver validieren DNSSEC-Signaturen noch nicht standardmässig. Damit bleibt der Schutz für Endnutzer unvollständig, selbst wenn die Domain signiert ist.

Was Domaininhaber und IT-Verantwortliche tun sollten

Für Organisationen mit .ch– oder .swiss-Domains erfordert die Aktivierung von DNSSEC meist die Abstimmung zwischen interner IT und dem Registrar oder Hoster:

1. Status prüfen: Mit einem DNSSEC-Analyzer lässt sich feststellen, ob die eigene Zone korrekt signiert ist und die Vertrauenskette funktioniert.
2. Automatische Signierung aktivieren: Bitten Sie Ihren Hoster oder DNS-Betreiber, die Signierung und Schlüsselverwaltung für Ihre Zone einzurichten. Bei den meisten modernen Anbietern genügt ein Schalter.
3. Weitere Schutzschichten ergänzen: DANE setzt DNSSEC voraus und schützt die Zuordnung von TLS-Zertifikaten. Zusammen mit SPF und DMARC lässt sich so sowohl Webverkehr als auch E-Mail besser gegen Identitätsfälschung absichern.

Wir, global IP action signiert alle Kunden-Domains, wenn die DNS-Server bei uns genutzt werden, automatisch und in allen TLDs welteweit, wo DNSSEC verfügbar ist. Kontaktieren Sie uns unter frage@globalipaction.ch