DNSSEC konnte nicht aktiviert werden. Nachdem DNSSEC deaktiviert wurde, müssen mindestens 0 Stunden vergehen.

    Für eine Domain von mir ist seit 23.04.2026 ca. 17:47 Uhr die DNS-Auflösung kaputt. Ursache ist, dass DNSSEC aktiv war und jetzt deaktiviert ist. Ich habe es selbst nicht deaktiviert.

    Im Customercontrolpanel sehe ich, dass der Haken bei "DNSSEC Status" nicht gesetzt ist. Wenn ich den wieder aktiviere und Speichern klicke erscheint:

    Fehler:
    DNSSEC konnte nicht aktiviert werden. Nachdem DNSSEC deaktiviert wurde, müssen mindestens 0 Stunden vergehen.

    Ich habe den Support kontaktiert und bisher keine Rückmeldung erhalten. Hat noch jemand eine Idee, was ich da machen kann?

    Pseudonymisierte Teilausgabe von dig +dnssec meine-domain.de dazu:

    Fri Apr 24 10:02:10 CEST 2026

    Code
    ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 10000
; EDE: 9 (DNSKEY Missing)

    Fri Apr 24 14:47:17 CEST 2026

    Code
    ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 10001
; EDE: 22 (No Reachable Authority)

    Fr, 24.04.2026 ca. 15:15 Uhr:

    dig +dnssec @8.8.8.8 meine-domain.de Google

    Code
    ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 64965
; EDE: 10 (RRSIGs Missing): (For meine-domain.de/a)

    dig +dnssec @1.1.1.1 meine-domain.de Cloudflare

    Code
    ;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 36256
; EDE: 22 (No Reachable Authority)

    dig +dnssec @@8.26.56.26 meine-domain.de Comodo Secure DNS

    Code
    ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 53961

    Google und Cloudflare DNS ergeben SERVFAIL, Comodo Secure DNS NOERROR (also erfolgreiche DNS-Auflösung).

    Das gleiche Problem hab ich seit gestern Abend auch. DNSSEC hat sich selbstständing nach und nach für alle Domains deaktiviert und lässt sich nicht mehr aktivieren. Das Problem dabei: Die Keys sind zwar aus den Zonen raus aber der DS bei der DENIC ist weiterhin drin und dadurch schlägt die Auflösung fehl, weil DNSSEC nicht mehr valide ist.

    Bei mir genauso. Ich habe gestern Abend den Support über das Kontaktformular kontaktiert:

    „Guten Tag, meine Domain hat einen DNSSEC-Konfigurationsfehler (Broken Trust Chain). Bei der DENIC ist noch ein DS-Record hinterlegt, aber meine Nameserver liefern keine DNSKEYs aus. Im CCP lässt sich DNSSEC weder aktivieren noch deaktivieren (Fehlermeldung: 0 Stunden warten). Bitte löschen Sie manuell alle DS-Einträge für meine Domain bei der Registry (DENIC), damit die Domain wieder auflösbar wird.“

    Bisher keine Antwort erhalten.

    Ich hab in den sauren Apfel gebissen und mich jetzt länger in der Telefonwarteschleife gehängt nachdem auf da SupportTicket keine Eingangsbestätigung kam. Ist ein bekannter Fehler und zumindest meine Probleme sollen jetzt durch die Fachabteilung im Laufe des Nachmittags behoben werden.

    Ich hab' jetzt nach 20 Stunden ungeplanter Downtime 😠 den Support angerufen und die Rückmeldung erhalten, dass dem Mitarbeiter schon mehrere solche Fälle gemeldet wurden und er das an die Fachabteilung weitergegeben hat. Zitat aus der anschließenden Mail:

    Zitat

    Ich habe Ihr Anliegen soeben an unsere Kollegen der entsprechenden Fachabteilung zur Bearbeitung weitergeleitet. Diese werden den Sachverhalt prüfen und Ihnen schnellstmöglich antworten.

    Da uns aktuell sehr viele Anfragen für die Fachabteilung erreichen, möchten wir Sie um ein wenig Geduld bei der Bearbeitung bitten. Trotz des sehr hohen Aufkommens der Anfragen und Bitten um Rückmeldung arbeitet unsere Fachabteilung mit Hochdruck alle Anliegen nacheinander ab, sodass Sie schnellstmöglich nach Erledigung eine Rückmeldung erhalten.

    Für Ihre Geduld und Ihr Verständnis bedanken wir uns bei Ihnen herzlichst im Voraus.

    habe ich eben auch versucht...jedes mal fliege ich nach 10 Min aus der Leitung...

    Im Unterschied zu euch war DNSSEC aufgrund der letzten Probleme seit Monaten deaktiviert.

    Evtl. wäre ja ein Hinweis auf der Statusseite angebracht...

    Zitat von fialex

    habe ich eben auch versucht...jedes mal fliege ich nach 10 Min aus der Leitung...

    Im Unterschied zu euch war DNSSEC aufgrund der letzten Probleme seit Monaten deaktiviert.

    Evtl. wäre ja ein Hinweis auf der Statusseite angebracht...

    Bei diesem Thread geht es um ein DNSSEC-Problem. Scheinbar passt das nicht zu der Störung, die du beobachtest. Hast du mal genauer versucht, das zu analysieren?

    Wenn ich auf https://dnssec-analyzer.verisignlabs.com/ meine Domain eingebe, steht da unter anderem:

    Code
    Found 1 DS records for meine-domain.de in the de zone
No DNSKEY records found
No RRSIGs found

    Für Domains, die kein DNSSEC aktiv haben, steht da z.B.:

    Code
    No DS records found for meine-domain.de in the de zone

    Außerdem kann man mit dig viel herausfinden oder mit diesen Tools hier: Network Tools From MxToolBox

    Seit ca. 16:32 Uhr meldet mein Monitoring wieder, dass alle Services erreichbar sind (Störungsdauer 20 Stunde 46 Minuten).

    Eine Rückmeldung vom Service habe ich bisher nicht erhalten.

    Im Customercontrolpanel ist der Haken bei DNSSEC Status wieder gesetzt.

    ja, sieht für mich trotzdem nach einem allgemeinen DNS Problem aus (es gibt parallel noch einen weiteren thread),
    "Status": 2 /* SERVFAIL */,
    "TC": false,
    "RD": true,
    "RA": true,
    "AD": false,
    "CD": false,
    "Question": [
    {
    "name": "xxxx.de.",
    "type": 1 /* A */
    }
    ],
    "Comment": "DNSSEC validation failure. Check http://dnsviz.net/d/xxxxxx.de/dnssec/ and http://dnssec-debugger.verisignlabs.com/xxxxxx.de for errors",
    "extended_dns_errors": [
    {
    "info_code": 10,
    "extra_text": "For xxxxx.de/a"
    }
    ]
    hier scheinen immer noch einIge DNSSEC Leichen bei der Denic zu liegen.


    Desweiteren erhalte ich für andere DOmains eine komplette DNSSEC Validierung, obwohl nicht aktiviert...

    Hallo zusammen,


    wir haben soeben einen Fehler im Zusammenhang mit DNSSEC behoben.

    Sollte eine Domain aufgrund der DNSSEC-Einschränkung nicht mehr korrekt auflösen, könnt ihr bei dieser den Haken für DNSSEC im CCP wieder setzen und abspeichern und es so neu initialisieren, was das Problem nach einigen Stunden (aufgrund des DNS-Cachings) lösen sollte.

    Sollte bei eurer Domain DNSSEC im CCP aktiv sein und die Domain löst auch korrekt auf, jedoch ohne dass DNSSEC validiert wird (es ist kein DNSSEC-Schlüsselmaterial bei der Registry, z.B. der DENIC, hinterlegt, obwohl das so sein sollte), könnt ihr DNSSEC im CCP deaktivieren und es nach 48 Std. wieder aktivieren. Dies wird den Sachverhalt ebenfalls lösen.

    In anderen, hier nicht beschriebenen Fällen, oder falls dies den Sachverhalt nicht löst, könnt ihr euch natürlich an unseren Support wenden, der dies prüft und euch gerne unterstützt.

    Für die entstandenen Unannehmlichkeiten bitten wir um Entschuldigung.

    Ich wünsche euch ein schönes Wochenende.