Hallo zusammen,
vielen Dank für euer zahlreiches Feedback.
DNSSEC ist ein komplexes technisches Thema, bei dem viele Zahnräder ineinander greifen müssen, damit alles korrekt funktioniert. Kommt es auch nur zu kleinen Abweichungen, können Probleme auftreten und, dies ist ja bekanntlich der Sinn des Konzepts, die Domain löst unter Umständen nicht mehr korrekt auf. Wir haben natürlich entsprechende Vorsorge getroffen, um möglichst alle denkbaren Fehler, die auftreten könnten, abzufangen und so eine Unerreichbarkeit von Domains zu verhindern.
Im Thread wurden verschiedene Beispiele genannt, bei denen es bereits zu Einschränkungen aufgrund von DNSSEC kam. Das Feature DNSSEC mit automatischer Schlüsselverwaltung durch uns bieten wir nun bereits seit Mitte 2016 an. Seitdem wurden, wie bei komplexen technischen Systemen auch mit größter Sorgfalt kaum zu verhindern, diverse Fehler gefunden, die nach ihrem Bekanntwerden schnellstmöglich behoben wurden. Es ist mir wichtig, zu betonen: Die verschiedenen hier genannten Einschränkungen hatten sicherlich unterschiedliche Ursachen und das DNSSEC-Feature wird kontinuierlich weiter entwickelt. Unseren Beobachtungen zufolge arbeitet DNSSEC für die absolut überwiegende Mehrzahl der Domains durchgehend ohne Probleme. So nutzen wir z.B. DNSSEC auch bei uns für verschiedene äußerst wichtige Domains – darunter das CCP und das SCP. Ausfälle bei diesen Domains würden bei uns umgehend bemerkt werden, bei den Domains ist DNSSEC schon längere Zeit aktiv. Von einem allgemeinen Problem bei der Funktionalität kann also nicht die Rede sein, dieser Eindruck kann aber verständlicherweise schnell entstehen, da das letztliche Fehlerbild – die Domain löst nicht mehr auf, falls DNSSEC validiert wird – das Selbe ist. Die Ursachen unterscheiden sich aber erheblich, sind teilweise auch individuell bedingt. Es ist also nicht so, dass wir unehrlich sind, wenn wir schreiben, dass der Sachverhalt gelöst wurde. Es ist nur möglich, dass andere Ursachen hinzukommen, oder neue entdeckt werden (wobei hier recht wahrscheinlich ist, dass es nicht mehr die gleichen TLDs / Kunden trifft). Die hier erwähnte Ticket-Antwort in einem anderen Fall ("found an issue in the DNSSEC renewal tasks which can occur under certain conditions (when another update job for the domain is pending at the same time)") hat z.B. ein Problem gelöst, welches nur bei bestimmten Registrys auftrat. Hierdurch treten nun aber bei den betroffenen TLDs tatsächlich keine zusammenhängenden Fehler mehr auf.
Im konkreten Fall stehen wir mit mfnalex per Ticket in Kontakt. Leider gestaltet sich die Fehlersuche schwierig, da der Sachverhalt schnellstmöglich durch mfnalex bereits gelöst wurde, wofür wir natürlich Verständnis haben, was uns nun aber nicht mehr die Möglichkeit bietet, den Fehler "live" zu untersuchen. Was wir daher in jedem Fall empfehlen können, sollten bei euch Probleme mit DNSSEC auftreten: Bitte prüft die Domain wenn möglich auf der Webseite dnsviz.net, dies ist ein Tool, mit dem DNSSEC-Probleme gefunden werden können. Das Tool speichert auch vergangene Analysen und diese können dann mit dem Domainnamen öffentlich eingesehen werden, so dass wir den Fehler auch später noch nachvollziehen können. Wenn Kunden uns kontaktieren, während der Sachverhalt noch besteht, nutzen wir dies auch, um Einschränkungen prüfen und kategorisieren zu können. Hier ist natürlich die beste und umfangreichste Fehleranalyse möglich. Wir gehen davon aus, dass es sich auch im hier vorliegenden Fall um einen individuellen Fehler, den wir so nur unter ganz bestimmten Umständen beobachten können, handelt.
Ich danke euch für eure zahlreichen Rückmeldungen. Wir wissen, dass die Unerreichbarkeit einer Domain große Probleme für den betroffenen Kunden erzeugen kann. DNSSEC stellt aufgrund seiner hohen Komplexität und zahlreichen potenziellen Fehlerquellen immer ein geringes, aber eben vorhandenes Risiko für die Verfügbarkeit einer Domain dar. Natürlich ist das keine Entschuldigung für etwaige Fehler bei uns. Grundsätzlich sollte aber jedem Anwender klar sein, dass DNSSEC, kommt es zu einem Fehler (auf wessen Seite auch immer), dazu führen kann, dass die Erreichbarkeit einer Domain erheblich eingeschränkt wird. Solche Probleme können nicht nur uns treffen, auch bei anderen Anbietern kann es bedauerlicherweise zu Fehlern kommen, die dann ähnliche Probleme bedingen können.
Aktuell sind uns diesbezüglich keine Probleme bekannt. Wenn du das weiterhin beobachten kannst, wende dich am besten einmal per E-Mail an unser Support-Team, dann können wir das genauer untersuchen. Danke.
Im Falle von 