Public DENIC mailinglist

["nonmember" <dbs AT denic.de>]

Frankfurt am Main, 6.5.2026

Fehlerhafte DNSSEC-Signaturen beeinträchtigten die Erreichbarkeit –
Normalbetrieb wiederhergestellt.

Am Abend des 5. Mai 2026 kam es ab 21:57 Uhr zu einer technischen Störung im
Domain Name System (DNS) für die Endung .de. Dies führte zu spürbaren
Einschränkungen bei der Erreichbarkeit von .de-Domains.

Um 00:08 Uhr am 6. Mai leitete DENIC die Verteilung der korrigierten DNS-Zone
ein. Der Betriebszustand vor dem Ausfall konnte um 01:15 Uhr wieder
vollständig hergestellt werden.

Die Störung stand im Zusammenhang mit der DNSSEC Signierung. Im beschriebenen
Zeitraum kam es zur Verbreitung fehlerhafter DNSSEC-Signaturen. Nicht alle
Nutzer waren im selben Maße von den Einschränkungen betroffen. Sofern bei der
Namensauflösung ein validierender DNS-Resolver zum Einsatz kam, wurden die DNS
Antworten für sämtliche de.-Domains als fehlerhaft verworfen. Manche
Resolverbetreiber haben als Überbrückungsmaßnahme die DNSSEC- Validierung
für .de-Domains ausgesetzt.

+++ UPDATE +++

Stand: Mittwoch, 6. Mai, 14:30 Uhr

Die Störung steht in einem zeitlichen und logischen Zusammenhang mit einem
üblichen regelmäßigen Schlüsselwechsel. Dabei sind nicht validierbare
Signaturen erzeugt und verteilt worden. Vorsorglich wurden die künftigen
Wechsel ausgesetzt, bis wir die genauen technischen Ursachen ermittelt haben.

+---------------------------------------

Frankfurt am Main, 6 May 2026

Invalid DNSSEC signatures affected accessibility – normal service has been
restored.

On the evening of 5 May 2026, a technical incident occurred in the Domain Name
System (DNS) for the .de domain extension from 21:57 onwards. This led to
noticeable impact to the availability of .de domains.

At 00:08 on 6 May, DENIC initiated the distribution of a correct DNS zone. The
operational status prior to the outage was fully restored by 01:15.

The outage was related to DNSSEC signing. During the period described,
incorrect DNSSEC signatures were propagated. Not all users were affected to
the same extent. Where validating DNS resolvers were used for name resolution,
DNS responses for all .de domains were treated as bogus. Some resolver
operators temporarily suspended DNSSEC validation for .de domains as a
mitigating measure.

+++ UPDATE +++ As of: Wednesday, May 6, 2:30 p.m.

The outage is linked to a routine, scheduled key rollover. During this
process, non-validatable signatures were generated and distributed. As a
precautionary measure, future rollovers have been suspended until the exact
technical causes have been identified.

--
DENIC eG, Theodor-Stern-Kai 1, 60596 Frankfurt am Main, GERMANY
E-Mail: info AT denic.de, Fon: +49 69 27235-270, Fax: +49 69 27235-238
https://www.denic.de

Servicezeiten: Montag bis Donnerstag; 08:00-18:00 Uhr, Freitag; 08:00-16:00
Uhr

Angaben nach § 25a Absatz 1 GenG: DENIC eG (Sitz: Frankfurt am Main)
Vorstand: Thomas Keller, Martin Küchenthal, Sebastian Röthler, Barbara Stolz
Vorsitzender des Aufsichtsrats: Oliver Elste
Eingetragen unter Nr. 770 im Genossenschaftsregister, Amtsgericht Frankfurt am
Main

Allgemeiner Hinweis zur Erfüllung unserer Informationspflichten gemäß Art. 13,
Art. 14 DS-GVO: Informationen zur Verarbeitung personenbezogener Daten durch
DENIC finden Sie unter https://www.denic.de/datenverarbeitung-allgemein/