Schlagwort: DNSSEC

BSI empfiehlt Upgrade für die E-Mail-Sicherheit und fordert offiziell DMARC-Standard

Am 26. Mai 2025 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Beitrag der Allianz für Cyber‑Sicherheit (ACS) neue Impulse zum Thema E‑Mail-Sicherheit gesetzt – mit erheblicher Bedeutung für alle Unternehmen, die E-Mails versenden.

🚀 Was wurde angekündigt?


📢 Aktivierung von SPF, DKIM und DMARC als zentraler Baustein gegen Spoofing und Phishing – seit langem bewährte Standards, nun mit verstärktem Fokus durch das BSI

📢 Empfohlene Einrichtung von DANE mit DNSSEC-Schutz: Besonders für eingehende Mails wird ein durchgängiger Schutz empfohlen. DNSSEC ist Voraussetzung, um TLSA-Einträge abzusichern und Manipulationen über DNS-Ausgestaltung wirksam zu verhindern: Ein echter Mehrwert im Angebot für Kunden, die nicht nur Domain-Sicherheit, sondern Ende-zu-Ende‑Authentizität wünschen.

Achtung: nicht jeder Registrar stellt seinen Kunden DNSSEC zur Verfügung – bei Nameshield ist dies selbstverständlich möglich, sprechen Sie uns gerne an.

📢 Praktische Tipps zur Konfiguration und Hinweis auf häufige Fehler, z.B. Null-MX für nicht‐genutzte Domains oder typische Zeichen- und Tippfehler beim Eintrag der SPF-, DKIM- und DMARC-Records.

📢 Warnung vor geringer DNSSEC-Durchdringung: Viele Unternehmen scheuen DNSSEC aus Angst vor Fehlkonfiguration – dabei ist es das Rückgrat der E‑Mail-Sicherheit. Denn: Ohne DNSSEC bleibt SPF-, DKIM- oder DMARC-Schutz eine potenzielle Schwachstelle.

Benötigen Sie Unterstützung bei der Umsetzung der empfohlenen Maßnahmen? Sprechen Sie unser Team gerne an.

DNSSEC: Nameshield stellt auf ECDSA um

DNSSEC ist das Protokoll, das die Integrität der DNS-Auflösung gewährleistet, indem es eine Vertrauenskette bis zur Root aufbaut. Die Datensicherheit wird durch einen Mechanismus aus kryptografischen Schlüsseln gewährleistet, die die DNS-Einträge der Zonen signieren. Historisch gesehen verwenden DNS-Betreiber Schlüssel vom Typ RSA (RSASHA256-Algorithmus), die für ihre Zuverlässigkeit bekannt sind.

Als Alternative zu diesem asymmetrischen kryptografischen Algorithmus gibt es Algorithmen mit elliptischer Kurve. Im Fall von DNSSEC bietet insbesondere der Algorithmus „ECDSA Curve P-256 with SHA-256“ (RFC 6605 und 8624) ein höheres Sicherheitsniveau bei kürzeren Schlüsseln.

Der ECDSA-Algorithmus wird zunehmend von den wichtigsten Akteuren der Domainnamenindustrie wie Verisign oder AFNIC implementiert und könnte Branchenexperten zufolge bald zum Standard werden.

Der Algorithmus bietet mehrere Vorteile im Vergleich zu unserer aktuellen Implementierung:

  • Kürzere Signaturen und weniger große Zonendateien (ca. -33%)
  • Schnellere Übertragung und Neuladen von Zonen
  • Verbesserte Leistung bei der Signatur
  • Potenziell schnellere DNS-Anfragen (weniger Einsatz von IP-Fragmentierung)
  • Verringerung des Verstärkungsfaktors von DNS-basierten DDoS-Angriffen

Nameshield hat sich daher dafür entschieden, diesen Algorithmus standardmäßig zu verwenden, um eigene Domainnamen und die seiner Kunden zukünftig noch besser abzusichern.

Bildnachweis: Nameshield with storyset.com