DNS-Störung legte am Dienstagabend große Teile des deutschen Internets lahm
Eine Störung im Domain Name System (DNS) hat am Dienstagabend dafür gesorgt, dass viele Domains mit der Endung .de nicht aufgelöst werden konnten. Betroffen waren unter anderem der DB Navigator, die DHL-App, Alle Störungen, Golem und viele andere Dienste. Das Problem konnte in der Nacht auf Mittwoch von der verantwortlichen Denic behoben werden. Der Grund für den Ausfall wurde bisher nicht kommuniziert.
In diesem Artikel gehen wir die Ereignisse in chronologischer Reihenfolge durch. Zudem erklären wir euch, warum manche Websites vermutlich dennoch erreichbar waren.
Am Dienstagabend gegen 22:00 Uhr nahm das Unheil seinen Lauf…
Ich habe am späten Dienstagabend ein Video bei YouTube geguckt, als ich den Status einer DHL-Sendung checken wollte. „Komisch“, dachte ich mir, denn die App war nicht erreichbar. Also habe ich mich der Google-Suche zugewandt und wollte bei Alle Störungen überprüfen, ob DHL ein Problem hat. Doch auch Alle Störungen war gestört.
„Hervorragend! Scheinbar hat Cloudflare wieder einmal den Geist aufgegeben“, erinnerte ich mich an die letzte großflächige Störung, bei der auch Alle Störungen nicht erreichbar war. So sollte es diesmal aber nicht sein, denn spätestens als ich Golem und Netzwelt nicht abrufen konnte war mir klar, dass irgendein anderes Problem bestehen musste. Die Lösung fand ich ungefähr 45 Minuten nach Beginn der Störung auf Reddit. Scheinbar löste die gesamte Zone der .de-Domains nicht mehr richtig auf. Vermutet wurden ungültige DNSSEC-Signaturen, die zu Validierungsfehlern geführt haben sollen.
Frankfurt am Main, 5.5.2026 – Die DENIC eG verzeichnet derzeit eine Störung im DNS-Service für .de-Domains. Infolge dessen kommt es zu einer Störung bei der Erreichbarkeit aller DNSSEC-signerter [sic!] .de-Domains. Die Ursache der Störung ist derzeit noch nicht abschließend geklärt. Die technischen Teams der DENIC arbeiten mit Hochdruck an der Analyse und an der schnellen Wiederherstellung eines stabilen Betriebs. (…) Für Rückfragen steht die DENIC über die bekannten Kontaktwege zur Verfügung.
„Das Internet ist für uns alle Neuland“
Der letzte Satz aus dem spätabendlichen Statement der Denic entbehrt nicht einer gewissen Ironie. Tatsächlich ist DNSSEC vor allem bei solchen Domains sicherheitstechnisch relevant, über die E-Mails verschickt werden. Ihr könnt es euch schon denken: Abgesehen davon, dass die Website der Denic zumindest zwischenzeitlich nicht erreichbar war, konnte der Registrar auch keine E-Mails empfangen. Auch die Statusseite der Denic war zeitweise betroffen. Zum Glück hoste ich meine eigene Statusseite auf einer .eu-Domain!
Das Domain Name System (DNS) ist vergleichbar mit einer Telefonvermittlung. Die Domain, also zum Beispiel smartzone.de, ist quasi das öffentliche Aushängeschild. Euer Resolver, der zumeist identisch mit eurem Internet Service Provider (ISP) ist, verwandelt diese Domain in einen numerischen Code. Dieser Code ist die IP-Adresse des Servers, der eure Anfrage dann beantwortet. Das Problem bestand also in genau diesem Zwischenschritt: Offenbar aufgrund einer Fehlkonfiguration bei der Denic konnten Resolver die hinterlegten IP-Adressen von .de-Domains nicht auflösen. Die Anfrage lief ins Leere.
Warum haben einige Webseiten und Dienste trotzdem funktioniert? Im DNS gibt es die Time To Live (TTL). Dieser Wert gibt an, wie lang die Auflösung eines Domainnamens mindestens noch gültig bleibt. In diesem Zeitraum kann der Resolver also einen DNS-Cache verwenden und muss nicht bei jeder Anfrage erneut die Adresse auflösen. Viele Router haben ebenfalls einen eigenen DNS-Cache.
Im weiteren Verlauf des Abend haben einige Provider offenkundig selbst Hand angelegt. Im Telekom-Netz waren alle Dienste gegen 23:30 Uhr wieder funktionsfähig. Auch Cloudflare-DNS habe schnell reagiert und DNSSEC-Validierung für .de-Domains kurzzeitig abgeschaltet.
Und was hat das alles mit DNSSEC zutun?
Die Domain Name System Security Extensions (DNSSEC) erweitern das DNS um Funktionen zur Gewährleistung der Authentizität der Daten. Somit kann validiert werden, dass die an euch übermittelten DNS-Zonendaten identisch mit denen sind, die vom Ersteller autorisiert wurden. Einige Resolver und Router validieren DNSSEC-Daten. Genau in diesen Fällen ist es am Dienstagabend offenbar zu Problemen gekommen.
Genaue Angaben zum Hergang und Ursprung der Störung hat die Denic (Stand: 06. Mai 2026, 12:00 Uhr) nicht gemacht.
Die Störung ist inzwischen behoben und alle Systeme laufen wieder stabil. Die genaue Ursache wird derzeit noch analysiert. Sobald belastbare Erkenntnisse vorliegen, wird DENIC diese transparent zur Verfügung stellen.
Eine technische Analyse des IT-Sicherheitsunternehmens Blackfort Technology zeichnet inzwischen ein klareres Bild. Demnach hat die Denic im Rahmen eines ZSK-Rollovers einen NSEC3-Record der .de-Zone mit einer fehlerhaften Signatur (Keytag 33834) ausgeliefert. DNSSEC-validierende Resolver wie Cloudflare, Google DNS und Quad9 haben die Antwort daraufhin als ungültig verworfen und mit SERVFAIL geantwortet. Gegen 22:15 Uhr hat die Denic den betroffenen Bereich dann gezielt mit einem zweiten, parallel publizierten Schlüssel (Keytag 32911) neu signiert – das war der eigentliche Fix. Bis sich die fehlerhafte Signatur vollständig aus den Caches der Resolver verabschiedet hatte und die Denic ihre Statusseite gegen 01:32 Uhr wieder auf Grün setzen konnte, hat es aber noch ein paar Stunden gedauert. Wir melden uns mit einem Update, sobald die Denic offizielle Details zur Ursache nachreicht.
Unsere Einschätzung zur DNS-Störung am Abend des 5. Mai 2026
Am Dienstagabend waren große Teile des deutschen Internets nicht erreichbar: Amazon, DB Navigator, DHL, Google und viele weitere Internetseiten, Apps und Dienste konnten aufgrund eines Fehlers im DNS nicht aufgelöst werden. Im Laufe der Nacht konnte der Fehler behoben werden. Nun läuft bei der Denic die Fehlersuche.
Für einige Nutzer waren auch Domains mit anderen Endungen als .de nicht erreichbar. Dies lag vermutlich daran, dass das System oder der Browser auf Client-Seite einen DNS-Server mit .de-Domain angesprochen hat und sich deswegen nicht verbinden konnte.
Dieser Vorfall macht deutlich, wie abhängig das Internet von einem funktionierenden DNS ist. Das Domain Name System ist die Achillesferse des Internets.
Trotz des großen Aufwands der durch die Dezentralisierung und Technologien wie DNSSEC betrieben wird sind sogenannte Single Points of Failure (SPOF) weiterhin existent. Und zwar nicht nur in Bezug auf das Domain Name System. Auch die Konzentration vieler Dienste auf wenige Server durch Content Delivery-Netzwerke wie Cloudflare ist durchaus kritisch. Lasst uns eure Einschätzung zu dem Thema gerne in den Kommentaren wissen!
- 1 Reddit
- 2 Reddit
- 3 Heise Online
- 4 DNSViz
Das könnte dich auch interessieren
Newsletter bestellen
Hol Dir die neuesten Infos zu Chinahandys und Gadgets direkt ins Postfach!
Alle News Updates über Telegram.
