Wer am vergangenen Montagabend noch schnell einen Zugfahrplan abrufen, eine Überweisung tätigen oder einen Beitrag auf einem Nachrichtenportal nachlesen wollte, wurde mit hoher Wahrscheinlichkeit enttäuscht. Ab kurz vor 22 Uhr meldeten zahlreiche bekannte deutsche Websites, darunter die Deutsche Bahn, die Telekom, die Sparkasse, das ZDF und Spiegel Online, plötzlich nur Fehlermeldungen oder waren schlicht nicht mehr erreichbar. 

In sozialen Netzwerken machte sich rasch der Verdacht breit, dass ein Cyberangriff oder gar ein Sabotageakt hinter dem flächendeckenden Ausfall stecken könnte. Tatsächlich war die Ursache jedoch deutlich profaner, wenngleich nicht weniger folgenreich.

Verantwortlich war ein technischer Fehler bei einem routinemäßigen Schlüsselwechsel innerhalb der sogenannten .de-Zone, die von der DENIC in Frankfurt am Main verwaltet wird. Diese Genossenschaft betreut alle Domains mit der Endung .de und stellt damit das digitale Adressbuch des deutschen Internets bereit. 

Damit Ihr Computer beim Aufruf einer Adresse wie bahn.de zuverlässig dort landet, wo er auch hin soll, kommt seit einigen Jahren eine zusätzliche Sicherheitsschicht namens DNSSEC zum Einsatz, die jeden Eintrag im Adressbuch mit einer kryptografischen Signatur versieht. Diese digitale Unterschrift soll verhindern, dass Sie unbemerkt auf eine gefälschte Website umgeleitet werden.

Damit das System verlässlich bleibt, müssen die zugrundeliegenden Schlüssel regelmäßig erneuert werden, ähnlich wie ein Türschloss, das in regelmäßigen Abständen ausgetauscht wird. Genau bei einem solchen Tausch unterlief der DENIC offenbar ein Fehler, sodass die neue Signatur fehlerhaft veröffentlicht wurde und die nachgelagerten Prüfsysteme keine gültige Bestätigung mehr finden konnten. 

In der Folge wurden alle Adressabfragen, deren Antwort streng nach den Regeln geprüft wurde, kurzerhand verworfen, sodass aus Sicht der entsprechenden Server ein erheblicher Teil des deutschen Internets schlicht nicht mehr existierte.

Technisch versierten Anwenderinnen und Anwendern bot sich darüber hinaus ein einfacher Ausweg, indem sie kurzfristig auf einen DNS-Server umstellten, der ohne DNSSEC-Validierung arbeitet. Die große Mehrheit jedoch saß dem Ausfall hilflos gegenüber und konnte nichts weiter tun, als auf eine Lösung durch die DENIC zu warten.

IT-Sicherheitsexperten fordern daher mehr Redundanz und deutlich verbesserte Testverfahren, bevor solche kritischen Änderungen an der .de-Zone überhaupt in den produktiven Betrieb gelangen, denn eine zentrale Infrastruktur, von der Millionen Verbindungen abhängen, sollte nicht an einem einzigen Punkt zerbrechen können. Der Ausfall zeigt, wie verletzlich selbst hochentwickelte digitale Strukturen sein können, wenn eine einzige Fehlerquelle ausreicht, um das halbe deutsche Internet lahmzulegen.