--- id: "42c79885-2bc1-48dc-ac0c-0815a1d83bef" kind: "link" title: "IANA stellt die DNS-Root-Zone auf den neuen Signierschlüssel KSK-2024 um" language: "de" section: "security" date: "2026-10-14T07:20:43Z" updated: "2026-10-14T07:20:43Z" canonical: "https://tldlog.com/de/l/iana-stellt-dns-root-zone-neuen-signierschluessel-ksk-2024/" origin: "reviewed" master: "https://tldlog.com/l/iana-switches-dns-root-zone-new-signing-key-ksk-2024/" translations: en: "https://tldlog.com/l/iana-switches-dns-root-zone-new-signing-key-ksk-2024/" es: "https://tldlog.com/es/l/iana-cambia-zona-raiz-dns-nueva-clave-firma-ksk-2024/" fr: "https://tldlog.com/fr/l/iana-remplace-cle-signature-zone-racine-dns-ksk-2024/" it: "https://tldlog.com/it/l/iana-sostituisce-chiave-firma-ksk-2024-zona-radice-dns/" pt-BR: "https://tldlog.com/pt/l/iana-troca-zona-raiz-dns-nova-chave-assinatura-ksk-2024/" ru: "https://tldlog.com/ru/l/iana-perevodit-kornevuyu-zonu-dns-novyy-klyuch-podpisi-ksk/" zh-Hans: "https://tldlog.com/zh/l/iana-genqu-qiehuan-ksk-2024/" source: name: "Domain Brief" url: "https://domainbrief.de/artikel/der-schluesselwechsel-der-root-zone-ist-ohne-groessere-bekannte-stoerungen-angel" language: "de-DE" date: "2026-10-14T06:00:00Z" --- # IANA stellt die DNS-Root-Zone auf den neuen Signierschlüssel KSK-2024 um ## in einfachen worten Das Adressbuch des Internets für Domainnamen nutzt einen besonderen Schlüssel, der belegt, dass seine Antworten echt sind. Am 11. Oktober 2026 wurde dieser Schlüssel durch einen neuen ersetzt. Die meisten Menschen dürften nichts davon bemerken. Einige ältere Computer und Router könnten aber Webseiten oder E-Mails nicht mehr laden. Die DNS-Root-Zone wird seit dem 11. Oktober 2026 mit einem neuen Key Signing Key, KSK-2024, signiert. IANA bestätigte den Wechsel noch am selben Tag. Größere Störungen waren öffentlich nicht gemeldet worden. Resolver können die alte Schlüsselliste bis zu zwei Tage im Cache behalten, daher könnten Probleme in Systemen, die nicht aktualisiert wurden, erst später auftreten. Der neue Schlüssel trägt das Key Tag 38696 und ersetzt den bisherigen. IANA zufolge sollten die meisten Nutzer nichts bemerken. Resolver, die den neuen Schlüssel nicht kennen, könnten die DNSSEC-Validierung nicht bestehen. Die Liste der Root-Schlüssel ist nun von KSK-2024 signiert und ab 00:00 UTC am 11. Oktober gültig. Der ältere KSK-2017 mit Key Tag 20326 bleibt aufgeführt, wird aber nicht mehr signiert. Die öffentlichen Resolver von Google und Cloudflare validierten Antworten erfolgreich, Google lieferte jedoch noch eine zwischengespeicherte Version, die mit KSK-2017 signiert war. Betreiber auf der Mailingliste dns-operations von DNS-OARC hatten bis Dienstagmorgen keine Berichte über den Wechsel veröffentlicht. Vereinzelt traten aber anderswo Probleme auf. Am 12. Oktober meldete ein Administrator im Zimbra-Forum Ausfälle auf Servern mit Ubuntu 22.04 oder älter, die DNSSEC validieren. Signierte Domainnamen seien seit Sonntag nicht mehr aufgelöst worden, und E-Mails hingen fest. Ein Nutzer im ASUS-Forum schrieb, die Router-Firmware kenne nur den alten Schlüssel, weshalb die Namensauflösung bei aktivierter Validierung scheiterte. Der bisher letzte Wechsel des Root-Schlüssels fand am 11. Oktober 2018 statt. Die ICANN meldete vier Tage später geringe Störungen und erklärte, schnelle Korrekturen hätten sie behoben. Der alte KSK-2010 wurde 2019 widerrufen. Ein weiterer Wechsel ist geplant und soll auch den Signaturalgorithmus ändern. ICANN hat dies im Februar vorgeschlagen und will es unverändert umsetzen: 2027 soll ein neuer ECDSA-Schlüssel erzeugt werden, der aktuelle RSA-Schlüssel läuft 2029 aus. Quelle: [Domain Brief](https://domainbrief.de/artikel/der-schluesselwechsel-der-root-zone-ist-ohne-groessere-bekannte-stoerungen-angel) ## weitere quellen - [webhosting.today](https://webhosting.today/2026/10/09/the-dns-root-changes-its-key-on-sunday-a-resolver-that-still-trusts-only-the-old-one-stops-resolving-everything/) (auf Englisch) - [icann.org](https://www.icann.org/resources/pages/ksk-rollover-en) (auf Englisch)