---
id: "624cdceb-3fde-414f-bf4b-39dfd64f4c5a"
kind: "link"
title: "Pakistans .pk erhält DNSSEC-Signierung, aber nur eine Domain validiert vollständig"
language: "de"
section: "cctld"
date: "2026-10-20T17:27:21Z"
updated: "2026-10-20T17:27:21Z"
canonical: "https://tldlog.com/de/l/pakistans-pk-erhaelt-dnssec-signierung-aber-nur-domain/"
origin: "reviewed"
master: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
translations:
  en: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
  es: "https://tldlog.com/es/l/pakistan-activa-firma-zona-pk-solo-dominio-valida/"
  fr: "https://tldlog.com/fr/l/pk-pakistan-adopte-signature-zone-dnssec-seul-domaine-est/"
  it: "https://tldlog.com/it/l/pk-ora-ha-firma-zona-dnssec-solo-dominio-validato/"
  pt-BR: "https://tldlog.com/pt/l/zona-pk-paquistao-agora-tem-assinatura-zona-so-dominio/"
  ru: "https://tldlog.com/ru/l/zona-pk-pakistane-poluchila-podpisanie-zony-proverku/"
  zh-Hans: "https://tldlog.com/zh/l/bajisitan-pk-qiyong-dnssec-qianming/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates"
  language: "en"
  date: "2026-10-20T15:23:00Z"
---

# Pakistans .pk erhält DNSSEC-Signierung, aber nur eine Domain validiert vollständig

## in einfachen worten

DNSSEC ist ein Sicherheitssystem, mit dem Computer prüfen können, ob eine Webadresse zum richtigen Ziel führt. Pakistans Domainendung .pk nutzt es jetzt auf oberster Ebene. Eine Prüfung ergab aber, dass nur eine einzige Domain unter .pk es vollständig eingerichtet hat.

Die Zone .pk, in der die Domains Pakistans unter dem Ländercode liegen, war Anfang Oktober 2026 noch nicht mit DNSSEC abgesichert. Die Wurzelzone enthielt keinen DS-Record für sie, und es gab keinen signierten Nachweis, wenn ein Name fehlte. Sechs Tage später ließ sich die Vertrauenskette von der Wurzel bis hinunter zu .pk validieren. Die Zone gehörte damit zum signierten Teil des Namensraums.

Die Signatur der Top-Level-Zone ist nur der erste Schritt. Ein Scan von 158.561 Domains unter .pk am 11. Oktober, zwei Tage nachdem der DS-Record in der Wurzel erschien, fand genau eine Domain, die Ende-zu-Ende validiert. Diese Domain ist newspak.pk. Weitere 1.230 Domains haben ihre Zonen zwar signiert, warten aber auf einen DS-Record, den die Zone .pk noch nicht führt. Keiner der rund 1.360 Namen unter gov.pk und den Suffixen der Provinzregierungen ist vollständig signiert.

Der zeitliche Ablauf lässt sich aus öffentlichen Quellen nachvollziehen. DNSViz zeigte .pk im gesamten September als unsicher. Die frühesten Signaturen in der Zone .pk stammen vom 8. Oktober, etwa einen Tag bevor die Wurzel aktualisiert wurde. Um 22:20 UTC am 9. Oktober meldete DNSViz .pk als sicher, und der IANA-Eintrag für .pk zeigt eine letzte Aktualisierung am selben Tag. Die Zone verwendet Algorithmus 13 (ECDSA P-256 mit SHA-256) sowie NSEC und NSEC3 ohne zusätzliche Iterationen und mit leerem Salt, wie es RFC 9276 empfiehlt.

Der Scan prüfte zwei Teile jeder Kette. Er fragte den DS-Record in der Zone .pk und den DNSKEY-Record in der eigenen Zone der Domain ab. Als vollständig signiert zählte eine Domain nur, wenn die gesamte Kette von der Wurzel über .pk bis zur Domain validierte. Die 1.230 Domains, die ihre Zonen signieren, aber keinen DS im übergeordneten Bereich haben, behandeln validierende Resolver als unsigniert, weil die Zone .pk einen signierten Nachweis liefert, dass kein DS existiert. Dazu gehören accenture.pk und nexlinx.net.pk.

Der Rest des Scans ergab 117.572 Namen (74 Prozent) ohne Signatur, 25.875 Namen, die nicht mehr existieren, und 13.883 Namen, die sich nicht einordnen ließen, weil ihre Nameserver nicht erreichbar waren oder eine Zeitüberschreitung verursachten.

Die Lücke zwischen dem Signieren einer Zone und der Veröffentlichung ihres DS-Records ist nicht neu. Eine USENIX-Security-Studie von 2017 zu .com, .net und .org ergab, dass rund 30 Prozent der signierten Domains keinen DS im übergeordneten Bereich hatten. Das Signieren einer Zone und das Einbringen ihres DS in den übergeordneten Bereich sind getrennte Aufgaben, die von verschiedenen Parteien erledigt werden. Die Signaturschlüssel erzeugen der Domaininhaber oder der DNS-Anbieter. Bei .pk liegen Namen wie com.pk, org.pk, edu.pk und gov.pk selbst in der Zone .pk, sodass alle DS-Records für diese Namen von einer einzigen Organisation veröffentlicht würden.

Quelle: [circleid.com](https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates)