DNSSEC-Pflicht bei CAA-Abfragen: SwissSign beginnt mit der Umsetzung der Anforderungen des CA/Browser Forums
Im Frühjahr 2026 treten neue Anforderungen des CA/Browser Forums in Kraft, welche die Validierung von CAA-Einträgen deutlich verschärfen. SwissSign setzt diese Vorgaben frühzeitig um und aktiviert am 2. März 2026 die verpflichtende DNSSEC-Validierung bei Anfragen zu CAA- und DCV-Daten. Zertifikatsanträge werden somit nur noch dann erfolgreich verarbeitet, wenn die DNSSEC-Chain der jeweiligen Domain vollständig und korrekt aufgebaut ist.
Hintergrund der neuen Vorgaben
Seit 2017 sind Zertifizierungsstellen (CAs) verpflichtet, vor der Ausstellung eines Zertifikats zu prüfen, ob für eine Domain CAA-Einträge existieren. Diese legen fest, welche Certificate Authorities (CA) Zertifikate für eine Domain ausstellen dürfen. Eine DNSSEC-Prüfung war jedoch bisher nicht vorgeschrieben, sodass manipulierte oder unvollständige DNS-Antworten theoretisch nicht auffallen konnten.
Angriffe auf die DNS-Infrastruktur, wie etwa Spoofing oder Cache Poisoning, rücken zunehmend in den Fokus größerer Sicherheitsinitiativen. Seit Jahren drängen Browserhersteller wie Mozilla und Google auf die verpflichtende Überprüfung kryptografisch abgesicherter DNS-Antworten. Das CA/B-Forum hat die Validierung nun verbindlich gemacht. Für alle Zertifizierungsstellen gilt der 15. März 2026 als Stichtag.
Technische Auswirkungen für Organisationen
Betroffen sind ausschließlich Domains, für die DNSSEC aktiviert wurde. Für nicht signierte Zonen ändern sich die Abläufe nicht. Sobald eine Domain jedoch DNSSEC nutzt, müssen alle zugehörigen Komponenten fehlerfrei arbeiten. Dazu gehören gültige Zonensignaturen, ein korrekt veröffentlichter DS-Record beim Registrar und eine ungebrochene Vertrauenskette bis zur Root-Zone.
Fehler in diesem Bereich, etwa veraltete Signaturschlüssel, fehlende DS-Einträge oder eine unvollständige Delegation, führen ab dem Go-Live dazu, dass SwissSign keine S/MIME-Zertifikate für die betroffene Domain ausstellen kann.
Prüfung und Validierung der DNSSEC-Konfiguration
Administratoren sollten überprüfen, ob die Konfiguration ihrer signierten Zonen vollständig und aktuell ist. Geeignete Werkzeuge stehen dazu öffentlich zur Verfügung, darunter dnssec-analyzer.verisignlabs.com und dnsviz.net. Beide Dienste analysieren Delegationen, DS-Records und Signaturlaufzeiten und zeigen Fehler in der Chain of Trust transparent an.
SwissSign weist darauf hin, dass die Aktivierung der Validierung zu leichten Verzögerungen bei der Ausstellung von Zertifikaten führen kann. Grundsätzlich besteht jedoch keine Verpflichtung, DNSSEC zu nutzen. Die neue Prüfung betrifft nur Organisationen, die DNSSEC bereits produktiv nutzen!
Weitere Informationen
Die technischen Details der Vorgaben finden sich im Dokument des CA/B Forums: Ballot SMC014: DNSSEC for CAA.
