deSEC

Im Mai 2026 hat der Weihnachtsmarkt Dielsdorf die Domain weihnachtsmarkt-dielsdorf.ch von einem Schweizer Hoster übernommen und zu einem neuen Registrar gezügelt. Erst beim Wechsel der Nameserver zeigte sich, dass in der .ch-Zone noch DNSSEC-Einträge (DS-Records) der alten Konfiguration standen. Für Resolver, die DNSSEC prüfen, passte die Signatur nicht mehr zur Domain, und die Adresse war für viele Besucherinnen und Besucher nicht mehr erreichbar.

Der neue Registrar konnte die alten DS-Records für .ch nicht entfernen und empfahl, die Nameserver zu einem Anbieter zu wechseln, der DNSSEC sauber beherrscht. So kam deSEC ins Spiel. Am 28. Mai 2026 antwortete Peter Thomassen vom deSEC-Team innert einer knappen halben Stunde, erklärte die Lage und leitete die Anfrage an seinen Kontakt bei der Schweizer Registry weiter. Gut drei Stunden später kam die Antwort: «DS sind entfernt.» Am gleichen Abend funktionierte weihnachtsmarkt-dielsdorf.ch wieder.

Seither laufen weihnachtsmarkt-dielsdorf.ch und wemadi.ch auf den Nameservern von deSEC und sind wieder durchgehend mit DNSSEC signiert. Die neuen DS-Records hat die .ch-Registry automatisch übernommen. deSEC hat dieses Verfahren mitgeprägt: Peter Thomassen und Nils Wisiol sind Autoren des Internetstandards RFC 9615 zum automatischen Einrichten von DNSSEC.

Nameserver sind das Adressbuch des Internets. Sie verraten, welcher Server hinter einer Adresse wie wemadi.ch steht, für die Website ebenso wie für E-Mail. Wer die Nameserver betreibt, entscheidet mit, ob eine Website erreichbar ist, ob Mails ankommen und ob die Antworten echt sind. Fällt der Dienst aus, wird er gesperrt oder ändert der Anbieter seine Bedingungen, steht alles still, egal wie gut die eigene Website gebaut ist.

Ein grosser Teil dieser Infrastruktur liegt heute bei wenigen Konzernen ausserhalb Europas, die ausländischem Recht unterstehen und mit Daten oder Zusatzdiensten Geld verdienen. Ein unabhängiger, gemeinnütziger Anbieter mit Sitz in der EU ist dem europäischen Datenschutz verpflichtet, hat kein Geschäftsinteresse an den Abfragen und legt seinen Quellcode offen. Für Vereine, KMU und Veranstalter heisst das: weniger Abhängigkeit, nachvollziehbare Technik und Ansprechpersonen, die ein Problem verstehen und lösen.

Dazu kommt DNSSEC. Die Signaturen stellen sicher, dass niemand unterwegs falsche Antworten unterschieben kann, etwa um Besucherinnen und Besucher auf eine gefälschte Seite umzuleiten. Bei deSEC ist DNSSEC kein Zusatzpaket, sondern immer eingeschaltet.

Matthias Nagele, im OK des Weihnachtsmarkts für Public Relations und Attraktionen zuständig, hat sich aus genau diesen Gründen auch mit seiner Beratungsfirma Nagele Advisory für deSEC als Nameserver-Anbieter entschieden. Heute laufen rund ein Dutzend Domains aus seinem Umfeld über deSEC, vom Weihnachtsmarkt über das koreanische Restaurant Misoga in Zürich bis zu den eigenen Firmenadressen.

Den Ausschlag gaben drei Punkte: Die Nameserver stehen unter europäischer Verantwortung und sind unabhängig von grossen Plattformen. DNSSEC ist von Anfang an eingebaut. Und die REST-Schnittstelle erlaubt es, DNS-Einträge sauber zu automatisieren und nachvollziehbar zu dokumentieren. Dass der Support im Ernstfall schnell und mit echtem Fachwissen antwortet, hat den Entscheid bestätigt: im Mai beim Weihnachtsmarkt und im November erneut bei einer neuen Domain.