Strukturelle Modernisierung der digitalen Vertrauensinfrastruktur DNS und PKI im Umbruch – warum jetzt gehandelt werden muss

Das Domain Name System (DNS) und die Public Key Infrastructure (PKI) arbeiten als verteilter Verzeichnisdienst und kryptografisches Verfahren bei jeder webbasierten Anfrage präzise zusammen. Beide Verfahren sind jedoch stark in die Jahre gekommen und müssen dringend modernisiert werden. Jetzt!

Jedes Mal, wenn jemand eine App öffnet, eine Bestellung absendet oder eine URL in den Browser tippt, laufen im Hintergrund zwei Vorgänge ab, die kaum jemand wahrnimmt und die trotzdem alles entscheiden. Eine Namensauflösung übersetzt einen Domainnamen in eine IP-Adresse. Ein digitales Zertifikat bestätigt, dass die Gegenstelle die ist, für die sie sich ausgibt. DNS und Public Key Infrastructure tragen das, was im Marketing gerne digitales Vertrauen genannt wird, technisch aber ein präzises Zusammenspiel kryptografischer Verfahren und verteilter Verzeichnisdienste ist. Beide Schichten stammen aus einer Zeit, in der ihre heutige Belastung nicht abzusehen war. Beide stehen 2026 vor einer strukturellen Modernisierung, die sich nicht weiter verschieben lässt.

Der Anlass dafür ist nicht ein einzelnes Ereignis. Es ist eine Gleichzeitigkeit mehrerer Verschiebungen. Die Angriffsfläche ist gewachsen, die Erneuerungszyklen werden kürzer, und mit dem Übergang zu quantensicherer Kryptografie kommt eine Architekturfrage hinzu, die alle anderen überlagert. Wer diese Linien zusammen liest, erkennt, dass die Infrastruktur des digitalen Vertrauens gerade ihren stillsten und zugleich folgenreichsten Umbau seit Jahren erlebt.

Wenn das Fundament zur Angriffsfläche wird

Sicherheit war beim Entwurf des DNS keine zentrale Anforderung. Aus einem einfachen Verzeichnisdienst ist über vier Jahrzehnte eine kritische Infrastruktur geworden, die heute mehrere hundert Milliarden Anfragen pro Tag verarbeitet und ohne die kein modernes Geschäftsmodell mehr funktioniert. Genau diese Bedeutung hat sie in den vergangenen Jahren ins Visier von Angreifern gerückt. Die meisten modernen Ausfälle beginnen nicht in der Anwendung, sondern in der Namensauflösung oder im Traffic Steering. Wer DNS lahmlegt, legt alles lahm, was darauf aufsetzt, und das bei einem oft erheblich geringeren Aufwand als bei einer direkten Anwendungs- oder Infrastrukturattacke.

Die Auswertung der Angriffsmuster aus dem ersten Halbjahr 2025 zeigt, wie sich diese Logik in der Realität niederschlägt. Etwa 85 Prozent der beobachteten DDoS-Ereignisse dauerten weniger als zwanzig Minuten, ein großer Teil davon war erkennbar als Sondierung angelegt. Volumetrische Großangriffe sind seltener geworden, dafür haben sich kleine, gezielte Floods und Enumeration-Aktivitäten gehäuft, mit denen Angreifer Schwachstellen kartieren, bevor sie eine größere Kampagne ansetzen. Parallel dazu nimmt DNS-gerichtetes DDoS gegenüber dem Vorjahr zu. Damit verschiebt sich die Resilienzfrage. Sie zielt heute auf die Fähigkeit der Infrastruktur, tausenden kleiner Ereignisse pro Jahr standzuhalten, ohne in der Verfügbarkeit nachzugeben.

Die Antwort darauf ist architektonisch. DNSSEC schützt die Integrität der Antworten und macht Cache-Poisoning unattraktiv. Anycast-Netze mit echter Mehrebenen-Redundanz verteilen die Last so, dass kein einzelner Standort zum Ausfallrisiko wird. Automatisches Failover und Policy-basiertes Traffic Steering verlagern Verkehr im Sekundenbereich auf gesunde Knoten. Multi-Signer-DNSSEC, ein vergleichsweise junges Verfahren, erlaubt es Organisationen, mehrere unabhängige DNS-Anbieter parallel zu nutzen, ohne die DNSSEC-Vertrauenskette zu unterbrechen. Was diese Bausteine eint, ist eine Abkehr von der Vorstellung, DNS sei eine statische Konfiguration, die einmal gesetzt wird und dann läuft. DNS wird zu programmierbarer, beobachtbarer Infrastruktur, deren Zustand kontinuierlich gemessen und aktiv gesteuert wird.

Zertifikate werden zum Wegwerfartikel

Die zweite Verschiebung betrifft die kryptografische Identität. Im April 2025 hat das CA/Browser Forum mit Ballot SC081v3 einen Fahrplan beschlossen, der die Lebensdauer öffentlicher TLS-Zertifikate in mehreren Stufen drastisch verkürzt. Ab dem 15. März 2026 dürfen neue Zertifikate maximal 200 Tage gültig sein. Im März 2027 sinkt die Obergrenze auf 100 Tage, im März 2029 auf 47 Tage. Die Wiederverwendbarkeit von Domain-Validierungen wird im selben Schritt auf zehn Tage reduziert. Für Code-Signing-Zertifikate gilt seit dem 1. März 2026 eine Obergrenze von 460 Tagen, was den bisherigen Drei-Jahres-Zyklus ebenfalls beendet.

Die Begründung des Forums ist konsistent. Kürzere Zertifikatgültigkeiten verkleinern das Zeitfenster, in dem ein kompromittierter Schlüssel missbraucht werden kann. Sie zwingen Organisationen zur Krypto-Agilität, also zu Strukturen, die einen Algorithmuswechsel oder ein Rollover ohne Eingriff in die Anwendungslogik verkraften. Und sie machen Automatisierung zur strikten Voraussetzung. Bei Laufzeiten von 47 Tagen und Domain-Validierungen, die alle zehn Tage erneuert werden müssen, ist eine manuelle Verwaltung weder operativ noch wirtschaftlich darstellbar. Wer 2029 noch Tickets für jede Zertifikatsverlängerung schreibt, ignoriert das eigentliche Problem.

Die zweite Verschiebung wirkt langsamer und tiefer

Während die verkürzten Laufzeiten ein Problem der nächsten Quartale sind, arbeitet im Hintergrund eine zweite Modernisierung mit längerer Reichweite. Das National Institute of Standards and Technology hat im August 2024 mit FIPS 203, 204 und 205 die ersten finalisierten Post-Quantum-Standards veröffentlicht und damit den jahrelangen Wettbewerb um quantensichere Algorithmen formal abgeschlossen. ML-KEM ersetzt den Schlüsselaustausch, ML-DSA und SLH-DSA die digitalen Signaturen. Die Empfehlung von NIST sieht 2030 als weiches und 2035 als hartes Datum für die Ablösung der heute gängigen RSA- und ECC-Verfahren vor.

Das klingt in weiter Ferne, ist es aber nicht. Daten, die heute über öffentliche Netze laufen und auf der Empfängerseite langfristig gespeichert werden, sind durch das Harvest-now-Decrypt-later-Muster bereits heute akut gefährdet. Angreifer sammeln verschlüsselten Verkehr in der Annahme, ihn zu einem späteren Zeitpunkt mit einem leistungsfähigen Quantencomputer zu entschlüsseln. Wer also Daten zu schützen hat, deren Vertraulichkeit über mehrere Jahre hinweg Bestand haben muss, hat sein PQC-Migrationsfenster effektiv schon offen. Hinzu kommt eine zweite Bewegung. Rund 40 Prozent der meistbesuchten Websites unterstützen laut DigiCerts CEO inzwischen hybriden Post-Quantum-Schlüsselaustausch, was die Migration vom theoretischen Ziel zur messbaren Bewegungsrichtung macht.

Entscheidend ist hier die Architekturfrage hinter Krypto-Agilität, weniger der einzelne Algorithmus. Wer in den 1990er- und 2000er-Jahren RSA oder ECDH hart in Protokollimplementierungen verdrahtet hat, zahlt heute den Preis dafür. Systeme, die jetzt neu entworfen oder modernisiert werden, müssen kryptografische Operationen so abstrahieren, dass Algorithmen austauschbar bleiben, ohne in die umgebende Anwendung einzugreifen. Die Inventarisierung des kryptografischen Bestandes, die DigiCert und andere als ersten Schritt empfehlen, ist deshalb die Voraussetzung dafür, überhaupt belastbar zu wissen, wo eine Migration ansetzen muss.

Wo DNS und PKI ineinandergreifen

Die beiden Modernisierungslinien laufen technisch unabhängig voneinander, in der operativen Realität aber treffen sie sich. Eine TLS-Verbindung beginnt mit einer DNS-Auflösung und endet mit der Validierung eines Zertifikats. Bei einem 47-Tage-Zyklus muss die Domain-Validierung, die der Zertifikatsausstellung vorausgeht, in dichter Folge wiederholt werden, was wiederum eine zuverlässige, automatisierbare DNS-Steuerung voraussetzt. Manuelle DNS-Änderungen mit jedem PKI-Update gehörten in einer Welt jährlicher Erneuerungszyklen zu den hinnehmbaren Reibungen. Im Kontext von zehntägigen Validierungsfenstern werden sie zur Fehlerquelle.

Das ist der Grund, warum die Konvergenz von DNS- und PKI-Management in den vergangenen Monaten an Tempo gewonnen hat. Plattformen, die beide Schichten zusammenführen, lassen sich nicht mehr nur als Effizienzgewinn rechnen. Sie schließen eine strukturelle Lücke, die bei steigender Erneuerungsfrequenz und gleichzeitig wachsender Angriffsfläche zu einer Sollbruchstelle wird. Die Resilienzfrage und die Vertrauensfrage sind deckungsgleich, sobald die Zyklen kurz genug sind.

Modernisierung ist keine Pflicht, sondern eine Architekturentscheidung

Der nüchterne Befund für 2026 lautet, dass die digitale Vertrauensinfrastruktur an mehreren Stellen gleichzeitig in Bewegung ist und dass diese Bewegung nicht durch organisatorische Trägheit verzögert werden kann. Das CA/Browser Forum hat seine Daten gesetzt, NIST hat seine Standards veröffentlicht, und die Bedrohungslage gegen DNS bestätigt sich Quartal für Quartal. Offen bleibt lediglich, wie geordnet eine Organisation diese Übergänge gestaltet.

Die unterschiedliche Eingriffstiefe der drei Verschiebungen lässt sich gut auseinanderhalten. Verkürzte Zertifikatslaufzeiten verlangen vor allem Automatisierung, also den konsequenten Einsatz von ACME, ARI und Lifecycle-Management-Werkzeugen, die heute in den meisten Plattformen ohne Aufpreis bereitstehen. DNS-Resilienz verlangt eine bewusste Entscheidung gegen Single-Provider-Abhängigkeiten und für Architekturen, in denen Redundanz und automatisches Failover Standard sind. Ohne kontinuierliche Beobachtung des eigenen Zustands bleibt diese Redundanz blind. Die PQC-Migration schließlich verlangt Zeit, Inventur und ein architektonisches Bekenntnis zur Krypto-Agilität, das deutlich vor dem ersten produktiven Algorithmuswechsel getroffen sein muss.

Die drei Verschiebungen stehen technisch auf eigenen Beinen, treffen organisatorisch aber dieselben Teams und falle in dieselbe Zeit. Wer mit verkürzten Zertifikatslaufzeiten anfängt, stößt zwangsläufig auf die Frage, wie zuverlässig die eigene DNS-Steuerung läuft. Wer DNS modernisiert, kommt um die Frage nach kryptografischer Agilität nicht herum, sobald die ersten PQC-Pilotzertifikate ausgerollt werden. Was diese Aufgaben verbindet, ist die Annahme, dass sich digitale Vertrauensinfrastruktur heute nicht mehr in jährlichen Zyklen denken lässt. Erneuerung wird zum Normalbetrieb. Werkzeuge und Architekturen, die das nicht einkalkulieren, werden in den kommenden Jahren teuer.

Über den Autor

Robert Frank ist Area Vice President EMEA bei DigiCert.

(ID:50843881)