---
id: dnssec-rootzone-2010
title: 'DNSSEC: Die Root-Zone des DNS geht signiert in Betrieb'
date: '2010-07-15'
datePrecision: day
dateSources:
  - s1
  - s5
summary: >-
  Am 15. Juli 2010 löste eine produktiv signierte Root-Zone die bis dahin
  ausgelieferte Testfassung ab. Seither lässt sich eine DNS-Antwort bis zur
  Wurzel zurückverfolgen — sofern der Resolver die Signaturen auch prüft.
themeId: theme-signierte-namen
verification: verified
sources:
  - key: s1
    title: Root DNSSEC — Launch Status Updates
    publisher: IANA (Internet Assigned Numbers Authority)
    url: https://www.iana.org/archive/root-dnssec-launch/launch-status-updates
    accessedAt: '2026-09-22'
  - key: s2
    title: ICANN's First DNSSEC Key Ceremony for the Root Zone
    publisher: ICANN, 7. Juni 2010
    url: https://www.icann.org/en/announcements/details/icanns-first-dnssec-key-ceremony-for-the-root-zone-7-6-2010-en
    accessedAt: '2026-09-22'
  - key: s3
    title: The Signed Root Is Coming! (And What This Means For You)
    publisher: Internet Systems Consortium, 29. Januar 2010
    url: https://www.isc.org/blogs/the-signed-root-is-coming-and-what-this-means-for-you/
    accessedAt: '2026-09-22'
  - key: s4
    title: RIPE NCC Operated K-Root Server Distributing Root Zone Signed with DNSSEC
    publisher: RIPE NCC, 23. März 2010
    url: https://www.ripe.net/about-us/news/ripe-ncc-operated-k-root-server-distributing-root-zone-signed-with-dnssec/
    accessedAt: '2026-09-22'
  - key: s5
    title: DNSSEC in der DNS-Rootzone gestartet
    publisher: Monika Ermert, heise online, 16. Juli 2010
    url: https://www.heise.de/news/DNSSEC-in-der-DNS-Rootzone-gestartet-1039401.html
    accessedAt: '2026-09-22'
provenance:
  origin: recherche
  reviewedBy: research
  reviewedAt: '2026-09-22'
figure:
  type: meilensteine
  title: Vom Testbetrieb zur signierten Wurzel
  subtitle: Die Stufen des Umstiegs im Jahr 2010
  events:
    - at: '2010-01-27'
      label: L-Root beginnt mit der Testzone
      source: s1
    - at: '2010-05-05'
      label: alle dreizehn Rootserver umgestellt
      source: s1
    - at: '2010-06-16'
      label: erste Schlüsselzeremonie in Culpeper
      source: s2
    - at: '2010-07-15'
      label: produktiv signierte Root-Zone
      source: s1
disputed:
  - claim: Termin der produktiven Signierung der Root-Zone
    positions:
      - value: 1. Juli 2010 (angekündigt)
        source: s4
      - value: 15. Juli 2010, 20:50 UTC (vollzogen)
        source: s1
    resolution: >-
      Der 1. Juli war der im Vorlauf angekündigte Termin; der Übergang von der
      Testzone zur produktiven Zone fand zwei Wochen später statt.
seeAlso:
  - id: dns-1983
    note: >-
      Das Verzeichnis, das hier siebenundzwanzig Jahre später eine Unterschrift
      bekommt.
  - id: morris-wurm-1988
    note: >-
      Zwei Jahrzehnte zuvor zeigte ein Wurm, wie wenig Prüfung im Netz eingebaut
      war.
  - id: lets-encrypt-2015
    note: >-
      Dieselbe Bewegung an anderer Stelle: Kryptografie wird Voreinstellung
      statt Zubehör.
---

Am 15. Juli 2010 um 20:50 UTC übernahm die produktiv signierte Root-Zone des
Domain Name System den Betrieb; die erste Fassung trug die Seriennummer
2010071501, schädliche Auswirkungen wurden nicht gemeldet.[^s1] Am Tag darauf
berichtete heise online, alle dreizehn autoritativen Rootserver lieferten ihre
Antworten nun mit einem DNSSEC-Schlüssel aus.[^s5] Zugleich veröffentlichte
die IANA den Vertrauensanker der Root-Zone, gegen den ein Resolver die
Signaturkette prüfen kann.[^s1]

Mit DNSSEC kann ein Resolver prüfen, ob eine Antwort echt ist.[^s3] Das geschieht mit Signaturen entlang der Delegationskette, sodass ein Resolver einem durchgehend signierten und geprüften Pfad folgen kann.[^s3] Solange die Wurzel unsigniert blieb, fehlte dieser Kette der
Anfang; das RIPE NCC kündigte im März 2010 an, ICANN werde die Root-Zone mit
echten Schlüsseln signieren und den Vertrauensanker nach dem 1. Juli 2010
freigeben.[^s4] Der Anfang war damit gemacht, das Ende noch lange nicht:
Vorerst lagen nur sieben Schlüssel von Top-Level-Domains in der signierten
Wurzel — .bg, .br, .cat, .cz, .na, .tm und .uk.[^s5]

Der Umstieg lief in Stufen.[^s1][^s3] Von Januar bis Mai 2010 lieferten die Rootserver
eine absichtlich nicht prüfbare Zone aus, die Deliberately-Unvalidatable Root
Zone: signiert, aber mit Schlüsseln, gegen die sich nichts validieren
ließ.[^s3] Den Anfang machte L-Root am 27. Januar 2010, A-Root folgte am 10.
Februar, und bis zum 5. Mai waren alle dreizehn umgestellt.[^s1] Der Grund für diesen Umweg war die Antwortgröße: Signierte Antworten überschreiten meist die Grenze von 512 Byte, für die die Erweiterung EDNS0 entwickelt wurde.[^s3] Am 16. Juni 2010 hielt ICANN in einem Rechenzentrum in Culpeper,
Virginia, die erste Schlüsselzeremonie für die Root-Zone ab.[^s1][^s2]
Vorgesehen waren für jede Zeremonie neben ICANN-Mitarbeitern vierzehn Trusted
Community Representatives.[^s2]

Der Termin verschob sich dabei.[^s1][^s3][^s4] Das Internet Systems Consortium im Januar und
das RIPE NCC im März 2010 nannten übereinstimmend den 1. Juli 2010 als
Zeitpunkt, ab dem die echte signierte Wurzel gelten sollte;[^s3][^s4]
vollzogen wurde der Übergang zwei Wochen später.[^s1]

Ende der Datei: 5 Quellen.