Ein Routinethema der Internet-Infrastruktur hat Teile des deutschen Gesundheitsnetzes lahmgelegt. Nach einem Bericht von heise online haben Secunet- und RISE-Konnektoren im Zuge des DNSSEC-Schlüsseltauschs ihre Verbindung zur Telematikinfrastruktur (TI) verloren.
Warum eine DNS-Änderung eine Arztpraxis zum Schweigen bringt, erschließt sich eine Ebene tiefer. DNSSEC versieht DNS-Antworten mit kryptografischen Signaturen, damit ein Gerät eine echte von einer gefälschten Antwort unterscheiden kann. Um überhaupt validieren zu können, braucht ein Resolver einen Vertrauensanker: den öffentlichen Schlüssel des Key-Signing-Keys (KSK) der Root-Zone. Dieser Schlüssel wird regelmäßig ausgetauscht; der aktuelle Rollover des Root-KSK war für Oktober 2026 geplant.
Das Fehlerbild ist bekannt und unangenehm. Vertraut ein Resolver noch ausschließlich dem alten Schlüssel — oder hält er einen fest einprogrammierten Anker, den niemand aktualisiert hat —, dann scheitert jede signierte Abfrage an der Validierung, der Resolver antwortet mit SERVFAIL, und alles, was das Gerät über Namen erreicht, löst nicht mehr auf. VPN-Gateways, Update-Server und Anwendungs-Backends verschwinden gleichzeitig, obwohl kein Kabel und kein Zertifikat defekt ist. Der RFC-5011-Mechanismus existiert genau dafür, Resolver den neuen Root-Schlüssel automatisch übernehmen zu lassen — er hilft aber nur auf Geräten, die ihn umsetzen und vor dem Wechsel lange genug liefen.
Genau in diese Falle scheinen die deutschen Konnektoren geraten zu sein. Die TI verbindet Arztpraxen, Kliniken, Apotheken, Labore und weitere Akteure des Gesundheitswesens; Praxen erreichen sie über zertifizierte Hardware-Konnektoren. Kann ein Konnektor seine TI-Endpunkte nicht auflösen, werden die darüber laufenden Dienste — elektronisches Rezept, elektronische Arbeitsunfähigkeitsbescheinigung (eAU), elektronische Patientenakte — vom betroffenen Standort aus unerreichbar. Ein Detail der Internet-Infrastruktur wird so zum vollen Wartezimmer mit Terminen, die sich nicht elektronisch dokumentieren lassen.
Die unmittelbare Abhilfe ist technisch und im Grundsatz einfach: den neuen Vertrauensanker per Firmware- oder Software-Update ausliefern oder die Namensauflösung des Geräts über einen bereits aktualisierten Resolver leiten. Hersteller und Betreiber der betroffenen Konnektoren arbeiten an Abhilfen, Praxen wird empfohlen, ihre Geräte aktuell zu halten statt Updates aufzuschieben.
Der eigentliche Punkt ist architektonisch. DNSSEC macht das öffentliche DNS vertrauenswürdig — wer aber ein geschlossenes, hochverfügbares Netz darauf aufbaut, importiert die öffentliche Root-Zone als Abhängigkeit, und diese Root wechselt Schlüssel nach einem anderswo festgelegten Kalender. Geschlossene Ökosysteme wie die TI, die auf Namensauflösung angewiesen sind, um ihre eigenen verschlüsselten Tunnel aufzubauen, erben damit sowohl die Sicherheit als auch die Fragilität.
Die Details des Vorfalls sind noch in Entwicklung; der bisher berichtete Umfang konzentriert sich auf Secunet- und RISE-Konnektoren. Die Darstellung oben stützt sich auf den ersten Bericht und den technischen Hintergrund des Root-KSK-Rollovers.
