Zusammenfassung

  • Seit dem 29. Juni 2026 beobachteten Betreiber der DNS-Wurzel ungefähr doppelt so viele Anfragen wie üblich: rund 3,2 Millionen pro Sekunde statt einer Basis von etwa 1,6 Millionen.
  • Ein Vertreter eines beteiligten autonomen Systems bestätigte, dass der Verkehr aus dessen Netzen stammte und auf jüngste Software-Updates rekursiver Resolver folgte. Der Bericht nennt dies unbeabsichtigt, stellt keine messbare Beeinträchtigung des Root-Dienstes fest und nennt weder Netz noch Anbieter, Version oder genauen Mechanismus.

Gegen 12 Uhr UTC am 29. Juni änderte sich die Last, die an der DNS-Wurzel ankam. Root Server Operators (RSO) bezifferten den systemweiten Durchschnitt auf etwa 3,2 Millionen Anfragen pro Sekunde, nach zuvor ungefähr 1,6 Millionen. Der Anstieg war bei allen Root-Server-Identitäten zu sehen und trat an mehreren Metropolstandorten auf, besonders an der US-Ostküste und in Europa. Zwischen den Identitäten gab es Unterschiede.

Es handelte sich nicht um eine Welle fehlerhafter Pakete. Die Betreiber fanden wohlgeformte, namensminimierte Abfragen von Zehntausenden Quell-IP-Adressen, überwiegend zu .com, .net, .org, .info und .uk. Die erste Untersuchung deutete auf mehrere miteinander verbundene autonome Systeme. Nach mehreren Kontaktversuchen bestätigte ein Vertreter eines AS am 3. Juli, dass die Abfragen aus den eigenen Netzen stammten und nicht mit gefälschten Quelladressen eintrafen. Jüngste Updates rekursiver Resolver-Software hätten den Anstieg unbeabsichtigt ausgelöst.

Der Verlauf spricht gegen einen vorschnellen Abschluss. Am 3. Juli sank der Verkehr für ungefähr zwei Stunden und stieg danach wieder auf das erhöhte Niveau. Nach weiteren Gesprächen am 6. Juli normalisierte er sich ab dem 7. Juli. Der öffentliche Bericht sagt nicht, ob der Betreiber eine Ausrollung stoppte, eine Einstellung änderte, eine Version zurücknahm oder anders korrigierte. Er verknüpft das Verhalten mit Software-Updates, legt aber nicht offen, was sich daran geändert hatte.

Eine Abfrage an die Wurzel ist keine einzelne Nutzersuche. DNS-Resolver halten Antworten im Cache; laut FAQ der Root-Betreiber muss bei gewöhnlichen Abfragen nur ein kleiner Teil neu an die Wurzel gerichtet werden. Eine Änderung in einem großen rekursiven Netz kann deshalb die Last an der Wurzel verändern, ohne dass die Nachfrage der Endnutzer im gleichen Maß steigt. Der Bericht sagt weder, ob Nutzer etwas bemerkten, noch beziffert er die Kosten in den Quellnetzen.

Seine Aussage über den Dienst ist enger gefasst: Für keinen Root-Operator wurde eine messbare Auswirkung auf Verfügbarkeit oder Leistung festgestellt. Die Betreiber hielten den Verkehr weder für einen absichtlichen Angriff noch für eine Gefahr für ihren Betrieb und griffen nicht ein. Das belegt Kapazität bei diesem beobachteten Ereignis, nicht die Harmlosigkeit jeder denkbaren Lastspitze. Der Bericht verweist auf RSSAC001: Jeder Betreiber soll sich angemessen auf erhebliche Verkehrsschwankungen einstellen.

Die Grenzen der Belege gehören zur Geschichte. „Alle Root-Server-Identitäten“ bezeichnet den beobachteten Umfang; es beweist nicht, dass jede Anycast-Instanz dieselbe Last trug. Die Erklärung durch Resolver-Updates bestätigte ein AS-Vertreter, doch der Bericht nennt weder AS noch Anbieter, Version, geänderte Konfiguration oder den genauen Mechanismus. Er beschreibt namensminimierte Abfragen, behauptet aber nicht, diese Technik habe den Anstieg verursacht. RFC 9156 erläutert, wie Cache und Namensstruktur die Abfragezahl verändern können. Das ist Kontext, keine Erklärung dieses Vorfalls.

Die richtige Einordnung lautet weder „Angriff“ noch „es ist nichts passiert“. Ein verteiltes Update veränderte das Muster der Anfragen an eine vorgelagerte Infrastruktur. Die Root-Betreiber erkannten es, und ein Gespräch mit dem Quellnetz ging der Normalisierung voraus. Für Führungskräfte zählt, ob sich ein ähnliches Signal beim nächsten Mal rechtzeitig einer Ausrollung zuordnen lässt – und damit von bösartigem Verkehr oder einer Kapazitätsgrenze unterscheiden.

Quellen