CAA-Records: DNS-Härtung und Monitoring 2026 im Griff

Was ein CAA-Record ist und warum er die Zertifikatsausstellung kontrolliert

Ein CAA-Record ist ein DNS-Resource-Record, der für eine Domain festlegt, welche Zertifizierungsstellen TLS-Zertifikate ausstellen dürfen. Bevor eine CA ein Zertifikat ausstellt, fragt sie den CAA-Record der Domain ab. Findet sie dort keine Berechtigung für sich selbst, verweigert sie die Ausstellung. Der Eintrag besteht aus drei Bestandteilen: einem Flag, einem Tag (issue, issuewild oder iodef) und einem Wert, etwa dem Domainnamen der erlaubten CA. So lässt sich die Fehl- oder Falschausstellung von Zertifikaten an der Wurzel begrenzen.

Die Bedeutung von CAA wächst, weil die Web-Infrastruktur sich verändert hat: Über 86 % aller Websites werden inzwischen über HTTPS geladen (Stand Januar 2025), und Zertifikate werden dank ACME-Automatisierung in Minuten ausgestellt. Diese Geschwindigkeit ist praktisch — sie macht aber auch die Fehlausstellung gefährlicher, weil ein Angreifer mit kurzzeitiger Kontrolle über die Domain-Validierung schnell ein gültiges Zertifikat erlangen kann. Ein CAA-Record reduziert die Zahl der CAs, die überhaupt für einen solchen Angriff in Frage kommen, und verkleinert damit die Angriffsfläche erheblich.

Wichtig ist die realistische Einordnung: Ein CAA-Record allein verhindert keine Fehlausstellung mit Sicherheit. Ein Angreifer, der die DNS-Verwaltung übernimmt, kann den CAA-Record selbst ändern. CAA wirkt deshalb am besten in Kombination mit DNSSEC, das die Integrität der DNS-Antworten absichert, und mit kontinuierlichem Monitoring, das jede Änderung am Record meldet. Erst dieses Zusammenspiel macht aus einem einzelnen Eintrag eine belastbare Schutzschicht.

CAA-Tags und Syntax: issue, issuewild und iodef

Ein CAA-Record folgt dem Schema <flags> <tag> <value>. Die drei verfügbaren Tags decken unterschiedliche Aufgaben ab. Die richtige Kombination entscheidet darüber, wie eng Sie die Ausstellung einschränken — und ob Sie über Verstöße informiert werden.

ihre-domain.de.   IN  CAA  0 issue "letsencrypt.org"
ihre-domain.de.   IN  CAA  0 issuewild ";"
ihre-domain.de.   IN  CAA  0 iodef "mailto:security@ihre-domain.de"
; Optional, mit DNSSEC: an ein konkretes CA-Konto binden
ihre-domain.de.   IN  CAA  0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/12345"

Der CAA-Standard wurde 2019 durch RFC 8659 und RFC 8657 modernisiert (IETF). RFC 8657 ergänzt die Parameter accounturi und validationmethods, mit denen sich die Ausstellung nicht nur auf eine CA, sondern auf ein konkretes Konto und eine bestimmte Validierungsmethode festnageln lässt. Let's Encrypt hat die Unterstützung für diese ACME-CAA-Bindung produktiv aktiviert (Let's Encrypt), und auch weitere CAs implementieren die Erweiterung — sie wird laut Branchenberichten zunehmend zum Standard.

Warum CAA so selten genutzt wird — und was das kostet

Die Adoptionszahlen sind ernüchternd: Nur 15,4 % der 150.000 populärsten TLS-fähigen Websites hatten Mitte 2024 einen CAA-Record (Qualys SSL Labs), über alle gemessenen Sites hinweg liegt der Wert bei rund 16,6 % (SANS ISC). Das steht in scharfem Kontrast zu den 86 % HTTPS-Abdeckung (Stand Januar 2025): Transport-Verschlüsselung ist Standard, die Kontrolle über die Zertifikatsausstellung dagegen die Ausnahme. Der Grund ist meist nicht technischer, sondern organisatorischer Natur — CAA gilt als optional und gerät in Vergessenheit.

Die wirtschaftlichen Folgen mangelnder DNS-Härtung sind dagegen messbar. Laut IDC waren 82 % der Organisationen Opfer von DNS-Angriffen, im Schnitt neun Angriffe pro Jahr — ein Anstieg von 34 % gegenüber dem Vorjahr (IDC). Die durchschnittlichen Kosten eines DNS-Angriffs liegen bei rund 1,1 Millionen US-Dollar (IDC), wobei 73 % der Angriffe Applikations-Ausfälle und 29 % Datendiebstahl verursachten. Ein gehärteter DNS-Stack ist also keine theoretische Übung, sondern direkte Risikominderung.

DNSSEC: Die Integritätsschicht unter dem CAA-Record

CAA und DNSSEC gehören zusammen. DNSSEC (DNS Security Extensions) signiert DNS-Antworten kryptografisch und stellt damit sicher, dass ein Resolver eine manipulierte oder gefälschte Antwort erkennt. Für CAA ist das entscheidend: Eine CA, die den CAA-Record über eine ungesicherte DNS-Antwort abfragt, könnte einer gefälschten Antwort aufsitzen. Mit DNSSEC wird die Integrität der CAA-Information abgesichert — der RFC 8657 empfiehlt deshalb ausdrücklich, bei DNSSEC-geschützten Domains die accounturi-Bindung zu nutzen.

Die Verbreitung von DNSSEC bleibt allerdings zwiespältig. Auf Resolver-Ebene erreicht die Validierungsfähigkeit global rund 36 %, die tatsächliche Secure-Delegation-Rate signierter Zonen liegt jedoch nur bei etwa 7 % (APNIC 2025). Die End-to-End-Validierung von DNS-Anfragen ist von 0,323 % im Q1 2025 auf 0,469 % im Q1 2026 gestiegen — ein relatives Plus von 45 % im Jahresvergleich (Cloudflare Radar), aber weiterhin auf niedrigem Niveau. In Deutschland setzen laut BSI nur 20 % der Unternehmen DNSSEC korrekt ein (BSI 2025).

Die vier Härtungsschichten: CAA, DNSSEC, SPF und DMARC

DNS-Härtung ist kein einzelner Eintrag, sondern ein Schichtmodell. CAA und DNSSEC sichern die Zertifikats- und Antwort-Integrität, SPF und DMARC sichern die E-Mail-Identität Ihrer Domain. Erst zusammen schließen sie die häufigsten Angriffsvektoren — von der Fehlausstellung über Cache-Poisoning bis zum Domain-Spoofing in E-Mails.

• CAA: Schränkt ein, welche CAs Zertifikate ausstellen dürfen. Pflichtprüfung durch alle CAs seit September 2017 (CA/Browser Forum). Reduziert die Angriffsfläche für Fehlausstellung.
• DNSSEC: Signiert DNS-Antworten und verhindert Manipulation und Cache-Poisoning. Globale Secure-Delegation-Rate rund 7 % (APNIC 2025) — hier liegt das größte ungenutzte Potenzial.
• SPF: Legt fest, welche Server für Ihre Domain E-Mails versenden dürfen. 56,5 % von rund 12,8 Mio. untersuchten Domains veröffentlichen einen SPF-Record, bei den Top-1-Mio. sind es 60,2 % (Czybik et al., IMC 2023).
• DMARC: Setzt durch, wie Empfänger mit E-Mails umgehen, die SPF/DKIM nicht bestehen. Bei Top-Domains ist die Adoption von 27,2 % auf 47,7 % zwischen 2023 und 2025 gestiegen (EasyDMARC) — die Durchsetzung bleibt aber die Ausnahme.

Bei SPF lauert ein verbreiteter Stolperstein: In einer Untersuchung von rund 12,8 Mio. Domains überschritten 49.421 SPF-Records das in RFC 7208 definierte Limit von zehn DNS-Lookups und riskieren bei jedem Versand einen PermError (Czybik et al., IMC 2023). Wer SPF einsetzt, sollte deshalb nicht nur die Existenz, sondern auch die Gültigkeit des Records überwachen. Wie Sie aus den Berichtsdaten konkrete Maßnahmen ableiten, zeigt der Beitrag zur Auswertung von DMARC-Reports.

Account-Binding mit RFC 8657: Die nächste Härtungsstufe

Ein einfacher issue-Eintrag erlaubt einer CA grundsätzlich die Ausstellung — unabhängig davon, welches Konto den Antrag stellt. RFC 8657 schließt diese Lücke mit zwei Parametern. Der Parameter accounturi bindet die Ausstellung an ein konkretes ACME-Konto: Selbst wenn ein Angreifer dieselbe CA verwendet, scheitert er, weil er nicht über das autorisierte Konto verfügt. Der Parameter validationmethods schränkt zusätzlich ein, welche Domain-Validierungsverfahren akzeptiert werden — etwa ausschließlich dns-01, das auf DNSSEC-gesicherten Informationen beruht.

Diese Bindung ist besonders relevant für Domains mit hohem Schutzbedarf. Da Let's Encrypt die ACME-CAA-Bindung produktiv unterstützt (Let's Encrypt) und der RFC 8657 die Nutzung von accounturi für DNSSEC-geschützte Domains ausdrücklich empfiehlt, lässt sich die Zertifikatsausstellung auf genau ein Konto und eine Methode festnageln. Wichtig ist, dass solche fein granularen Records nach jeder Änderung korrekt bleiben — eine versehentlich entfernte accounturi-Bindung schwächt den Schutz unbemerkt.

CAA- und DNSSEC-Drift erkennen: Warum Monitoring unverzichtbar ist

DNS-Einträge sind kein Set-and-Forget. Sie ändern sich bei Provider-Wechseln, CA-Migrationen, automatisierten Deployments oder durch fehlerhafte Konfigurationen — und manchmal durch Angriffe. „Drift" bezeichnet die unbeabsichtigte Abweichung eines DNS-Eintrags vom erwarteten Sollzustand. Ohne Überwachung fällt eine entfernte CAA-Berechtigung, ein deaktiviertes DNSSEC oder eine geschwächte DMARC-Policy erst auf, wenn ein Zertifikat fehlschlägt oder ein Spoofing-Angriff durchläuft.

Das Risiko ist real: Die Zahl der DNS-Angriffe pro Organisation ist im Vorjahresvergleich um 34 % gestiegen (IDC Global DNS Threat Report), und Europol beobachtet einen anhaltenden Anstieg von Domain-Missbrauch und Datendiebstahl (Europol IOCTA 2025). Eine besonders unterschätzte Variante sind verwaiste Einträge: SentinelOne identifizierte über 1.250 Subdomain-Übernahme-Risiken allein durch deprovisionierte Cloud-Ressourcen und übernahm in einer Untersuchung rund 150 verlassene S3-Buckets, auf die innerhalb von vier Monaten über 8 Millionen Anfragen liefen (SentinelOne 2025). Wie solche Übernahmen entstehen, beschreibt der Beitrag zu Dangling-CNAME-Records und Subdomain-Takeover im Detail.

Das XICTRAQ DNS- und Domain-Monitoring prüft Ihre CAA-Records, den DNSSEC-Status (DS, DNSKEY, AD-Bit) sowie Ihre SPF- und DMARC-Einträge regelmäßig. Weicht ein Eintrag vom erwarteten Zustand ab — verschwindet ein CAA-Record, fällt DNSSEC aus oder ändert sich eine Policy — erhalten Sie eine Benachrichtigung per E-Mail, Slack, Discord oder Telegram, bevor daraus ein Sicherheitsvorfall wird.

CAA-Records greifen dabei in eine durchgängige Überwachungskette ein: Sie steuern, wer ausstellen darf, während Zertifikats-, Domain- und Hijacking-Überwachung die übrigen Risiken der DNS- und Zertifikatsschicht abdecken.

DNS-Härtung umsetzen, prüfen und dauerhaft absichern

Die folgende Checkliste fasst die wichtigsten Schritte zusammen — von den CAA-Tags über DNSSEC bis zur E-Mail-Authentifizierung. Sie eignet sich als Ausgangspunkt für ein Audit Ihrer DNS-Schicht.

• CAA-Record setzen — mit issue nur die tatsächlich genutzten CAs erlauben; jede ungenannte der hunderten CAs ist sonst zugelassen
• issuewild ";" setzen, wenn keine Wildcard-Zertifikate benötigt werden — verhindert ungewollte Wildcard-Ausstellung
• iodef-Kontakt hinterlegen — so erhalten Sie eine Meldung, wenn eine CA eine Ausstellung wegen CAA verweigert
• accounturi und validationmethods ergänzen (RFC 8657) — bindet die Ausstellung an ein konkretes Konto und eine Methode
• DNSSEC aktivieren — signiert DNS-Antworten; nur rund 7 % der Zonen sind sicher delegiert (APNIC 2025), hier liegt großes Potenzial
• SPF mit -all abschließen und das 10-Lookup-Limit beachten — in einer Untersuchung überschritten 49.421 SPF-Records das Limit (Czybik et al., IMC 2023)
• DMARC auf p=quarantine/p=reject anheben — nur 2,5 % der Domains setzen p=reject durch (DMARC Report 2025)
• Verwaiste DNS-Einträge entfernen — Dangling-Records ermöglichen Subdomain-Übernahmen (SentinelOne 2025)
• Alles kontinuierlich überwachen — Records ändern sich; automatisiertes Monitoring erkennt Drift sofort

DNS-Härtung wird zunehmend zum Compliance-Thema. Das BSI empfiehlt in seinen Technischen Richtlinien zur sicheren E-Mail-Kommunikation (BSI TR-03108 und BSI TR-03182) sowohl DNSSEC als auch E-Mail-Authentifizierung und hat 2025 gemeinsam mit eco und Bitkom das „Jahr der E-Mail-Sicherheit" ausgerufen (BSI 2025). Bei der Bestandsaufnahme ab Februar 2025 stellte das BSI fest, dass nur 20 % der Unternehmen DNSSEC korrekt einsetzen — die Lücke zwischen Empfehlung und Praxis ist also erheblich.

Auch der wirtschaftliche Hintergrund spricht für konsequente Härtung: Das FBI-IC3 verzeichnete 2025 erstmals über 20,877 Milliarden US-Dollar an gemeldeten Schäden durch Cyberkriminalität, allein 3,05 Milliarden entfielen auf Business E-Mail Compromise (FBI IC3 2025) — ein Angriffstyp, dem konsequente SPF- und DMARC-Durchsetzung entgegenwirkt. In Kombination mit einer soliden DSGVO-Compliance bildet DNS-Härtung die technische Grundlage für nachweisbare Schutzmaßnahmen.

Ein CAA-Record ist schnell gesetzt — die eigentliche Herausforderung ist, ihn zusammen mit DNSSEC, SPF und DMARC über die Zeit konsistent zu halten. Nach einem Provider-Wechsel, einer CA-Migration oder einem unbedachten Deployment kann eine zuvor saubere Konfiguration plötzlich Lücken aufweisen, ohne dass jemand es bemerkt. Genau diese stille Drift ist das größte Risiko.

Automatisiertes Monitoring schließt diese Lücke. Das XICTRAQ DNS- und Domain-Monitoring prüft CAA, DNSSEC, SPF und DMARC regelmäßig und meldet jede unerwartete Änderung. In Kombination mit SSL-Zertifikats-Monitoring und der Überwachung des Domain-Ablaufs entsteht eine lückenlose Kontrolle über die gesamte DNS- und Zertifikatsschicht Ihrer Online-Präsenz.

Häufig gestellte Fragen zu CAA-Records und DNS-Härtung