Deutsches Zwischennetz mit Schluckauf

Den gestrigen Mittwoch könnte man sich schon fast rot im Kalender anstreichen. Es gibt sie also doch — Firmen, die das Internet, zumindest große Teile davon, »kaputt« machen können. So ähnlich sah es jeden­falls für viele Nutzer beim Zugriff auf Domains mit der Endung .de aus. Um aber zu verstehen, was genau an besagtem 12. Mai 2010 schief gelaufen ist, hier ein paar Hintergrundinformationen und meine Sicht der Dinge.

Das Internet ist ein wahn­sinnig großer Haufen unter­ein­ander vernetzter Computer, die sich munter mitein­ander unter­halten. Da Computer aber wenig Wert auf wohl­klin­gende, gut zu merkende Namen legen, reichen ihnen schnöde Zahlenfolgen, um sich zu iden­ti­fi­zieren und »anzu­sprechen«. Für die meisten Menschen sind nackte Zahlen aber meist schlecht zu merken, da man sie eher selten mit passenden Assoziationen verknüpfen kann. Kölner Duftwässerchen sind hier die Ausnahme und Betreiber von Telefonauskünften geben regel­mässig viel Geld aus, damit man sich ihre Nummer einprägt. Wie war das noch gleich mit den elf Milliarden Millionen Griechen die 88 Milliarden Euro erhalten und Null zurück­zahlen? Aber Spass beiseite — wer sich eine Telefonnummer nicht merken kann wirft einen Blick ins Telefonbuch.

Und genau so ein Nummernverzeichnis gibt es auch im Internet. Da hier die so genannten Domainnamen in für Computer verständ­li­chere Zahlenfolgen aufge­schlüsselt werden trägt dieser Dienst den Namen »Domain Name System« — oder kurz: DNS. Dieses System ist ein hier­ar­chisch aufge­bautes Netzwerk aus Verzeichnisservern, die jeder für sich einen Teil der Domainnamen bzw. Domainzonen verwaltet. Ganz oben in der Hierarchie stehen 13 Root Nameserver, die zum größten Teil in den USA betrieben werden. Diese Haupt-Nameserver wiederum kennen die für die einzelnen Topleveldomains zustän­digen Systeme. Topleveldomains sind zum Beispiel gene­rische Endungen wie .com, .net oder .org. Außerdem den Topleveldomains zugehörig sind die Länderdomains wie .us, .fr oder .de für Deutschland.

Jeder dieser Topleveldomains wird von einer Registrierungsstelle verwaltet, die die tech­nische Infrastruktur stellt, um DNS-Anfragen zu beant­worten. Die für die deutschen .de-Domains zuständige Organisation heißt DeNIC mit Sitz in Berlin. Und genau diese Firma DeNIC hatte gestern ein Problem beim Beantworten von Anfragen — mit der Folge, dass Namensauflösungen für .de-Domains mit einem »Domain existiert nicht«-Fehler beant­wortet wurden. Also eine Art »kein Anschluss unter dieser Nummer« beim Versuch, eine Webseite mit Domainendung .de aufzurufen.

Das eigentlich proble­ma­tische an der ganzen Situation war aber nicht, dass die DeNIC-Server fehlerhaft arbei­teten, sondern dass dieser Fehler anfangs scheinbar nur spora­disch und nicht bei jeder Domain auftrat. Viele Nutzer hatten anfangs wahr­scheinlich gar keine Probleme beim Aufruf von Webseiten oder dem Versenden von E-Mails. Erst mit andauern des Problems wurde die Erreichbarkeit von vielen Webseiten immer schlechter. Grund für dieses Verhalten liegt in den so genannten DNS-Caches — Zwischenspeichern für Domain-Anfragen, die von den Providern für ihre Kunden zur Verfügung gestellt werden. Jeder Domaineintrag hat ein Verfallsdatum, das heißt also, die hinter einem Domainnamen steckenden Adressinformationen haben nur eine begrenzte Lebensdauer, die meist im Bereich von Stunden oder wenigen Tagen liegt. Ein DNS-Zwischenspeicher merkt sich erfolg­reiche Adressauflösungen für genau diese Zeitspanne bevor wieder eine erneute Anfrage an die Registrierungsstelle der Domain weiter­ge­leitet wird. Sehr viele häufig genutzte Adressen aus dem .de-Bereich, wie zum Beispiel ebay​.de oder google​.de waren in den Zwischenspeichern der Provider einge­lagert und es kam daher nicht dazu, vom DeNIC die falsche Antwort zu erhalten. Allerdings leerten sich die Caches mit der Zeit, erneute Anfragen wurden mit dem vorher erwähnten »Domain existiert nicht« quittiert und die Webseite war von da an nicht mehr erreichbar. So wuchs das Problem und die Anzahl der Betroffenen nach und nach immer weiter.

Leider hatte dies zur Folge, dass viele Nutzer die eigent­liche Ursache nicht erkannten und bei Nichterreichbarkeit der eigenen Webseite erst den Provider oder den Zugangsanbieter verant­wortlich machten. Mein Telefon jeden­falls stand am gestrigen Nachmittag nicht mehr still und den Sachverhalt zu erklären gestaltete sich mitunter manchmal schwierig.

Auch wimmelte es auf Twitter schnell von eher zwei­fel­haften Tipps und Tricks, wie man das Problem umgehen könnte. Ein ganz heißer Tipp, der schnell die Runde machte war der, dass man einfach die Google-Nameserver nutzen solle — dann wären alle Webseiten weiter erreichbar. Ein Hinweis, der anfangs für viele sicher gut klang, das Problem aber in keinster Weise lösen konnte — ganz im Gegenteil. Gerade die Google-Nameserver gehören zu der Sorte DNS-Zwischenspeicher, die sich um die vom Domainbetreiber vorge­schla­genen Verfallszeiten der Adressinformationen nicht kümmern, sondern wesentlich kürzere Zeiten nutzen. Dies hatte dann zur Folge, dass Informationen zu .de-Domains aus den Google-Caches sehr viel schneller verschwanden, die Erreichbarkeit von Webseiten also schneller schlechter wurde. In Wahrheit gab es für den Nutzer gar keine Lösung, um das Problem zu beheben oder zu umgehen. Nur die DeNIC selbst war in der Lage, den Ausfall wieder in den Griff zu bekommen. Immerhin hat es ja auch die zentrale Verwaltung aller .de-Domains getroffen — eine Rückfallebene gibt es eben nicht und keine andere Stelle im Netz hat die benö­tigten Informationen über die .de-Zone.

Auch häufig auf Twitter zu lesen waren Aussagen wie »Unsere Webseite xyz​.de ist noch online!« oder »abc​.de geht noch«. In Wahrheit waren alle Webseiten noch online und »gingen« noch — es hat nur niemand mehr den Weg dorthin gefunden. Wenn für den einen Nutzer xyz​.de noch erreichbar war, hieß das nicht, dass die Seite auto­ma­tisch auch für alle anderen noch zu erreichen war. Gerade im Ausland, wo die DNS-Caches eher wenige .de-Domains in den Zwischenspeichern hatten, waren Webseiten in der .de-Zone sehr wahr­scheinlich für einige Stunden gar nicht mehr aufrufbar.

Selbst nach Behebung des Problems gegen 16:00 Uhr durch DeNIC-Techniker waren die Auswirkungen noch für einige Stunden spürbar, da die Nameserver der Provider weiterhin falsche Informationen auslie­ferten. Auch war das Problem nicht nur auf das Aufrufen von Webseiten beschränkt. Jede Kommunikation im Netz, die das Domain Name System verwendet, wird unter dem Ausfall der .de-Zone gelitten haben. Besonders der E-Mail-Verkehr wird hier in Mitleidenschaft gezogen worden sein. Viele E-Mails die als »unzu­stellbar« zurück­kamen oder sogar spurlos von Mailservern geschluckt wurden, weil sie vermeintlich als Spam erkannt und aussor­tiert wurden. Die Auswirkungen des gestrigen .de-Blackouts werden sich wohl erst in den nächsten Tagen in Gänze zeigen.

Dieser eigentlich nur kurze Ausfall der mit knapp 14 Millionen regis­trierten Domains zweit­größten Domain-Zone sorgte für einigen Wirbel und zeigt deutlich, dass die Internetkommunikation an manchen Stellen trotz aller Dezentralisierungsbestrebungen doch sehr verletzlich ist. Gerade solche essen­ti­ellen Dienste wie das DNS sind Systeme, die mit äußerster Vorsicht behandelt werden müssen. Das es hier nur so selten zu so großen Problemen wie gestern kommt, ist eigentlich sehr verwunderlich.

Bestrebungen von Regierungen, in dieses fragile System einzu­greifen, sollten, gerade im Hinblick auf das blaue Auge, mit dem das Netz gestern davon­ge­kommen ist, äußerst kritisch betrachtet werden. An dieser Stelle möchte ich nur nochmals die Zensurbestrebungen von Frau von der Leyen und ihrem Zugangserschwerungsgesetz aus dem letzten Jahr in Erinnerung rufen. Denn die tech­nische Umsetzung dieses mitt­ler­weile in Kraft getre­tenen Gesetzes sieht eben genau diesen Eingriff in das Domain Name System vor — ohne das meines Wissens nach eine Gefahren– und Risikoabschätzung gemacht wurde. Die Möglichkeit, Nameserver in Deutschland noch anfäl­liger für Probleme und Ausfälle in der gestrigen Größenordnung zu machen, sollte man nicht einfach so abtun.

Ähnliche Artikel

• byteorder’s Podcast #003 13.05.2010
• Crystal Red im NanoCube 13.03.2010
• Statt Internet bald nur noch »Kindernet« 21.02.2010
• Profimail macht Probleme 01.08.2008