DNS-Schlüsselwechsel kappt Praxen die Verbindung zur TI - News

Seit Montag, 12. Oktober 2026, verlieren Arztpraxen, Apotheken und Kliniken in Deutschland die Verbindung zur Telematikinfrastruktur (TI). Die gematik meldete die ersten Beeinträchtigungen laut Dr. Web um 10:37 Uhr. Betroffen sind Konnektoren der Hersteller Secunet und RISE, ausgefallen sind laut heise und apotheke adhoc das Versichertenstammdaten-Management, KIM, E-Rezept, ePA und die elektronische Krankmeldung. Die Ursache ist kein Angriff, sondern ein lange angekündigter Routinevorgang im Internet: der Wechsel des obersten DNSSEC-Schlüssels. Das macht den Fall auch für Unternehmen außerhalb des Gesundheitswesens lehrreich.

Was am 11. Oktober passiert ist

Das Domain Name System (DNS) übersetzt Namen wie vonrueden.dev in IP-Adressen. Mit DNSSEC lassen sich diese Antworten kryptografisch prüfen. Ganz oben in dieser Vertrauenskette steht der Schlüssel der Root-Zone, der sogenannte Key Signing Key (KSK). Seit dem 11. Oktober 2026 signiert nur noch der neue Schlüssel KSK-2024 (Key Tag 38696), der alte KSK-2017 (Key Tag 20326) nicht mehr. Veröffentlicht ist der neue Schlüssel in der Root-Zone bereits seit dem 11. Januar 2025, wie Cloudflare in seiner Vorschau auf den Wechsel erklärt.

Geräte, die DNS-Antworten selbst prüfen, müssen den neuen Schlüssel als sogenannten Vertrauensanker kennen. Normalerweise lernen Resolver ihn automatisch nach dem Verfahren RFC 5011. Fehlt er, kann ein prüfender Resolver nach Darstellung von Cloudflare keine Namen mehr unter irgendeiner Domain-Endung auflösen.

Warum die Konnektoren ausfallen

Genau das ist bei den Konnektoren von Secunet und RISE passiert. Laut heise fehlt ihnen KSK-2024 als Vertrauensanker. Damit können sie die Adressen der VPN-Zugangsdienste von Arvato und T-Systems nicht mehr auflösen und bauen keinen neuen Tunnel zur TI auf.

Dass nicht sofort alles stillstand, liegt am Zwischenspeicher. Die Schlüsseleinträge der Root haben eine Gültigkeit von 48 Stunden. Solange der Konnektor die alten, bereits geprüften Einträge im Cache hat und der Tunnel steht, läuft er weiter. Nach einem Neustart oder einer regulären Neuverbindung ist damit Schluss. heise rechnet damit, dass ohne Korrektur im Laufe der Woche alle Secunet- und RISE-Konnektoren im Feld betroffen sein dürften. Eine Zahl betroffener Praxen nennt bisher niemand.

„Die aktuelle Analyse hat ergeben, dass Einrichtungen mit betreffenden Konnektoren unbedingt auf einen Neustart verzichten sollten.“

So warnt die gematik in ihrer Statusmeldung. Um 15:28 Uhr meldete sie einen Workaround: Der neue Vertrauensanker wird von Hand als XML-Block eingespielt, und zwar durch den jeweiligen Dienstleister vor Ort. Die Anleitung steht im gematik-Fachportal. heise berichtet, dass Admins in einem Fachforum vor zusätzlichen Leerzeilen beim Kopieren aus dem PDF warnen, die zu Fehlern führen können. Für Secunet liegt die Anleitung vor, für RISE gab es zum Stand der heise-Meldung am Dienstagmorgen noch keine eigene. An einer automatischen Lösung arbeiten Hersteller und gematik, einen Termin gibt es nicht.

Netzwerkschrank mit vielen Kabeln, die an Server und Switches angeschlossen sind

Kein Einzelfall

Ganz neu ist das Muster nicht. Ende Mai 2020 konnten laut heise rund 80.000 der damals etwa 130.000 angeschlossenen Praxen und Kliniken bestimmte TI-Dienste nicht erreichen. Auch damals spielte ein neuer DNSSEC-Vertrauensanker eine Rolle, zusammen mit einem Administrationsfehler.

Bitter ist: Der Wechsel war seit Jahren angekündigt und der neue Schlüssel seit mehr als eineinhalb Jahren sichtbar. Wer Geräte betreibt, die DNSSEC prüfen, aber keine Firmware mit dem neuen Anker haben oder ihn nicht automatisch lernen, merkt das erst, wenn es knallt. Ähnlich gelagert ist der Ablauf der Windows-Update-Zertifikate 2027: Auch dort hängt der Betrieb an einem Vertrauensanker, den alte Systeme rechtzeitig bekommen müssen.

Was das für Ihr Unternehmen heißt

Praxen und Apotheken: Konnektor nicht neu starten, sofort den IT-Dienstleister einschalten und den Workaround einspielen lassen, auch auf Geräten, die noch funktionieren. Ersatzverfahren wie Papierrezepte bereithalten.
Appliances inventarisieren: Firewalls, VPN-Gateways, Router, Mailgateways und Industriesteuerungen mit eigenem DNSSEC-prüfendem Resolver brauchen den Anker KSK-2024. Prüfen Sie Firmware-Stand und Herstellerhinweise.
Golden Images und Container prüfen: Vorlagen für virtuelle Maschinen oder Container mit fest hinterlegten, schreibgeschützten Schlüsseldateien bringen den alten Anker bei jeder neuen Instanz wieder mit.
Neustarts planen statt riskieren: Der 48-Stunden-Cache verdeckt das Problem. Testen Sie kritische Geräte gezielt mit einem kontrollierten Neustart im Wartungsfenster, bevor es ungeplant passiert.
Dienstleister in die Pflicht nehmen: Fragen Sie Ihre IT-Betreuung, ob sie den Wechsel geprüft hat, und lassen Sie sich das bestätigen. Wer Geräte betreut, die er nicht kennt, kann sie nicht absichern.
Notfallplan für Schnittstellen: Jeder Dienst, der über einen einzigen Tunnel oder Anbieter läuft, braucht einen beschriebenen Plan für den Ausfall.

Fazit

Der TI-Ausfall zeigt, wie empfindlich Sicherheitstechnik auf Routinewechsel reagiert, wenn Geräte nicht gepflegt werden. Die gute Nachricht: Der Fehler ist bekannt, die Abhilfe ist einfach, und wer jetzt seine eigenen Appliances prüft, ist vor dem gleichen Problem geschützt. Wenn Sie einen Überblick über Ihre Geräte, Zertifikate und Abhängigkeiten brauchen oder einen Notfallplan für Ihre Schnittstellen aufsetzen möchten, sprechen Sie mich gern an.