Custom Domain E-Mail Adressen können plötzlich weder E-Mails empfangen noch versenden

Die haben immer wieder DNS Probleme (vor allem mit DNSSEC).
Aktuell: https://forum.netcup.de/thread/22470-wieder-domain-ausfall/

Sieht nicht so aus als wenn das ein öffentlicher Post im Forum ist?
"Access denied. You’re not authorized to view this page."

Bei mir lief es über Jahre stabil und ohne Probleme. DNSSEC ist für diese Domain derzeit deaktiviert.

Das Thema taucht dort regelmäßig auf.

Kannst du mal deiner Domain unter https://dnsviz.net/ deine überprüfen lassen? Sollte das Problem bei Nectup mittlerweile behoben sein, musst mailbox vielleicht nur den Cache für deine Domain löschen oder ähnliches.

Danke!

Urgs. Das sieht nicht gut aus:

- Errors (26)
- Bogus (1)

Ist das demnach ein netcup Problem und ich sollte mich an netcup wenden?

Ja, ich würde mich an den Netcup Support wenden. Du kannst probieren, ob das Umlegen des DNSSEC Schalters bei Netcup etwas hilft (z.B. ein -> aus oder ein -> aus -> ein).

Es haben mehrere Webhosting-Firmen Probleme mit DNSSEC. Das läuft teilweise einfach nicht fehlerfrei obwohl es als Feature angeboten wird. Ich habe selbst exakt die gleiche Erfahrung gemacht. Und es war ein Anbieter, bei dem man nicht direkt bei google von vereinzelten Problemen liest. Mail ist dann über die eigene Domain kaputt ... und man merkt es ggf. erst, wenn man schon einige Mails verloren sind. Sofern DNSSEC übrigens kaputt ist, dann darf die Domain nicht mehr verwendet/aufgelöst werden, weil ansonsten DNSSEC als Schutz vor z.B. MITM-Angriffen nutzlos wäre.

Daher kann ich nur empfehlen, DNSSEC zu deaktivieren. Der Sicherheitsgewinn steht in keinem Verhältnis zu den Problemen, wenn dann mal was schief läuft. Ohne DNSSEC ist DNS bei den meisten Webhostern stabil und fehlerfrei.

Die Alternative wäre, zu einem Anbieter zu wechseln, bei dem DNSSEC wirklich stabil und fehlerfrei läuft .... wobei das natürlich schwierig zu prüfen ist. Eventuell gibts hier im Forum Tipps.

Wie weiter oben geschrieben: DNSSEC war bei meinen Custom Domains überhaupt nicht eingeschaltet.
Ich bin mir nicht sicher wie der Fehler mit DNSSEC zusammenhängen kann wenn es gar nicht aktiviert ist?

Geht es denn jetzt wieder? Hast du ggf. DNSSEC einmal an und wieder ausgeschaltet? Sind die Einträge (MX, Sicherheitsschlüssel, spf, etc.) mit https://dnschecker.org/ abrufbar und korrekt? Ggf. bekommst du ja auch eine Antwort vom mailbox.org-Support. Und wenn die sagen, dass DNS kaputt ist/war, dann lag es mit hoher Wahrscheinlichkeit daran.

Wie gesagt sollte DNS ohne (!) DNSSEC bei Webhosting-Firmen eigentlich kein Problem sein. Trotzdem bin ich dazu übergegangen, DNS und Webhosting (und auch Mailhosting) komplett zu trennen. Ein rein auf DNS spezialisierter Anbieter kann DNS in der Regel besser, als ein Anbieter der alles aus einer Hand anbietet. Aber das ist letztlich Geschmackssache.

Nachtrag: Ich habe gerade bei DNSViz mal einen bay. Automobilhersteller, und einen bekannten Automobilklub eingegeben. Beide haben kein DNSSEC. DNSViz prüft allerdings offenbar nicht nur DNSSEC und DNSSEC-Fehler, sondern auch allgemeine Fehler. Wenn du da wie oben geschildert 26 Fehler hast, dann ist am DNS offenbar was ziemlich schief. Beide Domains hatten Null Fehler, trotz fehlendem DNSSEC.

Es sei allerdings gesagt, dass so Testseiten manchmal überkritisch sind. So werden manchmal Fehler angezeigt, weil RFCs nicht berücksichtigt sind oder irgendwas anderes veraltest ist, was in der Praxis aber keine Relevanz hat.

Du kannst noch eine online Whois-Abfrage (z.B. [1]) machen oder Tools wie z.B. drill verwenden. Ich denke aber, wenn auf dnsviz.net 26 Fehler angezeigt werden, DNSSEC für deine Domain sehr wohl aktiv ist. Ansonsten solltest du bei deiner Domain nur insecure sehen. Du kannst probieren bei Netcup DNSSEC mal zu aktivieren und anschließend wieder zu deaktivieren. Oder du wartest bis Netcup das Problem löst.

[1] https://www.inwx.com/en/domain/whois

Sorry, ich war gestern unterwegs und konnte nicht mehr antworten.

Nachdem ich DNSSEC ein und wieder ausgeschaltet habe funktioniert der Mailverkehr nun wieder.

Warum der Fehler überhaupt aufgetreten ist obwohl DNSSEC für meine Domains ausgeschaltet war (zumindest wurde mir das im Webinterface von Netcup so angezeig ) erschließt sich mir allerdings nicht.

Die MX-, SPF-, dmarc- und Sicherheitsschlüssel-Einträge sind abrufbar, korrekt und haben sich auch seit Jahren nicht geändert.

Ich bin auf jeden Fall froh das es jetzt wieder funktioniert. Vielen Dank für eure Hilfe!

Auf kurz oder lang werde ich mich dann wohl mal nach einem separaten Domainanbieter umschauen. Habt ihr Empfehlungen? Am liebsten ein stabiler, zuverlässiger und europäischer Anbieter. Preislich muss es nicht der günstigste sein sofern er zuverlässig ist.

Teste doch mal, ob DNSSEC bei dir aktiviert ist, oder deaktiviert. Nicht dass der "Schalter" in dem NEtcup-Kundenmenü warum auch immer kaputt ist. Falls DNSSEC deaktiviert ist, sollte bei https://dnssec-analyzer.verisignlabs.com bei dein Einträgen deiner Domain (nicht bei der root-Zone und bei der Topleveldomain) sowas stehen wie "no ds record found " und "no rsig". Bei https://dnsviz.net/ sollte im Schaubild der DNSkey nur in der Rootzone und Topleveldomain stehen, nicht aber bei deiner eigenen Domain.

Letztlich kann bei jeder Firma mal DNS kaputt gehen, wenn da irgendwas gewartet oder verändert wird am Setup. 100% Uptime und Fehlerfreiheit kann niemand garantieren. Es ist aber grundsätzlich schon eher unwahrscheinlich und selten, dass DNS kaputt geht. Bei netcup (und einigen anderen Firmen) habe ich nur von vereinzelten Problemen bei aktiviertem DNSSEC gelesen. Übrigens bietet z.B. hetzner DNSSEC gar nicht an, da das Einrichten durchaus komplex und fehlerbehaftet ist. Denen ist Stabilität offenbar wichtiger als ein Sicherheitsfeature, das nicht mal Banken verwenden, und sonst sowieso kaum jemand.

Als guter und zuverlässiger und europäischer (deutscher) Domain-only-Anbieter wird oft inwx.de genannt. Ich bin dort seit Jahren, habe DNSSEC aktiviert,und bisher noch nie Probleme gehabt ... vorher allerdings schon. Und der Vorteil bei inwx ist, dass die auch noch im günstigeren Bereich sind. Allerdings waren/sind die bisher für Privatpersonen Prepaid, man muss also daran denken, immer genügend Guthaben auf dem Konto zu haben ... sonst ist im worst case die eigene Domain futsch. Dafür muss man allerdings schon recht viele Erinnerungen ignorieren. Im Internet habe ich nix schlechtes über INWX gelesen, und wenn ist es der Standard, dass sich Leute nach der Registrierung beschweren, auf die gekaufte Domain Spam zu bekommen, wofür die Firmen aber in der Regel nix können. Übrigens bieten die mittlerweile auch webhosting und mail an, aber ich würde davon abraten, und nur deren Kernkompetenz "Domain" in Anspruch nehmen.

Letztlich ... wenn du bei netcup kein DNSSEC aktiviert hast, und höchst selten was änderst, dann könnte ich mir gut vorstellen, dass es ein einmaliger Ausrutscher war ... irgendjemand gewinnt ja auch im Lotto trotz der extrem geringen Wahrscheinlichkeit. Dann wäre ein Wechsel nicht notwendig. Hätte netcup mehr DNS-Probleme, würde man davon im Internet lesen. Das ist ja keine Hinterhoffirma, sondern die haben schon eine gewisse Größe. Es stellt sich bei mir daher gerade die Frage, ob du vielleicht ein einfaches Passwort hast und/oder sonstwie dein Passwort geklaut wurde, und versucht wurde, die DNS-Einträge zum Spamversand entsprechend zu ändern.

Unter https://dnssec-analyzer.verisignlabs.com bekomme ich nur einen einzigen Fehler (No DS records found for example.com in the de zone) angezeigt, ansonsten sind alle Haken grün und nichts davon zu sehen das DNSSEC deaktiviert sein könnte. Ich habe auch extra nochmal im netcup webinterface kontrolliert: DNSSEC ist dort deaktiviert. Sehr merkwürdig.

Mir ist bewusst das es keinen vollständigen Ausfallschutz gibt. Darum geht es mir aber auch gar nicht. Meine Erwartung ist bei einem Anbieter das er solche Fehler selbstständig findet, mich benachrichtigt und löst. Nicht das ich erst über den Umweg des E-Mail Ausfalls erfahre das meine DNS-Einträge bei meinem Domainhoster kaputt sind, nachdem ich mich an den Mailbox.org Support gewendet und hier im Forum gemeldet habe.

Mir ist vor allem ein Anbieter wichtig der transparent und proaktiv kommuniziert. Das ist bei netcup scheinbar nicht der Fall.

Kann auch sein, dass dies nichts damit zu tun hat, aber da es sich zeitlich überschneidet:

Seit gestern 9:53 meldet meine E-Mail APP Fairemail, dass der A record nicht aufgelöst werden kann. DANE Check und DNSSEC funktionieren daher nicht mehr. Ohne diese geht der E-Mail Abruf. Das Problem haben noch mehrere andere.

bei mir funktioniert alles in FairMail. Ich habe dort auch „TLSv1.3 und DNSSEC forcieren” aktiviert. Vielleicht ist ja irgendwo auf dem Gerät etwas verstellt. DNS, VPN oder so?

Ich wollte den Thread hier nicht hijacken. Hier geht es um das DNSSEC Problem: https://userforum.mailbox.org/topic/15846-fairemail-1-fehlerhafter-a-record-seit-heute-morgen-keine-verbindung-mehr-moglich

@1222517: Wenn du willst, kannst du mir an cx2k4sbzi8v@temp.mailbox.org den Namen deiner Domain schicken, dann kann ich mal schauen, ob ich da eventuell noch irgendwelche DNSSEC-Schnipsel finde, oder ob das alles korrekt aussieht.

INWX ist sicherlich eine der besten europäischen Firmen, wenn es um Domain-Only in Verbindung mit DNSSEC geht und natürlich auch ohne DNSSEC. Cloudflare ist auch noch mega-stabil, aber hat vermutlich gar keinen Endkundensupport .... und ist halt eine amerikanische Firma. Will man wenn man bei mailbox.org ist eher nicht haben. Gandi (frankreich) hatte bis vor kurzem bei Domains auch noch einen vorzüglichen Ruf, aber die wurden kürzlich an eine Heuschrecke verkauft mit damit verbundenen massiven Risiken für die Qualität und Zuverlässigkeit. Hetzner hat auch noch einen sehr guten ruf, ist international aufgestellt, aber meines Wissens trotzdem noch inhabergeführt und in Deutschland ansässig ... aber DNS ist bei Hetzner auch nur ein Nebenprodukt bzw. ein Produkt von vielen. Somit wären wir dann letztlich doch ausschließlich bei INWX als hoch spezialisierter Anbieter für Domain und DNS wenn man Wert darauf legt, einen europäischen Anbieter zu haben, und keinen US-Anbieter.