TI-Störung: Den Konnektoren von secunet und RISE fehlte der neue DNS-Schlüssel

Markus Seyfferth

Autor Dr. Web

17. Okt. 2026

3 Min. Lesezeit

Am Sonntag, dem 11. Oktober, um 16 Uhr deutscher Zeit stellte die ICANN die Root-Zone des Internet-Adressbuchs DNS auf einen neuen Signaturschlüssel um. Konnektoren von secunet und RISE, in denen nur die alten Schlüssel hinterlegt waren, fanden nach dem nächsten Neustart keinen Zugang mehr zur Telematikinfrastruktur (TI).

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Sechs Tage nach Beginn der Störung meldet die gematik weiter einen Teilausfall. Das erste Firmware-Update 6.1.3 für secunet-Konnektoren half nicht in allen Fällen und wurde zurückgezogen; seit Donnerstagabend steht die Version 6.1.4 bereit.^[1]

Das Wichtigste in Kürze

Auslöser war der planmäßige Wechsel auf den Root-Schlüssel KSK-2024, den die IANA seit Juli 2024 veröffentlicht.
Betroffene Konnektoren hatten einen veralteten Vertrauensanker gespeichert und scheiterten beim Neustart an der Prüfung.
Die Version 6.1.4 setzt bei jedem Neustart den gültigen Eintrag.
Ab dem 19. Oktober sind laut gematik weitere RSA-Zertifikate nicht mehr prüfbar, unter anderem für KIM.

Warum scheiterten die Konnektoren am Neustart?

Weißer Router, Schloss mit gestecktem Schlüssel, daneben ein Anhänger mit Text „Alter Schlüssel“ — DNS übersetzt Namen in Adressen, DNSSEC signiert die Antworten. Ein Resolver prüft die Signaturen gegen den gespeicherten Root-Schlüssel. Die IANA führt seit Juli 2024 einen neuen Schlüssel mit der Kennung 38696

Das DNS übersetzt Namen in Adressen, die Sicherheitserweiterung DNSSEC versieht die Antworten mit Signaturen. Ein prüfender Resolver gleicht die Signaturen mit einem gespeicherten Vertrauensanker ab, einer Prüfsumme des Root-Schlüssels. Den neuen Schlüssel mit der Kennung 38696 führt die IANA seit Juli 2024 in ihrer Liste;^[2] seit dem 11. Oktober um 14 Uhr UTC signiert er die Root-Zone.^[3]

Der Konnektor prüft die Namensauflösung für seinen VPN-Tunnel zum Zugangsdienst selbst. Laut der Anleitung, die secunet für die Techniker vor Ort geschrieben hat, war in den betroffenen Geräten ein veralteter Anker eingetragen.^[1] Bestehende VPN-Verbindungen liefen weiter, erst beim Neustart schlug die Prüfung fehl. Die gematik datiert den Beginn auf Montag, 10:39 Uhr. Was der Ausfall für Praxen und Apotheken bedeutete, beschreibt die erste Dr.-Web-Meldung zur TI-Störung.

Warum traf der Wechsel die TI trotz Ankündigung?

Die ICANN hatte den Termin am 20. Mai bekannt gegeben und Betreiber mit fest eingetragenen Vertrauensankern oder älterer Software zur Prüfung aufgefordert.^[4] Viele Resolver übernehmen einen neuen Root-Schlüssel automatisch; die ICANN riet trotzdem, sich darauf nicht zu verlassen.^[3] Bei RISE hatte laut Hersteller ein Großteil der Konnektoren den Schlüssel automatisch übernommen.^[1]

Den ersten Wechsel des Root-Schlüssels verschob die ICANN 2017 um ein Jahr, weil zu viele Resolver noch nicht vorbereitet waren, und vollzog ihn am 11. Oktober 2018.^[5] Auch in der TI sorgte der Vertrauensanker nicht zum ersten Mal für Ärger: 2020 legte ein fehlerhaft aktualisierter Anker rund 80.000 Praxen lahm, damals ebenfalls mit Geräten von secunet und RISE.

Über den Konnektor läuft jedes E-Rezept. Den seit Mai angekündigten Schlüssel hätte er vor dem 11. Oktober kennen müssen.
Michael Dobler, Herausgeber Dr. Web

Der Schlüsselwechsel und die TI-Störung

Vom angekündigten Wechsel im DNS bis zum Update 6.1.4

38696

Kennung des neuen Root-Schlüssels KSK-2024

26 Monate

und gut drei Wochen lagen zwischen Veröffentlichung und Wechsel

6 Tage

Teilausfall laut gematik, gezählt ab Montag, 12. Oktober (Stand Samstag)

5 Minuten

dauert das Update auf 6.1.4 knapp; so lange ist der Konnektor nicht erreichbar

Chronologie

18. Juli 2024Der neue Schlüssel steht in der Liste der IANA.
20. Mai 2026Die ICANN nennt den 11. Oktober als Termin.
11. Oktober, 16 UhrDer neue Schlüssel signiert die Root-Zone.
12. Oktober, 10:39 UhrDie gematik meldet die Störung bei secunet und RISE.
13. und 14. OktoberUpdates für beide Hersteller stehen bereit.
15. Oktober, 17:32 UhrDie Version 6.1.4 ersetzt bei secunet die zurückgezogene 6.1.3.
Januar 2027Die ICANN widerruft den alten Schlüssel.

Was müssen Praxen und Apotheken jetzt tun?

Für secunet-Konnektoren gilt die Version 6.1.4. Die Firmware prüft den Eintrag bei jedem Neustart und stellt den gültigen Stand her. Das Update dauert laut secunet knapp fünf Minuten. Geräte mit einer älteren Firmware als 6.0.8 brauchen zuerst diese Zwischenversion; die Zulassung der Version 5.70.6 hat die gematik am 30. September widerrufen.^[1] Für RISE-Konnektoren hat der Hersteller eine Anleitung veröffentlicht, mit der Techniker den neuen Anker ohne Neustart von Hand eintragen.

Lassen Sie den Firmware-Stand im Verwaltungsmenü prüfen und vereinbaren Sie mit Ihrem Dienstleister einen Termin für das Update.
Starten Sie den Konnektor bis dahin nicht außerplanmäßig neu, wie die gematik rät.
Kontrollieren Sie nach dem Update die TI-Verbindung: Manche Geräte müssen sich laut secunet neu am VPN-Zugangsdienst anmelden.
Merken Sie sich den 19. Oktober vor. Dann sind RSA-Zertifikate etwa für KIM und das Versichertenstammdaten-Management nicht mehr prüfbar.

Den letzten Schritt des Wechsels setzt die ICANN im Januar 2027, wenn sie den alten Root-Schlüssel widerruft.^[3]

Quellen

5 Quellen anzeigenQuellen ausblenden

gematikTI-Status, Meldung „Verbindung zur Telematikinfrastruktur secunet & RISE“ (Stand 15.10.2026, 17:32 Uhr) mit den Anleitungen „secunet: Aktualisierung des DNS-Vertrauensankers“ (16.10.2026) und „Aktualisierung des DNSSEC-Vertrauensankers am RISE Konnektor“12.10.2026
IANARoot Zone Trust Anchors (root-anchors.xml)
ICANNRoot Zone KSK Rollover 2026 und ICANN Reports Root Zone KSK Rollover Completed as Planned15.10.2026
ICANNICANN Announces Next Major Internet Security Update (Pressemitteilung vom 20.05.2026)
ICANN2018 Root Zone KSK Rollover