CAA-Eintrag: Zertifizierungsstellen im DNS festlegen

Ein CAA-Eintrag (Certification Authority Authorization) ist ein DNS-Eintrag, in dem du festlegst, welche Zertifizierungsstellen SSL-Zertifikate für deine Domain ausstellen dürfen. Jede öffentliche Stelle muss ihn vor der Ausstellung prüfen. Gibt es keinen CAA-Eintrag, darf jede Stelle ausstellen, die deine Kontrolle über die Domain bestätigt.

Schwere Holztür mit Messingschloss in einem steinernen Flur, daneben ein leeres Messingschild bei ruhigem Tageslicht
Bild: KI-generiert

Für ein SSL-Zertifikat muss eine Zertifizierungsstelle prüfen, dass du die Domain kontrollierst. Das kann grundsätzlich jede öffentliche Stelle. Mit einem CAA-Eintrag schränkst du das ein: Du nennst im DNS die Stellen, die für deine Domain ausstellen dürfen, und alle anderen müssen ablehnen. Das senkt das Risiko, dass jemand irgendwo ein Zertifikat für deinen Namen bekommt [1].

Aufbau eines CAA-Eintrags

Ein CAA-Eintrag besteht aus einem Flag, einem Tag und einem Wert. Ein Beispiel für Let's Encrypt sieht so aus [2]:

beispiel.de. CAA 0 issue "letsencrypt.org"

Die Zahl am Anfang ist das Flag. Steht dort 128, ist der Eintrag kritisch: Eine Stelle, die den Tag nicht kennt, darf dann gar nicht ausstellen [1]. Für den Tag gibt es drei Werte [1]:

  • issue erlaubt der genannten Stelle Zertifikate für den Namen. Ein leerer Wert, also issue ";", verbietet die Ausstellung ganz.
  • issuewild gilt nur für Wildcard-Zertifikate und hat dort Vorrang vor issue.
  • iodef nennt eine Adresse (mailto, http oder https), an die Stellen Verstöße gegen die Regel melden können.

Welchen Namen du hinter issue einträgst, gibt die jeweilige Stelle vor. Bei Let's Encrypt ist es letsencrypt.org [2]. Nutzt du mehrere Anbieter, trägst du für jeden einen eigenen issue-Eintrag ein.

Wie die Prüfung abläuft

Vor jeder Ausstellung fragt die Stelle den CAA-Eintrag des beantragten Namens ab. Hat zum Beispiel shop.beispiel.de keinen eigenen, geht sie eine Ebene nach oben zu beispiel.de und so weiter bis zur Wurzel. Der erste gefundene Satz CAA-Einträge gilt [1]. Ein Eintrag auf der Hauptdomain deckt deshalb alle Subdomains ab, solange diese keinen eigenen haben. Findet die Stelle nirgends einen Eintrag, gibt es keine Einschränkung [1, 2].

Für Wildcards reicht oft schon issue: Ein issue-Eintrag erlaubt der Stelle auch Zertifikate wie *.beispiel.de, solange kein issuewild-Eintrag etwas anderes sagt [2]. issuewild brauchst du nur, wenn für Wildcard-Zertifikate andere Regeln gelten sollen.

Typische Fehler

Der häufigste Fehler ist ein CAA-Eintrag, der den eigenen Anbieter nicht nennt. Dann scheitert die nächste Erneuerung, und das fällt oft erst auf, wenn das Zertifikat abläuft. Wechselst du den Hoster oder die Zertifizierungsstelle, gehört der CAA-Eintrag deshalb auf die Liste. Ob ein Eintrag gesetzt ist, zeigt dir der DNS-Check nicht direkt, weil er nur die gängigen Typen abfragt. Mit dig oder nslookup und dem Typ CAA siehst du ihn. Welche Zertifikate es für deine Domain schon gibt, verrät der SSL-Check.

Der CAA-Eintrag ist in RFC 8659 beschrieben, der RFC 6844 abgelöst hat [1]. Wer bei der Verwaltung von Zugängen und DNS-Konten noch mehr absichern will, findet Hinweise zu sicheren Passwörtern und Anmeldung in zwei Schritten auf betrug.domain-root.de.

  1. Gesetz RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record. IETF. Stand November 2019. abgerufen am 29.10.2026
  2. Organisation Certificate Authority Authorization (CAA). Let's Encrypt. Stand 04.10.2026. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel