Kann ich den DNS von Red.es auf meinem Rechner oder Router nutzen?

Nein. Die Plattform von Red.es ist autoritatives DNS: Sie antwortet nur für .es-Domains und löst keine beliebigen Namen auf. Zum Surfen brauchst du einen öffentlichen Resolver wie die aus dem Vergleich auf dieser Seite. Welcher Resolver auch immer: Er fragt die Server von Red.es jedes Mal, wenn er eine .es-Domain sucht, die nicht im Cache liegt.

Wie viele DNS-Server hat die Domain .es?

Vier in der Root-Zone delegierte Namen: a.nic.es, c.nic.es, g.nic.es und h.nic.es. Den ersten betreibt Red.es in Spanien auf zwei lastverteilten Servern; die anderen drei sind Anycast-Netze spezialisierter DNS-Anbieter, die zusammen über 120 Knoten auf allen Kontinenten haben.

Ist die Domain .es mit DNSSEC signiert?

Ja. Die Zone .es ist signiert, und ihr KSK ist als DS-Eintrag in der Root-Zone veröffentlicht (Key-Tag 54404, Algorithmus 8, RSA/SHA-256). Inhaber einer .es-Domain können ihre eigene Zone signieren und den DS-Eintrag über ihren Registrar einreichen, um die Vertrauenskette zu schließen.

Wie viele .es-Domains gibt es?

2.155.756 im Januar 2026 laut der Statistik von Red.es: 2.062.183 direkt unter .es, 80.086 unter com.es, 8.911 unter org.es, 2.790 unter nom.es, 1.243 unter gob.es und 497 unter edu.es. 1998 waren es 12.887.

Was passiert, wenn die .es-Server ausfallen?

Alle .es-Domains würden nicht mehr aufgelöst, sobald die Caches der Resolver ablaufen. Damit das nicht passiert, verteilt die Plattform die Zone auf vier Server mit unterschiedlicher Software (BIND und Knot), drei davon Anycast, mit Anti-DoS-Schutz und Rate-Limiting; der Ausfall mehrerer Knoten beeinträchtigt den Dienst nicht.

Die DNS-Plattform hinter .es-Domains: wie sie funktioniert und wer sie betreibt

Wenn du eine Domain mit der Endung .es eingibst, muss dein Resolver (der deines Providers, Cloudflare, Quad9, welcher auch immer) jemanden fragen, wer diesen Namen verwaltet. Dieser Jemand ist die DNS-Plattform von Red.es, der spanischen öffentlichen Einrichtung, die die .es-Registry führt. Es ist ein Stück Infrastruktur, über das kaum jemand spricht, und jede Anfrage zu einer spanischen Domain, die nicht schon im Cache liegt, läuft darüber. So ist sie aufgebaut, nach den Daten, die Red.es veröffentlicht, und nach dem, was man bei direkten Abfragen sieht.

Was sie ist und was nicht

Die DNS-Plattform von .es ist autoritatives DNS: Sie hält die Zone .es (die Liste, welche Server für jede registrierte Domain antworten) und antwortet jedem, der danach fragt. Sie ist kein rekursiver Resolver wie die, die wir auf dieser Seite vergleichen, also kann man sie weder im Router noch im Smartphone eintragen. Ihr Publikum sind die Resolver der Welt, nicht die Endnutzer.

Die vollständige Kette für eine Domain wie beispiel.es sieht so aus: Dein Resolver fragt einen Root-Server, wer .es verwaltet; die Root liefert die vier Server von Red.es; dein Resolver fragt einen davon, wer beispiel.es verwaltet; und mit dieser Antwort geht er zum Server der Domain und holt die IP-Adresse. Der DNS-Leitfaden erklärt das ausführlicher.

Die Plattform deckt .es und seine Second-Level-Domains ab: com.es, nom.es, org.es, gob.es und edu.es. Sie gilt als wesentlicher Internetdienst im Sinne der EU-Richtlinie NIS2, was Sicherheits- und Meldepflichten mit sich bringt.

Die vier .es-Server

Die Root-Zone delegiert .es an vier Namen. Das antworten sie heute, abgefragt aus Madrid (Median aus fünf direkten SOA-Anfragen):

Server	IPv4	IPv6	Betreiber	Latenz
`a.nic.es`	194.69.254.1	2001:67c:21cc:2000::64:41	Red.es (Spanien), zwei lastverteilte Server	40 ms
`c.nic.es`	194.0.34.53	2001:678:44::53	Anycast-Anbieter (meldet sich als CIRA)	58 ms
`g.nic.es`	204.61.217.1	2001:500:14:7001:ad::1	Packet Clearing House (PCH), Anycast	54 ms
`h.nic.es`	194.0.33.53	2001:678:40::53	Anycast-Anbieter	231 ms

a.nic.es ist der eigene Server: Red.es betreibt ihn in Spanien auf zwei Maschinen hinter einem Load Balancer. Die anderen drei sind Anycast-Netze spezialisierter DNS-Anbieter: Dieselbe IP-Adresse wird von Dutzenden Standorten aus angekündigt, und jeder Resolver landet beim nächstgelegenen Knoten. Laut Red.es kommen die drei zusammen auf über 120 Knoten auf allen Kontinenten.

Ein Detail in der Tabelle verdient eine Erklärung: h.nic.es antwortete aus Madrid in 231 ms, fünfmal langsamer als die anderen. Bei Anycast entscheidet das Routing deines Providers, welcher Knoten dich bedient, nicht die geografische Entfernung, und manchmal schickt es dich weit weg. Für den Dienst ist das kein Problem, denn Resolver messen, welcher Server am schnellsten antwortet, und bevorzugen ihn; genau deshalb verteilt man die Zone auf vier Server statt auf einen.

Es gibt auch Software-Vielfalt: Die Server von Red.es laufen mit BIND, die externen Anbieter kombinieren BIND und Knot. Taucht in einem ein schwerer Fehler auf, antwortet der andere weiter.

DNSSEC: wie die Zone signiert ist

Die Zone .es ist mit DNSSEC signiert, und die Vertrauenskette reicht bis zur Root. Was sich von außen prüfen lässt:

Der DS-Eintrag für .es in der Root-Zone hat das Key-Tag 54404, Algorithmus 8 (RSA/SHA-256) und einen SHA-256-Digest.
Die Zone veröffentlicht zwei DNSKEY-Einträge: einen KSK (den der DS der Root autorisiert) und einen ZSK (der die alltäglichen Einträge signiert).
Die Signaturen (RRSIG) sind 14 Tage gültig und werden laufend erneuert.

Red.es wechselt den ZSK häufig und den KSK alle zwei Jahre; dann muss auch der DS in der Root geändert werden. Die Orchestrierung übernimmt OpenDNSSEC, und die privaten Schlüssel liegen in einem HSM, einem Kryptomodul, aus dem sie nicht extrahiert werden können.

Für Inhaber einer .es-Domain heißt das: Sie können ihre eigene Zone signieren, die Schlüssel in ihrem DNS erzeugen (oder vom Anbieter erzeugen lassen), den DS-Eintrag holen und über ihren Registrar einreichen. Ab dann weist ein validierender Resolver wie Quad9, Cloudflare oder Google jede manipulierte Antwort zu dieser Domain zurück. Der DNSSEC-Prüfer dieser Seite zeigt, ob die Kette vollständig ist.

Schutz vor Angriffen

Das autoritative DNS einer ccTLD ist ein klassisches Ziel für Denial-of-Service-Angriffe, denn wer es lahmlegt, legt alle Domains eines Landes lahm. Red.es nennt drei Schichten:

Anti-DoS-Vereinbarungen mit Netzbetreibern, um Verkehr zu filtern, bevor er die Server erreicht.
Rate-Limiting auf den DNS-Servern selbst, damit sie nicht als Verstärker missbraucht werden.
Scrubbing-Center bei den Anycast-Anbietern, die den Angriff in ihren Netzen absorbieren.

Dazu kommen die Zertifizierungen des Dienstes: ISO 9001, ISO 27001, das spanische Nationale Sicherheitsschema (ENS) und das AENOR-Siegel für verantwortungsvolle KI. Änderungen laufen durch drei Umgebungen (Vorproduktion, Demo und Produktion) mit zentraler Überwachung, wofür Red.es ENTRADA nennt, das Werkzeug zur Analyse von DNS-Verkehr, das die niederländische Registry entwickelt hat.

Die Zahlen zu .es

Aus dem Statistikbericht von Red.es für Januar 2026:

Endung	Domains
.es	2.062.183
com.es	80.086
org.es	8.911
nom.es	2.790
gob.es	1.243
edu.es	497
Gesamt	2.155.756

Die Entwicklung zeigt das Wachstum: 12.887 Domains 1998, 298.600 im Jahr 2005 (dem Jahr der Liberalisierung, ab dem man eine Registrierung nicht mehr begründen musste), 1.082.757 im Jahr 2008, 2.002.058 im Jahr 2022 und 2.155.756 im Januar 2026. In den letzten zwölf Monaten wurden rund 34.000 Domains pro Monat registriert und rund 30.000 gelöscht oder nicht verlängert, das Netto-Wachstum ist also langsam.

Was kommt

Red.es nennt drei Arbeitslinien: RDAP, das Protokoll, das WHOIS ablöst und für .es bereits antwortet (der WHOIS/RDAP-Prüfer dieser Seite nutzt es); einen sekundären DNS-Dienst für .es-Domains, mit dem Inhaber eine Kopie ihrer Zone auf der Infrastruktur von Red.es halten könnten; und mehr eigene Anycast-Knoten, um weniger von externen Anbietern abzuhängen.

Prüf es selbst

Alles oben lässt sich in jedem Terminal mit dig nachvollziehen:

dig NS es.                  # die vier delegierten Server
dig DS es. @1.1.1.1         # der in der Root veröffentlichte DS (54404 8 2 …)
dig DNSKEY es. @a.nic.es    # die Schlüssel KSK (257) und ZSK (256)
dig +norec SOA es. @h.nic.es  # Latenz zu einem bestimmten Server

Ohne Terminal zeigt die DNS-Abfrage die NS-Einträge jeder .es-Domain, und der DNSSEC-Prüfer geht die Vertrauenskette von der Root aus durch.

Quellen

Red.es, „Plataforma DNS“ auf dominios.es: Architektur, DNSSEC, Schutz und Zertifizierungen.
Red.es, „.es domain statistics, January 2026“ (PDF).
Adressen, DS, DNSKEY, Signaturen und Latenzen: eigene dig-Abfragen aus Madrid am 17. September 2026.