Überarbeiteter Inhalt Stand 14.08.2025

Für viele Anwendungen – vom Heimnetzwerk bis hin zu komplexen Unternehmensinfrastrukturen – ist eine exakte und zuverlässige Zeitsynchronisation unverzichtbar. Das Network Time Protocol (NTP) ermöglicht die automatische Anpassung der Systemzeit an eine präzise Referenz. In Deutschland stehen dafür sowohl die hochgenauen Stratum-1-Zeitserver der Physikalisch-Technischen Bundesanstalt (PTB) als auch zahlreiche Server des NTP-Pools zur Verfügung.

In diesem Beitrag stellen wir die aktuell erreichbaren und verifizierten öffentlichen Zeitserver vor, geben Hinweise zur optimalen Einbindung und beleuchten, warum in sicherheitskritischen Umgebungen ein eigener NTP- oder PTP-Server oft die bessere Wahl ist – auch im Hinblick auf die Vorgaben des BSI-IT-Grundschutzes.

Die folgende Tabelle listet die derzeit (Stand August 2025) erreichbaren und verifizierten öffentlichen Zeitserver in Deutschland auf, die für die Zeitsynchronisation per Network Time Protocol (NTP) genutzt werden können.
Dazu gehören die hochpräzisen Stratum-1-Server der Physikalisch-Technischen Bundesanstalt (PTB) sowie der deutsche NTP-Pool, der über DNS-Round-Robin automatisch eine Vielzahl verteilter Server auswählt.

Für jeden Eintrag finden Sie den Hostnamen, die zugehörige IP-Adresse, den Standort, die Stratum-Stufe und das unterstützte Protokoll. Die Bemerkungsspalte enthält zusätzliche Hinweise zur Genauigkeit, Sicherheit oder empfohlenen Verwendung.

Die BSI-IT-Grundschutz-Kataloge empfehlen in sicherheitskritischen Umgebungen (z. B. Finanzwesen, Gesundheitswesen, Telekommunikation, KRITIS) den Einsatz eigener, lokal betriebener NTP- oder PTP-Zeitserver anstelle ausschließlich öffentlicher Quellen.

Öffentliche Server sind für private oder unkritische Anwendungen oft ausreichend, erfüllen aber nicht immer die Anforderungen an:

• Genauigkeit: je nach Anwendung ≤ 1 ms (LAN) bis ≤ 1 µs (PTP in hochpräzisen Umgebungen)
• Verfügbarkeit: Zeitquelle muss auch bei Ausfall der Internetverbindung nutzbar bleiben
• Integrität: Schutz vor Manipulation (z. B. NTP-Spoofing)

Ein eigener Server mit GNSS-Anbindung und hochwertiger interner Clock bietet:

• Unabhängigkeit von externen Netzen
• Kontrollierte und dokumentierte Zeitquelle
• Möglichkeit, mehrere Referenzen (GNSS, DCF77, PTP) zu kombinieren
• Erfüllung der Vorgaben aus dem BSI-IT-Grundschutz-Kompendium

• Für private oder weniger zeitkritische Anwendungen
  Verwenden Sie am besten de.pool.ntp.org als Hauptquelle für die Zeitsynchronisation.
  Ergänzen Sie zusätzlich einen oder mehrere PTB-Server als Reserve, falls der Pool einmal nicht erreichbar ist.
• Für Unternehmen oder kritische Systeme
  Betreiben Sie einen eigenen Zeitserver vor Ort, der sich z. B. über GPS/GNSS mit der exakten Zeit synchronisiert.
  Öffentliche Zeitserver (Pool oder PTB) sollten hier nur als zusätzliche Absicherung dienen.
• Bei der Einrichtung
  In den Einstellungen Ihres Zeitservers (z. B. in der Datei ntp.conf oder chrony.conf)
  sollten Sie auf Folgendes achten:
  • Zeitabweichungen („Schaltsekunden“) möglichst sanft ausgleichen
  • Feste Prioritäten für Haupt- und Ersatzserver festlegen
  • Regelmäßig prüfen, ob die Synchronisation funktioniert

# ==============================

# Beispielkonfiguration für NTP

# ==============================

# PTB-Stratum-1-Server (hohe Genauigkeit)

server ptbtime1.ptb.de iburst

server ptbtime2.ptb.de iburst

server ptbtime3.ptb.de iburst

server ptbtime4.ptb.de iburst

# Deutscher NTP-Pool (verteilt Last auf viele Server)

server de.pool.ntp.org iburst

# Zeitsynchronisation beschleunigen beim Start

# "iburst" = mehrere Abfragen in kurzer Folge

# Sicherheit: nur lokalen Zugriff erlauben

restrict default nomodify nopeer noquery

restrict 127.0.0.1

restrict ::1

# Driftdatei (speichert Abweichung der internen Uhr)

driftfile /var/lib/ntp/ntp.drift

# Logdatei für Überwachung

logfile /var/log/ntp.log

Erläuterungen für Einsteiger:

• server → Gibt den Zeitserver an, mit dem synchronisiert wird.
• iburst → Sorgt für schnellere Synchronisation beim Start.
• restrict → Legt fest, wer Einstellungen ändern oder Abfragen stellen darf (Sicherheitsfunktion).
• driftfile → Speichert, wie sehr die interne Uhr vom Zeitstandard abweicht.
• logfile → Ermöglicht Kontrolle, ob die Synchronisation funktioniert.

# ==============================

# Beispielkonfiguration für Chrony

# ==============================

# PTB-Stratum-1-Server (sehr genaue Zeitquelle)

server ptbtime1.ptb.de iburst

server ptbtime2.ptb.de iburst

server ptbtime3.ptb.de iburst

server ptbtime4.ptb.de iburst

# Deutscher NTP-Pool (automatisch verteilte Server)

pool de.pool.ntp.org iburst

# "iburst" beschleunigt die Synchronisation beim Start

# "pool" sorgt für automatische Auswahl mehrerer Server

# Sicherheit: nur lokalen Zugriff erlauben

allow 127.0.0.1

allow ::1

# Driftdatei (speichert Abweichung der Systemuhr)

driftfile /var/lib/chrony/drift

# Logdateien (optional)

log tracking measurements statistics

logdir /var/log/chrony

# Falls gewünscht, die Systemzeit regelmäßig ins Hardware-RTC schreiben

rtcsync

Die Verwendung öffentlicher NTP-Server ist grundsätzlich einfach, kann jedoch in Bezug auf Genauigkeit, Zuverlässigkeit und Sicherheit Einschränkungen haben – insbesondere in geschäftskritischen oder regulierten Umgebungen.

1. Einflussfaktoren auf die Genauigkeit

• Die Zeitpakete nehmen über das öffentliche Internet jedes Mal unterschiedliche Wege und Knotenpunkte.
• Dadurch entstehen schwankende Latenzzeiten (Verzögerungen), die die Genauigkeit beeinträchtigen.
• Eine hohe Auslastung des Zeitservers – z. B. bei stark genutzten öffentlichen Diensten – kann zusätzlich zu ungleichmäßigen Reaktionszeiten führen.

2. Sicherheits- und Verfügbarkeitsaspekte

• Öffentliche Server können Ziel von Störungen oder Manipulationsversuchen (z. B. NTP-Spoofing) werden.
• Nach BSI-IT-Grundschutz sollten sie in kritischen Umgebungen nur als sekundäre Quelle verwendet werden.
• Eigene, lokal betriebene NTP- oder PTP-Server mit GNSS-Anbindung bieten hier mehr Kontrolle, Sicherheit und Ausfallschutz.

3. Einbindung in Ihr System

• Zur Nutzung eines öffentlichen NTP-Servers benötigen Sie nur dessen Hostname oder IP-Adresse.
• In den meisten Betriebssystemen kann dieser direkt in den Zeit- oder Netzwerkeinstellungen eingetragen werden.
• Prüfen Sie, ob Ihre Firewall den NTP-Port 123/UDP freigibt, und passen Sie ggf. die Regeln an.
• Wenn möglich, konfigurieren Sie mehrere unterschiedliche Zeitserver. Das erhöht die Ausfallsicherheit.
• Alternativ können Sie eine Pool-Adresse (z. B. de.pool.ntp.org) verwenden. Diese verteilt die Anfragen automatisch auf viele Server, was die Lastverteilung und die Verfügbarkeit verbessert.

• de.pool.ntp.org bietet eine breit verfügbare und performante Synchronisationsoption für allgemeine Anforderungen.
• Für höchste Genauigkeit, Sicherheit und BSI-Konformität sind eigene NTP- oder PTP-Server klar vorzuziehen – insbesondere in sensiblen Umgebungen.