It's always DNS.
Ergebnis: Nameserver-Provider hatte ein Cronjob-Oopsie und daher DNSSEC-Keys nicht aktualisiert. Nachtragen ist eine Sache von Minuten, aber einige Provider haben ja leider die Angewohnheit DNS-Einträge selbst bei Fehlern bis zum St. Nimmerleinstag cachen. Looking at you, rosa Riese. Oder anders: Wer alternative/eigene DNS-Resolver nutzt hat weniger Probleme.
@adlerweb deshalb nutze ich keine ISP-seitigen DNS-Server sondern alternative Root-Zonen wie OpenNIC.
Bonuspunkte: keine privatisierte #Internetzensur aka. #CUII...