Es gibt in den z.Zt. verbreiteten Versionen von dnsmasq mehrere Ecken und Kanten bzgl. DNSSEC. Das Entwicklerteam rät daher z.Zt. niemandem DNSSEC außerhalb von Experimenten in Pi-hole zu verwenden. Die beste Lösung ist sich komplett von einem DNS Provider unabhängig zu machen und lokal einen rekursiven Resolver zu installieren, der dann auch direkt DNSSEC mit übernimmt.
Siehe Redirecting...