Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat auf bsi.bund.de tatsächlich DANE und DNSSEC aktiv, um seine TLS-Zertifikate und DNS-Records zusätzlich abzusichern. Das habe ich nicht erwartet. *most decent applause*
Nachtrag: … und sogar die Mailserver unterstützen das. Sehr schön. https://de.ssl-tools.net/mailservers/bund.de
Leider unterstützen die Mailserver aber auch noch das veraltete SSLv3 …