DNS-Einträge (Domain Name System) sind Einträge in der globalen Internetdatenbank, die Domainnamen in IP-Adressen übersetzen und definieren, wie der Datenverkehr für eine bestimmte Domain gehandhabt wird. Dank ihnen weiß dein Browser, mit welchem Server er sich verbinden soll, wenn du eine Websiteadresse eingibst. In diesem Artikel erklären wir, was DNS-Einträge sind, welche Typen es gibt und wozu sie dienen.
Prüfe die DNS-Einträge deiner Domain
Du kannst die DNS-Einträge einer beliebigen Domain schnell mit unserem Tool prüfen: DNS Lookup.
Was ist DNS?
DNS (Domain Name System) ist ein verteiltes Benennungssystem, das wie ein Telefonbuch des Internets funktioniert. Wenn du eine Websiteadresse in den Browser eingibst, übersetzt der DNS-Server diesen Namen in die IP-Adresse des Servers, mit dem sich dein Gerät verbinden soll. Ohne DNS müsstest du dir die IP-Adressen jeder besuchten Seite merken.
~1 mld
Domains weltweit
< 100 ms
typische DNS-Abfragezeit
13
wichtigste Root-DNS-Server
UDP 53
Standard-DNS-Port
Wie funktioniert eine DNS-Abfrage?
Jede Adresseingabe im Browser löst eine Reihe von Abfragen aus, bevor sich dein Gerät mit dem Server verbindet.
Browser
Prüft den lokalen DNS-Cache. Wenn die Adresse gespeichert ist — sofortige Antwort.
ISP-Resolver
Wenn kein Cache vorhanden ist, geht die Anfrage an den DNS-Server deines Internetanbieters.
Root-Server
Der Resolver fragt den Root-DNS-Server nach dem Standort des TLD-Servers (.com, .de usw.).
TLD-Server
Der TLD-Server verweist auf den Nameserver, der für die jeweilige Domain zuständig ist.
Domain-Nameserver
Gibt den spezifischen DNS-Eintrag mit der IP-Adresse zurück — die Antwort gelangt zum Browser.
DNS-Eintragstypen
Jeder DNS-Eintragstyp erfüllt eine andere Funktion. Nachfolgend findest du die beliebtesten.
example.com → 93.184.216.34
Verweist die Domain auf eine IPv4-Adresse. Der wichtigste DNS-Eintrag — ohne ihn funktioniert die Seite nicht.
example.com → 2606:2800:220:1::93
Wie ein A-Eintrag, aber für IPv6-Adressen. Vier A's von der 128-Bit-Adresse (4×32 Bit).
www.example.com → example.com
Alias, der auf eine andere Domain verweist. Wird häufig für die www-Subdomain verwendet. Kann nicht mit anderen Einträgen für denselben Namen koexistieren.
10 mail.example.com
Verweist auf den Mailserver, der E-Mails für die Domain verarbeitet. Die Zahl ist die Priorität — niedriger bedeutet wichtigerer Server.
v=spf1 include:_spf.google.com ~all
Beliebiger der Domain zugewiesener Text. Wird zur Domain-Verifizierung, SPF, DKIM und DMARC verwendet.
ns1.example-dns.com
Verweist auf die Nameserver, die für die DNS-Zone der Domain verantwortlich sind. Üblicherweise gibt es mindestens zwei für Redundanz.
34.216.184.93.in-addr.arpa → example.com
Das Gegenteil eines A-Eintrags — übersetzt eine IP-Adresse in einen Domainnamen. Wird im Reverse-DNS und bei der Mailserver-Verifizierung verwendet.
Pflichtdatensatz für jede DNS-Zone. Enthält Informationen über den primären Server, die E-Mail-Adresse des Administrators und die Zonenaktualisierungsparameter.
_sip._tcp.example.com 10 20 5060 sip.example.com
Verweist auf den Server und Port für einen bestimmten Dienst (z. B. VoIP, XMPP). Enthält Priorität, Gewichtung und Portnummer.
0 issue "letsencrypt.org"
Legt fest, welche Zertifizierungsstellen (CA) SSL-Zertifikate für die Domain ausstellen dürfen. Erhöht die HTTPS-Sicherheit.
Was ist TTL?
TTL (Time To Live) ist die Zeit in Sekunden, für die ein DNS-Eintrag von Resolvern und Browsern im Cache gespeichert werden darf. Er ist bei Änderungen der DNS-Konfiguration von entscheidender Bedeutung.
300
5 Minuten — bei geplanten Änderungen
3 600
1 Stunde — Standardeinstellung
86 400
24 Stunden — stabile Einträge
Bevor du DNS änderst — TTL verringern
Vor einer Servermigration oder IP-Adressänderung stelle den TTL 24-48 Stunden im Voraus auf 300 Sekunden ein. Nach der Änderung kannst du einen höheren TTL wiederherstellen. Andernfalls kann die alte Adresse noch viele Stunden lang ausgeliefert werden.
DNS-Einträge und E-Mail-Sicherheit
Drei TXT-Einträge sind für die Authentizität und Zustellbarkeit von E-Mails entscheidend. Das Fehlen eines davon kann dazu führen, dass deine Nachrichten im Spam landen.
SPF - Sender Policy Framework
Definiert die Liste der Server, die berechtigt sind, E-Mails im Namen der Domain zu senden. Schützt vor Absender-Spoofing.
v=spf1 include:_spf.google.com ~all
DKIM - DomainKeys Identified Mail
Eine kryptografische Signatur, die E-Mails hinzugefügt wird und dem Empfänger ermöglicht zu überprüfen, dass die Nachricht während der Übertragung nicht verändert wurde.
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3...
DMARC - Domain-based Message Authentication
Kombiniert SPF und DKIM und definiert eine Richtlinie, was mit einer E-Mail zu tun ist, die die Verifizierung nicht besteht. Ermöglicht auch Reporting.
v=DMARC1; p=quarantine; rua=mailto:[email protected]
Wie prüft man DNS-Einträge?
2 Linux / macOS - Terminal
dig example.com A dig example.com MX dig example.com TXT nslookup example.com
3 Windows - Eingabeaufforderung
nslookup -type=MX example.com Resolve-DnsName example.com -Type A
FAQ
Die DNS-Propagierung ist die Zeit, die benötigt wird, um Einträge auf Servern weltweit zu aktualisieren. Sie dauert in der Regel einige Minuten bis 48 Stunden, je nach TTL des Eintrags und der Infrastruktur. Um die Propagierung zu beschleunigen, senke den TTL vor der Änderung auf 300 Sekunden.
Ein A-Eintrag verweist die Domain direkt auf eine IP-Adresse. CNAME ist ein Alias — er verweist die Domain auf eine andere Domain, deren IP-Adresse dann aufgelöst wird. CNAME kann nicht für die Hauptdomain (Apex) verwendet werden, nur für Subdomains.
Der häufigste Grund ist das Fehlen oder eine fehlerhafte Konfiguration der SPF-, DKIM- oder DMARC-Einträge. Prüfe, ob deine Domain alle drei Einträge korrekt konfiguriert hat. Du kannst unser DNS-Lookup-Tool zur Verifizierung verwenden.
Reverse-DNS ist der umgekehrte Prozess zum Standardverfahren — statt eine Domain in eine IP zu übersetzen, übersetzt es eine IP-Adresse in eine Domain. Wird über PTR-Einträge realisiert. Wird hauptsächlich von Mailservern zur Absenderverifizierung und bei der Netzwerkdiagnose verwendet.
DNSSEC (DNS Security Extensions) ist eine DNS-Erweiterung, die kryptografische Signaturen zu DNS-Einträgen hinzufügt. Es schützt vor DNS-Spoofing- und Cache-Poisoning-Angriffen, bei denen ein Angreifer den Datenverkehr auf einen gefälschten Server umleiten könnte.