Was ist das Domain Name System (DNS)?

Kurz gesagt: DNS ist ein verteiltes System, das menschenlesbare Domainnamen mit den technischen Zielen von Websites, E-Mail-Diensten und anderen Internetangeboten verbindet. Ruft ein Gerät eine Domain auf, ermittelt ein rekursiver Resolver die von den autoritativen Nameservern veröffentlichten DNS-Einträge – entweder aus seinem Cache oder durch eine Abfrage entlang der DNS-Hierarchie – und liefert die benötigten Verbindungsinformationen zurück.

In diesem Leitfaden: warum DNS mehr ist als ein Telefonbuch · wie die Namensauflösung tatsächlich funktioniert · Domain vs. DNS vs. Nameserver vs. Hosting · gängige Eintragstypen · was "DNS-Propagation" wirklich bedeutet · wie Sie DNS sicher ändern · wie Sie Ihre Einträge prüfen · DNS-Sicherheitsgrundlagen · häufige Fehler · eine Migrations-Checkliste · FAQ.

Warum DNS mehr ist als ein Telefonbuch des Internets

Der Vergleich mit einem Telefonbuch ist ein brauchbarer Einstieg — er vermittelt die Grundidee, einen Namen nachzuschlagen, um etwas Technisches zu finden. Er bleibt aber deutlich hinter dem zurück, was DNS tatsächlich leistet.

Ein Telefonbuch bildet einen Namen auf eine Nummer ab, einmal gedruckt und bis zur nächsten Auflage unverändert genutzt. DNS gleicht eher einem verteilten, laufend aktualisierten Verzeichnis mit delegierten Abschnitten: Keine einzelne Organisation hält die gesamte Datenbank, die Zuständigkeit für jeden Teil wird die Hierarchie hinunter delegiert, und Antworten werden vorübergehend zwischengespeichert statt bis zur nächsten Auflage fixiert zu sein.

DNS liefert auch mehr als Adressen. Eine einzelne Domain kann Einträge veröffentlichen, die E-Mail weiterleiten, den Domainbesitz gegenüber einem Drittanbieter-Dienst bestätigen, festlegen, welche Zertifizierungsstellen Zertifikate ausstellen dürfen, auf ganz andere Dienste verweisen oder eine Subdomain an einen anderen Anbieter delegieren. Die Website-Adressierung ist eine Aufgabe von DNS, nicht die einzige.

Wie die DNS-Auflösung Schritt für Schritt funktioniert

Eine Auflösung ist ein kurzer Austausch zwischen mehreren Systemen, größtenteils unsichtbar und meist sehr schnell. So läuft die Suche nach einer Domain wie example.com ab:

1.  Ein Browser, ein Betriebssystem oder eine Anwendung fragt einen Namen ab — zum Beispiel eine Abfrage für example.com.

2.  Der Stub-Resolver des Geräts, ein schlanker, ins Betriebssystem eingebauter Client, gibt die Anfrage an einen rekursiven Resolver weiter, der typischerweise von einem Internetanbieter, einem öffentlichen DNS-Dienst oder einem Firmennetzwerk betrieben wird.

3.  Der rekursive Resolver prüft zunächst seinen eigenen Cache. Hält er bereits eine brauchbare, noch gültige Antwort vor, liefert er sie sofort zurück, ohne weitere DNS-Server abzufragen.

4.  Gibt es keine brauchbare zwischengespeicherte Antwort, fragt der Resolver stellvertretend die DNS-Hierarchie ab.

5.  Er beginnt bei einem Root-Nameserver, der die Antwort selbst nicht kennt, den Resolver aber an die zuständigen Nameserver der Top-Level-Domain (TLD) verweist — in diesem Fall an die für .com zuständigen Server.

6.  Der TLD-Nameserver kennt die endgültige Antwort ebenfalls nicht, verweist den Resolver aber an die konkret für example.com zuständigen autoritativen Nameserver.

7.  Der Resolver fragt den autoritativen Nameserver ab, der die tatsächliche DNS-Zone der Domain hält und den angefragten Eintrag zurückgibt — oder eine passende Antwort, falls der Eintrag nicht existiert.

8.  Der rekursive Resolver speichert das Ergebnis gemäß der TTL (time to live) des Eintrags zwischen und liefert die Antwort an das anfragende Gerät zurück.

Der Großteil davon geschieht in Millisekunden. Durch Caching muss der Resolver den vollständigen Weg durch die Hierarchie oft nicht bei jeder Anfrage wiederholen.

Empfohlenes Diagramm: Ablauf der Namensauflösung

[Für die Live-Seite ein Original-Diagramm empfehlen, keine übernommene Grafik. Vorgeschlagener Ablauf:]

Gerät / Anwendung

-> Stub-Resolver

-> rekursiver Resolver (prüft zuerst den Cache)

-> Root-Nameserver (Verweis)

-> TLD-Nameserver (Verweis)

-> autoritativer Nameserver (liefert Eintrag)

-> rekursiver Resolver (speichert gemäß TTL)

-> Gerät

Domain, DNS, Nameserver, Registrar und Hosting im Vergleich

Diese Begriffe werden im Alltag oft synonym verwendet, aber jeder bezeichnet etwas grundlegend anderes, kontrolliert von unterschiedlichen Parteien.

Gängige DNS-Eintragstypen

Eine DNS-Zone ist eine Sammlung von Einträgen für eine Domain. Das sind die Typen, denen Sie am häufigsten begegnen, hier mit reservierten Dokumentationswerten statt einer echten Domain.

Was "DNS-Propagation" wirklich bedeutet

"Propagation" ist eine gebräuchliche Branchenformulierung, beschreibt aber die sichtbare Wirkung, nicht den eigentlichen Mechanismus. DNS-Änderungen werden nicht gleichzeitig auf jedes Gerät im Internet kopiert. Was tatsächlich passiert, ist ablaufendes Caching, verteilt über viele unabhängige Resolver, jeder nach seinem eigenen Zeitplan.

TTL — time to live — ist ein Wert an jedem DNS-Eintrag, der Resolvern sagt, wie lange sie eine zwischengespeicherte Antwort wiederverwenden dürfen, bevor sie erneut nachfragen. Er begrenzt, wie lange eine veraltete Antwort höchstens bestehen bleiben kann; er garantiert keinen exakten weltweiten Aktualisierungszeitpunkt, da nicht jeder Resolver die TTL identisch respektiert und manche länger als vorgegeben zwischenspeichern.

Deshalb können zwei Personen zur selben Zeit dieselbe Domain abfragen und für ein kurzes Zeitfenster unterschiedliche Antworten erhalten: Ihr Datenverkehr kann über unterschiedliche rekursive Resolver laufen, jeder mit einer anderen zwischengespeicherten Kopie und einer unterschiedlichen Rest-TTL. Das ist kein Fehler bei einer der beiden Antworten — beide waren zum Zeitpunkt der Zwischenspeicherung korrekt.

Eine niedrigere TTL hilft nur, wenn sie frühzeitig gesetzt wird. Eine kurz vor der Migration gesetzte niedrige TTL verkürzt nicht rückwirkend Antworten, die Resolver bereits mit der alten, längeren TTL zwischengespeichert haben. Senken Sie die TTL rechtzeitig vor einer geplanten Änderung — oft einen Tag oder mehr im Voraus, je nach ursprünglichem Wert —, damit die älteren, länger gültigen zwischengespeicherten Antworten Zeit haben, natürlich abzulaufen, bevor Sie umstellen.

•  Das Leeren des Browser-Cache ist nicht dasselbe wie das Leeren des DNS-Cache des Betriebssystems oder eines rekursiven Resolvers — ein hartnäckiges Ergebnis kann unabhängig in jedem dieser Caches bestehen bleiben, und einen davon zu beheben löst nicht die anderen.

•  Ein Nameserver-Wechsel birgt zwei Arten von Risiko gleichzeitig — Delegationsrisiko (Verweis auf die falschen autoritativen Server) und Zoneninhaltsrisiko (die neue Zone fehlen Einträge, die die alte hatte).

•  "Bis zu 24–48 Stunden" ist ein grob geschätztes, häufig genanntes Zeitfenster, keine technische Garantie — die tatsächliche Dauer hängt von den beteiligten TTL-Werten und dem Verhalten einzelner Resolver ab und kann kürzer oder länger ausfallen.

So ändern Sie DNS sicher

Das sind drei unterschiedliche Aktionen mit drei unterschiedlichen Risikoprofilen. Sie zu verwechseln ist eine der häufigsten Ursachen vermeidbarer Ausfälle.

A. Nameserver ändern

Dies delegiert die Domain vollständig an einen anderen autoritativen DNS-Anbieter — im Effekt wird die gesamte Zone ausgetauscht. Von den drei Aktionen ist dies die wirkungsvollste, weil sich jeder zuvor von der Domain veröffentlichte Eintrag auf einmal ändern kann, einschließlich solcher, die Sie vergessen hatten.

NS-Einträge bezeichnen die autoritativen Nameserver einer Zone. Bei einer registrierten Domain erfordert eine Änderung der Delegation normalerweise, die Nameserver über den Registrar zu aktualisieren, damit die übergeordnete Zone mit aktualisiert wird. Das Bearbeiten von NS-Einträgen nur innerhalb der untergeordneten Zone ändert die übergeordnete Delegation möglicherweise nicht, und Abweichungen können zu uneinheitlicher oder fehlgeschlagener Namensauflösung führen.

B. DNS-Einträge bearbeiten

Dies ändert einen oder mehrere Einträge innerhalb der bestehenden Zone — zum Beispiel die Aktualisierung eines A-Eintrags auf einen neuen Server, ohne zu ändern, wer für die Domain maßgeblich ist. Das ist überschaubarer als ein Nameserver-Wechsel, aber ein einzelner Tippfehler in einem Eintrag kann trotzdem eine Website lahmlegen oder die E-Mail-Zustellung unterbrechen.

C. Den Resolver auf einem Gerät ändern

Dies ändert, welchen rekursiven Resolver Ihr Computer oder Smartphone abfragt — zum Beispiel der Wechsel vom Standard-Resolver eines Internetanbieters zu einem öffentlichen Dienst. Das beeinflusst die Abfragegeschwindigkeit und, je nach Resolver, Datenschutz und Filterung. Auf die tatsächlich veröffentlichten Einträge der Domain hat es keinerlei Auswirkung.

Sicherheitsablauf für eine Website- oder E-Mail-Migration

1.  Exportieren oder anderweitig vollständig dokumentieren Sie die aktuelle DNS-Zone, bevor Sie irgendetwas ändern.

2.  Identifizieren Sie jeden Website-, E-Mail-, Verifizierungs- und Sicherheitseintrag, der aktuell im Einsatz ist — nicht nur die, an die Sie sich erinnern.

3.  Bestätigen Sie die Zielwerte mit dem neuen Anbieter oder Server, zu dem Sie wechseln.

4.  Senken Sie die TTL rechtzeitig vor der Umstellung, wo betrieblich sinnvoll, damit alte zwischengespeicherte Antworten vor der Umstellung ablaufen können.

5.  Erstellen und validieren Sie die neue Zone vollständig, bevor Sie die Delegation darauf umstellen.

6.  Ändern Sie nach Möglichkeit eine Ebene nach der anderen, statt Nameserver und Einträge gleichzeitig umzuschreiben.

7.  Testen Sie die Root-Domain, www, die E-Mail-Zustellung und alle kritischen Subdomains nach jeder Änderung.

8.  Halten Sie den alten Dienst während der Übergangszeit weiter verfügbar, statt ihn sofort abzuschalten.

9.  Überwachen Sie während der Umstellung aktiv auf Fehler, nicht erst am Ende einmalig.

10.  Halten Sie einen getesteten Rollback-Plan bereit, den Sie unter Druck tatsächlich ausführen könnten, nicht nur eine gedankliche Notiz.

Nameserver zu ersetzen, ohne MX-, TXT- (einschließlich SPF und DKIM), DMARC- und Verifizierungseinträge neu anzulegen, ist eine der häufigsten Ursachen für unterbrochene E-Mail und defekte Drittanbieter-Integrationen nach einer Migration.

So prüfen Sie DNS-Einträge

Ein öffentliches DNS-Abfragetool zeigt die DNS-Daten, die über seinen Abfrageweg aktuell sichtbar sind. So lassen sich A-, AAAA-, MX-, TXT-, NS- und weitere Einträge einer Domain einsehen — vor oder nach einer Änderung. Das Ergebnis belegt aber nicht, dass jeder rekursive Resolver weltweit seinen Cache bereits aktualisiert hat; ein Resolver irgendwo kann noch eine ältere, nicht abgelaufene Antwort liefern.

DNS-Sicherheitsgrundlagen

Das DNS einer Domain ist ein wertvolles Angriffsziel — wer es kontrolliert, kontrolliert, wohin die Besucher einer Website und die E-Mail eines Unternehmens tatsächlich gehen. Das sind die grundlegenden Schutzmaßnahmen, die sinnvoll sind.

•  Zwei-Faktor-Authentifizierung — sowohl für das Registrar-Konto als auch für ein etwaiges separates DNS-Verwaltungskonto, da dies unterschiedliche Logins sein können.

•  Zugriff nach dem Least-Privilege-Prinzip — geben Sie Teammitgliedern nur den Zugriff, den sie tatsächlich brauchen, nicht standardmäßig volle Kontokontrolle.

•  Eingeschränkte API-Zugangsdaten — wenn Sie DNS-Änderungen automatisieren, begrenzen Sie API-Schlüssel eng und rotieren Sie sie regelmäßig.

•  IP-Zugriffsbeschränkungen, sofern unterstützt — manche Anbieter erlauben, den Verwaltungszugriff auf bestimmte IP-Bereiche zu beschränken.

•  Registrar-Sperre und Kontowiederherstellung — verstehen Sie, wie Ihr Konto bei Zugriffsverlust wiederhergestellt werden kann, und sichern Sie diesen Weg ab.

•  DNSSEC — fügt DNS-Antworten Ursprungsauthentifizierung und Integritätsprüfung hinzu und erschwert damit bestimmte Spoofing- und Cache-Poisoning-Angriffe. Es verschlüsselt keine gewöhnlichen DNS-Anfragen und verbirgt keine Browsing-Aktivität — das ist ein anderes Problem, das durch separate Technologien adressiert wird.

•  Überwachung von Nameserver- und Eintragsänderungen — unerwartete Änderungen sind oft das erste sichtbare Anzeichen für ein kompromittiertes Konto.

•  Schutz der Inhaber- und Admin-E-Mail-Adresse — dieses Postfach ist häufig der Wiederherstellungsweg für das gesamte Konto; der Verlust der Kontrolle darüber ist für sich genommen bereits ein ernstes Risiko.

•  Änderungsprotokolle und Rollback-Aufzeichnungen — führen Sie eine datierte Aufzeichnung darüber, was sich geändert hat und wie die vorherigen Werte lauteten, damit eine fehlerhafte Änderung schnell rückgängig gemacht werden kann.

Keine dieser Maßnahmen macht ein Konto, einzeln oder zusammen, gegen jeden Angriff immun — sie verringern das Risiko und verkürzen die Wiederherstellungszeit, was ein realistisches Ziel ist.

Häufige DNS-Fehler

•  Nameserver ersetzen, ohne zuerst die bestehende Zone zu kopieren.

•  MX-, SPF-, DKIM-, DMARC- oder Verifizierungseinträge während einer Website-Migration löschen, oft weil niemand dokumentiert hatte, dass sie existierten.

•  Einen CNAME hinzufügen, wo am selben Namen bereits kollidierende Einträge bestehen.

•  Einen MX-Eintrag direkt auf eine IP-Adresse statt auf einen Hostnamen verweisen lassen.

•  Einen Registrar-Transfer mit einem Nameserver-Wechsel verwechseln — das sind unterschiedliche Aktionen mit unterschiedlichen Auswirkungen.

•  Annehmen, jedes DNS-Problem sei "Propagation", statt auf eine tatsächliche Fehlkonfiguration zu prüfen.

•  DNS bei mehreren Anbietern gleichzeitig während einer Migration bearbeiten und dabei den Überblick verlieren, welcher maßgeblich ist.

•  IPv6 komplett vergessen oder einen veralteten AAAA-Eintrag stehen lassen, der auf einen alten Server zeigt.

•  TTL-Werte setzen, die ungewöhnlich lang oder ungewöhnlich kurz sind, ohne betrieblichen Grund für beides.

•  Änderungen vornehmen, ohne die vorherigen Werte für ein Rollback festzuhalten.

Praktische Migrations-Checkliste

☐  Vollständiger Export der aktuellen DNS-Zone vor jeder Änderung gespeichert

☐  Jeder Website-, E-Mail-, Verifizierungs- und Sicherheitseintrag identifiziert und aufgelistet

☐  Zielwerte mit dem neuen Anbieter oder Server bestätigt

☐  TTL mit ausreichendem Vorlauf gesenkt, damit alte zwischengespeicherte Antworten ablaufen können

☐  Neue Zone erstellt und validiert, bevor die Delegation geändert wird

☐  Änderungen nach Möglichkeit eine Ebene nach der anderen vorgenommen

☐  Root-Domain nach der Änderung getestet

☐  www (oder entsprechend) nach der Änderung getestet

☐  E-Mail-Zustellung nach der Änderung getestet

☐  Kritische Subdomains nach der Änderung getestet

☐  MX-, SPF-, DKIM- und DMARC-Einträge gezielt überprüft, nicht nur vorausgesetzt

☐  Alter Dienst während der Übergangszeit weiter aktiv gehalten

☐  Aktive Überwachung während der Umstellung eingerichtet

☐  Getesteter, dokumentierter Rollback-Plan vor Beginn bereit

Häufig gestellte Fragen

Hostet DNS meine Website?

Nein. DNS sagt Geräten, wo sie Ihre Website finden, indem es Einträge wie A oder AAAA veröffentlicht, die auf die Adresse Ihres Hosting-Servers verweisen. Die eigentlichen Dateien, die Datenbank und die Anwendung laufen auf dem Hosting-Server selbst — DNS ist der Verzeichniseintrag, nicht das Gebäude.

Ist DNS dasselbe wie ein Nameserver?

Nein. DNS ist das übergeordnete System und Protokoll; ein Nameserver ist ein bestimmter Server, der DNS-Abfragen beantwortet, entweder maßgeblich für eine Zone oder rekursiv im Auftrag eines Clients. Die Nameserver einer Domain sind ein Teil davon, wie DNS für diese Domain funktioniert, nicht das gesamte System.

Was ist der Unterschied zwischen einem autoritativen DNS-Server und einem rekursiven Resolver?

Ein autoritativer Nameserver hält die tatsächliche DNS-Zone einer Domain und gibt die maßgebliche Antwort für deren Einträge. Ein rekursiver Resolver hält diese Daten selbst nicht — er fragt die DNS-Hierarchie im Auftrag eines Clients ab, speichert das Ergebnis zwischen und liefert es zurück. Beide spielen unterschiedliche Rollen in derselben Abfrage.

Wie lange dauern DNS-Änderungen?

Das hängt von der TTL der beteiligten Einträge und davon ab, wie einzelne Resolver Antworten zwischenspeichern — häufig genannte Zeitfenster wie "24–48 Stunden" sind grobe Richtwerte, keine technische Garantie. Ein Eintrag mit kurzer, rechtzeitig vorab gesenkter TTL kann deutlich schneller aktualisiert sein; eine lange zwischengespeicherte Antwort kann bei einzelnen Resolvern weit über eine typische Schätzung hinaus bestehen bleiben.

Was passiert, wenn ich Nameserver ändere?

Sie delegieren die Domain an einen anderen autoritativen DNS-Anbieter, der die gesamte bisher genutzte Zone der Domain ersetzt — nicht nur einen Eintrag. Jeder Eintragstyp, auf den die Domain angewiesen war, einschließlich MX, TXT und Verifizierungseinträge, muss in der neuen Zone korrekt vorhanden sein, sonst kann der entsprechende Dienst ausfallen.

Was ist DNSSEC?

DNSSEC (Domain Name System Security Extensions) fügt DNS-Antworten kryptografische Signaturen hinzu, sodass ein Resolver prüfen kann, dass ein Eintrag tatsächlich von der legitimen maßgeblichen Quelle stammt und unterwegs nicht manipuliert wurde. Es schützt die Integrität und Herkunft von DNS-Antworten, nicht den Inhalt Ihrer Website oder E-Mail.

Verschlüsselt DNSSEC den DNS-Verkehr?

Nein. DNSSEC bietet Ursprungsauthentifizierung und Datenintegrität — den Nachweis, dass eine Antwort echt und unverändert ist. Es verschlüsselt weder Anfrage noch Antwort und verbirgt nicht, welche Domains ein Gerät nachschlägt; das ist ein separates Anliegen, das durch andere Technologien adressiert wird.

Können mein Registrar und mein DNS-Anbieter unterschiedliche Unternehmen sein?

Ja. Viele Domains nutzen den Standard-DNS-Dienst ihres Registrars, aber eine Domain kann bei einem Unternehmen registriert und ihr DNS bei einem völlig separaten Anbieter gehostet sein, solange die Nameserver der Domain auf diesen Anbieter delegiert sind.

Können meine Website und meine E-Mail unterschiedliche Anbieter nutzen?

Ja, und das ist üblich. DNS macht das möglich, indem unterschiedliche Eintragstypen auf unterschiedliche Ziele verweisen können — ein A- oder AAAA-Eintrag kann auf einen Hosting-Anbieter zeigen, während MX-Einträge auf einen völlig separaten E-Mail-Dienst verweisen, alles innerhalb derselben DNS-Zone.

Warum funktioniert meine Website für manche Nutzer, für andere aber nicht, nach einer DNS-Änderung?

Das liegt meist am Caching, nicht an einer fehlerhaften Änderung. Der Datenverkehr verschiedener Nutzer läuft über unterschiedliche rekursive Resolver, und jeder kann noch eine zwischengespeicherte Antwort von vor Ihrer Aktualisierung halten, gültig bis zum Ablauf seiner TTL. Die Uneinheitlichkeit löst sich in der Regel von selbst auf, sobald jeder Cache abläuft.

Macht eine DNS-Änderung das Internet schneller?

Nicht direkt. Der Wechsel des genutzten rekursiven Resolvers kann beeinflussen, wie schnell Abfragen aufgelöst werden, und ein gut konfigurierter, gut erreichbarer Resolver kann einzelnen Abfragen etwas Zeit sparen, aber die DNS-Auflösung ist nur ein kleiner Teil der gesamten Seitenladezeit. Sie erhöht nicht Ihre Verbindungsgeschwindigkeit und umgeht keine Netzwerkbeschränkungen.

Wie kann ich prüfen, ob meine MX- und TXT-Einträge noch existieren?

Nutzen Sie ein DNS-Abfragetool, um die aktuellen MX- und TXT-Einträge der Domain direkt abzufragen und mit Ihren dokumentierten, erwarteten Werten zu vergleichen. Das zeigt, was das Abfragetool aktuell für diese Einträge liefert — der direkteste Weg, einen Eintrag zu finden, der bei einer Migration versehentlich weggefallen ist.

Das Wichtigste in Kürze

•  DNS verbindet Domainnamen mit den technischen Diensten dahinter — Adressen, Mailserver, Verifizierungsdaten und mehr, nicht nur eine IP-Adresse pro Domain.

•  Viele DNS-bedingte Ausfälle entstehen durch fehlende oder widersprüchliche Einträge, eine fehlerhafte Delegation oder unzureichend geplante Migrationen — nicht durch mysteriöse "Propagations"-Verzögerungen.

•  Sichere Änderungen hängen von einer aktuellen Zonenkopie, sorgfältiger Validierung, gestaffelter Umsetzung, aktiver Überwachung und einem tatsächlich nutzbaren Rollback-Plan ab.

Prüfen Sie Ihr DNS, bevor Sie Änderungen vornehmen

Überprüfen Sie die öffentlichen DNS-, MX-, TXT-, NS- und verwandten Einträge Ihrer Domain vor und nach einer Migration. Bei komplexen Website- und E-Mail-Umzügen bewahren Sie eine geprüfte Kopie der aktuellen Zone auf und ändern Sie eine Ebene nach der anderen.

Ebenfalls nützlich: Geschäftskritische Domains verwalten