DNS und Technik

DNS-Propagation ist der Prozess, bei dem aktualisierte DNS-Einträge sich weltweit an Resolver und Caching-Server verbreiten. Wenn Sie einen DNS-Eintrag ändern, muss jeder Server warten, bis seine zwischengespeicherte Kopie (auf Basis des TTL-Werts) abläuft, bevor er den neuen Eintrag abruft. Die vollständige Propagation dauert in der Regel einige Stunden, kann in seltenen Fällen jedoch bis zu 48 Stunden in Anspruch nehmen.

Ein A-Eintrag bildet eine Domain direkt auf eine IPv4-Adresse ab (z. B. 192.0.2.1), während ein CNAME-Eintrag (Canonical Name) eine Domain auf einen anderen Domainnamen statt auf eine IP-Adresse verweist. CNAMEs eignen sich für Aliasse — etwa um www.example.com auf example.com zu verweisen. Ein CNAME kann nicht an der Wurzel (Apex) einer Domain neben anderen Einträgen verwendet werden.

Nameserver sind Server, die die DNS-Einträge Ihrer Domain speichern und Abfragen dazu beantworten. Wenn jemand Ihre Domain in einen Browser eingibt, kontaktiert dessen DNS-Resolver die Nameserver Ihrer Domain, um die richtige IP-Adresse zu ermitteln. Sie legen Ihre Nameserver bei Ihrem Registrar fest, in der Regel mit Verweis auf Ihren Hosting-Anbieter oder DNS-Verwaltungsdienst.

TTL (Time to Live) ist ein in Sekunden angegebener Wert, der jedem DNS-Eintrag beigefügt ist und Resolvern mitteilt, wie lange der Eintrag zwischengespeichert werden soll, bevor eine neue Kopie abgerufen wird. Ein niedriger TTL-Wert (z. B. 300 Sekunden) bedeutet, dass Änderungen schnell propagieren, erhöht jedoch die Abfragelast auf Ihre Nameserver. Ein hoher TTL-Wert (z. B. 86.400 Sekunden bzw. 24 Stunden) reduziert die Abfragelast, verlangsamt jedoch die Propagation von Aktualisierungen.

DNSSEC (Domain Name System Security Extensions) fügt DNS-Einträgen kryptografische Signaturen hinzu, sodass Resolver überprüfen können, dass Antworten nicht manipuliert wurden — und schützt so vor DNS-Spoofing und Cache-Poisoning-Angriffen. Es wird für Domains empfohlen, bei denen Sicherheit entscheidend ist, erfordert jedoch Unterstützung sowohl seitens Ihres Registrars als auch Ihres DNS-Anbieters, und eine Fehlkonfiguration kann Ihre Domain unerreichbar machen.

Ein MX-Eintrag (Mail Exchanger) ist ein DNS-Eintrag, der festlegt, welche Mailserver für die Annahme von E-Mails im Auftrag einer Domain zuständig sind. Jeder MX-Eintrag enthält einen Prioritätswert — niedrigere Zahlen bedeuten höhere Priorität —, sodass mehrere Mailserver zur Redundanz konfiguriert werden können. Ohne einen korrekt konfigurierten MX-Eintrag werden an Ihre Domain gesendete E-Mails nicht zugestellt.

Ein TXT-Eintrag (Text) ist ein DNS-Eintrag, der einer Domain zugeordneten, für Menschen oder Maschinen lesbaren Text speichert. TXT-Einträge haben viele Einsatzzwecke: Verifizierung des Domain-Eigentums (etwa für die Google Search Console), E-Mail-Authentifizierung über SPF und DKIM, DMARC-Richtlinien sowie weitere Dienstkonfigurationen. Eine einzelne Domain kann mehrere TXT-Einträge haben, wobei Konflikte zwischen SPF-Einträgen vermieden werden müssen.

Ein AAAA-Eintrag bildet einen Domainnamen auf eine IPv6-Adresse ab — den 128-Bit-Nachfolger von IPv4, der einen deutlich größeren Adressraum bietet. IPv6-Adressen sehen aus wie '2001:0db8:85a3::8a2e:0370:7334'. Hosting-Anbieter unterstützen zunehmend Dual-Stack-Konfigurationen, bei denen sowohl ein A-Eintrag (IPv4) als auch ein AAAA-Eintrag (IPv6) auf denselben Server verweisen, sodass Clients sich über beide Protokolle verbinden können.

Eine DNS-Zonendatei ist eine reine Textdatei auf einem Nameserver, die alle DNS-Einträge einer Domain enthält — darunter A-, AAAA-, CNAME-, MX-, TXT-, NS- und SOA-Einträge. Sie beginnt mit einem SOA-Eintrag (Start of Authority), der den primären Nameserver der Zone und den administrativen Kontakt beschreibt. Die meisten Hosting-Kontrollpanels und DNS-Anbieter abstrahieren die Bearbeitung der Zonendatei hinter einer grafischen Oberfläche, doch das Verständnis des Formats ist für fortgeschrittene Konfigurationen und Migrationen hilfreich.

Ein Wildcard-DNS-Eintrag verwendet einen Asterisk (*) als äußerstes linkes Label und trifft auf jede Subdomain zu, für die kein spezifischerer Eintrag definiert ist. '*.example.com' würde beispielsweise für 'anything.example.com' auflösen. Wildcards werden häufig von Plattformen genutzt, die Subdomains pro Nutzer oder Mandant generieren. Sie können auch mit Wildcard-SSL-Zertifikaten kombiniert werden, um alle Subdomains unter einem einzigen Zertifikat abzusichern.

Die Root-DNS-Server sind 13 logische Servercluster (bezeichnet mit A bis M) an der Spitze der DNS-Hierarchie. Sie führen die maßgebliche Liste aller TLD-Nameserver und bilden den Ausgangspunkt jeder rekursiven DNS-Abfrage, wenn ein Resolver über keine zwischengespeicherte Antwort verfügt. Die 13 Adressen werden von Organisationen wie ICANN, Verisign, NASA und universitären Forschungsnetzwerken betrieben und weltweit über Anycast an Hunderten physischen Standorten repliziert, um Ausfallsicherheit und Geschwindigkeit zu gewährleisten.

Anycast ist eine Netzwerk-Routing-Technik, bei der sich mehrere Server dieselbe IP-Adresse teilen und eingehender Traffic automatisch zum nächstgelegenen oder leistungsfähigsten Server geleitet wird. DNS-Anbieter wie Cloudflare und Google nutzen Anycast, um DNS-Abfragen aus Rechenzentren in Nutzernähe zu beantworten und so die Latenz zu reduzieren. Anycast bietet zudem DDoS-Resilienz — Angriffstraffic wird auf viele Knoten verteilt, statt einen einzelnen Server zu überlasten.

Reverse-DNS (rDNS) bildet eine IP-Adresse mithilfe von PTR-Einträgen (Pointer), die in der Zone in-addr.arpa für IPv4 beziehungsweise ip6.arpa für IPv6 gespeichert sind, zurück auf einen Domainnamen ab. Eine Forward-Abfrage bildet Domain → IP ab; eine Reverse-Abfrage bildet IP → Domain ab. PTR-Einträge werden vom Inhaber des IP-Blocks kontrolliert (in der Regel Ihrem Hosting-Anbieter oder Internetdienstanbieter), nicht von Ihrem Registrar. Korrekt konfiguriertes Reverse-DNS ist wichtig für die Zustellbarkeit von E-Mails — viele Mailserver weisen Nachrichten von IPs ohne passendes rDNS zurück.

Ein CAA-Eintrag (Certification Authority Authorization) legt fest, welche Zertifizierungsstellen (CAs) SSL/TLS-Zertifikate für Ihre Domain ausstellen dürfen. Durch die Veröffentlichung eines CAA-Eintrags können Sie die Zertifikatsausstellung auf eine oder mehrere vertrauenswürdige CAs beschränken und so das Risiko verringern, dass eine unautorisierte CA ein unbefugtes Zertifikat für Ihre Domain ausstellt. CAA-Einträge werden von CAs vor der Ausstellung geprüft, verhindern jedoch nicht, dass bereits ausgestellte Zertifikate gültig bleiben.

DNS over HTTPS (DoH) ist ein Protokoll, das DNS-Abfragen innerhalb von standardmäßigem HTTPS-Traffic verschlüsselt und so verhindert, dass Internetdienstanbieter, Netzwerkadministratoren oder Angreifer im selben Netzwerk sehen können, welche Domains Sie abfragen. DoH wird von großen Browsern wie Chrome und Firefox sowie von öffentlichen Resolvern wie Cloudflare (1.1.1.1) und Google (8.8.8.8) unterstützt. DoH verbessert zwar die Privatsphäre, kann jedoch die lokale netzwerkseitige DNS-Filterung umgehen, was für Unternehmensumgebungen zu berücksichtigen ist.

DNS over TLS (DoT) verschlüsselt DNS-Abfragen mithilfe des TLS-Protokolls über einen dedizierten Port (853) und schützt so den DNS-Traffic vor Mithörern. Anders als DNS over HTTPS (DoH) nutzt DoT einen separaten Port, den Netzwerkbetreiber identifizieren und verwalten können, was es für Unternehmensumgebungen geeigneter macht, in denen DNS-Traffic geprüft werden muss. Sowohl DoT als auch DoH bieten ähnliche Datenschutzvorteile; der Hauptunterschied liegt darin, wie sie sich in anderen Traffic einfügen.

DNS-Lastverteilung verteilt Traffic auf mehrere Server, indem bei derselben Domainabfrage unterschiedliche IP-Adressen zurückgegeben werden. In der einfachsten Form — Round-Robin-DNS — werden für denselben Hostnamen mehrere A-Einträge hinzugefügt, durch die Resolver reihum rotieren. Ausgefeiltere Ansätze nutzen gewichtete Einträge, geografisches Routing (Rückgabe der IP des nächstgelegenen Servers basierend auf dem Standort des Clients) sowie Failover auf Basis von Health-Checks, um IPs nicht funktionsfähiger Server automatisch zu entfernen.

Ein Glue-Eintrag ist ein A-Eintrag, der in der übergeordneten TLD-Zone gespeichert wird und die IP-Adresse eines Nameservers liefert, dessen Hostname innerhalb der von ihm bedienten Domain liegt — er löst damit eine sonst zirkuläre Abhängigkeit auf. Wenn ns1.example.com beispielsweise Nameserver für example.com ist, muss die .com-Registry die IP-Adresse von ns1.example.com (einen Glue-Eintrag) vorhalten, damit Resolver ihn finden können. Glue-Einträge sind erforderlich, wenn Sie benutzerdefinierte (Vanity-)Nameserver mit Ihrer eigenen Domain einrichten.

DNS-Delegation ist der Prozess, bei dem eine übergeordnete Zone die Zuständigkeit für eine Subdomain an einen anderen Satz von Nameservern überträgt. So delegiert die Root-Zone .com an die Nameserver von Verisign, und die Zone von Verisign delegiert example.com an die vom Registranten konfigurierten Nameserver. Diese Hierarchie von Delegationen bildet die verteilte, dezentrale Struktur des globalen DNS. Jede Delegation wird mit NS-Einträgen in der übergeordneten Zone erfasst.

Ein NS-Eintrag (Name Server) benennt die maßgeblichen Nameserver für eine DNS-Zone. Wenn ein Resolver eine Domain abfragt, nutzt er NS-Einträge, um herauszufinden, welche Nameserver die maßgeblichen Antworten liefern. Jede Domain muss mindestens zwei NS-Einträge haben — einen primären und einen sekundären — zur Redundanz. NS-Einträge werden sowohl bei Ihrem Registrar (um der Registry mitzuteilen, wo Ihre Zone liegt) als auch innerhalb Ihrer Zonendatei selbst gesetzt.

DNS-Caching speichert die Ergebnisse von DNS-Abfragen lokal — in Ihrem Betriebssystem, Ihrem Browser oder beim rekursiven Resolver Ihres Internetdienstanbieters —, sodass wiederholte Abfragen derselben Domain keinen vollständigen Weg zurück zum maßgeblichen Nameserver erfordern. Jeder zwischengespeicherte Eintrag wird für die durch seinen TTL-Wert (Time to Live) festgelegte Dauer vorgehalten. Caching beschleunigt das Surfen erheblich, bedeutet jedoch, dass DNS-Änderungen für Nutzer, die eine Domain kürzlich besucht haben, nicht sofort wirksam werden.

Ein autoritativer DNS-Server führt die offiziellen DNS-Einträge einer Domain und beantwortet Abfragen mit endgültigen Antworten — er rät nicht und fragt nicht anderswo nach. Ein rekursiver DNS-Resolver (etwa der DNS-Dienst Ihres Internetdienstanbieters oder Cloudflare 1.1.1.1) nimmt Abfragen von Clients entgegen und arbeitet sich durch die DNS-Hierarchie — er fragt zunächst Root-Server, dann TLD-Server, dann autoritative Server —, um einen Namen aufzulösen. Resolver speichern Ergebnisse zwischen, um die Geschwindigkeit zu erhöhen; autoritative Server rekursieren nicht.

Ein SRV-Eintrag (Service) gibt Hostname und Portnummer für bestimmte Dienste an, die unter einer Domain laufen. Das Eintragsformat umfasst Dienstname, Protokoll, Priorität, Gewichtung, Port und Ziel-Hostname — zum Beispiel '_xmpp-client._tcp.example.com'. SRV-Einträge werden häufig von VoIP (SIP), Instant Messaging (XMPP) und Game-Servern genutzt, damit Clients Dienst-Endpunkte automatisch erkennen können, ohne Ports fest zu codieren.

Das Leeren des lokalen DNS-Caches zwingt Ihr Gerät, aktuelle DNS-Einträge abzurufen, statt veraltete zwischengespeicherte Ergebnisse zu verwenden. Öffnen Sie unter Windows die Eingabeaufforderung und führen Sie 'ipconfig /flushdns' aus. Unter macOS führen Sie 'sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder' aus. Unter Linux mit systemd-resolved führen Sie 'sudo systemd-resolve --flush-caches' aus. Auch Browser führen einen eigenen DNS-Cache; in Chrome können Sie ihn über chrome://net-internals/#dns leeren.

DNS-Failover ist eine Technik, die DNS-Einträge automatisch ändert, um Traffic von einem ausgefallenen Server auf einen funktionsfähigen Backup-Server umzuleiten. Überwachungsagenten prüfen fortlaufend die Server-Gesundheit; fällt ein primärer Server aus, aktualisiert der DNS-Anbieter den Eintrag (in der Regel einen A- oder CNAME-Eintrag), sodass er auf einen sekundären Server verweist. Da DNS-Änderungen dem TTL-basierten Caching unterliegen, ist Failover am schnellsten, wenn TTL-Werte niedrig gehalten werden (z. B. 60–300 Sekunden). Managed-DNS-Anbieter wie Cloudflare und AWS Route 53 bieten integrierte Failover-Routing-Richtlinien.