Was ist DNS und wie funktioniert es?

IPAddress-Lookup.com · June 28, 2025

Jedes Mal, wenn Sie einen Webseitennamen in Ihren Browser eingeben, springt ein unsichtbares System an, um herauszufinden, wo sich diese Seite tatsächlich befindet. Dieses System ist das Domain Name System (DNS) und gehört zu den wichtigsten Bestandteilen der Infrastruktur im Internet. Ohne DNS müssten Sie sich für jede Website, die Sie besuchen, lange Zahlenfolgen merken, anstatt benutzerfreundlicher Namen wie example.com. In diesem Leitfaden erklären wir Ihnen genau, was DNS ist, verfolgen eine echte Abfrage von Anfang bis Ende, erläutern alle wichtigen Eintragstypen und zeigen Ihnen, wie Sie DNS selbst überprüfen und Fehler beheben können.

Was ist DNS?

DNS ist das Telefonbuch des Internets. Computer kommunizieren nicht über für Menschen lesbare Namen, sondern über numerische Adressen. Wenn du einen Freund telefonisch erreichen möchtest, wählst du nicht seinen Namen, sondern seine Nummer – aber wahrscheinlich erinnerst du dich an den Namen und lässt ihn von deinem Adressbuch in Ziffern umwandeln. DNS macht dasselbe für das Internet: Es übersetzt einen Domainnamen, den sich Menschen merken können – wie zum Beispiel www.example.com – in die numerische IP-Adresse, die Maschinen tatsächlich zur Weiterleitung des Datenverkehrs verwenden, wie beispielsweise 93.184.216.34 für IPv4 oder eine längere hexadezimale Zeichenfolge für IPv6.

Diese Übersetzung ist wichtig, weil sich IP-Adressen ändern. Eine Website kann auf einen neuen Server umziehen, den Hosting-Anbieter wechseln oder ihre Inhalte auf Dutzende von Rechenzentren weltweit verteilen. Namen geben uns eine stabile, einprägsame Bezeichnung, die auch dann gleich bleibt, wenn sich die zugrunde liegende Adresse ändert. Das DNS ist die Ebene, die dieses Versprechen einhält und weltweit milliardenfach pro Sekunde Namen in Adressen auflöst. Es ist zudem ein verteiltes System, was bedeutet, dass kein einzelner Computer das gesamte Adressbuch enthält. Stattdessen verteilt sich die Verantwortung auf eine riesige Hierarchie von Servern – und genau das macht das DNS schnell, widerstandsfähig und in der Lage, sich auf den gesamten Planeten zu skalieren.

Die an einer DNS-Abfrage beteiligten Akteure

Bevor wir den Weg einer Abfrage nachverfolgen, ist es hilfreich, die Akteure kennenzulernen. Jeder hat eine bestimmte Aufgabe, und eine einzige Abfrage kann alle von ihnen betreffen:

• Stub-Resolver – das kleine Software-Modul, das in Ihr Betriebssystem integriert ist. Wenn eine Anwendung eine Adresse benötigt, leitet der Stub-Resolver die Anfrage weiter. Er führt selbst nur sehr wenige eigene Berechnungen durch.
• Rekursiver Resolver – das Arbeitstier, das in der Regel von Ihrem Internetdienstanbieter oder einem öffentlichen Anbieter wie den bekannten Diensten 8.8.8.8 oder 1.1.1.1 betrieben wird. Er nimmt Ihre Anfrage entgegen, erledigt alle notwendigen Schritte, um die endgültige Antwort zu finden, und gibt sie dann an Sie zurück.
• Root-Nameserver – die oberste Ebene der Hierarchie. Sie kennen keine Adressen von Websites, wissen aber, wo sich die für die jeweiligen Top-Level-Domains zuständigen Server befinden.
• TLD-Nameserver – verantwortlich für eine Top-Level-Domain wie .com, .org oder .net. Sie wissen, welche autoritativen Server die jeweils unter ihnen registrierten Domains verwalten.
• Autoritative Nameserver – die endgültige Quelle der Wahrheit. Diese Server speichern die tatsächlichen Einträge für eine bestimmte Domain und liefern die definitive Antwort.

Verfolgung einer echten Anfrage: Auflösung von www.example.com

Verfolgen wir eine einzelne Anfrage Schritt für Schritt. Stellen Sie sich vor, Sie geben www.example.com in Ihren Browser ein und drücken die Eingabetaste. Folgendes geschieht hinter den Kulissen, vorausgesetzt, es wurde noch nichts zwischengespeichert:

1. Der Browser fragt den Stub-Resolver ab. Der Stub-Resolver Ihres Betriebssystems empfängt die Anfrage für www.example.com. Er überprüft zunächst seinen eigenen lokalen Cache. Wenn er diesen Namen kürzlich bereits nachgeschlagen hat, gibt er die Antwort sofort zurück und der Vorgang endet hier.
2. Der Stub-Resolver kontaktiert den rekursiven Resolver. Da keine Antwort im Cache vorhanden ist, leitet der Stub-Resolver die Anfrage an Ihren konfigurierten rekursiven Resolver weiter.
3. Der rekursive Resolver fragt einen Root-Server ab. Da der rekursive Resolver noch nicht weiß, wo sich .com befindet, fragt er einen der Root-Server. Der Root-Server kennt www.example.com nicht, antwortet jedoch mit einer Weiterleitung: „Ich habe diese Antwort nicht, aber hier sind die für .com zuständigen Server.“
4. Der rekursive Resolver fragt den .com-TLD-Server ab. Entsprechend dieser Weiterleitung fragt der Resolver einen .com-TLD-Server nach www.example.com. Der TLD-Server antwortet mit einer weiteren Weiterleitung: „Ich kenne die Adresse nicht, aber hier sind die autoritativen Nameserver für example.com.“
5. Der rekursive Resolver fragt den autoritativen Server ab. Schließlich fragt der Resolver den autoritativen Nameserver für example.com ab. Dieser Server verfügt über die tatsächlichen Einträge und antwortet endgültig: „www.example.com befindet sich unter 93.184.216.34.“
6. Die Antwort wird an Sie zurückgesendet. Der rekursive Resolver speichert diese Antwort im Cache, leitet sie an Ihren Stub-Resolver weiter, und Ihr Browser baut eine Verbindung zu dieser IP-Adresse auf. Der gesamte Vorgang dauert in der Regel nur wenige Millisekunden.

Rekursive versus iterative Abfragen

Die obige Schritt-für-Schritt-Anleitung veranschaulicht zwei verschiedene Abfragetypen, und das Verständnis des Unterschieds beseitigt viel Verwirrung. Wenn Ihr Gerät dem rekursiven Resolver eine Frage stellt, erwartet es eine vollständige, endgültige Antwort. Das ist eine rekursive Abfrage: Der Resolver übernimmt die Verantwortung, alles Notwendige zu tun, um ein vollständiges Ergebnis zurückzugeben. Ihr Gerät lehnt sich zurück und wartet.

Die Kommunikation des rekursiven Resolvers mit dem Root-Server, den TLD-Servern und den autoritativen Servern erfolgt in Form von iterativen Abfragen. Keiner dieser Server sucht in Ihrem Auftrag nach der Antwort. Stattdessen antworten sie mit den besten Informationen, über die sie verfügen – in der Regel ist dies ein Verweis, der einen Schritt näher zum Ziel führt. Der rekursive Resolver wiederholt dann den Vorgang und arbeitet sich iterativ die Hierarchie hinunter, bis er eine autoritative Antwort erhält. Kurz gesagt: Ihr Gerät fragt rekursiv an, und der Resolver arbeitet iterativ.

Caching und TTL auf jeder Ebene

Müsste jede Abfrage den ganzen Weg bis zu einem autoritativen Server zurücklegen, wäre das Internet quälend langsam und die Root-Server würden unter der Last zusammenbrechen. Caching verhindert dies. Auf fast jeder Ebene werden Antworten vorübergehend gespeichert, damit sie wiederverwendet werden können. Ihr Browser speichert im Cache, Ihr Betriebssystem speichert im Cache und der rekursive Resolver speichert in großem Umfang im Cache.

Wie lange ein Eintrag zwischengespeichert werden darf, wird durch seine TTL (Time to Live) gesteuert, die in Sekunden gemessen und vom Domaininhaber festgelegt wird. Ein Eintrag mit einer TTL von 3600 darf eine Stunde lang zwischengespeichert werden, bevor ein Resolver eine neue Kopie abrufen muss. Kurze TTLs ermöglichen eine schnelle Änderung von Einträgen, was bei einer Servermigration praktisch ist, erhöhen jedoch das Abfragevolumen. Lange TTLs verbessern die Leistung und reduzieren die Auslastung, bedeuten aber, dass es länger dauert, bis sich Änderungen weltweit ausbreiten. Aus diesem Grund senken Administratoren die TTL eines Eintrags oft einen Tag vor einer geplanten Änderung und erhöhen sie danach wieder.

Die DNS-Hierarchie und die Root-Server

Das DNS ist als umgekehrter Baum organisiert. Ganz oben befindet sich die Root, dargestellt durch einen einzelnen Punkt, der normalerweise unsichtbar ist. Unterhalb der Root liegen die Top-Level-Domains wie .com, .org und Ländercodes wie .uk oder .de. Unter jeder TLD befinden sich die Second-Level-Domains, die von Einzelpersonen und Organisationen registriert werden, wie beispielsweise example.com. Darunter befinden sich Subdomains wie www oder mail. Liest man einen Domainnamen von rechts nach links, bewegt man sich in der Hierarchie vom Allgemeinen zum Spezifischen.

Die Root wird von einem System bedient, das gemeinhin als die „13 Root-Server“ bezeichnet wird. Tatsächlich handelt es sich dabei um 13 benannte Cluster, die mit A bis M gekennzeichnet sind und jeweils von einer anderen Organisation betrieben werden. Hinter jeder dieser 13 Adressen stehen Hunderte von physischen Servern, die weltweit mithilfe einer Technik namens Anycast verteilt sind, welche Ihre Anfrage an die nächstgelegene verfügbare Instanz weiterleitet. Auf diese Weise können eine Handvoll benannter Einstiegspunkte die Anfragen der gesamten Welt zuverlässig mit geringer Latenz und hoher Ausfallsicherheit gegenüber Ausfällen und Angriffen beantworten.

DNS-Eintragstypen erklärt

Die DNS-Zone einer Domain ist eine Sammlung von Einträgen, wobei jeder Eintragstyp einen bestimmten Zweck erfüllt. Ihr Verständnis ist für jeden unerlässlich, der eine Website betreibt oder E-Mails verwaltet. Die folgende Tabelle fasst die wichtigsten Typen mit jeweils einem Beispiel zusammen.

A- und AAAA-Einträge

Dies sind die Arbeitspferde, die Namen mit Adressen verbinden. Ein A-Eintrag verweist auf eine IPv4-Adresse, während ein AAAA-Eintrag auf eine IPv6-Adresse verweist. Eine Domain kann beide enthalten, sodass Clients beider Protokolle sie erreichen können. Wenn Ihr Browser fragt: „Wo ist example.com?“, liefert in der Regel einer dieser beiden Einträge die endgültige Antwort.

CNAME-Einträge

Ein CNAME-Eintrag erstellt einen Alias und leitet einen Namen auf einen anderen kanonischen Namen weiter. Er wird häufig verwendet, um „www“ auf die bloße Domain zu verweisen oder eine benutzerdefinierte Subdomain auf die Adresse eines Hosting-Anbieters zu verweisen. Eine wichtige Regel lautet, dass ein CNAME nicht zusammen mit anderen Einträgen unter demselben Namen existieren kann, weshalb für die Root-Ebene einer Domain in der Regel A- oder AAAA-Einträge anstelle eines CNAME verwendet werden.

MX- und E-Mail-Einträge

MX-Einträge teilen der Welt mit, welche Server E-Mails für Ihre Domain entgegennehmen, wobei eine Prioritätszahl die Reihenfolge bestimmt, in der sie ausprobiert werden. Niedrigere Zahlen werden bevorzugt, sodass ein Server mit Priorität 10 vor einem mit Priorität 20 ausprobiert wird. MX-Einträge sind jedoch nur ein Teil der DNS-Geschichte von E-Mails.

TXT-Einträge: SPF, DKIM und DMARC

TXT-Einträge speichern frei formatierten Text, und die E-Mail-Welt stützt sich stark auf sie für drei miteinander verknüpfte Authentifizierungsmechanismen. SPF listet die Server auf, die E-Mails im Namen Ihrer Domain versenden dürfen, und hilft Empfängern so, Fälschungen abzuweisen. DKIM veröffentlicht einen kryptografischen öffentlichen Schlüssel, damit Empfänger überprüfen können, ob eine Nachricht von Ihrer Domain signiert und während der Übertragung nicht verändert wurde. DMARC verbindet beide Verfahren miteinander und teilt den Empfängern mit, wie sie mit Nachrichten verfahren sollen, die die SPF- oder DKIM-Prüfung nicht bestehen, und wohin sie Berichte senden sollen. Zusammen bilden sie das Rückgrat der modernen E-Mail-Zustellbarkeit.

NS- und SOA-Einträge

NS-Einträge delegieren die Autorität und benennen die für eine Zone zuständigen Server. Der SOA-Eintrag steht an der Spitze jeder Zone und enthält administrative Details wie den primären Nameserver, den zuständigen Ansprechpartner, eine Seriennummer, die sich bei Bearbeitung der Zone ändert, sowie Timer, die regeln, wie sekundäre Server ihre Kopien der Zone aktualisieren.

CAA- und PTR-Einträge

Ein CAA-Eintrag schränkt ein, welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen, und bietet so einen zusätzlichen Schutz vor nicht autorisierten Zertifikaten. Wenn Sie verstehen möchten, wie diese Zertifikate Ihren Datenverkehr sichern, lesen Sie unseren Leitfaden zur Erklärung von SSL-Zertifikaten. Ein PTR-Eintrag verwaltet das Reverse-DNS und ordnet eine IP-Adresse einem Hostnamen zu. Dieser wird häufig von Mail-Servern überprüft, um die Legitimität eines Absenders zu beurteilen.

DNS und E-Mail-Zustellbarkeit

DNS ist für E-Mails wohl genauso wichtig wie für das Web. Wenn ein Mailserver eine Nachricht an Ihre Domain zustellen möchte, fragt er Ihre MX-Einträge ab, um das richtige Ziel zu finden. Wenn ein empfangender Server entscheiden möchte, ob eine eingehende Nachricht vertrauenswürdig ist, überprüft er Ihre SPF-, DKIM- und DMARC-Einträge und verifiziert oft auch den PTR-Eintrag des sendenden Servers. Fehlen diese Einträge oder sind sie falsch konfiguriert, können legitime E-Mails im Spam-Ordner landen oder gar nicht erst zugestellt werden. Die korrekte Einrichtung Ihrer DNS-E-Mail-Einträge ist eine der wirksamsten Maßnahmen, die Sie ergreifen können, um sicherzustellen, dass Ihre Nachrichten im Posteingang ankommen und nicht im Spam-Ordner verschwinden.

DNS-Sicherheit

Da das DNS so grundlegend ist, ist es zu einem Angriffsziel geworden, und es gibt verschiedene Technologien, um es abzusichern:

• DNSSEC fügt DNS-Einträgen kryptografische Signaturen hinzu, sodass Resolver überprüfen können, ob eine Antwort tatsächlich von der autoritativen Quelle stammt und nicht manipuliert wurde. Es schützt die Integrität der Daten, verschlüsselt sie jedoch nicht.
• DNS over HTTPS (DoH) und DNS over TLS (DoT) verschlüsseln die Kommunikation zwischen Ihrem Gerät und dem rekursiven Resolver. Bislang wurden DNS-Abfragen im Klartext übertragen, sodass jeder auf dem Netzwerkpfad sie einsehen und sogar verändern konnte. DoH und DoT schließen diese Lücke, indem sie Abfragen verschlüsseln.
• Cache-Poisoning ist ein klassischer Angriff, bei dem ein böswilliger Akteur einen Resolver dazu verleitet, eine falsche Antwort zwischenzuspeichern, wodurch Opfer auf einen betrügerischen Server umgeleitet werden. DNSSEC und moderne Resolver-Schutzmaßnahmen wie zufällige Quellports machen die Durchführung dieses Angriffs deutlich schwieriger.

Häufige DNS-Probleme und Fehlerbehebung

Wenn eine Website nicht geladen wird, ist oft das DNS der Übeltäter. Zu den häufigsten Problemen gehören:

• Propagierungsverzögerungen. Nachdem Sie einen Eintrag geändert haben, können alte zwischengespeicherte Werte so lange bestehen bleiben, bis ihre TTL abläuft. Deshalb kann eine Änderung für Sie bereits sichtbar sein, für andere jedoch noch nicht.
• Tippfehler und fehlende Einträge. Ein falsch geschriebener Hostname oder ein vergessener A-Eintrag führt zu Fehlern, die leicht übersehen werden.
• Nicht übereinstimmende Nameserver. Wenn Ihr Registrar die Domain auf die falschen Nameserver verweist, werden Ihre sorgfältig erstellten Einträge niemals abgefragt.
• Konflikte bei CNAME-Einträgen. Das Platzieren eines CNAME-Eintrags neben anderen Einträgen unter demselben Namen unterbricht die Auflösung.
• Resolver-Caching. Manchmal liegt das Problem in einem veralteten Eintrag in Ihrem eigenen Gerät oder Router, was durch das Leeren des Caches behoben werden kann.

So überprüfen Sie DNS-Einträge selbst

Sie müssen kein Netzwerkingenieur sein, um DNS-Einträge abzufragen. Mit Befehlszeilentools wie „dig“ und „nslookup“, die auf den meisten Systemen verfügbar sind, können Sie jeden Eintragstyp direkt abfragen. Wenn Sie beispielsweise den A-Eintrag einer Domain abfragen, erhalten Sie deren IPv4-Adresse, während die Abfrage von MX-Einträgen die Mailserver der Domain anzeigt. Wenn Sie die Befehlszeile nicht bevorzugen, können Sie mit einem Online-DNS-Lookup-Tool die Einträge einer beliebigen Domain direkt über Ihren Browser abfragen, ohne Software installieren zu müssen. So lässt sich leicht überprüfen, ob eine kürzlich vorgenommene Änderung übernommen wurde, oder eine Fehlkonfiguration diagnostizieren.

Sich anzugewöhnen, DNS-Einträge zu überprüfen, macht das gesamte System verständlich. Sobald Sie die A-, MX- und TXT-Einträge Ihrer eigenen Domain einsehen können, wird das abstrakte „Telefonbuch“ zu einer konkreten, nachvollziehbaren Sammlung von Einträgen, die Sie selbst kontrollieren. Von da an ist die Diagnose einer langsamen Website, einer zurückgewiesenen E-Mail oder einer Zertifikatswarnung keine Frage des Rätselratens mehr, sondern lediglich eine Frage des Lesens der Einträge.

Häufig gestellte Fragen

Wofür steht DNS?

DNS steht für Domain Name System. Es ist das verteilte System, das für Menschen lesbare Domainnamen in die numerischen IP-Adressen übersetzt, mit denen Computer miteinander kommunizieren.

Warum wird das DNS als das Telefonbuch des Internets bezeichnet?

Genauso wie man in einem Telefonbuch anhand des Namens die Telefonnummer einer Person nachschlagen kann, ermöglicht DNS Ihrem Computer, anhand des Domainnamens die IP-Adresse einer Website zu ermitteln. Sie merken sich den einfachen Namen, und DNS übernimmt die Übersetzung in die Nummer, die Maschinen tatsächlich benötigen.

Wie lange dauert es, bis DNS-Änderungen wirksam werden?

Das hängt von der TTL des Eintrags ab und davon, wie intensiv die Resolver entlang des Weges ihn zwischengespeichert haben. Bei einer kurzen TTL können Änderungen innerhalb von Minuten sichtbar werden, es kann jedoch bis zu 24 bis 48 Stunden dauern, bis sie sich weltweit vollständig verbreitet haben, wenn noch ältere zwischengespeicherte Werte verwendet werden.

Was ist der Unterschied zwischen einem rekursiven Resolver und einem autoritativen Server?

Ein rekursiver Resolver übernimmt die Arbeit, eine Antwort zu finden, indem er in Ihrem Auftrag andere Server abfragt und das Ergebnis zwischenspeichert. Ein autoritativer Server ist die maßgebliche Quelle, die tatsächlich die Einträge einer Domain enthält und die endgültige Antwort liefert.

Ist DNS verschlüsselt?

Herkömmliches DNS ist nicht verschlüsselt, was bedeutet, dass Anfragen im Klartext übertragen werden. Neuere Standards wie DNS über HTTPS und DNS über TLS verschlüsseln den Datenverkehr zwischen Ihrem Gerät und dem Resolver, während DNSSEC Signaturen hinzufügt, die die Authentizität der Antworten überprüfen.

Wie kann ich die DNS-Einträge einer Domain überprüfen?

Sie können Befehlszeilentools wie „dig“ oder „nslookup“ oder einen browserbasierten DNS-Lookup-Dienst verwenden. Damit können Sie bestimmte Eintragstypen wie A, AAAA, MX und TXT abfragen, um die Konfiguration zu überprüfen oder Probleme zu beheben.