DNS-Einträge prüfen: A, MX, TXT und CNAME

Wenn eine Website nicht lädt, keine E-Mails mehr ankommen oder eine neue Domain „noch nicht funktioniert“, liegt die Antwort meist in ihren DNS-Einträgen. DNS (Domain Name System) ist das Adressbuch des Internets: Es übersetzt einen Namen wie mybotsy.com in die Serveradressen und Einstellungen, die Computer brauchen. Dieser Leitfaden zeigt, wie Sie die DNS-Einträge jeder Domain prüfen, erklärt jeden Eintragstyp und geht die Probleme durch, die Sie wahrscheinlich gerade lösen wollen.

So funktioniert DNS, in einer Minute

Wenn Sie eine Domain in den Browser eingeben, fragt Ihr Gerät einen Resolver (meist von Ihrem Internetanbieter oder einen öffentlichen wie 8.8.8.8 von Google oder 1.1.1.1 von Cloudflare) nach den Einträgen. Hat der Resolver keine frische Kopie im Cache, fragt er die Root-Server, dann die Server der Top-Level-Domain (etwa .com) und schließlich die autoritativen Nameserver der Domain, die die echten Einträge halten. Die Antwort wird für eine Dauer zwischengespeichert, die TTL (Time to Live) heißt.

Dieses Caching ist der Grund, warum DNS-Änderungen nicht überall gleichzeitig sichtbar werden, und warum es so nützlich ist, Einträge direkt zu prüfen.

Die DNS-Eintragstypen, denen Sie wirklich begegnen

A- und AAAA-Einträge

Ein A-Eintrag verweist einen Namen auf eine IPv4-Adresse wie 203.0.113.10. Ein AAAA-Eintrag macht dasselbe für eine IPv6-Adresse. Sie sorgen dafür, dass eine Website lädt. Eine Domain kann mehrere davon haben, für Lastverteilung oder Redundanz.

CNAME-Einträge

Ein CNAME (Canonical Name) macht einen Namen zum Alias eines anderen, etwa wenn www.example.com auf example.com oder auf den Hostnamen eines Hosters zeigt. Ein Name mit CNAME darf keine weiteren Einträge unter demselben Namen haben. Deshalb nutzt die Stammdomain meist A-Einträge (oder eine anbieterspezifische „Flattening“-Funktion).

MX-Einträge

MX-Einträge (Mail Exchanger) legen fest, welche Server E-Mails für die Domain empfangen, jeweils mit einer Prioritätszahl. Niedrigere Zahlen werden zuerst versucht. Fehlen MX-Einträge oder sind sie falsch, werden E-Mails an die Domain abgewiesen oder verschwinden.

TXT-Einträge

TXT-Einträge enthalten Text und dienen heute vor allem der Verifizierung und E-Mail-Sicherheit:

• SPF (v=spf1 ...) listet die Server, die E-Mails für die Domain senden dürfen.
• DKIM-Einträge (unter Namen wie selector._domainkey.example.com) veröffentlichen Schlüssel, mit denen Empfänger signierte E-Mails prüfen können.
• DMARC (unter _dmarc.example.com) sagt Empfängern, was mit Mails geschehen soll, die SPF und DKIM nicht bestehen, und wohin Berichte gehen.
• Website-Verifizierungscodes für Dienste wie die Google Search Console.

NS- und SOA-Einträge

NS-Einträge listen die autoritativen Nameserver der Domain und zeigen damit, welcher DNS-Anbieter die Kontrolle hat. Der SOA-Eintrag (Start of Authority) enthält Verwaltungsdaten wie den primären Nameserver und eine Seriennummer, die sich bei jeder Zonenänderung ändert.

CAA-Einträge

CAA-Einträge listen, welche Zertifizierungsstellen SSL/TLS-Zertifikate für die Domain ausstellen dürfen. Existiert ein CAA-Eintrag und Ihr Zertifikatsanbieter steht nicht darin, schlägt die Ausstellung fehl.

DNS-Einträge online prüfen

Am schnellsten geht es mit einer webbasierten Abfrage, ganz ohne Software:

1. Öffnen Sie das Tool DNS-Lookup.
2. Geben Sie die Domain oder Subdomain ein, etwa example.com oder mail.example.com, ohne https://.
3. Senden Sie die Abfrage ab und prüfen Sie die zurückgegebenen A-, AAAA-, CNAME-, MX-, NS-, TXT-, SOA- und CAA-Einträge.
4. Wiederholen Sie das für einzelne Subdomains. Namen wie www oder _dmarc sind eigenständig und brauchen eigene Abfragen.

DNS über die Kommandozeile prüfen

Wenn Sie das Terminal bevorzugen, erledigen zwei eingebaute Tools die Arbeit.

nslookup (Windows, macOS, Linux)

nslookup example.com
nslookup -type=mx example.com
nslookup -type=txt example.com 1.1.1.1

Die letzte Zeile fragt einen bestimmten Resolver (hier 1.1.1.1), praktisch zum Vergleichen von Antworten.

dig (macOS, Linux)

dig example.com A
dig example.com MX +short
dig _dmarc.example.com TXT
dig @ns1.yourdnsprovider.com example.com A

Wer den autoritativen Nameserver mit @ direkt abfragt, sieht die aktuellen Einträge ohne zwischengeschalteten Cache.

Häufige DNS-Probleme beheben

„Meine Website lädt nicht mehr, seit ich den Hoster gewechselt habe“

Prüfen Sie die A- (und AAAA-)Einträge für die Stammdomain und für www. Sie müssen auf die IP des neuen Hosters zeigen. Entfernen Sie alte AAAA-Einträge, die noch auf den vorherigen Server verweisen, da Browser IPv6 bevorzugen können. Prüfen Sie danach das Hosting mit dem Website-Hosting-Checker und das Zertifikat mit dem SSL-Lookup.

„DNS-Änderungen werden nicht sichtbar“

Resolver behalten Antworten im Cache, bis die TTL abläuft. Hatte der alte Eintrag eine TTL von 86.400 Sekunden (24 Stunden), sehen manche Besucher die alte Adresse bis zu einen Tag lang. Senken Sie vor einem geplanten Umzug die TTL einen Tag vorher auf wenige Minuten. Prüfen Sie außerdem, welche Nameserver tatsächlich zuständig sind: Zeigen die NS-Einträge bei Ihrem Registrar auf einen anderen Anbieter als den, bei dem Sie geändert haben, greifen Ihre Änderungen nie.

„E-Mails kommen zurück oder landen im Spam“

Fragen Sie die MX-Einträge ab, dann die TXT-Einträge für SPF und den _dmarc-Eintrag. Typische Fehler sind zwei SPF-Einträge (nur einer ist erlaubt), ein im SPF vergessener E-Mail- oder Newsletter-Anbieter und eine DMARC-Richtlinie, die strenger ist, als Ihre Konfiguration hergibt.

„Eine Subdomain funktioniert nicht“

Stellen Sie sicher, dass es für genau diesen Namen einen Eintrag gibt. Ein Eintrag für example.com deckt blog.example.com nicht ab, außer es existiert ein Wildcard-Eintrag (*).

„Wer kontrolliert diese Domain?“

Die NS-Einträge verraten den DNS-Anbieter. Der WHOIS-Lookup zeigt den Registrar, Registrierungs- und Ablaufdatum sowie den Status der Domain. Löst eine Domain plötzlich nicht mehr auf, ist eine abgelaufene Registrierung eine häufige Ursache.

DNS und SEO

DNS ist selbst kein Rankingfaktor, beeinflusst aber Dinge, die für die Suche zählen:

• Erreichbarkeit. Fällt DNS aus, können Suchmaschinen Ihre Website nicht crawlen. Zuverlässige DNS-Anbieter mit mehreren Nameservern senken dieses Risiko.
• Geschwindigkeit. Langsame DNS-Auflösung verzögert den ersten Besuch. Schnelle, weltweit verteilte DNS-Anbieter helfen.
• Verifizierung. Die Google Search Console bietet eine Verifizierung per DNS-TXT, die alle Subdomains und Protokolle Ihrer Domain abdeckt.
• Einheitliche URLs. Sorgen Sie dafür, dass sowohl www als auch die Stammdomain auflösen, und leiten Sie eine auf die andere weiter. Prüfen Sie die Weiterleitungen mit dem URL-Weiterleitungs-Checker.

Weitere nützliche Abfragen

• Der IP-Lookup zeigt ungefähren Standort und Netzwerk einer IP-Adresse aus einem A-Eintrag.
• Der Reverse-IP-Lookup zeigt den Hostnamen (PTR-Eintrag) einer IP-Adresse, den Mailserver oft prüfen.
• Der HTTP-Header-Lookup zeigt, was der Server antwortet, nachdem DNS seine Arbeit getan hat.
• Der Punycode-Konverter wandelt Domains mit Umlauten oder nicht lateinischen Zeichen in die von DNS genutzte xn---Form um, damit Sie sie abfragen können.

Häufig gestellte Fragen

Wie lange dauert die DNS-Propagation?

Das hängt von der TTL des alten Eintrags ab. Viele Änderungen sind nach Minuten bis wenigen Stunden sichtbar, Einträge mit langer TTL können aber ein bis zwei Tage brauchen, bis sie überall aktualisiert sind.

Kann ich alle DNS-Einträge einer Domain sehen?

Sie können jeden Eintragstyp für die Namen abfragen, die Sie kennen. DNS erlaubt in der Regel nicht, alle Subdomains einer Zone aufzulisten, daher erscheinen Einträge unter unbekannten Namen nicht.

Was ist der Unterschied zwischen DNS und WHOIS?

DNS enthält die technischen Einträge, mit denen eine Domain funktioniert. WHOIS enthält Registrierungsdaten wie Registrar, Erstellungs- und Ablaufdatum und Status.

Warum zeigen verschiedene Tools unterschiedliche Ergebnisse?

Sie fragen möglicherweise verschiedene Resolver mit unterschiedlichen Cache-Kopien. Eine direkte Abfrage des autoritativen Nameservers zeigt den aktuellen Stand.

Was ist eine gute TTL?

Üblich sind Werte zwischen 300 Sekunden (5 Minuten) und 3.600 Sekunden (1 Stunde). Nutzen Sie vor geplanten Änderungen eine kurze TTL und für selten geänderte Einträge eine längere.