DNS Eintrag Abfrage

Was ist eine DNS Abfrage und was zeigt dieses Tool?

Eine DNS Abfrage liest die Einträge, die eine Domain im Domain Name System veröffentlicht, von außen aus und listet sie auf. Browser, Mailserver und der Googlebot stellen dabei immer dieselben Fragen: Auf welchen Server zeigt dieser Name, wohin gehen seine Mails, und wer verwaltet die Zone? Dieses Tool sammelt die Antworten in einer einzigen Abfrage über unseren Server und ordnet sie in drei Gruppen:

• Adresseinträge: A (IPv4), AAAA (IPv6) und auf Subdomains CNAME.
• Maileinträge: MX, der TXT Eintrag mit SPF und der DMARC Eintrag unter _dmarc.
• Verwaltungseinträge: NS, SOA und CAA, das festlegt, welche Zertifizierungsstellen Zertifikate ausstellen dürfen.

Verschwinden bei einem Kunden Mails oder bricht nach einem Umzug der Traffic ein, mache ich zuerst diesen Check. Auch in der SEO Beratung steht DNS ganz oben im technischen Audit. Denn ein falscher A Eintrag oder ein fehlender SPF Eintrag verursacht Probleme, die keine Optimierung auf der Seite ausgleicht. Das Tool liest nur. Es ändert also nichts an Ihrer Domain und speichert weder Abfrage noch Ergebnis.

Wie finden A, AAAA und CNAME Einträge Ihre Website?

Tippt jemand Ihre Adresse ein, schaut der Resolver zuerst in die A und AAAA Einträge. Der A Eintrag enthält die IPv4 Adresse, der AAAA Eintrag die IPv6 Adresse. Zeigen beide auf denselben Server, dann erreichen Nutzer aus beiden Netzen Ihre Website. Der große grüne Wert im Tool ist der erste A Eintrag; gibt es mehrere Adressen, steht daneben ein kleines +1. Mehr zur IPv6 Seite zeigt der IPv6 Test, und zu welchem Land und Anbieter eine IP gehört, verrät die IP Abfrage.

Ein CNAME verweist dagegen einen Namen auf einen anderen; www.beispiel.de kann zum Beispiel auf beispiel.de zeigen. Dabei stoße ich oft auf eine Regel: Laut RFC 1034 darf ein Name mit CNAME keine weiteren Einträge haben. Da die Root Domain immer SOA und NS Einträge trägt, ist dort kein CNAME möglich. Deshalb zeigt das Tool CNAME Einträge meist auf Subdomains wie www und nicht auf der Root Domain. Für die Root Domain tragen Sie also A und AAAA ein oder nutzen einen ALIAS Eintrag, falls Ihr DNS Anbieter so etwas anbietet.

Wie funktionieren MX Einträge und ihre Priorität?

Ein MX Eintrag sagt anderen Mailservern, wohin sie Mails für Ihre Domain zustellen sollen. Jeder MX Eintrag hat eine Prioritätszahl, und der sendende Server versucht zuerst die kleinste. Bei zwei Einträgen mit 10 und 20 springt die 20 zum Beispiel nur ein, wenn die 10 nicht antwortet. Zwischen Einträgen mit gleicher Zahl wählt der Absender allerdings zufällig. Das Tool sortiert MX Einträge in genau dieser Reihenfolge und nennt auf der Übersichtskarte die Root Domain des Anbieters. So sehen Sie auf einen Blick, ob Ihre Mails bei Google, Microsoft oder woanders liegen.

Dann gibt es noch den Null MX. Laut RFC 7505 bedeutet ein einzelner Eintrag mit Priorität 0 und einem Punkt als Ziel, dass die Domain überhaupt keine Mails annimmt. Das Tool wertet das deshalb nicht als Fehler, sondern kennzeichnet es als Null MX. Wechseln Sie den Mailanbieter, ist der MX Eintrag nur ein Teil der Arbeit; entfernen Sie außerdem die alten Einträge und passen Sie SPF an. Das komplette Setup beschreibe ich im Artikel zur E-Mail mit eigener Domain.

Wie prüfen Sie SPF, DKIM und DMARC mit einer DNS Abfrage?

Alle drei sind TXT Einträge, liegen aber unter verschiedenen Namen. SPF steht auf der Domain selbst, beginnt mit v=spf1 und listet die Server, die in Ihrem Namen Mails senden dürfen. DMARC liegt unter _dmarc.beispiel.de, beginnt mit v=DMARC1 und sagt Empfängern, was bei einer fehlgeschlagenen Prüfung passieren soll. DKIM liegt unter selektor._domainkey.beispiel.de und enthält den öffentlichen Schlüssel für die Signatur.

• SPF: Laut RFC 7208 darf eine Domain nicht mehr als einen SPF Eintrag veröffentlichen; das Tool zeigt diesen Fall rot. Ein -all am Ende ist eine strenge Regel, ~all eine weiche, und +all erlaubt allen alles.
• DMARC: p=none beobachtet nur, p=quarantine stuft durchgefallene Mails als verdächtig ein, p=reject weist sie ab. Die im Mai 2026 erschienene RFC 9989 legt fest, dass Empfänger alle DMARC Einträge verwerfen, wenn für einen Namen mehrere zurückkommen.
• DKIM: Ohne Selektor finden Sie ihn nicht. Im Header einer empfangenen Mail steht in der Zeile DKIM-Signature der Wert s=; das ist der Selektor, den Sie ins Tool eingeben.

Die Richtlinien für E-Mail Absender von Google verlangen von allen, die täglich mehr als 5.000 Nachrichten an Gmail senden, SPF, DKIM und DMARC; die DMARC Richtlinie darf dabei none sein. Kleinere Absender brauchen trotzdem zumindest SPF oder DKIM. Deshalb sollten auf Ihrer eigenen Domain alle drei Zeilen grün sein.

Was ist die TTL, und warum wirken DNS Änderungen nicht sofort?

Die TTL (Time To Live) sagt Resolvern, wie viele Sekunden sie einen Eintrag im Cache halten dürfen. 3600 bedeutet eine Stunde, 86400 einen Tag. Ändern Sie einen Eintrag, liefern Resolver mit dem alten Wert im Cache diesen weiter, bis seine TTL abläuft. Das, was viele DNS Propagation nennen, ist genau diese Wartezeit; sie hängt also von der TTL des alten Eintrags ab und nicht von einer festen Zahl an Tagen.

Das Tool zeigt jede TTL in Sekunden und als lesbare Dauer. Allerdings ist die Zahl die Restzeit im Cache unseres Resolvers. Sie ist gleich groß wie der Wert auf dem autoritativen Server oder kleiner und kann zwischen zwei Abfragen sinken. Die Negativ TTL in der SOA Zeile gibt zudem an, wie lange eine Antwort der Art „diesen Eintrag gibt es nicht“ im Cache bleibt (RFC 2308). Taucht eine gerade angelegte Subdomain noch nicht auf, liegt es meist daran.

Meine Faustregel vor einem Umzug: Senken Sie die TTL mindestens eine alte TTL Periode vorher auf 300 Sekunden und erhöhen Sie sie danach wieder. Anschließend prüfen Sie Ihre Weiterleitungen mit dem Redirect Checker.

Was verraten NS, SOA und CAA Einträge?

NS Einträge zeigen, welche Nameserver die DNS Zone Ihrer Domain betreiben. Das Tool schreibt ihre Root Domain auf die Übersichtskarte; sehen Sie zum Beispiel cloudflare.com, pflegen Sie Ihre Einträge im Cloudflare Dashboard. Haben Sie einen Eintrag im Hosting Panel geändert und nichts passiert, schauen Sie zuerst hier nach. Zeigt NS auf einen anderen Anbieter, geht Ihre Änderung nie live.

SOA ist der Kopf der Zone. Dort stehen der primäre Nameserver, die Kontaktadresse, die Seriennummer und die Refresh Zeiten. Das Tool macht aus dem ersten Punkt der Kontaktadresse ein @, also erscheint hostmaster.beispiel.de als hostmaster@beispiel.de. Die Seriennummer steigt mit jeder Änderung, und sekundäre Server erkennen daran neue Daten.

CAA ist weniger bekannt, für die Sicherheit aber wertvoll. Nach RFC 8659 begrenzt dieser Eintrag, welche Zertifizierungsstellen SSL Zertifikate für Ihre Domain ausstellen dürfen. Der Tag issue gilt für normale Zertifikate, issuewild für Wildcard Zertifikate, und iodef nennt die Adresse für Meldungen über Verstöße. Fehlt der CAA Eintrag, darf somit jede Stelle ausstellen. In Webdesign Projekten tragen wir nur den Anbieter ein, bei dem wir das Zertifikat tatsächlich beziehen.

Welche Schritte der DNS Abfrage gehören zu einem Website Umzug?

Nach meiner Erfahrung entsteht ein großer Teil der Probleme bei Umzügen nicht im Code, sondern im DNS. Deshalb läuft jeder Umzug bei mir in derselben Reihenfolge ab.

1. Vor dem Umzug: Fragen Sie alle aktuellen Einträge ab und sichern Sie sie mit Ergebnis kopieren. Vor allem Verifizierungseinträge in den TXT Zeilen gehen leicht verloren.
2. TTL senken: Setzen Sie die TTL der A, AAAA und www Einträge mindestens einen Tag vorher auf 300 Sekunden.
3. Am Umzugstag: Tragen Sie die neue IP Adresse ein, starten Sie das Tool erneut und prüfen Sie, ob A und AAAA auf den neuen Server zeigen.
4. E-Mail schützen: Kontrollieren Sie, dass MX, SPF und DMARC genauso aussehen wie vor dem Umzug.
5. Danach: Heben Sie die TTL wieder auf den alten Wert und beobachten Sie Crawling Fehler in der Search Console.

Was Sie für Ihre Sichtbarkeit in der Suche tun sollten, beschreibe ich in der Checkliste zur Website Migration. Kurz gesagt: Stimmt das DNS, bleibt der Rest des Umzugs gut beherrschbar.