Wie behebt man DNS-Fehler?

Ein „DNS-Fehler“ im Browser beschreibt ein Symptom, keine einzelne Ursache. Ein Name kann falsch geschrieben, ein autoritativer Server unerreichbar sein, ein Resolver kann noch eine ältere Antwort vorhalten oder die DNSSEC-Validierung kann fehlschlagen. Ermitteln Sie die fehlerhafte Stufe, bevor Sie eine Konfiguration ändern.

Die Antworten unterscheiden

NXDOMAIN bedeutet, dass der abgefragte Name laut dem antwortenden DNS-Server nicht existiert. NODATA ist eine gängige Bezeichnung für einen Namen, der existiert, aber keinen Eintrag des angefragten Typs hat: Er kann etwa A, aber kein AAAA besitzen. SERVFAIL bedeutet, dass der Server die Anfrage nicht abschließen konnte; es ist kein Beleg dafür, dass der Name fehlt. Ein Timeout bedeutet, dass keine Antwort rechtzeitig eingetroffen ist, und erfordert eine Prüfung der Erreichbarkeit.

Einer Antwort können zusätzliche Details beiliegen. RFC 8914 definiert Extended DNS Errors, die manche SERVFAIL-Fälle erklären können, ohne den ursprünglichen Antwortcode zu ändern. Nicht jedes Tool zeigt sie an.

Dem Auflösungsweg folgen

Prüfen Sie zuerst den genauen Namen und den Eintragstyp. Ermitteln Sie die autoritativen Nameserver der Domain und fragen Sie einen davon direkt ab. Kommt es zu einem Timeout oder meldet er einen Fehler, untersuchen Sie Delegation, Erreichbarkeit und Zonenkonfiguration. Ist die autoritative Antwort korrekt, weicht aber eine rekursive Antwort ab, vergleichen Sie deren Cache und den ausgewählten Resolver mit der Domain-Konfigurationsprüfung von 2IP.

Vergleichen Sie A und AAAA: Eine Website kann über IPv4 funktionieren und über IPv6 scheitern. Prüfen Sie bei E-Mail den MX und anschließend die Adresseinträge des ausgewählten Mailhosts. Ein HTTP-404 oder eine TLS-Warnung tritt erst nach der Namensauflösung auf und erfordert eine gesonderte Untersuchung. Ändern Sie DNS-Einstellungen nicht blind, nur weil ein Browser eine allgemeine Fehlermeldung angezeigt hat. Ob ein bestimmter Resolver überhaupt antwortet, sehen Sie mit der DNS-Antwortzeit-Prüfung von 2IP.

Caches und Geräte prüfen

Stellen Sie dieselbe Anfrage über einen anderen rekursiven Resolver und von einem anderen Gerät aus. Ein Fehler auf nur einem Gerät deutet auf dessen Verbindung, den System-Resolver, die DoH-Einstellung des Browsers oder den lokalen Cache hin. Liefern Resolver durchgehend NXDOMAIN, prüfen Sie Registrierung, Delegation und ob der Eintrag in der aktiven Zone vorhanden ist.

Eine negative Antwort kann zwischengespeichert bleiben, nachdem ein Eintrag angelegt wurde. RFC 2308 erläutert das Caching von NXDOMAIN und NODATA. Notieren Sie die maßgebliche TTL und den Zeitpunkt der Änderung, statt eine korrekte Zone wiederholt zu bearbeiten.

Dem Support aussagekräftige Belege liefern

Notieren Sie vor der Kontaktaufnahme mit dem Support den vollständigen Namen, den Eintragstyp, den Zeitpunkt der Abfrage, die Resolver-Adresse und den Antwortcode. Fügen Sie Antworten eines autoritativen und eines rekursiven Servers bei, ohne Passwörter oder Tokens preiszugeben. Diese Belege trennen falsche DNS-Daten von einem Netzwerkausfall oder einem Anwendungsproblem und ermöglichen eine gezielte Behebung.