Was ist DNS?

DNS, das Domain Name System, ist ein verteiltes Namenssystem, mit dessen Hilfe Anwendungen Netzwerkressourcen finden. Der Name einer Website kann auf IPv4- oder IPv6-Adressen aufgelöst werden, während andere Einträge E-Mails leiten oder autoritative Nameserver benennen. Ein Domainname muss nicht auf nur einen einzigen Server zeigen.

Wie eine DNS-Abfrage abläuft

Ihr Gerät fragt normalerweise einen rekursiven Resolver nach einer Antwort. Hat der Resolver keine zwischengespeicherte Antwort, folgt er der DNS-Delegation von der Root-Zone über die Top-Level-Domain bis zu den autoritativen Servern, die für den Namen zuständig sind. Der autoritative Server veröffentlicht die Zonendaten; der Resolver gibt die passende Antwort an den Client zurück. Registrar und DNS-Betreiber können verschiedene Organisationen sein.

Ein Resolver speichert Antworten für einen Zeitraum zwischen, der sich nach der Gültigkeitsdauer (TTL) des jeweiligen Eintrags richtet. Er kann auch manche negativen Antworten zwischenspeichern. Daher sehen verschiedene Nutzer kurz nach dem Anlegen oder Ändern eines Eintrags unter Umständen unterschiedliche Ergebnisse. Wer die Nameserver beim Registrar ändert, ändert die Delegation; wer einen A-Eintrag auf den bestehenden autoritativen Servern bearbeitet, ändert Zonendaten. Das sind zwei verschiedene Vorgänge.

Häufige DNS-Einträge

Ein A-Eintrag ordnet einem Namen eine IPv4-Adresse zu, ein AAAA-Eintrag eine IPv6-Adresse. MX nennt Mail-Exchanger, NS die autoritativen Nameserver, CNAME legt einen Alias für einen Namen an, und TXT enthält Text, der etwa zur Domainverifizierung oder zur E-Mail-Authentifizierung dient. Prüfen Sie den angefragten Eintragstyp ausdrücklich: Ein funktionierender MX-Eintrag sagt nichts darüber, ob eine Website erreichbar ist.

Beim Umzug einer Website kann es genügen, ihre Adresseinträge zu aktualisieren. Wechseln Sie auch den DNS-Anbieter, übernehmen Sie die benötigten MX-, TXT- und sonstigen Einträge, bevor Sie die Delegation umstellen. Fehlende Mail-Einträge können die Zustellung unterbrechen, selbst wenn die Website erreichbar ist. Eine DNS-Antwort beschreibt nur Namensdaten; sie kann nicht belegen, dass ein Server Verbindungen annimmt, ein gültiges TLS-Zertifikat hat oder eine funktionierende Anwendung betreibt.

Datenschutz und DNSSEC

Klassische DNS-Anfragen zwischen einem Client und seinem Resolver sind in der Regel unverschlüsselt. DNS over HTTPS und DNS over TLS verschlüsseln diesen Abschnitt des Weges, wobei der gewählte Resolver die von ihm verarbeiteten Anfragen weiterhin sieht. DNSSEC authentifiziert signierte DNS-Daten, wenn die Vertrauenskette gültig ist; es verschlüsselt weder die Anfrage noch macht es eine Website sicher. Diese Mechanismen lösen unterschiedliche Probleme.

Fehlersuche Schritt für Schritt

Öffnet sich eine neue Website nicht, fragen Sie ihre A- und AAAA-Einträge ab und ermitteln Sie die autoritativen Nameserver. Vergleichen Sie deren Antworten mit denen eines oder mehrerer rekursiver Resolver. Ist die autoritative Antwort neu, die rekursive aber alt, ist Caching eine wahrscheinliche Erklärung. Ist die autoritative Antwort falsch, prüfen Sie Zone und Delegation. Notieren Sie für den Support den genauen Namen, den Eintragstyp, den Resolver und die Uhrzeit.

Wenn DNS die erwartete Adresse liefert, untersuchen Sie die nächste Ebene getrennt: Netzwerkerreichbarkeit, Serverantwort, TLS und Anwendungsfehler. Diese Reihenfolge verhindert, dass korrekte DNS-Einträge geändert werden, um ein Webserverproblem zu beheben. Die Grundlagen des Protokolls sind in RFC 1034 und RFC 1035 dokumentiert.

Resolver-Datenschutz und DNS-Leaks

DoH oder DoT verschlüsseln den Abschnitt vom Client zum Resolver, die Wahl des Resolvers ist jedoch eine eigene Frage. Browser, Betriebssystem und VPN können unterschiedliche Einstellungen verwenden. Siehe was ein DNS-Leak-Test beobachtet sowie DoH vs. DoT.