DNS-Abfrage

Die Eintragstypen

NetCheck fragt live den öffentlichen DNS-Resolver von Google ab (über DNS-over-HTTPS) und zeigt die Antwort unverändert an. Jeder Eintragstyp hat eine klare Aufgabe:

Die TTL, oder warum eine Änderung nicht sofort wirkt

Jede DNS-Antwort trägt eine TTL (time to live) in Sekunden. So lange dürfen Resolver auf der ganzen Welt die Antwort speichern, ohne erneut zu fragen. Eine TTL von 3600 bedeutet, dass eine Änderung bis zu einer Stunde braucht, bis sie überall sichtbar ist. Senken Sie vor einem Umzug am Vortag die TTL auf 300 (fünf Minuten), nehmen Sie die Änderung vor und erhöhen Sie sie wieder, sobald alles geprüft ist. Um eine laufende Änderung zu verfolgen, nutzen Sie das Werkzeug DNS-Propagation.

E-Mail: SPF, DKIM und DMARC

Die meisten E-Mails, die im Spam landen, lassen sich über die TXT-Einträge erklären.

• SPF listet die Server, die im Namen der Domain E-Mails versenden dürfen. Pro Domain darf es genau einen geben, beginnend mit v=spf1. Zwei getrennte SPF-Einträge machen beide ungültig: Führen Sie sie zusammen.
• DKIM veröffentlicht einen Schlüssel, mit dem der Empfänger die Signatur jeder Nachricht prüft. Er liegt auf einer Subdomain wie selector._domainkey.beispiel.de, die Ihnen Ihr E-Mail-Anbieter nennt.
• DMARC, veröffentlicht unter _dmarc.beispiel.de, legt fest, was mit Nachrichten geschieht, die diese Prüfungen nicht bestehen: durchlassen (p=none), in den Spam verschieben (p=quarantine) oder abweisen (p=reject). Gmail und Yahoo verlangen es inzwischen von Massenversendern.

Um einen DKIM- oder DMARC-Eintrag zu lesen, geben Sie die betreffende Subdomain direkt ein, zum Beispiel _dmarc.beispiel.de, und wählen Sie den Typ TXT.

Häufige Konfigurationsfehler

• Ein CNAME an der Wurzel: Die Norm verbietet einen CNAME auf der nackten Domain (beispiel.de), weil er mit den NS- und SOA-Einträgen kollidieren würde. Manche DNS-Anbieter bieten „CNAME Flattening“ oder einen ALIAS-Typ, um die Regel zu umgehen.
• Ein MX, der auf eine IP-Adresse zeigt: Ein MX muss einen Hostnamen nennen, der selbst einen A-Eintrag hat.
• Uneinheitliche Nameserver: Weichen die beim Registrar hinterlegten NS von denen der Zone ab, erhält ein Teil der Besucher veraltete Antworten.
• Ein vergessener AAAA-Eintrag: Zeigt ein IPv6-Eintrag noch auf den alten Server, landen IPv6-Besucher auf der alten Website. Denken Sie beim Umzug daran.

Eine leere Antwort lesen

„Keine Einträge“ heißt nicht zwingend, dass etwas falsch ist: Viele Domains haben weder AAAA noch CAA, und das ist normal. Eine Domain ohne A und ohne AAAA kann dagegen keine Website ausliefern, und eine Domain ohne MX keine E-Mails empfangen. Meldet der Resolver, dass die Domain nicht existiert (Code 3, NXDOMAIN genannt), prüfen Sie die Schreibweise und danach ihren Status mit dem WHOIS-Werkzeug.

nslookup online: dieselben Antworten wie nslookup und dig

Dieses Werkzeug ist ein DNS Lookup im Browser: Sie geben eine Domain ein, wählen den Eintragstyp, und NetCheck fragt den öffentlichen Resolver von Google ab. Wer lieber in der Kommandozeile arbeitet, prüft dasselbe lokal mit diesen Befehlen:

Um denselben Resolver wie NetCheck zu fragen, hängen Sie seine Adresse an: nslookup -type=MX beispiel.de 8.8.8.8 oder dig @8.8.8.8 beispiel.de MX. In der Windows PowerShell liefert Resolve-DnsName beispiel.de -Type MX dasselbe Ergebnis.

Online Lookup oder lokaler Befehl?

• Lokal fragt Ihr Rechner den Resolver Ihres Routers oder Providers. Liegt dort noch eine alte Antwort im Cache, sehen Sie den alten Wert, bis die TTL abläuft. Manche Netze filtern Antworten zusätzlich.
• Online sehen Sie die Sicht eines großen öffentlichen Resolvers, unabhängig von Ihrem Netz. Weichen beide Ergebnisse ab, liegt es meist am Cache Ihres Providers oder Ihres Rechners. Unter Windows leert ipconfig /flushdns den lokalen Cache.
• Direkt beim Nameserver der Domain: dig @ns1.anbieter.net beispiel.de A umgeht jeden Cache und zeigt, was in der Zone steht. Das ist der schnellste Weg, eine frische Änderung zu prüfen, bevor sie bei allen Resolvern angekommen ist.

Häufige Fragen

Sind die Ergebnisse aktuell?

Ja: Die Anfrage geht live an den öffentlichen Resolver von Google, über DNS-over-HTTPS. Aber dieser Resolver hält sich wie alle anderen an die TTL: Direkt nach einer Änderung kann er noch den alten Wert liefern. Das Werkzeug DNS-Propagation vergleicht mehrere Resolver gleichzeitig.

Was ist der Unterschied zwischen einem A-Eintrag und einem CNAME?

Der A-Eintrag liefert direkt eine IP-Adresse. Der CNAME verweist auf einen anderen Namen, der dann seinerseits aufgelöst wird. Das ist praktisch, wenn sich die Zieladresse oft ändert (Plattformen, CDNs), fügt aber einen Schritt hinzu und kann nicht neben anderen Einträgen auf demselben Namen stehen.

Was bedeutet die Zahl vor einem MX-Eintrag?

Das ist die Priorität: Je niedriger sie ist, desto höher die Priorität des Servers. Absender versuchen zuerst den Server mit dem kleinsten Wert und gehen zum nächsten über, wenn er nicht antwortet.

Wofür ist ein CAA-Eintrag gut?

Er schränkt ein, welche Zertifizierungsstellen ein Zertifikat für Ihre Domain ausstellen dürfen. Ohne CAA darf es jede; mit CAA muss eine nicht aufgeführte Stelle ablehnen, was das Risiko eines betrügerischen Zertifikats verringert.

Was ist der Unterschied zwischen nslookup und dig?

Beide stellen DNS-Anfragen. nslookup ist unter Windows vorinstalliert und liefert eine knappe Ausgabe. dig ist auf Linux und macOS üblich und zeigt mehr Details, etwa die TTL jeder Antwort und den abgefragten Server.

Was bedeutet „Nicht autorisierende Antwort“ bei nslookup?

Die Antwort kommt von einem Resolver, nicht direkt vom zuständigen Nameserver der Domain. Das ist der Normalfall und kein Fehler. Eine autorisierende Antwort erhalten Sie, wenn Sie einen Nameserver der Domain direkt abfragen.

Warum zeigt nslookup einen anderen Wert als der DNS Lookup online?

Meist hält der Resolver Ihres Providers oder Ihr Rechner noch eine ältere Antwort im Cache. Sie verschwindet spätestens, wenn die TTL abgelaufen ist. Unter Windows können Sie den lokalen Cache mit ipconfig /flushdns sofort leeren.