DNS-Eintrag prüfen

Hintergrund

Das Adressbuch Ihrer Domain, nüchtern erklärt

Wie prüfe ich einen DNS-Eintrag?

Das Domain Name System übersetzt Namen in Adressen. Jede Domain führt dafür eine Sammlung öffentlicher Einträge — welche Adresse die Website hat, wer für die Zone zuständig ist, wohin Post geht. Diese Einträge kann jeder abfragen; sie sind kein Geheimnis, sondern die Auskunft, die Ihre Domain der Welt gibt.

Das Werkzeug oben fragt acht Arten davon ab, für Ihre Hauptdomain und für www., und sortiert sie in fünf Bereiche. Die Abfrage läuft über DNS-over-HTTPS direkt aus Ihrem Browser — es steht kein Server von mir dazwischen, der etwas mitschreiben könnte.

Website-Ziel: A, AAAA und CNAME

Ein A-Eintrag nennt die IPv4-Adresse des Servers, ein AAAA-Eintrag die IPv6-Adresse. Ein CNAME ist stattdessen ein Verweis: „frag da weiter". Alle drei beantworten dieselbe Frage — wo steht die Website.

Geprüft werden Hauptdomain und www. getrennt, weil das der häufigste Stolperstein ist. Findet der Check nur eine der beiden, meldet er das als Hinweis: Für Besucher ist es Zufall, welche Schreibweise sie eintippen, und wer bei der falschen ins Leere läuft, kommt selten ein zweites Mal.

MX-Eintrag prüfen: wohin geht die Post?

Der MX-Eintrag nennt die Server, die Post für Ihre Domain annehmen. Jeder trägt eine Zahl, die Priorität — der kleinere Wert wird zuerst angesprochen, die übrigen sind Ausweichwege. Fehlt der Eintrag ganz, kann Ihnen niemand an diese Domain schreiben.

Der Check wertet ein Fehlen als Hinweis, nicht als Fehler. Viele Domains sollen gar keine Post empfangen — eine reine Kampagnendomain etwa, oder eine Weiterleitung. Nur Sie wissen, was für Ihre gilt. Steht dort nichts und Sie erwarten E-Mails, ist das dagegen der wichtigste Befund der ganzen Seite.

SPF im TXT: wer darf in Ihrem Namen schreiben?

TXT-Einträge sind ein Ablagefach für allerlei: Nachweise gegenüber Google oder Microsoft, Schlüssel für Dienste — und der SPF-Eintrag. Der beginnt mit v=spf1 und listet auf, welche Server Post in Ihrem Namen versenden dürfen. Empfänger schlagen dort nach, bevor sie eine Nachricht durchlassen.

Ein häufiger und folgenreicher Fehler: mehr als ein SPF-Eintrag. Nach dem Standard ist genau einer erlaubt; bei zweien gilt die Prüfung als ungültig, und Post kann in Sammelordnern landen oder ganz abgewiesen werden. Der Check meldet diesen Fall als roten Befund, weil er meistens unbemerkt entsteht — etwa, wenn ein neuer Versanddienst seinen eigenen Eintrag anlegt, statt den bestehenden zu ergänzen.

CAA: wer darf Zertifikate ausstellen?

Ein CAA-Eintrag legt fest, welche Zertifizierungsstellen für Ihre Domain ein Zertifikat ausstellen dürfen. Ohne ihn darf es jede. Das ist keine Pflicht und kein Mangel — aber eine wirksame Schranke: Wer versucht, auf Ihren Namen ein Zertifikat zu bekommen, scheitert an einer Stelle mehr.

Deshalb wertet der Check ein Fehlen als Hinweis und nicht als Fehler. Ein CAA zu setzen ist eine Zeile im DNS-Verwalter und kostet nichts.

Warum sehe ich Änderungen nicht sofort?

Jeder Eintrag trägt eine Gültigkeitsdauer, die TTL. So lange darf jeder Auflöser die Antwort zwischenspeichern, statt neu nachzufragen. Ändern Sie einen Eintrag, sehen andere bis zum Ablauf der alten TTL noch den alten Wert — üblich sind Minuten bis 24 Stunden.

Praktische Folge für Umzüge: Setzen Sie die TTL ein bis zwei Tage vor der Umstellung herunter, etwa auf 300 Sekunden. Dann greift die Änderung am Stichtag in Minuten statt über einen Tag. Danach wieder hochsetzen.

Typische Fehler, die dieser Check findet

Nur www zeigt irgendwohin, die Hauptdomain nicht — oder umgekehrt. Klassiker nach einem Anbieterwechsel; die Hälfte der Besucher landet im Nichts.

Zwei SPF-Einträge. Entsteht fast immer, wenn ein Newsletter- oder Rechnungsdienst dazukommt und einen eigenen Eintrag anlegt. Beide zusammen sind ungültig.

Nur ein Nameserver. Fällt der aus, ist die Domain vollständig weg — nicht langsam, sondern nicht existent. Zwei sind seit jeher die Empfehlung.

MX zeigt auf einen Server, der die Domain nicht mehr kennt. Der Eintrag ist da, die Post geht trotzdem verloren. Das sieht ein DNS-Check nicht — dafür braucht es einen Zustellversuch.

Was dieser Check nicht prüft

Er liest öffentliche Einträge und bewertet ihre Vollständigkeit und grobe Plausibilität. Er sagt nicht, ob der Server hinter der Adresse antwortet, ob das Zertifikat gültig ist oder ob eine E-Mail tatsächlich ankommt. Für die beiden Nachbarfragen gibt es eigene Werkzeuge: den SSL-Check für Zertifikat und HTTPS, den DMARC-Check für SPF, DKIM und DMARC im Zusammenspiel.

Ebenfalls außen vor: DNSSEC, die TTL-Strategie im Detail, anbieterspezifische Auflösung von CNAME-Ketten an der Domainwurzel, und interne Zonen, die von außen ohnehin nicht sichtbar sind. Das Ergebnis ist eine technische Ersteinschätzung, kein vollständiger DNS-Audit.