DNS

DNS steht für Domain Name System und ist ein dezentrales Verzeichnissystem, das Domainnamen in IP-Adressen übersetzt. Während Menschen sich Namen wie beispielseite.de gut merken können, kommunizieren Computer über numerische IP-Adressen wie 192.0.2.1. DNS schlägt die Brücke zwischen beiden und wird deshalb oft als das Telefonbuch des Internets bezeichnet. Es ist fundamental wichtig, weil ohne funktionierendes DNS keine Website über ihren Namen erreichbar wäre. Für Website-Betreiber bestimmt DNS die Erreichbarkeit der Seite, ist die Grundlage für den E-Mail-Empfang über MX-Records und beeinflusst über die Auflösungszeit indirekt die Ladegeschwindigkeit. DNS wurde 1983 von Paul Mockapetris als skalierbare, dezentrale Lösung eingeführt und hat sich seither zur kritischen Infrastruktur des gesamten Internets entwickelt.

Der DNS-Auflösungsprozess läuft in mehreren Schritten ab. Geben Sie eine Adresse in den Browser ein, prüft dieser zuerst seinen lokalen Cache. Ist die IP-Adresse nicht bekannt, geht die Anfrage an einen DNS-Resolver, meist den des Internetanbieters. Findet auch dieser nichts im Cache, fragt er einen der dreizehn Root-Nameserver, der ihn an den zuständigen Nameserver der Top-Level-Domain verweist, etwa für de oder com. Der TLD-Nameserver verweist weiter an den autoritativen Nameserver der konkreten Domain, der die endgültige IP-Adresse zurückliefert. Diese wird im Cache gespeichert und an den Browser übergeben, der dann die Verbindung zum Webserver aufbaut. Dabei unterscheidet man rekursive Abfragen, bei denen der Resolver die gesamte Arbeit übernimmt, und iterative Abfragen, bei denen er schrittweise Verweise erhält. Der gesamte Vorgang dauert meist nur Millisekunden.

Ein A-Record verknüpft einen Domainnamen direkt mit einer IPv4-Adresse, zum Beispiel beispielseite.de mit 192.0.2.1. Ein CNAME-Record, also Canonical Name Record, erstellt hingegen einen Alias, der auf einen anderen Domainnamen verweist, zum Beispiel www.beispielseite.de auf beispielseite.de. Der wichtigste Unterschied liegt im Einsatzbereich: A-Records können für die Root-Domain verwendet werden, während CNAME-Records üblicherweise nur für Subdomains eingesetzt werden. Außerdem kann ein CNAME-Record nicht zusammen mit anderen Record-Typen für denselben Namen existieren, während A-Records diese Einschränkung nicht haben. In der Praxis nutzt man A-Records, um eine Domain auf einen Server zu zeigen, und CNAME-Records, um flexible Aliase einzurichten, etwa damit www auf die Hauptdomain verweist oder eine Subdomain auf einen externen Dienst.

TTL steht für Time To Live und gibt in Sekunden an, wie lange ein DNS-Record im Cache gespeichert werden darf, bevor eine neue Abfrage erfolgt. Ein TTL von 3600 bedeutet beispielsweise, dass der Record eine Stunde lang gecacht wird. Die Wahl des TTL-Werts ist ein Balanceakt zwischen Flexibilität und Performance. Niedrige Werte wie 300 Sekunden ermöglichen schnelle Änderungen, weil veraltete Einträge rasch erneuert werden, erzeugen aber mehr DNS-Anfragen. Hohe Werte wie 86400 Sekunden, also 24 Stunden, reduzieren die Last auf den DNS-Servern, sorgen aber dafür, dass Änderungen länger brauchen, bis sie überall sichtbar sind. In der Praxis nutzt man häufig 3600 als Standard und reduziert den Wert vor geplanten Änderungen wie einer Migration vorübergehend auf 300, um schneller umstellen zu können.

DNS-Propagation bezeichnet die Zeit, bis DNS-Änderungen weltweit sichtbar werden. Technisch gesehen sind Änderungen auf den autoritativen Nameservern sofort aktiv, aber durch Caching auf verschiedenen Ebenen wie Browser, Betriebssystem und ISP-Resolver dauert es, bis die alten Einträge überall ablaufen. Die vollständige Verbreitung kann bis zu 48 Stunden in Anspruch nehmen. In der Praxis sind die meisten Änderungen jedoch schon nach einigen Stunden für die Mehrheit der Nutzer sichtbar. Sie können die Propagation beschleunigen, indem Sie die TTL-Werte bereits 24 bis 48 Stunden vor einer geplanten Änderung auf 300 Sekunden reduzieren. So laufen gecachte Einträge schneller ab und die Umstellung wird zügiger wirksam. Mit Tools wie whatsmydns.net lässt sich der Fortschritt der Propagation weltweit überwachen.

Nein, DNS selbst ist kein direkter Ranking-Faktor, und die DNS-Lookup-Zeit gehört auch nicht zu den Core Web Vitals. Die Core Web Vitals sind LCP, INP und CLS. Es ist daher falsch zu behaupten, die DNS-Auflösungszeit zähle zu den Core Web Vitals. Allerdings gibt es einen indirekten Zusammenhang: Da die DNS-Auflösung der erste Schritt bei jedem Seitenaufruf ist, kann eine langsame Auflösung die Ladezeit und die Time to First Byte erhöhen und damit die Nutzererfahrung beeinträchtigen. Da Google die Nutzererfahrung und Ladegeschwindigkeit berücksichtigt und die Core Web Vitals seit Juni 2021 ein, wenn auch eher leichtgewichtiger, Ranking-Faktor sind, kann eine optimierte DNS-Konfiguration indirekt zu einer besseren Performance beitragen. Eine schnelle DNS-Auflösung ist also sinnvoll, sollte aber nicht als direkter SEO-Hebel missverstanden werden.

DNSSEC steht für DNS Security Extensions und ist eine Erweiterung des DNS-Protokolls, die mithilfe asymmetrischer Kryptografie die Authentizität und Integrität von DNS-Daten sicherstellt. Dazu signiert jede Zone ihre Records mit einem privaten Schlüssel, während ein öffentlicher Schlüssel im DNS veröffentlicht wird. Resolver können so über eine Vertrauenskette von der Root-Zone bis zur Domain prüfen, ob die Daten unverändert sind. Dadurch schützt DNSSEC vor Angriffen wie DNS-Spoofing oder Cache Poisoning, bei denen Nutzer auf gefälschte Seiten umgeleitet werden. DNSSEC ist seit 2010 verfügbar, die Verbreitung ist jedoch je nach Top-Level-Domain sehr unterschiedlich und insgesamt noch begrenzt. Sinnvoll ist DNSSEC besonders für Websites mit hohem Sicherheitsbedarf, etwa Shops, Banken oder sensible Dienste. Viele DNS-Provider bieten eine einfache Aktivierung an.

Zur Diagnose von DNS-Problemen stehen mehrere Werkzeuge bereit. Auf der Kommandozeile liefert nslookup grundlegende Abfragen, etwa mit nslookup beispielseite.de für eine einfache Abfrage oder nslookup -type=MX beispielseite.de für die Mailserver. Unter Linux und macOS bietet dig ausführlichere Informationen, zum Beispiel dig beispielseite.de +short für ein kompaktes Ergebnis oder dig beispielseite.de +trace, um die Auflösung durch die gesamte Hierarchie nachzuvollziehen. Online-Tools wie whatsmydns.net zeigen die weltweite Propagation, intodns.com prüft die DNS-Gesundheit umfassend, und MXToolbox eignet sich für E-Mail-bezogene DNS-Tests. Bei Problemen ist das Leeren des DNS-Caches oft der erste Schritt, unter Windows mit ipconfig /flushdns und unter macOS mit einem entsprechenden Befehl. Prüfen Sie außerdem, ob die Nameserver korrekt beim Registrar eingetragen und alle autoritativen Nameserver identisch konfiguriert sind.

Sowohl DNS over HTTPS, kurz DoH, als auch DNS over TLS, kurz DoT, verschlüsseln DNS-Anfragen und schützen so die Privatsphäre, da herkömmliche DNS-Anfragen im Klartext übertragen werden und mitgelesen werden können. Der Unterschied liegt in der technischen Umsetzung. DoT verwendet einen eigenen, dedizierten Port, nämlich Port 853, und ist dadurch im Netzwerk als DNS-Verkehr erkennbar, was die Überwachung und Verwaltung erleichtert. DoH dagegen sendet die Anfragen über HTTPS auf Port 443 und tarnt sie damit als normalen Web-Traffic, was eine sehr hohe Privatsphäre bietet, weil sich der DNS-Verkehr kaum vom übrigen Web-Verkehr unterscheiden lässt. Browser unterstützen DoH seit etwa 2019 und 2020, während Android DoT ab Version 9 nativ unterstützt. Welche Variante besser passt, hängt vom Anwendungsfall und den Anforderungen an Privatsphäre und Verwaltbarkeit ab.

Für eine typische WordPress-Website benötigen Sie einige grundlegende DNS-Records. Ein A-Record verknüpft Ihre Hauptdomain mit der IP-Adresse des Servers, auf dem WordPress läuft. Ein CNAME-Record richtet die www-Variante als Alias auf die Hauptdomain ein, sodass beide Schreibweisen funktionieren. Für den E-Mail-Empfang sind MX-Records nötig, die auf Ihren Mailserver verweisen und Prioritätswerte enthalten können. Ergänzend sind TXT-Records wichtig, vor allem für die E-Mail-Authentifizierung mit SPF, DKIM und DMARC sowie für die Verifizierung bei verschiedenen Diensten. Wenn Sie IPv6 unterstützen möchten, kommt ein AAAA-Record hinzu. Nutzen Sie ein CDN, sind je nach Anbieter zusätzliche oder geänderte Einträge erforderlich. Achten Sie darauf, alle Records sorgfältig und konsistent zu konfigurieren, da fehlerhafte Einträge zu Erreichbarkeits- oder E-Mail-Problemen führen können.

Ob sich ein Premium-DNS-Service lohnt, hängt von Ihren Anforderungen ab. Viele Hosting-Anbieter stellen grundlegendes DNS kostenlos bereit, was für Hobby-Blogs und kleinere Websites in der Regel ausreicht. Premium-DNS-Dienste bieten dagegen meist schnellere Antwortzeiten durch globale Anycast-Netzwerke, eine höhere Verfügbarkeit mit verbindlichen SLA-Garantien, besseren DDoS-Schutz sowie erweiterte Funktionen wie GeoDNS, Failover und detailliertes Monitoring. Besonders profitieren Websites mit hohem Traffic, Online-Shops sowie internationale Projekte, bei denen Geschwindigkeit, Zuverlässigkeit und Sicherheit geschäftskritisch sind. Für solche Fälle kann sich die Investition durch eine stabilere und schnellere Infrastruktur auszahlen. Die Preise sind dabei nur Richtwerte und sollten beim jeweiligen Anbieter geprüft werden. Für eine einfache persönliche Website reicht der kostenlose DNS-Service des Hosters meist völlig aus.

Bei einem DNS-Ausfall können die betroffenen Domains nicht mehr in IP-Adressen aufgelöst werden, wodurch die zugehörigen Websites und Dienste praktisch unerreichbar werden, obwohl die eigentlichen Server vielleicht einwandfrei laufen. Nutzer sehen dann Fehlermeldungen, weil ihr Browser die IP-Adresse nicht ermitteln kann. Ein eindrucksvolles Beispiel war der große DDoS-Angriff auf den DNS-Anbieter Dyn im Oktober 2016, durch den bekannte Dienste wie Twitter, Netflix und Reddit zeitweise nicht erreichbar waren. Um sich gegen DNS-Ausfälle zu schützen, sind mehrere Maßnahmen sinnvoll. Dazu gehören der Einsatz mehrerer, geografisch getrennter und redundanter Nameserver, die Wahl eines Providers mit Anycast-Netzwerk und integriertem DDoS-Schutz sowie regelmäßige Backups der DNS-Zone-Konfiguration. So bleibt die Erreichbarkeit auch dann gewahrt, wenn einzelne Server oder Standorte ausfallen.