Wie DNS funktioniert: Ein vollständiger Leitfaden zur Domainnamensauflösung

31. März 2026 · 12 Min. Lesezeit

Was ist DNS?

Das Domain Name System (DNS) wird oft als das "Telefonbuch des Internets" bezeichnet. Es übersetzt menschenfreundliche Domainnamen wie google.com in maschinenlesbare IP-Adressen wie 142.250.80.46. Ohne DNS müssten Sie sich lange Zahlenfolgen merken, um eine Website zu besuchen – eine unpraktische Aufgabe angesichts der Milliarden von Websites, die existieren.

DNS funktioniert als verteilte, hierarchische Datenbank, die sich über Millionen von Servern weltweit erstreckt. Diese verteilte Architektur stellt sicher, dass kein einzelner Ausfallpunkt das gesamte System lahmlegen kann, und Abfragen werden schnell aufgelöst, indem Caching auf mehreren Ebenen genutzt wird.

Jedes Mal, wenn Sie eine Webseite öffnen, eine E-Mail senden oder ein Video streamen, arbeitet DNS im Hintergrund, um Ihre Anfrage an den richtigen Server weiterzuleiten. Das Verständnis der Funktionsweise von DNS ist für Webentwickler, Systemadministratoren und jeden, der Probleme mit der Internetverbindung beheben möchte, unerlässlich.

Warum DNS für Ihre Website wichtig ist

Die DNS-Leistung wirkt sich direkt auf die Geschwindigkeit und Verfügbarkeit Ihrer Website aus. Ein langsamer DNS-Anbieter kann bei jedem Seitenaufruf Hunderte von Millisekunden hinzufügen, was Benutzer frustriert und Ihr Suchmaschinen-Ranking beeinträchtigt. Google betrachtet die Seitengeschwindigkeit als Ranking-Faktor, und die DNS-Auflösungszeit ist Teil dieser Gleichung.

Über die Leistung hinaus beeinflusst die DNS-Konfiguration die E-Mail-Zustellbarkeit, Subdomain-Routing, CDN-Integration und Sicherheit. Falsch konfigurierte DNS-Einträge können Ihre Website vollständig lahmlegen oder Sie Angriffen wie DNS-Spoofing und Cache-Poisoning aussetzen.

Der DNS-Auflösungsprozess

Wenn Sie einen Domainnamen in Ihren Browser eingeben, erfolgt in Millisekunden eine faszinierende Kette von Abfragen. So verläuft eine DNS-Abfrage von Ihrem Gerät bis zur Antwort:

Schritt 1: Browser-Cache

Ihr Browser prüft zunächst seinen eigenen Cache auf eine kürzlich aufgelöste IP-Adresse. Moderne Browser wie Chrome, Firefox und Safari pflegen ihren eigenen DNS-Cache, um wiederholte Besuche zu beschleunigen. Wenn die Domain kürzlich aufgerufen wurde und die TTL (Time To Live) noch nicht abgelaufen ist, verwendet der Browser sofort die zwischengespeicherte IP-Adresse.

Sie können den DNS-Cache Ihres Browsers in Chrome unter chrome://net-internals/#dns einsehen. Dies zeigt alle zwischengespeicherten DNS-Einträge und deren Ablaufzeiten.

Schritt 2: Betriebssystem-Cache

Wenn der Browser-Cache keinen Treffer hat, prüft das Betriebssystem seinen DNS-Cache und die Hosts-Datei. Unter Linux und macOS ist dies /etc/hosts. Unter Windows ist es C:\Windows\System32\drivers\etc\hosts. Die Hosts-Datei ermöglicht manuelle IP-zu-Domain-Zuordnungen, die DNS vollständig überschreiben.

Systemadministratoren verwenden die Hosts-Datei häufig für die lokale Entwicklung, zum Blockieren unerwünschter Domains oder zum Erstellen benutzerdefinierter interner Netzwerkzuordnungen.

Schritt 3: Rekursiver Resolver

Die Abfrage geht an Ihren konfigurierten DNS-Resolver, der normalerweise von Ihrem Internetdienstanbieter oder einem öffentlichen DNS-Dienst wie Googles 8.8.8.8 oder Cloudflares 1.1.1.1 bereitgestellt wird. Der rekursive Resolver übernimmt die Hauptarbeit, die autoritative Antwort aufzuspüren.

Dieser Resolver fungiert als Vermittler, stellt mehrere Abfragen in Ihrem Namen und speichert Ergebnisse zwischen, um zukünftige Anfragen zu beschleunigen. Die meisten Benutzer interagieren nie direkt mit rekursiven Resolvern – sie werden automatisch über DHCP konfiguriert, wenn Sie sich mit einem Netzwerk verbinden.

Schritt 4: Root-Nameserver

Wenn der rekursive Resolver die Antwort nicht zwischengespeichert hat, kontaktiert er einen der 13 Root-Nameserver-Cluster (mit A bis M bezeichnet). Diese Server kennen die IP-Adresse für bestimmte Domains nicht, aber sie wissen, welche TLD-Server (Top-Level-Domain) sie fragen müssen.

Wenn Sie beispielsweise example.com nachschlagen, antwortet der Root-Server mit den Adressen der .com-TLD-Server. Obwohl sie "13 Server" genannt werden, gibt es tatsächlich Hunderte von physischen Servern, die weltweit mit Anycast-Routing verteilt sind.

Schritt 5: TLD-Nameserver

Der Resolver fragt dann den entsprechenden TLD-Server ab (wie .com, .org oder .net). Der TLD-Server antwortet mit den autoritativen Nameservern für die spezifische Domain. Dies sind die Server, die tatsächlich die DNS-Einträge für example.com hosten.

TLD-Server werden von Registry-Betreibern verwaltet. Für .com und .net ist das Verisign. Jede TLD hat ihre eigenen Nameserver, die von verschiedenen Organisationen betrieben werden.

Schritt 6: Autoritativer Nameserver

Schließlich fragt der Resolver den autoritativen Nameserver für die Domain ab. Dieser Server hat die tatsächlichen DNS-Einträge und antwortet mit der IP-Adresse. Der Resolver speichert diese Antwort zwischen und gibt sie an Ihr Gerät zurück.

Autoritative Nameserver werden normalerweise von Ihrem Domain-Registrar oder DNS-Hosting-Dienst bereitgestellt. Beliebte Optionen sind Cloudflare, AWS Route 53, Google Cloud DNS und traditionelle Registrare wie GoDaddy oder Namecheap.

Rekursive vs. iterative Abfragen

DNS-Abfragen gibt es in zwei Varianten. Eine rekursive Abfrage bedeutet, dass der Resolver entweder die endgültige Antwort oder einen Fehler zurückgeben muss – er kann Sie nicht woanders hinverweisen. Eine iterative Abfrage erlaubt es dem Server, eine Verweisung auf einen anderen Server zurückzugeben.

Ihr Gerät stellt eine rekursive Abfrage an den Resolver, der dann iterative Abfragen an Root-, TLD- und autoritative Server stellt. Diese Arbeitsteilung hält das System effizient und skalierbar.

Die DNS-Hierarchie verstehen

DNS ist als umgekehrte Baumstruktur organisiert, mit der Root an der Spitze und einzelnen Domains, die nach unten verzweigen. Diese Hierarchie ermöglicht die verteilte Natur von DNS und erlaubt es verschiedenen Organisationen, verschiedene Teile des Namensraums zu verwalten.

Die Root-Zone

An der Spitze der Hierarchie steht die Root-Zone, dargestellt durch einen Punkt (.). Wenn Sie example.com eingeben, ist der vollständige Domainname tatsächlich example.com. mit einem abschließenden Punkt. Die meisten Systeme verbergen diesen abschließenden Punkt aus Bequemlichkeit.

Die Root-Zone wird von ICANN (Internet Corporation for Assigned Names and Numbers) verwaltet und enthält Verweise auf alle TLD-Server. Die Root-Zonendatei ist nur etwa 2 MB groß und ändert sich relativ selten.

Top-Level-Domains (TLDs)

TLDs sind die Endungen am Ende von Domainnamen. Sie fallen in mehrere Kategorien:

• Generische TLDs (gTLDs): .com, .org, .net, .info, .biz
• Ländercode-TLDs (ccTLDs): .uk, .de, .jp, .ca
• Gesponserte TLDs: .gov, .edu, .mil (eingeschränkte Nutzung)
• Neue gTLDs: .app, .dev, .blog, .tech (eingeführt nach 2013)

Jede TLD hat ihren eigenen Registry-Betreiber, der für die Pflege der TLD-Zonendatei und den Betrieb der TLD-Nameserver verantwortlich ist. Einige TLDs haben spezifische Anforderungen – zum Beispiel ist .edu auf akkreditierte Bildungseinrichtungen beschränkt.

Second-Level-Domains und Subdomains

Die Second-Level-Domain ist das, was Sie registrieren – wie example in example.com. Sie haben die volle Kontrolle über diese Domain und können unbegrenzt Subdomains darunter erstellen.

Subdomains wie blog.example.com oder api.example.com ermöglichen es Ihnen, Dienste zu organisieren und Traffic unterschiedlich zu routen. Jede Subdomain kann ihre eigenen DNS-Einträge haben, die auf verschiedene Server oder Dienste verweisen.

DNS-Eintragstypen erklärt

DNS-Einträge sind Anweisungen, die auf autoritativen Nameservern gespeichert sind. Verschiedene Eintragstypen dienen verschiedenen Zwecken, vom Verweisen von Domains auf IP-Adressen bis zur Konfiguration von E-Mail und Überprüfung des Domain-Eigentums.

A- und AAAA-Einträge

Dies sind die grundlegendsten DNS-Einträge. Ein A-Eintrag ordnet eine Domain einer IPv4-Adresse zu (wie 192.0.2.1), während ein AAAA-Eintrag einer IPv6-Adresse zuordnet (wie 2001:db8::1).

Sie können mehrere A-Einträge für dieselbe Domain haben, was einfaches Load-Balancing ermöglicht. DNS-Resolver geben normalerweise alle IP-Adressen zurück, und der Client wählt eine aus (oft die erste). Einige DNS-Anbieter bieten geografisches Routing an, um basierend auf dem Standort des Benutzers unterschiedliche IPs zurückzugeben.

CNAME-Einträge

Ein CNAME (Canonical Name) erstellt einen Alias von einer Domain zu einer anderen. Sie könnten beispielsweise www.example.com mit einem CNAME auf example.com verweisen. Wenn jemand den CNAME nachschlägt, folgt DNS der Kette bis zum endgültigen A-Eintrag.

Wichtige Einschränkung: Sie können keinen CNAME an der Root-Domain (auch Apex oder Naked Domain genannt) verwenden. Dies liegt daran, dass CNAME-Einträge der einzige Eintrag für diesen Namen sein müssen, aber Root-Domains NS- und SOA-Einträge erfordern. Einige DNS-Anbieter bieten proprietäre Lösungen wie Cloudflares CNAME-Flattening oder AWS Route 53s ALIAS-Einträge an, um dies zu umgehen.

MX-Einträge

Mail Exchange (MX)-Einträge teilen E-Mail-Servern mit, wohin E-Mails für Ihre Domain zugestellt werden sollen. Jeder MX-Eintrag hat einen Prioritätswert – niedrigere Zahlen haben höhere Priorität. Wenn der primäre Mailserver nicht verfügbar ist, versuchen Absender die nächste Prioritätsstufe.

Beispiel-MX-Konfiguration für Google Workspace:

example.com.  MX  1  aspmx.l.google.com.
example.com.  MX  5  alt1.aspmx.l.google.com.
example.com.  MX  5  alt2.aspmx.l.google.com.
example.com.  MX  10 alt3.aspmx.l.google.com.
example.com.  MX  10 alt4.aspmx.l.google.com.

TXT-Einträge

TXT-Einträge speichern beliebige Textdaten und sind für E-Mail-Authentifizierung und Domain-Verifizierung unverzichtbar geworden. Häufige Verwendungen umfassen:

• SPF (Sender Policy Framework): Listet autorisierte Mailserver auf, um E-Mail-Spoofing zu verhindern
• DKIM (DomainKeys Identified Mail): Kryptografische Signatur für E-Mail-Authentifizierung
• DMARC (Domain-based Message Authentication): Richtlinie für den Umgang mit fehlgeschlagener Authentifizierung
• Domain-Verifizierung: Nachweis des Eigentums gegenüber Diensten wie Google