DNS-Werkzeugkasten

Warum DNS-Tools verwenden?

DNS ist der erste Schritt jeder Internetverbindung. Ein DNS-Problem = unerreichbare Website, nicht zugestellte E-Mails, unmögliche SSL-Zertifikatsvalidierung. Ohne Einblick in Ihre DNS-Konfiguration arbeiten Sie blind.

Drei Situationen, in denen diese Tools unverzichtbar sind:

• Servermigration → Prüfen, dass der neue A/AAAA-Eintrag propagiert ist, bevor der alte Server abgeschaltet wird
• E-Mail-Problem → Bestätigen, dass MX, SPF, DKIM, DMARC korrekt veröffentlicht sind
• Unerreichbare Website → Diagnostizieren, ob das Problem bei DNS, Server oder Netzwerk liegt
• DNSSEC defekt → Vertrauenskette prüfen, verwaiste DS-Einträge oder abgelaufene Signaturen erkennen

So diagnostizieren Sie ein DNS-Problem in 3 Schritten

Schritt 1: DNS-Abfrage starten

Öffnen Sie DNS Lookup, geben Sie Ihre Domain ein und wählen Sie den Eintragstyp:

• A: IPv4-Serveradresse
• AAAA: IPv6-Adresse
• MX: Mailserver
• TXT: SPF, DKIM, DMARC, Verifizierungen
• NS: Autoritative Nameserver

Vergleichen Sie Antworten von Google DNS, Cloudflare, Quad9 und dem autoritativen Server.

Schritt 2: DNS-Gesundheit prüfen

Nutzen Sie das DNS-Audit für eine vollständige Analyse:

• Parent/Zone-Konsistenz
• Delegation und Glue-Einträge
• IPv4- und IPv6-Erreichbarkeit
• TCP-Unterstützung (erforderlich für große Antworten)
• SOA-Synchronisation zwischen Servern

Schritt 3: Propagation verfolgen

Nach einer Änderung vergleicht der Propagationstest die Antworten von Dutzenden öffentlicher Resolver. Sie sehen sofort, wer den neuen Wert hat und wer noch den alten liefert.

Was ist DNS?

DNS (Domain Name System) übersetzt Domainnamen in IP-Adressen. Wenn Sie captaindns.com eingeben, fragt Ihr Browser einen DNS-Resolver ab, der der Kette folgt:

1. Root-Server → Zeigen an, wo der TLD (.com) zu finden ist
2. TLD-Server → Zeigen die NS der Domain an
3. Autoritative Server → Liefern die endgültige Antwort

Auflösungsbeispiel:

Abfrage: captaindns.com A
→ Root: ".com wird von a.gtld-servers.net verwaltet"
→ TLD: "captaindns.com ist an ns1.provider.com delegiert"
→ Autoritativ: "A = 203.0.113.50, TTL 3600"

Analysierte DNS-Eintragstypen

DNSSEC: die DNS-Auflösungskette absichern

DNSSEC (Domain Name System Security Extensions) ergänzt das DNS um kryptografische Signaturen. Ohne DNSSEC kann ein Angreifer DNS-Antworten abfangen und manipulieren (DNS-Spoofing, Cache Poisoning), um den Datenverkehr auf einen bösartigen Server umzuleiten.

So funktioniert DNSSEC:

1. Jede DNS-Zone signiert ihre Einträge mit einem privaten Schlüssel
2. Der öffentliche Schlüssel wird im DNS veröffentlicht (DNSKEY-Eintrag)
3. Die übergeordnete Zone veröffentlicht einen DS-Eintrag (Delegation Signer), der den Schlüssel der Kindzone verknüpft
4. Der Resolver prüft jede Signatur bis zur Root-Zone

Was der DNSSEC Checker prüft:

DNSSEC ist Voraussetzung für DANE/TLSA (SMTP-Absicherung) und wird für immer mehr Dienste gefordert. Microsoft 365 verlangt DNSSEC für E-Mail-Domains ab 2026.

RDAP: Registrierungsdaten von Domains

RDAP (Registration Data Access Protocol) ersetzt WHOIS für die Abfrage von Domain-Registrierungsdaten. Seit dem 28. Januar 2025 schreibt die ICANN WHOIS für gTLDs nicht mehr vor. 374 TLDs haben ihren WHOIS-Dienst bereits abgeschaltet.

Was ein RDAP Lookup zeigt:

• Registrar: wer die Domain verwaltet (Name, IANA-ID, Abuse-Kontakt)
• Daten: Erstellung, Ablauf, letzte Änderung, Domainalter
• EPP-Codes: aktive Sperren (transferProhibited, deleteProhibited), Suspendierungen, Übergangsstatus
• DNSSEC: ist die Domain auf Registrar-Ebene DNSSEC-signiert?
• Kontakte: Inhaber, administrativ, technisch (sofern nicht durch DSGVO maskiert)

Warum das wichtig ist:

• Eine Domain ohne clientTransferProhibited ist anfällig für Diebstahl (Domain-Hijacking)
• Eine Domain im Status pendingDelete wird innerhalb von 30 Tagen gelöscht
• Eine Domain, die vor weniger als 30 Tagen erstellt wurde, ist potenziell verdächtig (Phishing)
• Fehlendes DNSSEC setzt die Domain DNS-Spoofing aus

Das Tool erkennt automatisch das Protokoll (RDAP oder WHOIS) und normalisiert die Ergebnisse in dasselbe Format, unabhängig vom TLD.

Konkrete Anwendungsfälle

Vorfall 1: Website nach Migration nicht erreichbar

Symptom: Die Website funktioniert für einige Nutzer, für andere nicht.

Diagnose:

• Führen Sie einen DNS-Lookup auf den A-Eintrag durch
• Vergleichen Sie Antworten: Google hat die neue IP, einige ISPs haben noch die alte

Maßnahme: Auf TTL-Ablauf warten oder TTL vor der nächsten Migration senken.

Vorfall 2: E-Mails nach Anbieterwechsel abgelehnt

Symptom: Ausgehende E-Mails werden mit "SPF fail" abgelehnt.

Diagnose:

• Prüfen Sie TXT mit DNS Lookup
• Alter Include ist noch vorhanden, neuer fehlt

Maßnahme: SPF-Eintrag korrigieren, auf Propagation warten, erneut testen.

Vorfall 3: SSL-Zertifikat kann nicht generiert werden

Symptom: Let's Encrypt scheitert mit "DNS problem".

Diagnose:

• Führen Sie DNS-Audit der Domain durch
• Ein NS ist lame (antwortet nicht autoritativ)

Maßnahme: Delegation beim Registrar korrigieren, auf Propagation warten.

FAQ - Häufig gestellte Fragen

F: Wie funktioniert DNS-Lookup?

A: Das Tool fragt den ausgewählten Resolver (Google, Cloudflare oder den autoritativen Server) ab und zeigt die Rohantwort mit TTL, Answer/Authority/Additional-Sektionen und Latenz an. Sie können den iterativen Trace aktivieren, um jeden Schritt der Auflösung zu sehen.

F: Was ist DNS-Propagation?

A: "Propagation" bezeichnet die Zeit, die Resolver-Caches benötigen, um abzulaufen und den neuen Wert abzurufen. Sie hängt vom TTL ab: Ein TTL von 3600 bedeutet, dass einige Resolver den alten Wert bis zu 1 Stunde nach Ihrer Änderung behalten können.

F: Warum unterscheiden sich Ergebnisse zwischen Resolvern?

A: Jeder Resolver hat seinen eigenen Cache. Wenn ein Resolver Ihre Zone vor Ihrer Änderung abgefragt hat, behält er die Antwort im Cache, bis der TTL abläuft. Deshalb sind Änderungen nicht sofort überall sichtbar.

F: Was prüft das DNS-Audit?

A: Das Audit prüft die Konsistenz zwischen Parent (Registry) und Zone, verifiziert, dass jeder NS autoritativ antwortet, testet IPv4/IPv6, validiert TCP, vergleicht SOA-Serials und erkennt Lame Delegations oder veraltete Glue-Einträge.

F: Wie kann man die Propagationszeit reduzieren?

A: Senken Sie den TTL des zu ändernden Eintrags 24-48h vor der Änderung (z.B. auf 300 Sekunden). Nehmen Sie die Änderung vor. Sobald stabil, erhöhen Sie den TTL wieder auf den Normalwert, um die Leistung zu optimieren.

F: Was ist DNSSEC und warum sollte man es aktivieren?

A: DNSSEC versieht DNS-Antworten mit kryptografischen Signaturen, um Spoofing und Cache Poisoning zu verhindern. Ohne DNSSEC kann ein Angreifer Ihren Datenverkehr auf einen bösartigen Server umleiten. DNSSEC ist Voraussetzung für DANE/TLSA und wird von Microsoft 365 ab 2026 verlangt. Prüfen Sie Ihre Vertrauenskette mit dem DNSSEC Checker.

F: Wie kann man die Registrierungsdaten einer Domain abfragen?

A: Verwenden Sie den RDAP Lookup, um Registrar, Daten (Erstellung, Ablauf), EPP-Codes und DNSSEC-Status einer Domain abzufragen. RDAP ersetzt WHOIS seit Januar 2025. Das Tool wechselt automatisch auf WHOIS für nicht abgedeckte TLDs (.de, .cn, .eu, .ru).

Ergänzende Tools

Nützliche Ressourcen

• RFC 1035 - Domain Names (ursprüngliche DNS-Spezifikation)
• RFC 8499 - DNS Terminology (offizielles DNS-Glossar)
• Google Public DNS Documentation (Nutzungsanleitung)
• Cloudflare DNS Learning Center (DNS-Tutorials)