Domains und DNS für Serverbetreiber
Einen Server können Sie an einem Abend wechseln, die Domain bleibt jahrelang beim Projekt. Über DNS verweist die Domain auf den Server, die E-Mail und externe Dienste, und ein einziger falscher Eintrag legt die Website lahm oder schickt Mails in den Spam. Hier lesen Sie, welche Einträge ein VPS-Betreiber braucht, wie das Caching funktioniert, wo die Zone liegen sollte und wie Sie so auf einen neuen Server umziehen, dass die Besucher nichts davon merken.
Eine Domain besteht aus drei unabhängigen Teilen, und es hilft, sie auseinanderzuhalten. Der Registrar verkauft und verlängert die Domain selbst. Die DNS-Server, die beim Registrar in den NS-Einträgen stehen, speichern die Zone, also die Liste der Einträge der Domain. Der Hoster stellt den Server mit der IP-Adresse, auf die diese Einträge zeigen. Alle drei Rollen kann ein Unternehmen übernehmen oder drei verschiedene, und davon hängt ab, was Sie bei einem Umzug ändern müssen.
Die wichtigsten DNS-Einträge
- A ist die IPv4-Adresse des Servers für einen Namen (RFC 1035). Für eine Website brauchen Sie meist zwei: für
example.comund fürwww.example.com. - AAAA ist dasselbe für IPv6 (RFC 3596). Legen Sie ihn nur an, wenn der Server wirklich über IPv6 antwortet: Browser versuchen diese Adresse zuerst, und ein nicht funktionierendes IPv6 verursacht bei einem Teil der Besucher Verzögerungen. Mehr dazu im Artikel IPv4 und IPv6 auf dem Server.
- CNAME ist ein Alias: Ein Name zeigt auf einen anderen Namen, etwa
wwwaufexample.comoder eine Subdomain auf die Adresse eines CDN. Nach RFC 2181 darf ein Name mit CNAME keine weiteren Einträge haben, deshalb setzt man auf die Domain selbst ohne Subdomain keinen CNAME: Dort liegen bereits die Einträge NS und SOA. Manche DNS-Anbieter umgehen das mit eigenen Typen wie ALIAS oder ANAME, das ist aber eine Erweiterung des jeweiligen Dienstes und kein Standard. - MX nennt die Server, die E-Mails für die Domain annehmen, mit einer Priorität: Die kleinere Zahl ist der Hauptserver. MX muss auf einen Namen mit A- oder AAAA-Eintrag zeigen, nicht auf eine IP-Adresse und nicht auf einen CNAME.
- TXT enthält beliebigen Text. Darin stehen SPF, DKIM und DMARC für E-Mail sowie Bestätigungscodes der Domain für Suchmaschinen und andere Dienste. Wie Sie die Mail-Einträge aufbauen, erklärt der Artikel Mailserver auf einem VPS: SPF, DKIM, DMARC.
- CAA legt fest, welche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen (RFC 8659). Der Eintrag ist optional, doch wenn es ihn gibt, verweigert eine nicht genannte Stelle die Ausstellung. Zu Zertifikaten siehe den Artikel SSL-Zertifikate: kostenlos und kostenpflichtig.
Eine typische Zone einer Website auf einem VPS mit E-Mail bei einem externen Dienst sieht so aus: A- und AAAA-Einträge für die Domain und www, MX des Maildienstes, TXT mit SPF und DMARC, CNAME oder TXT für DKIM und einige TXT-Einträge mit Bestätigungen von Diensten.
TTL: warum Änderungen nicht sofort sichtbar sind
TTL ist die Zeit in Sekunden, für die DNS-Server der Provider und die Geräte der Besucher eine Antwort speichern (RFC 2181, Abschnitt 8). Solange sie nicht abgelaufen ist, fragen sie die Zone nicht erneut ab, ein neuer Eintrag erreicht also alle frühestens nach Ablauf der TTL des alten. Daher stammt die verbreitete Aussage „DNS aktualisiert sich bis zu 72 Stunden“: In Wirklichkeit bestimmt das die TTL, die Sie selbst festgelegt haben.
- 3600 Sekunden (eine Stunde) sind ein vernünftiger Wert für den normalen Betrieb;
- 300 Sekunden für die Zeit eines Umzugs oder einer Einrichtung, wenn Sie die Adresse schnell ändern müssen;
- ein Tag und mehr für Einträge, die sich jahrelang nicht ändern, etwa MX.
Auch das Fehlen eines Eintrags wird zwischengespeichert. Fragen Sie eine Subdomain ab, bevor Sie sie angelegt haben, wird die negative Antwort für die Dauer aus dem SOA-Eintrag der Zone gespeichert (RFC 2308), oft eine Stunde. Legen Sie den Eintrag deshalb zuerst an und prüfen Sie ihn erst danach.
Ein Sonderfall sind die NS-Einträge beim Registrar. Ihre TTL legt nicht der Domaininhaber fest, sondern die Top-Level-Zone. Eine Abfrage der Zonenserver am 6. November 2026 ergab: Für .com-Domains werden NS-Einträge 172.800 Sekunden zwischengespeichert, also zwei Tage, für .de 86.400 Sekunden, ein Tag, für .ru 345.600 Sekunden, vier Tage. Ein Wechsel der DNS-Server einer Domain dauert deshalb immer länger als die Änderung eines A-Eintrags.
PTR: der Reverse-Eintrag für E-Mail
Gewöhnliche Einträge übersetzen einen Namen in eine Adresse, PTR eine Adresse in einen Namen: 203.0.113.10 → mail.example.com. Er liegt nicht in der Zone Ihrer Domain, sondern in der Adresszone in-addr.arpa oder ip6.arpa, die der Inhaber der IP-Adresse verwaltet, also der Hoster. Gesetzt wird er im Panel des Hosters oder über den Support.
Für eine Website ist PTR nicht nötig, für E-Mail ist er Pflicht: Google verlangt von Absendern, dass die IP-Adresse des Servers einen PTR-Eintrag hat und der Name daraus wieder auf dieselbe Adresse zeigt. Prüfen Sie vor dem Kauf eines VPS für E-Mail, ob der Hoster PTR-Änderungen erlaubt und ob ausgehender Port 25 offen ist; eine Auswahl solcher Server finden Sie unter VPS für einen Mailserver.
Wo die Zone liegen sollte: Registrar, Hoster oder separater DNS-Dienst
- Beim Registrar. Kostenlos und unabhängig vom Hoster: Beim Serverwechsel ändern Sie einen A-Eintrag. Nachteile sind eine bescheidene Auswahl an Eintragstypen, keine oder eine eingeschränkte API, und die Antwortgeschwindigkeit hängt von der Infrastruktur des Registrars ab.
- Beim Hoster. Bequem, wenn alles in einem Panel liegt, und manche Hoster füllen die Zone selbst aus. Wechseln Sie aber den Hoster, müssen Sie auch die Zone umziehen, und bei einer Kontosperre oder einem Streit ist zusammen mit dem Server auch das DNS nicht verfügbar, also E-Mail und alle Subdomains.
- Separater DNS-Dienst. Server in verschiedenen Ländern mit Anycast, schnelle Antworten, eine API für Automatisierung und die Ausstellung von Wildcard-Zertifikaten, ein Änderungsverlauf. Die Basistarife sind bei vielen kostenlos. Geeignet für Projekte mit mehreren Servern oder mit CDN.
Für jede Variante gilt: Registrar und Domainkonto müssen dem Inhaber des Projekts gehören, nicht einem Dienstleister oder dem Hoster. Laut Katalog von accsly.io mit Stand November 2026 wird eine kostenlose Domain in 494 Shared-Hosting-Tarifen von 153 der 1.655 Hoster erwähnt, meist bei jährlicher Zahlung. Klären Sie bei einem solchen Angebot, auf wen die Domain registriert wird und was die Verlängerung im zweiten Jahr kostet. Die Hosting-Tarife finden Sie in der Rubrik Webhosting für Websites.
Schützen Sie die Domain selbst wie Geld: Zwei-Faktor-Anmeldung beim Registrar, automatische Verlängerung mit gültiger Karte, aktuelle E-Mail-Adresse des Inhabers. Nach den geltenden Regeln der ICANN kann eine Domain in generischen Zonen wie .com 60 Tage nach Registrierung oder Transfer nicht zu einem anderen Registrar übertragen werden, wählen Sie den Registrar also besser gleich richtig.
So ziehen Sie eine Website ohne Ausfall um
- Ein bis zwei Tage vorher senken Sie die TTL der A- und AAAA-Einträge auf 300 Sekunden und warten, bis die alte TTL abgelaufen ist.
- Bereiten Sie den neuen Server vor und prüfen Sie die Website darauf vor der DNS-Änderung:
curl --resolve example.com:443:203.0.113.10 https://example.com/oder ein Eintrag in der Dateihostsauf Ihrem Computer. - Ändern Sie die A- und AAAA-Einträge auf die neue Adresse. Nach wenigen Minuten ist der größte Teil der Besucher auf dem neuen Server.
- Schalten Sie den alten Server nicht ab, mindestens einen Tag lang: Geräte mit zwischengespeicherter Adresse greifen noch darauf zu. Nimmt die Website Daten an, sperren Sie die alte Kopie während des Umzugs für Schreibzugriffe, damit sich Bestellungen und Kommentare nicht auf zwei Datenbanken verteilen.
- Setzen Sie die TTL zurück auf den normalen Wert, sobald alles funktioniert.
Den vollständigen Ablauf für Dateien, Datenbank und E-Mail beschreibt der Artikel So ziehen Sie eine Website vom Shared Hosting auf einen VPS um.
Wechseln Sie zusammen mit dem Server auch die DNS-Server der Domain, machen Sie das in einem eigenen Schritt. Übertragen Sie zuerst alle Einträge in die neue Zone und vergleichen Sie die Antworten der alten und neuen Server: dig @neuer-ns example.com MX und so für jeden Typ. Erst danach ändern Sie die NS beim Registrar und halten die alte Zone mindestens für die TTL der Delegation in Betrieb: zwei Tage für .com, einen Tag für .de und vier Tage für .ru. Ist für die Domain DNSSEC aktiviert, entfernen Sie vor dem NS-Wechsel den DS-Eintrag beim Registrar oder übertragen die Schlüssel nach dem Schema aus RFC 6781: Sonst lösen DNSSEC-validierende Resolver die Domain nicht mehr auf.
Womit Sie prüfen
Der Befehl dig example.com A +short zeigt die aktuelle Antwort, dig example.com A +trace den Weg von den Root-Servern bis zu Ihren und hilft herauszufinden, welcher Server den alten Eintrag liefert. dig -x 203.0.113.10 prüft den PTR. Um die verbleibende TTL im Cache eines bestimmten Resolvers zu sehen, fragen Sie ihn direkt ohne +short ab. Steht vor der Website ein CDN, zeigt der A-Eintrag auf das CDN und nicht auf Ihren Server, wie das funktioniert, erklärt der Artikel CDN: wann eine Website eines braucht.