Kurz erklärt: Domain und DNS sind das Adressbuch eines Unternehmens im Internet, und wie bei einem echten Adressbuch merkt man einen Fehler darin meist erst, wenn jemand versucht, einen zu erreichen, und es nicht klappt. Website, E-Mail und in vielen Fällen auch die Telefonie hängen technisch an denselben wenigen Einträgen. Wer versteht, wie Domain und DNS zusammenspielen, kann teure Fehler vermeiden und erkennt schneller, wenn bei einem Anbieter etwas grundlegend fehlt.
Die Domain gehört dem Unternehmen, nicht der Agentur
Eine Domain wird oft im Zuge eines Website-Projekts von der beauftragten Agentur registriert, und genau das wird später zum Problem, wenn die Zusammenarbeit endet oder die Agentur nicht mehr existiert. Steht die Domain formal auf einen fremden Namen, kann ein Unternehmen im schlimmsten Fall den Zugriff auf die eigene Internetadresse verlieren.
Die Domain sollte deshalb von Anfang an auf das Unternehmen selbst registriert sein, mit den korrekten Kontaktdaten und einem Zugang, den das Unternehmen jederzeit selbst kontrolliert. Das kostet beim Einrichten keinen zusätzlichen Aufwand, verhindert aber genau das Szenario, in dem eine Domain plötzlich nicht mehr verfügbar ist.
DNS-Records sind das eigentliche Steuerungssystem
Hinter jeder Domain liegt eine Reihe von technischen Einträgen, den DNS-Records, die festlegen, wohin Anfragen für diese Domain geleitet werden. Ein A-Record verweist auf die Adresse der Website, ein MX-Record auf den zuständigen Mailserver, ein TXT-Record trägt oft Sicherheitsinformationen wie SPF-Angaben für die E-Mail-Zustellung.
Diese Einträge werden häufig einmalig gesetzt und danach nie wieder angeschaut, obwohl sich die dahinterliegende Infrastruktur über die Jahre ändert. Verwaiste Records, die auf einen Server verweisen, den es längst nicht mehr gibt, sind bei fast jeder Übernahme eines gewachsenen Systems der häufigste Fund.
Redundante Nameserver verhindern den Totalausfall
Nameserver beantworten die eigentliche Frage, wenn jemand eine Domain aufruft: Wohin soll die Anfrage gehen. Läuft nur ein einzelner Nameserver, wird die gesamte Domain unerreichbar, sobald dieser eine Server ausfällt, unabhängig davon, ob die Website selbst einwandfrei läuft.
Aus diesem Grund gehören mindestens zwei Nameserver zu einer soliden DNS-Einrichtung, idealerweise in getrennten Netzen oder sogar an unterschiedlichen Standorten. Fällt einer aus, beantwortet der andere weiterhin zuverlässig die Anfragen, ohne dass Besucher davon überhaupt etwas bemerken.
DNSSEC schützt vor unbemerkt manipulierten Antworten
DNSSEC sorgt dafür, dass eine DNS-Antwort auf dem Weg zum Besucher nicht ausgetauscht werden kann. Ohne diesen Schutz lässt sich einer Domain theoretisch eine falsche Zieladresse unterschieben, sodass jemand die richtige Adresse eintippt und trotzdem auf einer anderen Seite landet, ohne dass im Browser sofort etwas auffällt.
Wichtig dabei: Eine signierte DNS-Zone allein reicht nicht aus. Die sogenannte Vertrauenskette schließt sich erst, wenn der passende Eintrag zusätzlich bei der Registrierungsstelle der Domain hinterlegt wird. Fehlt dieser letzte Schritt, ist die Zone zwar technisch signiert, aber niemand prüft die Signatur tatsächlich nach.
Typische Fehler, die sich leicht vermeiden lassen
Die meisten Probleme rund um Domain und DNS entstehen nicht durch komplizierte Angriffe, sondern durch einfache, über Jahre unbemerkte Nachlässigkeiten. Wer die folgenden Punkte einmal durchgeht, findet oft schon den Grund für ein bestehendes Problem:
- Die Domain läuft auf den Namen einer Agentur oder einer einzelnen Person, nicht auf das Unternehmen
- Es gibt nur einen einzigen Nameserver, ohne redundante Absicherung
- DNSSEC ist im Verwaltungsbereich zwar aktiviert, der DS-Eintrag beim Registrar fehlt aber
- Alte TXT-Records verweisen auf Dienste, die längst nicht mehr genutzt werden
- Niemand im Unternehmen weiß mehr, wer Zugriff auf die DNS-Verwaltung hat
Warum die Domain immer der erste Ansatzpunkt sein sollte
Wenn eine Website nicht erreichbar ist, E-Mails nicht ankommen oder ein Zertifikat sich nicht ausstellen lässt, liegt die Ursache überraschend oft nicht am Server oder am Postfach selbst, sondern an einem einzelnen falschen DNS-Eintrag. Genau deshalb lohnt sich bei jedem dieser Probleme zuerst ein Blick auf die DNS-Konfiguration, bevor größere technische Ursachen gesucht werden.
Eine saubere, dokumentierte DNS-Verwaltung ist damit keine Kleinigkeit im Hintergrund, sondern die Grundlage, auf der Website, E-Mail und oft auch die Telefonie eines Unternehmens stehen.
TTL-Werte entscheiden über die Geschwindigkeit eines geplanten Umzugs
Jeder DNS-Eintrag trägt einen sogenannten TTL-Wert, der festlegt, wie lange andere Server sich diesen Eintrag merken, bevor sie erneut nachfragen. Ein hoher TTL-Wert reduziert im laufenden Betrieb unnötige Abfragen, wird aber zum Problem, sobald ein Eintrag kurzfristig geändert werden muss, etwa bei einem Serverumzug.
Vor einem geplanten Umzug lohnt es sich deshalb, die TTL-Werte der betroffenen Einträge vorübergehend abzusenken. Dadurch übernehmen andere Server die neue Adresse innerhalb von Minuten statt möglicherweise erst nach Stunden oder sogar Tagen, was gerade bei einem Wechsel des Hosting-Anbieters spürbare Ausfallzeit verhindert.
Fazit
Domain und DNS werden selten beachtet, solange alles funktioniert, entscheiden aber genau deshalb über die Erreichbarkeit eines gesamten Unternehmens im Ernstfall. Eine Domain auf den eigenen Namen, redundante Nameserver, korrekt bis zum Ende eingerichtetes DNSSEC und eine regelmäßige Prüfung der bestehenden Einträge verhindern die meisten dieser Ausfälle von vornherein. Wie sich das technisch konkret umsetzen lässt, zeigt die Seite zum DNS Hosting mit technischer Kontrolle.