Was ist DNS? Funktionsweise, Aufbau und Bedeutung des Domain Name Systems

Das Domain Name System (DNS) übersetzt Domainnamen wie www.denic.de in IP-Adressen wie 81.169.145.78. Computer rechnen mit Zahlen, Menschen merken sich Namen. DNS bildet die Brücke zwischen beiden und zählt damit zu den Grundpfeilern des Internets.

Das System stammt aus dem Jahr 1983 und läuft bis heute überwiegend über UDP-Port 53, meist unverschlüsselt. Ohne DNS müsste man sich für jede Website die numerische Adresse merken. Mit DNS tippt man einen Namen ein, der Rest passiert in wenigen Millisekunden.

Wie funktioniert eine DNS-Abfrage?

Das DNS ist hierarchisch und dezentral organisiert. Es gibt keine zentrale Datenbank, sondern eine Kette von Zuständigkeiten von der Wurzel bis zur einzelnen Domain. Eine typische Abfrage läuft so ab:

1. Der Client prüft zuerst seinen lokalen Cache. War die Seite kürzlich offen, liegt die Antwort noch vor und die Abfrage endet hier.

2. Ist der Cache leer, fragt der Stub-Resolver des Betriebssystems einen rekursiven Resolver an, meist den des Internetanbieters oder einen öffentlichen Dienst wie 1.1.1.1.

3. Der Resolver prüft seinen eigenen Cache. Ein Treffer bedeutet sofortige Antwort, abhängig von der TTL (Time to Live) des Eintrags.

4. Ohne Treffer fragt der Resolver einen Root-Server. Dieser kennt die Adresse nicht, verweist aber auf die Nameserver der Top-Level-Domain, etwa .de.

5. Der TLD-Nameserver verweist auf die autoritativen Nameserver der konkreten Domain.

6. Dort liegt die verbindliche Antwort, etwa ein A-Record mit der IPv4-Adresse. Der Resolver speichert das Ergebnis und liefert es an den Client zurück.

Eine kalte Abfrage dauert typischerweise 20 bis 120 Millisekunden, gecachte Antworten sind praktisch sofort da. Für die Endung .de betreibt die DENIC einen global verteilten Nameservice, der täglich Milliarden Anfragen beantwortet.

Rekursive Resolver und autoritative Nameserver

Beide Servertypen sprechen dasselbe Protokoll, erfüllen aber unterschiedliche Aufgaben. Der rekursive Resolver arbeitet im Auftrag der Nutzer. Er läuft die Hierarchie ab, cached Ergebnisse und bildet so die Schnittstelle zwischen Gerät und DNS-Welt.

Der autoritative Nameserver verwaltet dagegen die offiziellen Einträge einer Zone. Er antwortet verbindlich und ohne weitere Weiterleitung. Domaininhaber kontrollieren diese Server direkt oder über ihren Provider. Diese klare Trennung ist der Grund, warum das DNS weltweit skalieren kann.

Die wichtigsten DNS-Record-Typen

Eine Handvoll Record-Typen begegnet einem fast überall:

• A und AAAA verknüpfen einen Namen mit einer IPv4- oder IPv6-Adresse.

• CNAME legt einen Namen auf einen anderen Namen um, praktisch für Aliase.

• MX bestimmt, welcher Server E-Mails für eine Domain annimmt.

• NS legt fest, welche Nameserver für eine Zone zuständig sind.

• TXT trägt freie Daten, etwa SPF und DKIM für die E-Mail-Authentifizierung.

Sicherheit: DNSSEC, DoH und DoT

Klassisches DNS ist unverschlüsselt und manipulierbar. Angreifer können Antworten fälschen und Clients auf bösartige Server lotsen, das nennt sich Spoofing oder Cache-Poisoning. DNSSEC ergänzt das DNS um kryptografische Signaturen, die Resolver beim Empfang prüfen. Die .de-Zone ist seit 2011 signiert, mit NSEC3 und regelmäßigen Key-Rollovern.

Ganz problemlos ist das nicht. Im Mai 2026 führten fehlerhafte Signaturen während eines Key-Rollovers zu einem Ausfall, einzelne Resolver deaktivierten die Validierung vorübergehend. Der Abschlussbericht von DENIC dokumentiert den Vorfall im Detail.

Unabhängig von DNSSEC schützen verschlüsselte Transportwege die Abfrage selbst. DoT (DNS over TLS) nutzt den dedizierten Port 853, DoH (DNS over HTTPS) tunnelt Anfragen durch normales HTTPS auf Port 443. DoH ist browserfreundlich und für Filter schwer erkennbar, DoT bleibt für Monitoring und Netzwerkrichtlinien besser sichtbar. Android setzt bei Private DNS etwa auf DoT. Weiterentwicklungen wie Oblivious DoH und DNS over QUIC verbessern Anonymität und Performance.

DNS-Abfragen in der Praxis prüfen

Unter Linux und macOS liefert dig alle Details einer Abfrage, Windows nutzt stattdessen nslookup. Ein typischer Aufruf:

$ dig digtrace.net A

Die Ausgabe enthält Status, Antwortsektion und Zeitwerte:

; <<>> DiG 9.18.28 <<>> digtrace.net A
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41287
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; QUESTION SECTION:
;digtrace.net.			IN	A

;; ANSWER SECTION:
digtrace.net.		300	IN	A	172.67.150.29
digtrace.net.		300	IN	A	104.21.7.84

;; Query time: 18 msec
;; SERVER: 1.1.1.1#53(1.1.1.1) (UDP)
;; WHEN: Thu Sep 10 14:32:07 CEST 2026
;; MSG SIZE  rcvd: 73

Drei Details lohnen den Blick: Der Status NOERROR signalisiert eine gültige Antwort, bei unbekannten Domains erscheint NXDOMAIN. Die 300 in der Antwortsektion ist die TTL in Sekunden, also wie lange der Eintrag gecacht werden darf. Die Query time zeigt, wie schnell der Resolver geantwortet hat. Für ein kompaktes Ergebnis genügt dig +short digtrace.net.

Wer eigene Einträge ändert, prüft sie am besten mit dem DNS-Checker von Dig Trace. Wie sich Updates weltweit verteilen, zeigt das Tool zur DNS-Propagation, denn durch Caching kann eine neue IP je nach TTL Stunden brauchen, bis sie überall ankommt.

Hinweis: Vor einer DNS-Änderung lohnt es sich, die TTL der betroffenen Records zu senken. Sonst liefern Caches noch Stunden oder Tage die alte Adresse aus.

DNS im größeren Zusammenhang

DNS steht am Anfang praktisch jeder Netzwerkverbindung, ob Website, E-Mail oder API-Aufruf. Es arbeitet eng mit dem IP-Layer zusammen und erklärt viele typische Probleme mit: Seiten laden plötzlich nicht, Mails landen im Spamordner oder ein Serverumzug greift nur für einen Teil der Nutzer.

Für Domaininhaber lohnt sich DNSSEC über den Provider, für datenschutzbewusste Nutzer ein Wechsel zu einem Resolver mit DoH oder DoT.