dnsnetzwerkdomaininternetresolver

DNS erklärt: Wie das Domain-Name-System das Internet zusammenhält

9 Min. Lesezeit

Jedes Mal, wenn du eine Website aufrufst, läuft im Hintergrund eine Abfrage ab, die du nie siehst: Das Domain Name System (DNS) übersetzt den menschenlesbaren Domainnamen wie kotsch.tech in eine IP-Adresse wie 185.199.108.153, die dein Gerät tatsächlich für die Verbindung braucht. Ohne DNS müsstest du dir für jede Website eine Zahlenfolge merken. DNS ist das Telefonbuch des Internets – und gleichzeitig eine der unsichtbarsten, aber kritischsten Infrastrukturen, die das Internet am Laufen hält.

Die DNS-Hierarchie: Wie eine Anfrage aufgelöst wird

DNS ist hierarchisch aufgebaut. An der Spitze stehen die Root-Nameserver – 13 logische Servergruppen (A bis M), die über hunderte physische Server weltweit verteilt sind. Darunter folgen die TLD-Nameserver (Top-Level Domain), also für .de, .com, .tech usw. Auf der nächsten Ebene stehen die Autoritativen Nameserver, die die tatsächlichen DNS-Einträge einer Domain kennen.

Eine vollständige DNS-Auflösung läuft so ab:

  1. Du tippst kotsch.tech in deinen Browser. Dein Betriebssystem fragt zuerst seinen lokalen Cache: Wurde diese Domain kürzlich aufgelöst?
  2. Falls nicht, fragt dein Gerät den konfigurierten Rekursiven Resolver (meist vom ISP oder ein öffentlicher Dienst wie 1.1.1.1).
  3. Der Resolver kennt die Antwort möglicherweise aus seinem eigenen Cache. Falls nicht, fragt er einen Root-Nameserver: "Wer kennt .tech?"
  4. Der Root-Nameserver antwortet mit der Adresse des TLD-Nameservers für .tech.
  5. Der Resolver fragt den TLD-Nameserver: "Wer kennt kotsch.tech?"
  6. Der TLD-Nameserver antwortet mit dem Autoritativen Nameserver für kotsch.tech.
  7. Der Resolver fragt den autoritativen Nameserver direkt: "Was ist die IP von kotsch.tech?"
  8. Die Antwort (z. B. ein A-Record mit der IP) kommt zurück, wird gecacht und an deinen Browser weitergeleitet.

Dieser Prozess klingt aufwendig, dauert in der Praxis aber nur wenige Millisekunden – und dank Caching wird die vollständige Auflösungskette meist gar nicht jedes Mal durchlaufen.

TTL und DNS-Caching

Jeder DNS-Eintrag hat eine TTL (Time to Live), angegeben in Sekunden. Sie bestimmt, wie lange ein Resolver den Eintrag cachen darf, bevor er ihn erneut abfragen muss. Eine TTL von 3600 bedeutet: Der Eintrag wird eine Stunde lang gecacht.

Niedrige TTLs (z. B. 60 Sekunden) ermöglichen schnelle DNS-Wechsel, erhöhen aber die Serverlast. Hohe TTLs (z. B. 86400 = 24 Stunden) reduzieren Anfragen, bedeuten aber längere Wartezeiten bei Änderungen. Wer eine Domain umzieht, sollte die TTL vorab auf einen niedrigen Wert setzen und erst nach dem Wechsel wieder erhöhen.

DNS-Record-Typen im Überblick

DNS kennt viele verschiedene Record-Typen, von denen jeder eine spezifische Aufgabe hat:

DNS-Sicherheit: DNSSEC, DoH und DoT

DNSSEC: Authentizität der Antworten

DNSSEC (DNS Security Extensions) fügt kryptografische Signaturen zu DNS-Antworten hinzu. Damit kann ein Resolver prüfen, ob eine Antwort tatsächlich vom autoritativen Nameserver stammt und nicht unterwegs manipuliert wurde (DNS-Spoofing oder Cache Poisoning).

DNSSEC schützt jedoch nicht die Vertraulichkeit: DNS-Anfragen bleiben im Klartext sichtbar. Dafür gibt es andere Mechanismen.

DoH und DoT: Verschlüsselte DNS-Anfragen

Standardmäßig werden DNS-Anfragen unverschlüsselt über UDP-Port 53 gesendet. Jeder, der den Netzwerkverkehr mitliest – dein ISP, öffentliche WLAN-Betreiber – kann sehen, welche Domains du aufrufst.

Für maximale Privatsphäre empfiehlt sich DoH oder DoT in Kombination mit einem vertrauenswürdigen DNS-Anbieter oder einem selbst gehosteten Resolver.

Öffentliche DNS-Anbieter und eigene DNS-Server

Öffentliche DNS-Resolver

Die bekanntesten öffentlichen DNS-Server im Überblick:

Den DNS-Server änderst du entweder direkt am Router (gilt dann für alle Geräte im Netz) oder pro Gerät in den Netzwerkeinstellungen. Unter Windows: Netzwerkadapter-Einstellungen → IPv4-Eigenschaften → Bevorzugter DNS-Server.

Pi-hole: DNS selbst hosten

Pi-hole ist ein selbst gehosteter DNS-Resolver, der auf einem Raspberry Pi oder in Docker läuft und Werbung sowie Tracking-Domains netzwerkweit blockiert. Jedes Gerät im Netz – auch Smart-TVs und Spielekonsolen, die keine Adblocker-Erweiterungen kennen – profitiert davon.

Pi-hole beantwortet DNS-Anfragen aus internen Block-Listen mit einer leeren Antwort. Für legitime Domains leitet es die Anfrage an einen vorgelagerten Resolver weiter. Du kannst Pi-hole mit DoT kombinieren (z. B. via Unbound als rekursivem Resolver), um auch die vorgelagerten Anfragen zu verschlüsseln.

Mehr dazu findest du in unserem Artikel Pi-hole als DNS-Werbeblocker im Heimnetzwerk. Eine sinnvolle Ergänzung ist außerdem ein WireGuard-VPN, damit du Pi-holes DNS-Schutz auch unterwegs nutzen kannst.

DNS-Diagnose: Häufige Werkzeuge

Wenn DNS-Probleme auftreten, helfen diese Kommandozeilenwerkzeuge:

Online-Tools wie dnschecker.org zeigen, ob DNS-Änderungen weltweit propagiert sind – nützlich nach einem Domain-Umzug oder einer IP-Änderung.

Häufige Fragen

Was passiert, wenn der DNS-Server ausfällt?

Wenn der konfigurierte DNS-Resolver nicht erreichbar ist, schlagen alle Namensauflösungen fehl. Websites sind dann nicht mehr per Domainname erreichbar – auch wenn der eigentliche Server noch läuft. Das Internet ist technisch da, der Zugang aber blockiert. Abhilfe: Mehrere DNS-Server konfigurieren (primär + sekundär) oder den Router als Fallback nutzen.

Warum sehe ich nach einer DNS-Änderung noch die alte Website?

Weil der alte DNS-Eintrag noch im Cache deines Resolvers oder Betriebssystems steckt. Die TTL bestimmt, wie lange das dauert. Du kannst den lokalen DNS-Cache leeren: unter Windows mit ipconfig /flushdns, unter macOS mit sudo dscacheutil -flushcache. Den Cache des ISP-Resolvers kannst du nicht direkt leeren – hier hilft nur Warten oder ein temporärer Wechsel zu einem öffentlichen Resolver wie 1.1.1.1.

Ist DoH immer besser als normales DNS?

DoH verhindert, dass dein ISP DNS-Anfragen mitliest – verschiebt das Vertrauen aber auf den DoH-Anbieter. Wer seinem DNS-Provider nicht vollständig vertraut, sollte einen selbst gehosteten Resolver mit Unbound in Betracht ziehen. In Unternehmensnetzen kann DoH problematisch sein, weil es die zentrale DNS-Filterung umgeht.

Kann DNS für die Kindersicherung genutzt werden?

Ja. Dienste wie Cloudflare for Families (1.1.1.3), OpenDNS FamilyShield oder ein selbst konfiguriertes Pi-hole können unerwünschte Domains netzwerkweit sperren. Das ist kein lückenloses System – VPNs oder manuell geänderte DNS-Einstellungen am Gerät umgehen den Schutz – aber eine einfache erste Schicht.

Was ist der Unterschied zwischen einem rekursiven und einem autoritativen Nameserver?

Ein rekursiver Resolver arbeitet im Auftrag des Clients: Er fragt der Reihe nach Root-, TLD- und autoritative Nameserver ab, bis er die Antwort hat. Ein autoritativer Nameserver kennt die tatsächlichen DNS-Einträge einer Domain und antwortet direkt darauf – er fragt niemanden weiter. Wenn du eine Domain registrierst und DNS-Einträge setzt, tust du das auf dem autoritativen Nameserver deines Domain-Registrars oder Hosting-Anbieters.