DNS Glossary

Kurze, verständliche Definitionen der DNS-Begriffe, denen Sie begegnen. Begriffe mit eigener Anleitung sind verlinkt.

Resolver: Ein Server, der DNS-Einträge in Ihrem Auftrag nachschlägt — meist der Ihres Internetanbieters oder ein öffentlicher wie 8.8.8.8 oder 1.1.1.1. Auch rekursiver Resolver genannt.
Autoritativer Nameserver: Der Server, der die tatsächlichen DNS-Einträge einer Domain hält — die letztlich maßgebliche Quelle, die Resolver abfragen.
Zone: Ein Ausschnitt des DNS-Namensraums, der als Einheit verwaltet wird — typischerweise eine Domain samt ihren Subdomains, definiert durch eine Zonendatei auf dem autoritativen Nameserver.
TTL (Time To Live): Wie lange ein Resolver einen Eintrag zwischenspeichern darf (in Sekunden), bevor er den autoritativen Nameserver erneut abfragt.
Propagation: Die Zeit, die eine DNS-Änderung braucht, um jeden Resolver weltweit zu erreichen; bestimmt durch die alte TTL.
NXDOMAIN: Eine autoritative Antwort, die bedeutet, dass der abgefragte Name in der Zone nicht existiert.
SERVFAIL: Der Resolver konnte die Abfrage überhaupt nicht abschließen — nicht erreichbare Server, defekte Delegierung oder fehlgeschlagene DNSSEC-Validierung.
Zonen-Apex / Root-Domain: Die nackte Domain ohne Subdomain (example.com, nicht www.example.com). CNAME-Einträge sind hier nicht erlaubt.
DNSSEC: Eine Reihe von Erweiterungen, die DNS-Einträge kryptografisch signieren, damit Resolver überprüfen können, dass Antworten nicht gefälscht wurden.
DoH (DNS over HTTPS): DNS-Abfragen, verschlüsselt über HTTPS gesendet, sodass sie auf dem Netzwerkweg weder mitgelesen noch manipuliert werden können.
DoT (DNS over TLS): DNS-Abfragen, verschlüsselt über eine eigene TLS-Verbindung — dasselbe Ziel wie DoH, anderer Transportweg.
SPF: Ein DNS-TXT-Eintrag, der auflistet, welche Mailserver für eine Domain E-Mails versenden dürfen.
DKIM: Eine kryptografische Signatur an ausgehenden E-Mails, damit Empfänger überprüfen können, dass sie unterwegs nicht verändert wurden.
DMARC: Ein Richtlinieneintrag, der empfangenden Mailservern sagt, was zu tun ist, wenn SPF und DKIM beide fehlschlagen — und der Berichte liefert.
Glue Record: Ein A-Eintrag für einen Nameserver, der innerhalb der von ihm bedienten Domain liegt (z. B. ns1.example.com für example.com); nötig, um eine zirkuläre Abfrage zu vermeiden.
Wildcard-Eintrag: Ein Eintrag mit * als Hostname (*.example.com), der auf jede nicht anderweitig definierte Subdomain passt.
SOA (Start of Authority): Ein Eintrag mit Zonen-Metadaten: primärer Nameserver, Administratorkontakt, Seriennummer und Zeitwerte für das Caching.
Delegation: Eine Subdomain oder Zone per NS-Einträgen an andere Nameserver verweisen und damit die Autorität für diesen Teil des Namensraums abgeben.
Cache-Poisoning: Das Einschleusen einer gefälschten DNS-Antwort in den Cache eines Resolvers, um Datenverkehr umzuleiten — genau der Angriff, den DNSSEC verhindern soll.
Subdomain-Übernahme: Die Beanspruchung einer Subdomain, deren DNS-Eintrag noch auf einen von einem Drittanbieter-Dienst zeigt, den der ursprüngliche Inhaber aufgegeben hat — so kann ein Angreifer dort Inhalte unter der vertrauenswürdigen Domain ausliefern.
Amplifikationsangriff: Eine DDoS-Technik, bei der eine kleine gefälschte Anfrage an einen offenen Resolver gesendet wird, sodass dieser die gefälschte Quelladresse mit einer weit größeren Antwort überflutet und so die Bandbreite des Angreifers vervielfacht.
Offener Resolver: Ein DNS-Resolver, der rekursive Anfragen von jeder beliebigen IP-Adresse im Internet beantwortet statt nur aus dem eigenen Netzwerk, wodurch er sich als Reflektor für Amplifikationsangriffe missbrauchen lässt.
Anycast: Eine Routing-Technik, bei der dieselbe IP-Adresse von vielen physischen Standorten aus angekündigt wird, sodass eine Anfrage automatisch vom nächstgelegenen beantwortet wird.
EPP-Statuscodes: Standardisierte Codes (z. B. clientTransferProhibited, serverHold), mit denen ein WHOIS-Eintrag anzeigt, was die Registrierstelle oder Registry einer Domain aktuell sperrt oder einschränkt.
CGNAT (Carrier-Grade NAT): Eine Konfiguration, bei der ein Internetanbieter eine öffentliche IP-Adresse auf viele Kunden aufteilt, wodurch eine IP-basierte Standortbestimmung oder Identifizierung unzuverlässig werden kann.
Happy Eyeballs: Ein Algorithmus, mit dem Client-Software IPv6- und IPv4-Verbindungen parallel versucht und diejenige behält, die zuerst zustande kommt, wodurch das Hinzufügen von AAAA-Einträgen risikoarm wird.
RRL (Response Rate Limiting): Ein Schutzmechanismus auf autoritativen Nameservern, der wiederholte identische Antworten an dieselbe scheinbare Quelle drosselt und so DNS-Amplifikationsangriffe abschwächt.
BCP38: Eine bewährte Filterpraxis im Netzwerk, die Pakete mit gefälschter Quelladresse am Verlassen eines Netzwerks hindert und Amplifikationsangriffe so an ihrem Ursprung statt an ihrem Ziel stoppt.