Domain-Verifizierung mit TXT-Einträgen: wie sie funktioniert und warum sie scheitert

Einsteiger⏱ 3 Min. LesezeitAktualisiert am 13. Oktober 2026

Google, Microsoft, Meta, Apple und Dutzende anderer Dienste bitten dich: „Füge diesen TXT-Eintrag hinzu, um deine Domain zu bestätigen.“ Das ist der einfachste Kontrollnachweis überhaupt: Nur wer das DNS der Domain bearbeiten kann, kann eine zufällige Zeichenkette veröffentlichen, die er bekommen hat. Wenn es klappt, dauert es zwei Minuten. Wenn nicht, ist der Grund fast immer einer von fünf.

Wie es funktioniert

Der Dienst gibt dir ein zufälliges Token. Du veröffentlichst es als TXT-Eintrag, der Dienst fragt den Eintrag über öffentliches DNS ab, und findet er das Token, gehört die Domain aus seiner Sicht dir. Die meisten Dienste nutzen die Domain selbst (@); einige einen eigenen Namen.

Dienst	Name	Wert
Google (Search Console, Workspace)	`@`	`google-site-verification=…`
Microsoft 365	`@`	`MS=ms…`
Meta (Facebook, Instagram)	`@`	`facebook-domain-verification=…`
Apple (iCloud+ Custom Email Domain)	`@`	`apple-domain=…`
Atlassian	`@`	`atlassian-domain-verification=…`
Let's Encrypt (DNS-01)	`_acme-challenge`	`<token>`

Schritt für Schritt

0 von 6 erledigt

Kopiere das Token exakt, ohne Leerzeichen davor oder dahinter.
Lege den TXT-Eintrag dort an, wo das DNS der Domain tatsächlich gehostet wird — beim Anbieter aus den NS-Einträgen, nicht immer beim Registrar.
Trage im Namensfeld @ ein (oder lass es leer) für die Domain selbst. Die meisten Oberflächen hängen die Domain automatisch an; example.com einzutippen ergibt also example.com.example.com.
Füge den Wert ohne Anführungszeichen ein, außer die Oberfläche verlangt sie.
Speichere und prüfe den Eintrag per TXT-Abfrage, bevor du auf „Bestätigen“ klickst.
Behalte den Eintrag danach, wenn der Dienst das verlangt: Google und Microsoft prüfen ihn später erneut.

Mehrere TXT-Einträge unter demselben Namen sind in Ordnung

Eine Domain kann beliebig viele TXT-Einträge unter @ haben, und jeder Dienst findet seinen am Präfix. Lege jedes Token als eigenen Eintrag an:

example.com.  3600 IN TXT "google-site-verification=rXOxyZounnZasA8Z7oaD3c14JdjS9aKSWvsR1EbUSIQ"
example.com.  3600 IN TXT "MS=ms48213307"
example.com.  3600 IN TXT "facebook-domain-verification=w7k2p9d4x1q8z3m6n5b0c2v7"
example.com.  3600 IN TXT "v=spf1 include:_spf.google.com ~all"     ; SPF stays a separate record

Achtung: Füge nie ein Verifizierungs-Token in deinen SPF-Eintrag ein und lege nie einen zweiten Eintrag an, der mit v=spf1 beginnt. SPF ist der einzige TXT-Eintrag, der einmalig sein muss; Vermischen zerstört deine E-Mail-Authentifizierung.

Warum die Verifizierung „Eintrag nicht gefunden“ meldet

Falscher Ort. Der Eintrag wurde beim Registrar angelegt, aber die Nameserver der Domain zeigen auf Cloudflare oder einen Hoster. Prüfe zuerst NS — das ist die häufigste Ursache.
Falscher Name. Die Oberfläche hat die Domain angehängt, es entstand example.com.example.com, oder der Eintrag landete auf www statt auf der Domain.
Zu früh. Der Dienst hat nachgesehen, bevor der Eintrag existierte, und sein Resolver hat „kein Eintrag“ zwischengespeichert — für die Negativ-Cache-Zeit aus dem SOA der Zone, oft eine Stunde. Warte und versuche es erneut.
Verstümmelter Wert. Doppelte Anführungszeichen (""token""), ein fehlendes Zeichen oder ein mitkopiertes Leerzeichen.
Schlecht geteilte lange Werte. TXT-Zeichenketten über 255 Zeichen werden in mehrere Teile in Anführungszeichen aufgeteilt; manche Oberflächen machen das falsch. Verifizierungs-Tokens trifft das selten, DKIM-Schlüssel oft.

# what the world sees — is the token there, exactly once, without extra quotes?
dig +short example.com TXT
# where does the domain's DNS really live? Edit the records there.
dig +short example.com NS

Alte Tokens aufräumen

Tokens von Diensten, die du nicht mehr nutzt, schaden technisch nicht, verraten aber jedem, der nachsieht, welche Werkzeuge du verwendest — Angreifer lesen sie bei der Planung von Phishing — und sie vergrößern die TXT-Antwort. Entferne ein Token, wenn du einen Dienst verlässt, und behalte die, die Dienste erneut prüfen.

Tipp: Der TXT-Lookup von PixDNS zeigt alle TXT-Einträge einer Domain und kennzeichnet bekannte Verifizierungs-Tokens, sodass du leicht siehst, welche zu Diensten gehören, die du noch nutzt.

TXT-Einträge einer Domain nachschlagen →Weiter: TXT-Einträge erklärt →

Häufige Fragen

Kann ich den Verifizierungseintrag nach der Bestätigung löschen?

Nur wenn der Dienst sagt, dass es eine einmalige Prüfung ist. Google Search Console, Google Workspace und Microsoft 365 prüfen erneut, und das Löschen kann die Bestätigung rückgängig machen.

Beeinflusst ein TXT-Verifizierungseintrag meine Website oder E-Mail?

Nein. Er wird nur von dem Dienst gelesen, der ihn verlangt hat. Die Mail-Verarbeitung ändern nur die TXT-Einträge für SPF, DKIM und DMARC.

Wie viele TXT-Einträge kann eine Domain haben?

Es gibt kein festes Limit. Dutzende funktionieren; sehr große TXT-Antworten sind langsamer und brauchen eventuell TCP — ein Grund mehr, ungenutzte Tokens zu entfernen.

Ist eine Verifizierung per CNAME etwas anderes?

Manche Dienste bieten einen CNAME statt eines TXT-Eintrags an. Er beweist dasselbe, aber ein CNAME darf nicht am Apex stehen und seinen Namen mit keinem anderen Eintrag teilen, deshalb ist TXT der Standard.

Auf Ihrer Domain ausprobieren

Sehen Sie die Theorie in der Praxis — führen Sie TXT-Abfrage für Ihre eigene Domain aus.

Aktualisiert am 13. Oktober 2026

Quellen