NXDOMAIN- und SERVFAIL-Fehler beheben

Was die Fehler tatsächlich bedeuten

NXDOMAIN — NXDOMAIN (Non-Existent Domain) ist eine autoritative Antwort: Der für die Zone zuständige Nameserver hat mitgeteilt, dass der Name nicht existiert. Die Abfrage hat funktioniert — es gibt schlicht keinen solchen Eintrag.

SERVFAIL — SERVFAIL ist etwas anderes: Der Resolver konnte die Abfrage überhaupt nicht abschließen. Zwischen Ihrem Resolver und den autoritativen Nameservern ist etwas defekt — nicht erreichbare Server, eine lahme Delegierung oder eine fehlgeschlagene DNSSEC-Validierung.

$ dig missing.example.com
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 21744

$ dig broken-dnssec.example.net
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 31921

Häufige Ursachen für NXDOMAIN

• ein Tippfehler in der Domain oder im Hostnamen (www gegenüber ohne www, fehlender Subdomain-Eintrag)
• der Eintrag wurde nie angelegt — z. B. fehlt ein CNAME für eine Subdomain
• die Domain ist abgelaufen und wurde aus der TLD-Zone entfernt
• die Änderung ist noch nicht propagiert und eine alte negative Antwort liegt im Cache

Häufige Ursachen für SERVFAIL

• alle autoritativen Nameserver sind ausgefallen oder nicht erreichbar
• lahme Delegierung — die NS-Einträge zeigen auf Server, die die Zone nicht hosten
• fehlgeschlagene DNSSEC-Validierung — abgelaufene oder nicht passende Signaturen (nach einer Migration sehr häufig)
• die Zone wurde zu einem neuen Anbieter umgezogen, beim Registrar stehen aber noch die alten NS-Einträge

Diagnose in drei Schritten

1. Prüfen, was die autoritativen Server sagen

Führen Sie eine Abfrage mit dem Resolver „Authoritative NS“ durch. Ist die autoritative Antwort korrekt, öffentliche Resolver aber nicht, geht es um Caching oder Propagierung — nicht um eine defekte Zone. → DNS Lookup

2. Resolver weltweit vergleichen

Eine Propagierungsprüfung über 18 Resolver zeigt sofort, ob das Problem global ist (Zone defekt) oder nur teilweise (Caches laufen noch ab). → DNS Propagation

3. Delegierungskette und DNSSEC überprüfen

DNS Trace geht von den Root-Servern über die TLD bis zu Ihrer Zone und zeigt, wo die Kette bricht. Ist Ihre Domain signiert, findet eine DNSSEC-Prüfung abgelaufene oder fehlende Signaturen — die klassische stille Ursache für SERVFAIL. → DNS Trace · → DNSSEC Check

Typische Lösungen

• Abgelaufene Domain → beim Registrar verlängern; rechnen Sie mit bis zu 24–48 h, bis die TLD-Zone aktualisiert ist
• Fehlender Eintrag → beim DNS-Anbieter hinzufügen und die TTL bei 300–3600 s belassen
• Lahme Delegierung → die NS-Einträge beim Registrar an die Server anpassen, die die Zone tatsächlich hosten
• DNSSEC-Fehler → die Zone neu signieren oder den DS-Eintrag beim Registrar aktualisieren; nach einem Anbieterwechsel zuerst den veralteten DS entfernen
• Veralteter negativer Cache → die SOA-Mindest-TTL abwarten oder einen anderen Resolver abfragen, um zu bestätigen, dass die Korrektur greift