Glue-Records und DNS-Delegation erklärt

Experte⏱ 4 Min. LesezeitAktualisiert am 13. Oktober 2026

Deine Domain beginnt nicht in deiner DNS-Zone. Sie beginnt eine Ebene höher, in der Zone von .com oder .de, wo die Registry ein paar Einträge hält, die sagen, welche Nameserver für dich antworten. Diese Übergabe heißt Delegation. Tragen diese Nameserver Namen innerhalb der Domain, die sie bedienen — ns1.example.com für example.com —, muss die Registry auch ihre Adressen halten. Diese Adressen sind Glue, und wenn sie falsch sind, ist die ganze Domain weg.

Wie Delegation funktioniert

Wenn du beim Registrar Nameserver einträgst, veröffentlicht die Registry NS-Einträge für deine Domain in der übergeordneten Zone. Liegen die Nameserver-Namen in deiner Domain, fügt sie auch deren Adressen hinzu:

; in the .com zone (run by the registry), not in yours
example.com.        172800 IN NS  ns1.example.com.
example.com.        172800 IN NS  ns2.example.com.
; glue: addresses of nameservers named inside the delegated zone
ns1.example.com.    172800 IN A   192.0.2.53
ns2.example.com.    172800 IN A   198.51.100.53

Ohne diese A-Einträge säße ein Resolver fest: Um example.com zu finden, muss er ns1.example.com fragen, und um ns1.example.com zu finden, die Nameserver von example.com. Glue kommt im selben Verweis mit und durchbricht den Kreis.

Um example.com zu erreichen, brauchst du ns1.example.com, das in example.com liegt. Der .com-Server liefert dessen Adresse (Glue) mit dem Verweis, damit der Resolver ihn direkt fragen kann.

Wann Glue nötig ist

Domain	Nameserver	Glue	Warum
`example.com`	`ns1.example.com`	Erforderlich	Der Nameserver liegt in der Zone, die er bedient — der Kreis von oben.
`example.com`	`ns1.dnshost.example`	Nicht genutzt	Der Resolver findet `dnshost.example` separat über dessen eigene Delegation.
`example.com`	`ns1.example.org`	Optional	„Geschwister“-Glue: Manche Registries veröffentlichen ihn, Resolver müssen aber ohne ihn auskommen (RFC 9471).

Eigene Nameserver betreiben (Child-Nameserver)

Gehostetes DNS (Cloudflare, dein Registrar, dein Hoster) gibt dir Nameserver unter dessen eigener Domain, also musst du keinen Glue pflegen. Du brauchst ihn nur für Nameserver, die unter deiner Domain benannt sind — gebrandete Nameserver oder selbst betriebenes DNS. Registrare nennen das „Child-Nameserver“, „Host-Einträge“, „Nameserver registrieren“ oder einfach „Glue-Records“.

Lege im Registrar-Panel die Hostnamen (ns1.example.com, ns2.example.com) mit ihren IPv4- und, falls vorhanden, IPv6-Adressen an.
Trage dieselben A/AAAA- und NS-Einträge in deiner Zone ein, damit die übergeordnete Zone und deine Server dasselbe sagen.
Stelle erst dann die Nameserver der Domain auf diese Namen um.
Prüfe das Ergebnis aus Sicht der Registry mit dig +norec (unten) und von außen mit einem DNS-Trace.

Achtung: Die IP-Adresse eines Nameservers zu ändern heißt, sie an zwei Stellen zu ändern: in deiner Zone und im Glue beim Registrar. Resolver nutzen zuerst den Glue, also bricht eine korrekte Zone mit veraltetem Glue trotzdem — und bei einer TTL der übergeordneten Zone von bis zu zwei Tagen dauert der Ausfall an.

Typische Delegationsprobleme

Lame Delegation: Ein in der übergeordneten Zone eingetragener Nameserver antwortet nicht für die Zone (falscher Server, gelöschte Zone, Firewall). Resolver versuchen es anderswo, deshalb zeigt es sich als Langsamkeit und gelegentliches SERVFAIL.
Eltern und Kind widersprechen sich: Die Registry nennt ns1/ns2, deine Zone ns3/ns4. Welche Menge ein Resolver nutzt, hängt von seinem Cache ab, also verhält sich jedes Netz anders.
Veralteter Glue: Der Server ist umgezogen, der Glue nicht. Typisch nach einer VPS-Migration.
Fehlender Glue: Nameserver in der Zone ohne Adressen bei der Registry — die Domain löst nirgends auf.
Alles auf eine Karte: zwei Nameserver auf einer IP oder in einem Netz. RFC 2182 verlangt Server, die nicht gemeinsam ausfallen.

So prüfst du Delegation und Glue

Frage einen Server der übergeordneten Zone direkt und ohne Rekursion, um genau zu sehen, was die Registry veröffentlicht — Glue steht im Abschnitt ADDITIONAL. Vergleiche dann mit dem, was deine eigenen Server sagen:

# ask a .com server directly, without recursion: glue is in the ADDITIONAL section
dig @a.gtld-servers.net example.com NS +norec
# follow the whole chain from the root
dig example.com A +trace
# compare with what your own nameservers say
dig @ns1.example.com example.com NS +short

Tipp: Der DNS-Trace von PixDNS folgt der Kette ab der Root und zeigt jeden Verweis, sodass fehlender oder veralteter Glue genau im betroffenen Schritt sichtbar wird. Der NS-Lookup vergleicht die antwortenden Nameserver.

Delegation einer Domain verfolgen →Weiter: Was Nameserver sind →

Häufige Fragen

Brauche ich Glue-Records mit Cloudflare oder dem DNS meines Registrars?

Nein. Deren Nameserver liegen unter ihren eigenen Domains, und sie verwalten die Adressen. Glue zählt nur für Nameserver, die in deiner Domain benannt sind.

Wo bearbeite ich Glue-Records?

Beim Registrar, in einem Bereich wie Child-Nameserver oder Host-Einträge. Deine DNS-Zone kann sie nicht ändern, weil sie in der übergeordneten Zone liegen.

Wie lange dauert eine Glue-Änderung?

Die Registry veröffentlicht sie meist in Minuten, Resolver können die alte Adresse aber bis zum Ablauf der TTL der übergeordneten Zone behalten — bei .com bis zu 48 Stunden.

Was ist eine Lame Delegation?

Ein für eine Domain eingetragener Nameserver, der für sie gar nicht antwortet. Er bremst Abfragen und kann zu sporadischen Fehlern führen.

Auf Ihrer Domain ausprobieren

Sehen Sie die Theorie in der Praxis — führen Sie DNS-Trace für Ihre eigene Domain aus.

Aktualisiert am 13. Oktober 2026

Quellen