Wildcard-Einträge im DNS: So funktioniert *.example.com

Fortgeschritten⏱ 4 Min. LesezeitAktualisiert am 13. Oktober 2026

Ein Eintrag namens *.example.com antwortet für jede Subdomain, die du nie angelegt hast: blog, test, irgendwas. Damit sind Subdomains pro Kunde und Vorschau-Umgebungen eine Zeile Arbeit. Damit lösen aber auch Tippfehler auf, E-Mails gehen an Hosts, die es nicht gibt, und eine vergessene Subdomain kann in fremde Hände geraten. Die Regeln, was das Sternchen trifft, sind strenger als meist angenommen.

Wie ein Wildcard antwortet

Ein Resolver fragt nach einem Namen. Gibt es ihn in der Zone nicht, sucht der Server einen *-Eintrag beim nächstgelegenen vorhandenen Namen und antwortet, als wäre der Eintrag für den gefragten Namen geschrieben (RFC 4592). Nimm diese Zone:

; zone example.com
example.com.        3600 IN A      203.0.113.10
www.example.com.    3600 IN CNAME  example.com.
shop.example.com.   3600 IN A      203.0.113.20
*.example.com.      3600 IN A      203.0.113.80

Mit *.example.com in der Zone: Ein vorhandener Name behält seinen eigenen Eintrag, ein fehlender bekommt den Wildcard, ein Name unter einem vorhandenen bekommt nichts.

Abfrage	Antwort	Warum
`example.com` `A`	`203.0.113.10`	Der Apex wird von `*.example.com` nie getroffen.
`shop.example.com` `A`	`203.0.113.20`	Den Namen gibt es, also wird der Wildcard ignoriert.
`blog.example.com` `A`	`203.0.113.80`	Den Namen gibt es nicht: Die Antwort entsteht aus `*`.
`a.b.example.com` `A`	`203.0.113.80`	Weder `b` noch `a.b` existieren, also trifft er trotzdem — über beliebig viele Labels.
`shop.example.com` `MX`	Keine Einträge (NODATA)	Den Namen gibt es. Der Wildcard ergänzt nie Typen, die einem echten Namen fehlen.
`x.shop.example.com` `A`	NXDOMAIN	Der nächste vorhandene Name ist `shop`, und `*.shop.example.com` gibt es nicht.

Regeln, die überraschen

Vorhandene Namen sind tabu. Hat www nur einen CNAME, bekommt eine TXT-Abfrage für www nichts aus * — selbst wenn der Wildcard einen TXT-Eintrag hat.
Ein Name „existiert“ auch ohne eigene Einträge, sobald etwas darunter liegt. Lege api.dev.example.com an, und dev.example.com existiert: test.dev.example.com erreicht *.example.com nicht mehr.
Das Sternchen wirkt nur als ganzes linkes Label. *.example.com ist ein Wildcard; www.*.example.com, *-dev.example.com und *abc.example.com sind gewöhnliche, wörtliche Namen.
Ein Wildcard-CNAME ist erlaubt, darf aber wie jeder CNAME seinen Namen mit keinem anderen Eintrag teilen — *.example.com CNAME plus *.example.com MX ist ungültig.
Antworten tragen den gefragten Namen, nicht *. Der Client kann eine Wildcard-Antwort nicht von einem echten Eintrag unterscheiden; erst der Vergleich mit einem Zufallsnamen verrät sie.

Hinweis: Ein Wildcard-TLS-Zertifikat ist etwas anderes mit einer anderen Regel: Ein Zertifikat für *.example.com deckt blog.example.com ab, aber nicht a.b.example.com oder example.com selbst. Dass ein DNS-Wildcard tiefe Namen auflöst, erweitert das Zertifikat nicht.

Wann ein Wildcard das richtige Werkzeug ist

SaaS mit einer Subdomain pro Kunde (acme.app.example): Neue Kunden funktionieren sofort, und die Anwendung entscheidet am Host-Header, welchen Mandanten sie zeigt.
Vorschau- und Branch-Umgebungen, die automatisch entstehen und verschwinden und alle über einen Load Balancer laufen.
Eine Sammel-Weiterleitung, die jede vertippte Subdomain zur Hauptseite schickt — wenn du die Nebenwirkungen unten in Kauf nimmst.

Die Risiken

Tippfehler sehen nach Erfolg aus. ww.example.com oder mial.example.com lösen auf und landen auf einem Server, der statt eines klaren Fehlers eine verwirrende Seite zeigt.
E-Mail. Ein Wildcard-MX macht jede erfundene Subdomain zu einem gültigen Mailziel, was Spammer bemerken; ein Wildcard-A ohne MX bewirkt über den A-Record-Rückfall dasselbe. Gilt der Wildcard nur fürs Web, veröffentliche darauf einen Null-MX und einen strikten SPF.
Subdomain-Übernahme. Ein Wildcard-CNAME auf einen Cloud-Dienst (*.example.com → example.azurewebsites.net) überlässt jede unbelegte Subdomain dem, der dieses Ziel nach deinem Ausstieg registriert.
Versteckte Fehler. Ein gelöschter Eintrag „funktioniert“ über den Wildcard weiter, sodass eine missglückte Migration unbemerkt bleibt — bis der Wildcard entfernt wird.

; keep a web wildcard from inviting mail to every subdomain
*.example.com.  3600 IN MX   0 .              ; RFC 7505 "null MX"
*.example.com.  3600 IN TXT  "v=spf1 -all"

Achtung: Bevor du einer Domain, die E-Mails verschickt oder für Logins dient, einen Wildcard gibst, notiere, welche Subdomains nicht auflösen dürfen, und teste sie nach der Änderung.

So prüfst du, ob eine Domain einen Wildcard hat

Frage nach einem Namen, den niemand anlegen würde. Löst er auf, gibt es einen Wildcard (oder ein CDN bzw. einen DNS-Anbieter, der Antworten erzeugt). Vergleiche dann mit einer echten Subdomain:

# a label that surely does not exist — answered by the wildcard?
dig +short pixdns-test-7f3a.example.com A
# compare with a name that does exist
dig +short shop.example.com A

Tipp: Gib den Zufallsnamen in den DNS-Lookup von PixDNS ein, um Eintragstyp und TTL des Wildcards zu sehen. Werkzeuge zur Subdomain-Ermittlung filtern Wildcard-Antworten genauso: Sie lösen zuerst ein Zufallslabel auf und verwerfen alles, was dazu passt.

Zufällige Subdomain nachschlagen →Weiter: CNAME-Einträge erklärt →

Häufige Fragen

Deckt *.example.com auch example.com ab?

Nein. Der Wildcard trifft Namen unterhalb der Domain, nie die Domain selbst. Behalte für den Apex einen eigenen Eintrag.

Deckt *.example.com auch a.b.example.com ab?

Im DNS ja — solange b.example.com nicht existiert. Ein Wildcard-TLS-Zertifikat deckt dagegen nur eine Ebene ab.

Warum funktioniert mein Wildcard für eine Subdomain nicht?

Weil dieser Name oder ein Name darunter in der Zone existiert. Ein vorhandener Name bekommt nie Antworten vom Wildcard, auch nicht für Typen, die ihm fehlen.

Kann ich einen Wildcard für MX oder TXT nutzen?

Ja, jeder Eintragstyp kann ein Wildcard sein. Ein Wildcard-MX ist selten eine gute Idee; ein Wildcard-Null-MX und v=spf1 -all sind eine verbreitete Absicherung.

Auf Ihrer Domain ausprobieren

Sehen Sie die Theorie in der Praxis — führen Sie DNS-Abfrage für Ihre eigene Domain aus.

Aktualisiert am 13. Oktober 2026

Quellen