Beliebte Tools

Design

DNS Lookup

Kostenloser DNS Lookup für jede Domain, jeden Host und jede IP-Adresse: Diese DNS-Abfrage zeigt alle DNS-Einträge direkt von den Nameservern der Domain, neben dem, was Google und Cloudflare im Cache haben. So sehen Sie, wann eine Änderung überall angekommen ist.

Quellen: die autoritativen Nameserver der Domain, erreicht über einen Root-Server · Google Public DNS · Cloudflare 1.1.1.1

3 Quellen, frisch abgefragt

Eine Domain, ein Host, eine URL, eine E-Mail-Adresse oder eine IP. Jede Abfrage fragt die Server neu: nichts stammt aus unserem Cache.

Eintragstyp
Beispiel

So schlagen wir nach 4 Schritte · etwa 1 s

  1. Root13 Root-Server
  2. TLDdie Server der Registry
  3. Nameserverdie eigenen Server der Domain
  4. Antwortjeder Eintragstyp
  5. Google8.8.8.8
  6. Cloudflare1.1.1.1

Jede Abfrage geht den Weg selbst: von einem Root-Server zur Registry der TLD, dann zu den eigenen Nameservern der Domain für die Einträge, wie sie jetzt sind, und fragt Google und Cloudflare, was dort noch im Cache liegt.

Was zeigt ein DNS Lookup?

Ein DNS Lookup fragt das Domain Name System, was es zu einem Namen gespeichert hat: die IP-Adressen einer Website (A und AAAA), ihre Mailserver (MX), ihre Nameserver (NS), ihre Texteinträge (TXT) und mehr. Dieser DNS-Check fragt drei Stellen gleichzeitig: die eigenen autoritativen Nameserver der Domain, die den aktuellen Stand halten, und zwei der meistgenutzten öffentlichen Resolver der Welt, Google Public DNS und Cloudflare 1.1.1.1, die Millionen Menschen Kopien aus ihrem Cache liefern.

Weichen sie voneinander ab, haben Sie den üblichen Grund gefunden, warum eine DNS-Änderung „nicht funktioniert“: Ein Resolver hat noch die alte Antwort und behält sie, bis die TTL des Eintrags abläuft. Das Ergebnis zeigt, welcher Resolver es ist, was er noch ausliefert und wie lange es bis zur Aktualisierung dauert.

DNS Lookup: Einträge von den Nameservern der Domain neben dem Cache von Google und Cloudflare, Pfad ab der Root und DNSSECDNS Lookup: Einträge von den Nameservern der Domain neben dem Cache von Google und Cloudflare, Pfad ab der Root und DNSSECDer PfadVon einem Root-Server über die TLD der Domain bis zu ihren eigenen Nameservern, mit der Antwort jedes Servers und seiner Geschwindigkeit.Frisch oder aus dem CacheJeder Eintragstyp von den Nameservern der Domain neben der Kopie von Google und Cloudflare, mit der verbleibenden Zeit.Jeder Eintrag erklärtWas ein Wert in Worten bedeutet: Mail-Priorität, SOA-Timer, CAA-Regeln, der Dienst hinter einem TXT-Token.DNSSEC und E-MailOb die Antworten signiert und validiert sind, und die MX-, SPF- und DMARC-Konfiguration der Domain.
Ein DNS Lookup von github.com: der Pfad ab der Root, jeder Eintragstyp und was Google und Cloudflare ausliefern. Wählen Sie eine Nummer, um zu sehen, was der jeweilige Teil zeigt.

DNS-Einträge prüfen: die Eintragstypen erklärt

Die Zone einer Domain enthält Einträge verschiedener Typen, jeder mit einem Namen, einer TTL und einem Wert. Diese Typen zeigt die Abfrage der DNS-Einträge:

TypWas er enthältBeispielwert
AEine IPv4-Adresse für den Namen: Dorthin verbinden sich Browser.203.0.113.20
AAAAEine IPv6-Adresse für den Namen.2001:db8::20
CNAMEEin Alias: Dieser Name ist ein anderer Name, fragen Sie stattdessen diesen ab. Er kann nicht neben anderen Einträgen stehen, daher nicht am Apex der Domain.www.example.com → example.com
MXEin Mailserver der Domain, mit einer Präferenz: Die niedrigste Zahl wird zuerst versucht. Ein einzelner MX mit 0 und „.“ bedeutet, dass die Domain keine Mails annimmt.10 mail.example.com
NSDie Nameserver, die die Einträge der Domain halten.ns1.example.net
TXTFreitext: SPF, DMARC und DKIM für E-Mail sowie Tokens, mit denen die Domain gegenüber Google, Microsoft und anderen nachgewiesen wird.v=spf1 include:_spf.example.net -all
SOADer Start of Authority der Zone: ihr primärer Server, der Kontakt, die Seriennummer und die Timer für Refresh, Retry, Expire und negatives Caching.ns1.example.com hostmaster.example.com 2026102001 7200 3600 1209600 300
CAAWelche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen.0 issue "letsencrypt.org"
HTTPSWie vor der ersten Anfrage verbunden wird: HTTP/3-Unterstützung, Ports und Adresshinweise. Chrome, Firefox und die Systeme von Apple fragen danach.1 . alpn=h3,h2
SRVWo ein Dienst läuft (Priorität, Gewicht, Port, Host), unter Namen wie _sip._tcp.10 5 5060 sip.example.com
PTRDer Name hinter einer IP-Adresse: Reverse DNS.20.113.0.203.in-addr.arpa → host.example.com
DSDNSKEYDNSSEC: die öffentlichen Schlüssel der Zone (DNSKEY) und ihr Fingerabdruck in der übergeordneten Zone (DS), die die Signaturen bis zur Root verketten.2371 13 2 3299…

Wie funktioniert eine DNS-Abfrage?

Ihr Gerät durchsucht nicht das ganze Internet. Es fragt einen einzigen Resolver, meist den Ihres Internetanbieters oder einen öffentlichen wie Google oder Cloudflare, und der Resolver folgt den Verweisen den Namen hinunter, bis ein Server antwortet, der die Antwort hat:

  1. 1

    Einen Root-Server fragen

    Ohne etwas im Cache beginnt der Resolver bei einem der 13 Root-Server, a bis m, betrieben von 12 Organisationen. Die Root kennt example.com nicht, weiß aber, wer .com betreibt. Ein viel genutzter Resolver weiß das schon und überspringt diesen Schritt.

  2. 2

    Dem Verweis zur TLD folgen

    Auch die .com-Server haben die Einträge von example.com nicht. Sie verweisen den Resolver an die eigenen Nameserver der Domain, die in ihren NS-Einträgen stehen.

  3. 3

    Die autoritative Antwort erhalten

    Die Nameserver der Domain antworten mit gesetztem AA-Flag (authoritative answer): Das ist der Eintrag, wie sein Inhaber ihn veröffentlicht hat.

  4. 4

    Für die TTL zwischenspeichern

    Der Resolver behält die Antwort so lange, wie ihre TTL angibt, und gibt dieselbe Kopie mit herunterzählender TTL an alle weiter, die fragen, bis sie abläuft.

Dieses Tool geht diesen Pfad selbst aus dem Netz von Cloudflare, sodass Sie jeden Schritt sehen. Danach fragt es Google und Cloudflare, was ihre Caches enthalten.

Pfad ab der Root

  1. Roota.root-servers.net16 ms · Verweis: die 13 .com-Server
  2. .COMa.gtld-servers.netVerisign · 150 ms · Verweis: ns1–ns2.example.com
  3. Nameserverns1.example.comexample.com · 203.0.113.53 · 20 msautoritative Antwort (AA) · 11 Typen über eine TCP-Verbindung
  4. Antwort8 Einträge in 7 TypenNOERROR nach 31 ms · 4 leer (CNAME, HTTPS, DNSKEY, DS)
  1. Google Public DNS8.8.8.8dieselben Einträge · älteste Kopie wird in erneuert 2:58
  2. Cloudflare DNS1.1.1.1dieselben Einträge · älteste Kopie wird in erneuert 4:04
Derselbe Pfad, wie ihn das Ergebnis zeichnet: ein DNS Lookup von example.com

Warum sehe ich noch den alten DNS-Eintrag?

Weil ein Resolver ihn zwischengespeichert hat. Jeder Eintrag trägt eine TTL (Time to Live) in Sekunden, und ein Resolver, der den Eintrag abgerufen hat, liefert seine Kopie aus, bis diese Zeit abläuft, und fragt dann erneut. Ändern Sie den Eintrag bei Ihrem DNS-Hoster, ändert sich die autoritative Antwort sofort; Resolver, die schon den alten haben, behalten ihn, bis er abläuft.

Eine Änderung dauert also so lange wie die TTL des alten Eintrags, nicht pauschal 24 bis 48 Stunden, und oft kürzer: Eine TTL ist ein Höchstwert, und Google Public DNS behält Einträge höchstens etwa sechs Stunden. Auch ein fehlender Eintrag wird zwischengespeichert: „kein solcher Name“ oder „kein Eintrag dieses Typs“ wird für den kleineren Wert aus der TTL des SOA-Eintrags und seinem letzten Feld, MINIMUM, gemerkt. Selbst ein Fehler wird zwischengespeichert, bis zu 5 Minuten lang.

Was Sie tun können

  • Prüfen Sie hier die autoritative Antwort. Zeigen die eigenen Nameserver der Domain den neuen Wert, ist die Änderung erledigt; nur die Caches hinken hinterher.
  • Senken Sie die TTL vor einer geplanten Änderung, mindestens eine alte TTL im Voraus, damit Caches den alten Wert schnell verwerfen. Erhöhen Sie sie danach wieder.
  • Bitten Sie Google und Cloudflare, ihre Kopie zu verwerfen: Beide haben eine öffentliche Seite, die einen Namen in ihrem Cache erneuert (Google, Cloudflare).
  • Leeren Sie den Cache Ihres Computers: Führen Sie unter Windows ipconfig /flushdns aus.
  • Autoritativns1.example.com · AA-Flag

    Der eigene Nameserver der Domain. Was er antwortet, ist der aktuelle Eintrag: Ändern Sie ihn hier, und der Rest folgt.

  • Im Cache8.8.8.8 · TTL zählt herunter

    Die Kopie eines Resolvers, ausgeliefert, bis ihre TTL abläuft. Das sieht der größte Teil der Welt, und deshalb scheint eine Änderung „nicht zu funktionieren“.

  • Ihr eigener CacheIhr Computer · Ihr Router

    Auch Ihr Computer und Ihr Router speichern Kopien. Ein Flush leert den ersten; die Kopie im Router läuft von selbst ab.

nslookup und dig: Befehle für die DNS-Abfrage

Dieselben Abfragen im Terminal: nslookup ist bei Windows, macOS und Linux dabei, dig bei macOS und den meisten Linux-Systemen und Resolve-DnsName bei der PowerShell unter Windows. Das Ergebnis oben liefert die Befehle für genau die Abfrage, die Sie ausgeführt haben.

AbfrageMit nslookupMit dig
A-Einträgenslookup example.comdig example.com
Mailservernslookup -type=MX example.comdig example.com MX
Texteinträgenslookup -type=TXT example.comdig example.com TXT
Einen bestimmten Resolver fragennslookup example.com 8.8.8.8dig @8.8.8.8 example.com
Reverse DNSnslookup 8.8.8.8dig -x 8.8.8.8
Nur die Werte—dig +short example.com
Der Pfad ab der Root—dig +trace example.com

„Non-authoritative answer“ in der Ausgabe von nslookup bedeutet, dass die Antwort von einem Resolver kam, nicht von den eigenen Nameservern der Domain. Für die autoritative Antwort geben Sie einen der Nameserver der Domain als Server an: nslookup example.com ns1.example.net.

ANY bedeutet nicht alle Einträge: Ein Server darf mit einem einzigen Typ antworten oder mit einem Platzhalter, der nur „RFC8482“ sagt, und 1.1.1.1 lehnt die Anfrage ab. Dieses Tool fragt jeden Typ einzeln ab. Das dig von macOS kennt keine HTTPS-Einträge: Fragen Sie stattdessen nach TYPE65.

DNS-Fehler: NXDOMAIN, SERVFAIL und REFUSED

Jede DNS-Antwort trägt einen Antwortcode. Ein leeres Ergebnis ist nicht immer ein Fehler, und der Code sagt, wo Sie suchen sollten:

AntwortBedeutungWas Sie prüfen sollten
NOERRORDer Name existiert, und Einträge des Typs kamen zurück.Nichts; vergleichen Sie die Werte.
NODATADer Name existiert, hat aber keinen Eintrag dieses Typs: NOERROR mit leerer Antwort, kein eigener Code.Legen Sie den Eintrag bei Ihrem DNS-Hoster an, falls er existieren soll.
NXDOMAINDer Name existiert überhaupt nicht, und auch kein Name darunter.Die Schreibweise, ob die Domain registriert und nicht abgelaufen ist und bei einer Subdomain, ob sie angelegt wurde.
SERVFAILDer Resolver bekam keine gültige Antwort: Die Nameserver sind ausgefallen, oder die DNSSEC-Validierung ist gescheitert.Den DNSSEC-Befund und ob die Nameserver der Domain antworten.
REFUSEDDer Server beantwortet diese Frage nicht: Er ist für die Domain nicht autoritativ und löst nicht rekursiv für Sie auf.Ob die NS-Einträge auf Server zeigen, die die Zone hosten.
TimeoutGar keine Antwort.Die Nameserver sind ausgefallen, blockiert oder haben die falsche Adresse.

DNSSEC: sicher, unsigniert oder fehlerhaft?

DNSSEC signiert die Einträge einer Zone, damit ein Resolver beweisen kann, dass sie nicht gefälscht sind. Die übergeordnete Zone veröffentlicht einen DS-Eintrag, einen Fingerabdruck des Schlüssels der Domain, und die Domain veröffentlicht ihre Schlüssel in DNSKEY-Einträgen, sodass sich die Signaturen bis zur Root verketten. Google Public DNS und Cloudflare 1.1.1.1 validieren beide DNSSEC.

  • DNSSEC sicher

    Sicher

    Signiert, und der validierende Resolver von Google hat die Signaturen geprüft: Seine Antwort trug das AD-Bit (Authenticated Data), seine Aussage, dass die Antwort validiert wurde.

  • DNSSEC unsigniert

    Unsigniert

    Kein DS-Eintrag in der übergeordneten Zone: Die Zone ist nicht signiert. Sie wird normal aufgelöst; ihre Antworten lassen sich nur nicht als echt beweisen.

  • DNSSEC fehlerhaft

    Fehlerhaft

    Die Validierung schlägt fehl, daher antworten validierende Resolver mit SERVFAIL, und die Domain ist für ihre Nutzer nicht erreichbar, obwohl die Daten bei abgeschalteter Prüfung vorhanden sind. Eine typische Ursache ist ein DS in der übergeordneten Zone, der nach dem Umzug zu einem neuen DNS-Hoster zu keinem Schlüssel der Zone passt.

E-Mail-Einträge im DNS Lookup

Mails für eine Domain gehen an ihre MX-Server, und Empfänger prüfen TXT-Einträge, bevor sie ihnen vertrauen: SPF listet die Server, die für die Domain senden dürfen, in einem Eintrag, der höchstens 10 DNS-Lookups auslösen darf; DMARC unter _dmarc legt fest, was mit Mails geschieht, die durchfallen, und wird, wenn eine Subdomain keinen eigenen Eintrag hat, durch Hinaufgehen im Namen gefunden (RFC 9989, seit Mai 2026); MTA-STS unter _mta-sts fordert Absender auf, über TLS zuzustellen. Das Ergebnis liest alle aus und nennt den Mail-Anbieter hinter den MX-Hosts.

Für eine genauere Prüfung einzelner Einträge nutzen Sie die MX-Abfrage, den SPF-Checker und den DMARC-Checker.

DNS-Lookup-API

Zwei kostenlose Endpunkte, mit CORS für Browser. /api/dns-query fragt einen Resolver nach einem Typ und behält die Felder unserer älteren API bei; /api/dns-lookup streamt die vollständige Abfrage dieser Seite als JSON-Zeilen.

Ein Typ von einem Resolver
$ curl -X POST https://dnsrobot.net/api/dns-query \
    -H "Content-Type: application/json" \
    -d '{"domain": "google.com", "recordType": "MX", "dnsServer": "8.8.8.8"}'
{
  "status": "success", "responseTime": 4,
  "resolvedIPs": ["10 smtp.google.com"],
  "dnsServer": "8.8.8.8", "recordType": "MX", "domain": "google.com", …
}
Die vollständige Abfrage, gestreamt
$ curl "https://dnsrobot.net/api/dns-lookup?domain=google.com"
{"t":"start","name":"google.com","kind":"name","types":["A","AAAA","CNAME","MX",…]}
{"t":"hop","hop":{"zone":".","server":"a.root-servers.net","ms":16,"outcome":"referral",…}}
{"t":"answers","source":"google","server":"dns.google","sets":[{"type":"A",…}]}
{"t":"answers","source":"auth","server":"ns1.google.com","sets":[…]}
{"t":"dnssec","verdict":"unsigned",…}
{"t":"done","ms":57}

Fragen zum DNS Lookup

Was ist ein DNS Lookup?

Ein DNS Lookup (DNS-Abfrage) fragt das Domain Name System nach den Einträgen eines Namens: den IP-Adressen einer Website, ihren Mailservern, ihren Nameservern, Texteinträgen und mehr. Ihr Gerät macht das jedes Mal, wenn Sie eine Website öffnen. Dieses Tool zeigt alle Eintragstypen auf einmal, von den eigenen Nameservern der Domain und von den öffentlichen Resolvern von Google und Cloudflare.

Wie kann ich die DNS-Einträge einer Domain prüfen?

Geben Sie die Domain oben ein und wählen Sie Alle: Das Tool fragt die autoritativen Nameserver der Domain nach jedem Eintragstyp (A, AAAA, CNAME, MX, NS, TXT, SOA, CAA, HTTPS, DNSKEY und DS) und zeigt daneben jeweils die Kopie aus dem Cache von Google und Cloudflare. Wählen Sie einen Typ, um nur diesen zu sehen, oder kopieren Sie die Befehle für dig und nslookup, um dieselbe Abfrage selbst auszuführen.

Kann ich nslookup online ausführen?

Ja: Diese Seite ist ein nslookup online, mit mehr Details. nslookup fragt einen Server nach einem Eintragstyp; hier erhalten Sie alle Typen auf einmal, die autoritative Antwort und den Cache zweier Resolver, TTLs und den Pfad ab der Root. Das Ergebnis zeigt außerdem die genauen Befehle für nslookup, dig und Resolve-DnsName zu Ihrer Abfrage, zum Ausführen im Terminal.

Wie lange dauert es, bis eine DNS-Änderung sichtbar ist?

So lange wie die TTL des alten Eintrags. Die Nameserver der Domain liefern den neuen Wert sofort, aber Resolver, die den alten zwischengespeichert haben, behalten ihn, bis seine TTL abläuft: 300 Sekunden sind fünf Minuten, 86400 ein Tag. Das Ergebnis zeigt die verbleibende Zeit der Kopien bei Google und Cloudflare. Senken Sie die TTL einen Tag vor einer geplanten Änderung.

Was bedeutet „Non-authoritative answer“?

Es ist eine Antwort aus dem Cache eines Resolvers statt von den eigenen Nameservern der Domain. nslookup schreibt „Non-authoritative answer“, sobald Sie einen Resolver fragen, also fast immer. Sie stimmt meist, kann aber veraltet sein, bis ihre TTL abläuft. Eine autoritative Antwort kommt von den Nameservern der Zone mit gesetztem AA-Flag; dieses Tool holt sie, indem es den Pfad ab der Root hinabgeht.

Was bedeutet NXDOMAIN?

NXDOMAIN bedeutet, dass der Name im DNS nicht existiert. Prüfen Sie bei einer Domain die Schreibweise und ob sie registriert und nicht abgelaufen ist; die WHOIS-Abfrage zeigt ihren Status. Bei einer Subdomain wurde der Eintrag nie angelegt oder gelöscht. Ein Name, der existiert, aber keinen Eintrag des gefragten Typs hat, erhält stattdessen NOERROR mit leerer Antwort, oft NODATA genannt.

Was bedeutet SERVFAIL?

SERVFAIL bedeutet, dass der Resolver keine gültige Antwort erhalten konnte. Entweder sind die Nameserver der Domain ausgefallen oder falsch konfiguriert, oder die DNSSEC-Validierung ist gescheitert, sodass validierende Resolver wie Google und Cloudflare die Antwort verwerfen. Dieses Tool unterscheidet beides: Kommen die Daten bei abgeschalteter Prüfung zurück, lautet der DNSSEC-Befund „Fehlerhaft“.

Was ist die TTL im DNS?

Die TTL (Time to Live) gibt an, wie viele Sekunden ein Resolver einen Eintrag im Cache behalten darf, bevor er erneut fragt. Jeder Eintrag hat seine eigene. Eine kurze TTL wie 300 Sekunden verbreitet Änderungen schnell, kostet aber mehr Anfragen; eine lange wie 86400 Sekunden, ein Tag, ist günstiger, aber träge bei Änderungen. Kopien im Cache zählen herunter, deshalb sind die TTLs von Google und Cloudflare hier niedriger.

Wie mache ich einen Reverse-DNS-Lookup?

Geben Sie oben die IP-Adresse ein. Das Tool wandelt sie in ihren Reverse-Namen um (aus 8.8.8.8 wird 8.8.8.8.in-addr.arpa), fragt den PTR-Eintrag ab und prüft den Namen dann vorwärts: Löst dieser Name wieder zur selben IP auf, ist das Reverse DNS bestätigt, und genau darauf achten Mailserver. Im Terminal: nslookup 8.8.8.8 oder dig -x 8.8.8.8.

Wie finde ich die Nameserver einer Domain?

Fragen Sie die Domain ab und lesen Sie die NS-Einträge oder den Pfad rechts: Er zeigt die Nameserver, auf die die TLD der Domain verweist, und markiert sie, wenn die eigenen NS-Einträge der Domain andere listen. Das Ergebnis nennt auch das Unternehmen, das sie betreibt, etwa Cloudflare, AWS Route 53 oder den Registrar der Domain.

Was ist der Unterschied zwischen einem DNS Lookup und einem DNS-Propagation-Check?

Ein DNS Lookup zeigt alle Einträge einer Domain mit ihren Details, von ihren eigenen Nameservern und zwei großen Resolvern. Ein Propagation-Check fragt einen Eintragstyp bei Dutzenden Resolvern weltweit ab, um zu sehen, wo eine Änderung schon angekommen ist. Beginnen Sie hier, um den aktuellen Stand und den Cache zu sehen, und nutzen Sie dann den DNS-Propagation-Checker auf unserer Startseite für den weltweiten Überblick.

Ist dieser DNS Lookup kostenlos, und speichern Sie, was ich abfrage?

Er ist kostenlos, ohne Konto und ohne CAPTCHA; zum Schutz der Server, die wir fragen, sind pro Netz 20 Abfragen pro Minute möglich. Die Abfrage läuft auf unserem Server im Netz von Cloudflare, daher sehen die Nameserver der Domain unsere Adresse, nicht Ihre. Nichts wird zwischengespeichert: Jede Abfrage fragt neu. Wir protokollieren nicht, wer was abgefragt hat.

Fehlt Ihnen etwas?Funktion oder neues Tool vorschlagen

Weitere DNS-Tools