DNS-Zone sichern: Checkliste vor dem Nameserverwechsel
Du möchtest die Nameserver deiner .at-Domain wechseln? Sichere zuerst DNS-Werte, Mail-Einträge und Dienstzuordnungen mit dieser praktischen Checkliste.
Weiterlesen ↗Das Wichtigste vorab
Nach einem Nameserverwechsel kann eine unpassende DNSSEC-Vertrauenskette die Namensauflösung verhindern. Ein alter DS-Eintrag ist eine mögliche Ursache, aber nicht jede Störung ist DNSSEC. Lass Delegation, Schlüssel und Signaturen prüfen, bevor Sicherheitsdaten geändert werden.
1. Zuerst den Fehler genau eingrenzen
Du hast die Nameserver deiner .at-Domain geändert. Die Website funktioniert über eine Verbindung, über eine andere jedoch nicht. Oder Website und E-Mail fallen gleichzeitig aus, obwohl die neuen DNS-Einträge vollständig aussehen. Notiere zuerst die betroffenen Adressen, die Uhrzeit und den genauen Fehlertext. Prüfe, ob nur www oder auch die Adresse ohne www betroffen ist. Ein solches Muster ist ein Anlass zur Diagnose, noch kein Beweis für einen DNSSEC-Fehler. Ebenso kommen fehlende Einträge, nicht erreichbare Nameserver oder eine falsche Website-Zuordnung infrage. Vermeide mehrere Änderungen gleichzeitig: Sonst lässt sich später schwer erkennen, welche davon das Ergebnis beeinflusst hat.
Aktive Nameserver prüfen2. Was DNSSEC bei einer Domain prüft
DNSSEC ergänzt DNS um digitale Signaturen. Ein prüfender DNS-Dienst kann damit feststellen, ob signierte DNS-Daten zur erwarteten Vertrauenskette passen. Das schützt die Herkunft und Unverändertheit dieser Daten. Es erstellt weder eine Website noch ein HTTPS-Zertifikat und verschlüsselt nicht automatisch deine gesamte Internetverbindung. Für die Fehlersuche ist diese Trennung wichtig: Ein Zertifikatsproblem im Browser gehört zu einer anderen Ebene als eine fehlgeschlagene DNS-Auflösung. Wenn der Name gar nicht aufgelöst wird, bringt das Ersetzen einer Website-Datei meist keine passende Diagnose. Beginne beim tatsächlich beobachteten Fehler und arbeite die Zuständigkeiten nacheinander durch.
DNS und HTTPS unterscheiden3. Warum ein alter DS-Eintrag nach dem Wechsel stören kann
Bei einer signierten Domain müssen die DNSSEC-Daten der Zone und die übergeordnete Delegation zusammenpassen. Der DS-Eintrag in der übergeordneten Zone verweist auf Schlüsselmaterial der Domain. Liefert ein neuer DNS-Dienst andere Schlüssel oder keine erwarteten Signaturen, während die Delegation noch auf den bisherigen Stand verweist, kann die Prüfung scheitern. Ein prüfender Resolver kann dann einen Fehler statt der erwarteten Adresse zurückgeben. Ein bloßes Kopieren von A-, CNAME- und MX-Einträgen überträgt diese Vertrauenskette nicht automatisch. Der DS-Eintrag muss an der richtigen Stelle koordiniert werden; ein gleichnamiger Eintrag in einer beliebigen lokalen DNS-Zone ersetzt das nicht.
A-Record und CNAME richtig einordnen
4. Welche Angaben du vor dem Wechsel sammeln solltest
Bitte die bisherige und die neue DNS-Betreuung um den DNSSEC-Status und die geplante Vorgehensweise. Halte fest, welche Nameserver derzeit aktiv sind und welche später verwendet werden sollen. Notiere außerdem, ob ein DS-Eintrag veröffentlicht ist und wer seine Änderung betreut. Es reicht nicht, wenn beide Seiten nur sagen, dass DNSSEC unterstützt wird: Entscheidend ist der konkrete Übergang für deine Domain. Vereinbare ein Zeitfenster, eine zuständige Person und einen Rückfallplan. Bewahre die vollständige DNS-Übersicht geschützt auf. Private Schlüssel, Passwörter und Auth-Codes gehören weder in eine öffentliche Dokumentation noch in ein Supportticket.
DNS-Zone vor dem Wechsel sichern5. Prüfen lassen, ohne Schutz auf Verdacht abzuschalten
Wenn der Fehler bereits auftritt, übermittle uns im Konto eine kurze Beschreibung mit Domain, betroffener Adresse, Änderungszeitpunkt und Fehlermeldung. Bitte um eine Prüfung der aktiven Delegation sowie des Zusammenspiels von DS, DNSKEY und Signaturen. Ein allgemeiner SERVFAIL-Fehler kann verschiedene Ursachen haben; er allein bestätigt keinen falschen DS-Eintrag. Lass die Ursache zuerst bestimmen. Das Abschalten der DNSSEC-Prüfung am eigenen Gerät löst eine falsche öffentliche Konfiguration nicht für alle Besucher. Auch wahlloses Entfernen von Sicherheitsdaten ist kein sinnvoller Standardtest. Die verantwortliche Betreuung sollte die korrekte Änderung und deren Reihenfolge für die konkrete Zone festlegen.
Hilfe zu deiner Domain erhalten6. Nach der Korrektur Website und E-Mail getrennt testen
Bitte nach einer bestätigten Korrektur um eine erneute DNSSEC-Prüfung. Öffne danach die tatsächlichen Website-Adressen und kontrolliere das HTTPS-Zertifikat. Teste bestehende E-Mail-Adressen getrennt auf Empfang und Versand. Schreibe die Ergebnisse mit Uhrzeit auf, damit sie mit dem Änderungsprotokoll verglichen werden können. DNS-Zwischenspeicher können noch frühere Antworten enthalten; deshalb ist ein einzelner erfolgreicher Aufruf nicht immer der Abschluss der Prüfung. Vereinbare mit der Betreuung, wann nach den tatsächlich beteiligten Cache-Laufzeiten erneut kontrolliert wird. Eine feste Wartezeit für jede Domain wäre ungenau. Bewahre die vorherigen Daten und den Rückfallplan auf, bis die vereinbarten Kontrollen abgeschlossen sind.
Website und E-Mail getrennt prüfen
7. Domainverwaltung und laufende Kosten im Blick behalten
Für dein Projekt in Österreich bleiben Domainregistrierung, DNS, Website und E-Mail getrennte Aufgaben. Mit unseren Standard-Nameservern verwaltest du DNS im Konto; eigene Nameserver sind möglich. Kläre die DNSSEC-Vorgehensweise vor einem Wechsel mit uns und deiner DNS-Betreuung. Eine reguläre neue .at-Domain kostet derzeit 12,99 € Gesamtpreis im ersten Jahr, die Verlängerung 15,99 € Gesamtpreis pro weiterem Jahr. Für neue reguläre .at-Domains gibt es außerdem das 3-Jahre-Paket für 39 € Gesamtpreis. Prüfe die aktuellen Paketbedingungen und die Laufzeit im Konto. Hosting und E-Mail-Postfächer sind nicht enthalten. Eine neue Domain zu kaufen ersetzt die Reparatur einer bestehenden DNS-Konfiguration nicht.
.at-Domains und Gesamtpreise ansehenWeiterführende QuellenICANN: Zweck und Vertrauenskette von DNSSEC ↗RFC 4035: DNSSEC-Prüfung und Fehlerzustände ↗
