DNS-Umzug ohne Ausfallrisiko

Worauf es beim DNS-Umzug ankommt

Wer seinen DNS-Provider wechselt, will vor allem eines: dass Website und E-Mail die ganze Zeit erreichbar bleiben. Das klappt, wenn du den Umzug vorbereitest. Geht etwas schief, sind im schlimmsten Fall Website und Postfächer stundenlang nicht erreichbar, und manche Mails kommen gar nicht an.

Hier findest du die Schritte für einen sauberen Umzug und die Stellen, an denen es gern hakt.

Schritt-für-Schritt-Anleitung für einen sicheren DNS-Umzug

Dokumentiere zuerst alle bestehenden DNS-Einträge: A- und AAAA-Records, MX-Records, CNAME- und TXT-Einträge. Am einfachsten exportierst du dafür die Zonendatei beim alten Provider. So geht nichts verloren. Welche Eintragsarten es gibt und wofür sie da sind, erklären wir im Beitrag Wie funktioniert eine DNS-Zone?

Danach der Ablauf im Überblick:

1. TTL der Einträge beim alten Provider rechtzeitig herabsetzen.
2. Beim neuen Provider die Zone vollständig anlegen und mit der Liste vergleichen.
3. Falls DNSSEC aktiv ist, den Wechsel der Schlüssel planen (siehe unten).
4. Die Nameserver beim Registrar auf den neuen Provider umstellen.
5. Website und E-Mail testen, die Erreichbarkeit überwachen.
6. Die TTL wieder erhöhen und alles dokumentieren.

TTL richtig einstellen

Die TTL (Time to Live) legt fest, wie lange andere DNS-Server eine Antwort zwischenspeichern. Je kürzer sie ist, desto schneller setzt sich eine Änderung im Internet durch.

Setz die TTL vor dem Umzug auf einen niedrigen Wert, zum Beispiel 300 Sekunden. Mach das früh genug, mindestens so lange vorher, wie die alte TTL beträgt. Steht sie auf 86.400 Sekunden, also einem Tag, dann einen Tag vorher. Sonst halten Server noch die alten Werte im Speicher, wenn du umstellst.

Nach dem Umzug stellst du die TTL wieder auf einen höheren Wert. Das wird gern vergessen, genauso wie einzelne Einträge. Vor allem die MX-Records rutschen oft durch.

DNSSEC beim Providerwechsel

DNSSEC (Domain Name System Security Extensions) sorgt dafür, dass DNS-Antworten nachweislich echt und unverändert sind. Es schützt vor Manipulation wie DNS-Spoofing, verschlüsselt aber nichts.

Beim Providerwechsel ist DNSSEC eher ein Risiko als eine Hilfe. Der DS-Eintrag (Delegation Signer) bei der Registry verweist auf die Schlüssel des alten Providers. Signiert der neue Provider mit anderen Schlüsseln, schlagen die Prüfungen fehl, und Resolver, die DNSSEC prüfen, erreichen deine Domain nicht mehr.

Der übliche, sichere Weg:

1. DNSSEC beim alten Provider deaktivieren und den DS-Eintrag bei der Registry entfernen lassen.
2. Warten, bis die TTL des alten DS-Eintrags abgelaufen ist.
3. Die Nameserver umstellen.
4. DNSSEC beim neuen Provider aktivieren und den neuen DS-Eintrag bei der Registry hinterlegen.

Manche Provider können die Schlüssel auch direkt übergeben, dann bleibt die Domain durchgehend signiert. Das ist aufwendiger und muss mit beiden Providern abgestimmt sein. Mehr zur Einrichtung liest du in unserem Beitrag DNSSEC-Implementierung leicht gemacht.

Zonendaten vor dem Umzug sichern

Sichere vor dem Umzug alle Einträge, am besten als Export der Zonendatei. Geht beim Umzug etwas schief, kannst du damit schnell zum alten Stand zurück. Heb die Sicherung auch danach auf und aktualisiere sie bei jeder größeren Änderung.

Den Umzug überwachen

Kontrolliere während des Umzugs laufend, ob die Nameserver die richtigen Antworten liefern. Mit den Kommandozeilenwerkzeugen dig oder nslookup fragst du gezielt einzelne Nameserver ab. Webdienste wie whatsmydns.net zeigen dir, welche Antwort DNS-Server an verschiedenen Orten der Welt gerade liefern.

Für die Erreichbarkeit von Website und Mailserver eignen sich Überwachungsdienste wie UptimeRobot oder das selbst gehostete Uptime Kuma. Diese Dienste melden sich, sobald ein Dienst nicht antwortet.

SPF, DKIM und DMARC für die E-Mail-Zustellung

SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting & Conformance) sind TXT-Einträge in deiner Zone. Mit ihnen prüfen empfangende Mailserver, ob eine Nachricht wirklich von deiner Domain stammt.

SPF legt fest, welche Server für deine Domain Mails verschicken dürfen. DKIM versieht jede Nachricht mit einer digitalen Signatur. DMARC regelt, was mit Mails passiert, die bei diesen Prüfungen durchfallen. Fehlt einer der Einträge nach dem Umzug oder ist er falsch übertragen, landen deine Mails im Spam oder werden abgewiesen. Übernimm die Einträge deshalb Zeichen für Zeichen und teste sie danach. Mehr dazu findest du unter DNS-Einstellungen für bessere E-Mail-Zustellung.

MX-Records umziehen und testen

Die MX-Records bestimmen, welcher Server die E-Mails deiner Domain annimmt. Richte sie beim neuen Provider genau so ein wie beim alten, mit denselben Zielen und Prioritäten. Schick nach dem Umzug Test-Mails an deine Adressen und von deinen Adressen nach außen, zum Beispiel an ein Gmail- oder Outlook-Konto. Erst wenn beides klappt, ist der Umzug für die E-Mail abgeschlossen.

Nach dem Umzug: dokumentieren und absichern

Halte fest, was du geändert hast und wie die Zone jetzt aussieht. Das hilft beim nächsten Eingriff.

Beschränke außerdem den Zugang zur DNS-Verwaltung auf die Personen, die ihn wirklich brauchen, und schalte dort die Zwei-Faktor-Authentifizierung ein. Wer deine DNS-Einträge ändern kann, kann Website und E-Mail umleiten.

Wann sich ein Umzug nicht lohnt

Bietet dein aktueller Provider alles, was du brauchst, und läuft er zuverlässig, ist ein Wechsel oft mehr Aufwand als Nutzen. Die größten Stolpersteine beim Umzug sind ein falsch gehandhabtes DNSSEC und eine TTL, die nicht rechtzeitig gesenkt wurde. Beides lässt sich mit Planung vermeiden.

Häufige Fragen (FAQ)

Wie lange dauert ein DNS-Umzug?

Die Umstellung selbst ist in wenigen Minuten erledigt. Bis alle DNS-Server weltweit die neuen Daten liefern, kann es je nach TTL einige Stunden bis zu zwei Tage dauern. Mit rechtzeitig gesenkter TTL geht es deutlich schneller.

Was sind die häufigsten Fehler beim DNS-Umzug?

Die TTL wird nicht rechtzeitig gesenkt, DNSSEC wird beim Wechsel nicht berücksichtigt, und einzelne Einträge wie MX- oder TXT-Records fehlen beim neuen Provider.

Wie erkenne ich, ob mein DNS-Umzug erfolgreich war?

Frag die neuen Nameserver mit dig oder nslookup ab und vergleiche die Antworten mit deiner Liste. Website und E-Mail müssen ohne Unterbrechung erreichbar sein.

Welche Tools eignen sich für das DNS-Monitoring?

Für Einzelabfragen dig und nslookup, für den weltweiten Überblick whatsmydns.net. Die laufende Erreichbarkeit überwachen Dienste wie UptimeRobot oder Uptime Kuma.

Wie richte ich SPF, DKIM und DMARC richtig ein?

Alle drei sind TXT-Einträge in der DNS-Zone. Die Werte für SPF und DKIM liefert dein Mailanbieter. Prüf die Einträge nach dem Anlegen mit einem Testdienst wie MXToolbox.

Was passiert, wenn ich vergesse, die TTL-Einstellungen zu ändern?

Dann speichern andere DNS-Server die alten Einträge so lange, wie die alte TTL es erlaubt. Ein Teil der Besucher landet in dieser Zeit noch beim alten Provider.

Wie teste ich meine MX-Records nach dem Umzug?

Schick Test-Mails an deine eigenen Adressen und von dort an ein externes Konto. Kommen beide Richtungen an, funktionieren die MX-Records.

Welche Sicherheitsrisiken gibt es bei einem DNS-Umzug?

Ein falsch übertragenes DNSSEC kann deine Domain unerreichbar machen. Dazu kommt das Risiko, dass Unbefugte Einträge ändern. Schütze den Zugang zur DNS-Verwaltung deshalb mit Zwei-Faktor-Authentifizierung.

Fazit

Ein DNS-Umzug ohne Ausfall ist vor allem eine Frage der Vorbereitung. Sichere alle Einträge, senk die TTL rechtzeitig und plane DNSSEC gesondert. Kontrolliere nach der Umstellung Website, MX-Records sowie SPF, DKIM und DMARC. Zum Schluss dokumentierst du alles und sicherst den Zugang zur DNS-Verwaltung ab.