DNS-Delegierung zwischen Registrar und Anbieter erklärt

DNS-Delegierung ist der Mechanismus, mit dem die Autorität über einen Teil der DNS-Namenshierarchie einer anderen Gruppe von Nameservern übertragen wird. Ein Domain-Registrar steuert meist die Nameserver-Delegierung, die an die Registry übermittelt wird, während ein DNS-Hosting-Anbieter die Zonen-Records bereitstellt, auf die diese Delegierung verweist. Beides sind verwandte, aber getrennte Zuständigkeiten. Der Registrar hostet nicht zwangsläufig die A-, MX- oder TXT-Records, und der DNS-Anbieter kann die Delegierung in der übergeordneten Zone nicht ändern, sofern er nicht auch die Einstellungen auf Registrar-Seite verwaltet. Erscheinen im Dashboard geänderte Records öffentlich nicht, gehört eine falsche oder unerwartete Delegierung zu den ersten Dingen, die Sie prüfen sollten.

Die Autorität von der übergeordneten zur untergeordneten Zone verfolgen

Ein rekursiver Resolver beginnt mit vertrauenswürdigen Root-Informationen und folgt den Verweisen durch die DNS-Hierarchie. Die Root verweist auf eine Top-Level-Domain wie .com; die TLD verweist auf die autoritativen Nameserver der Domain; diese Nameserver liefern die Records der Domain oder weitere Delegierungen. Jeder Verweis benennt, wer für den nächsten Abschnitt zuständig ist. Dank der Delegierung können Millionen separat verwalteter Zonen nebeneinander bestehen, ohne dass ein einziger globaler Server jeden Record vorhalten müsste. Sie bedeutet aber auch, dass ein Fehler in einer einzigen Übergabe eine ansonsten korrekte Zone unerreichbar machen kann.

1. Legen Sie die Zielzone beim vorgesehenen DNS-Anbieter an und befüllen Sie sie.
2. Bestätigen Sie die vom Anbieter zugewiesenen Hostnamen der autoritativen Nameserver.
3. Setzen Sie die Delegierung der Domain beim Registrar oder in der übergeordneten Verwaltungsebene.
4. Prüfen Sie die öffentlichen NS-Antworten und fragen Sie die autoritativen Server direkt ab.
5. Kontrollieren Sie nach dem Cutover die wichtigen Website-, E-Mail- und Verifizierungs-Records.

Liegt ein delegierter Nameserver innerhalb der Domain, die er bedient, können Glue-Records in der übergeordneten Zone nötig sein, damit Resolver die IP des Servers finden, ohne zuerst diesen Server fragen zu müssen. Anbieter und Registrare führen ihre Kunden in der Regel durch diese Einrichtung, doch Betreiber eigener Nameserver müssen die Abhängigkeit verstehen. Ein Tippfehler, fehlender Glue oder eine inkonsistente Delegierung kann zu Timeouts oder Fehlern führen, selbst wenn der DNS-Server läuft. Die Standard-Nameserver-Hostnamen verwalteter Anbieter ersparen es Kunden oft, sich selbst um dieses Detail auf niedriger Ebene zu kümmern.

Warum der falsche Anbieter richtig aussehen kann

Ein DNS-Dashboard kann eine vollständige Zone anzeigen, obwohl dieser Anbieter für die öffentliche Domain gar nicht autoritativ ist. Vielleicht ist die Domain noch an einen früheren Host delegiert, die Aktualisierung beim Registrar ist nicht abgeschlossen, oder eine Subdomain ist separat delegiert. In diesen Fällen ändert die Bearbeitung der inaktiven Zone nichts, was gewöhnliche öffentliche Resolver sehen. Prüfen Sie die NS-Records von außerhalb des Anbieter-Dashboards und vergleichen Sie sie mit den der Zone zugewiesenen Nameservern. Hat eine Subdomain eine eigene NS-Delegierung, werden die Records dieses Zweigs möglicherweise unabhängig von der übergeordneten Zone verwaltet.

Halten Sie bei einer Anbietermigration die alte Zone verfügbar, solange Delegierung und Caches übergehen. Das vorherige Senken der Record-TTLs hilft erst, nachdem die alte TTL Zeit hatte abzulaufen. Kopieren Sie Mail-, Validierungs- und Subdomain-Records, nicht nur die Adresse der Website. Fragen Sie nach der Delegierungsänderung die neuen autoritativen Server ab und vergleichen Sie die Antworten mit der vorbereiteten Zone. Eine Migration ist abgeschlossen, wenn die erwarteten Namen von der vorgesehenen Autorität korrekt aufgelöst werden und abhängige Dienste getestet sind, nicht erst, wenn ein Registrar-Formular Erfolg meldet.

Weiterführend lesen Sie was ein NS-Record ist, Nameserver und Domain-Delegierung und so verifizieren Sie eine DNS-Migration. Ein öffentlicher DNS-Lookup kann die für einen Resolver sichtbaren Antworten zeigen, während eine autoritative Abfrage hilft, die Zone selbst zu verifizieren. Die Trennung von Delegierung beim Registrar und Hosting der Records ist der Schlüssel, um zu erkennen, wo eine DNS-Änderung tatsächlich vorgenommen werden muss.

Eine klare Delegierungsübergabe gestalten

Für eine saubere Delegierungsübergabe legen Sie Datum und Uhrzeit fest, zu denen die Änderung beim Registrar eingereicht wird, wer sie rückgängig machen kann und welche Resolver-Prüfungen den Abschluss bestätigen. Halten Sie während des Übergangs sowohl beim alten als auch beim neuen DNS-Anbieter einen autorisierten Ansprechpartner bereit. Nutzt die Domain eigene Nameserver oder delegierte untergeordnete Zonen, nehmen Sie diese Abhängigkeiten in das Runbook auf. Eine erfolgreiche Aktualisierung beim Registrar beweist nicht, dass jeder Nameserver-Hostname auflöst oder jeder Dienst-Record kopiert wurde. Prüfen Sie NS-Daten, repräsentative A- und AAAA-Antworten, MX-Ziele und kritische TXT-Richtlinien von außerhalb des Kontos. So erhält das Team eine Checkliste, die die Autorität und die von der delegierten Zone abhängigen Dienste abdeckt. Entfernen Sie den alten Anbieter nach dem Übergang erst, wenn das Team bestätigt hat, dass die neue Autorität alle erwarteten Records ausliefert und das Rollback-Fenster geschlossen ist. Bewahren Sie Datum, Delegierungswerte und Verifizierungsergebnisse im Änderungsticket auf, damit ein künftiger Administrator nachvollziehen kann, welcher DNS-Dienst die Domain betreut.