DNS(Das Telefonbuch des Internets und wie es funktioniert)

Willkommen beim Marketing Techie Podcast, dem Podcast über die Technik hinter dem Online-Marketing. Verständlich erklärt, auch für Non-Techies. Mit Emilian Buza von trace5.co. In der heutigen Folge: DNS. Das Telefonbuch des Internets und wie es funktioniert.

Am 4. Oktober 2021, kurz vor sechs Uhr abends deutscher Zeit, verschwand Facebook aus dem Internet.

Nicht nur Facebook. Auch Instagram. Und WhatsApp. Für rund drei Milliarden Menschen auf der ganzen Welt. Gleichzeitig.

Die Server liefen. Die Rechenzentren waren nicht abgebrannt. Niemand hatte Facebook gehackt. Und trotzdem kam niemand mehr hin.

Was war passiert?

Bei einer routinemäßigen Wartung ging ein Befehl schief. Er kappte die Verbindungen zwischen Facebooks Rechenzentren. Und das löste eine Kettenreaktion aus.

Facebook hatte bestimmte Server, deren einzige Aufgabe es war, eine Frage zu beantworten: Unter welcher Adresse ist facebook.com gerade erreichbar? Und diese Server hatten eine eingebaute Sicherheitsregel. Wenn sie selbst die Rechenzentren nicht mehr erreichen, nehmen sie sich vom Netz. Damit sie niemandem eine falsche Antwort geben.

Und genau das taten sie jetzt. Alle auf einmal.

Facebook war also noch da. Aber niemand auf der Welt konnte mehr herausfinden, wo.

Und es wurde noch absurder. Denn auch Facebooks eigene Werkzeuge, mit denen die Techniker so ein Problem normalerweise beheben, hingen an genau diesen Servern. Aus der Ferne ging nichts mehr. Also mussten Techniker persönlich in die Rechenzentren fahren. Und die sind so gut gesichert, dass es allein dauerte, überhaupt hineinzukommen und an die Geräte zu dürfen. Berichten zufolge hatten an diesem Tag sogar Mitarbeiter auf dem Firmengelände Probleme, mit ihren Ausweiskarten in die Gebäude zu kommen.

Rund sechs Stunden dauerte es, bis Facebook, Instagram und WhatsApp wieder erreichbar waren.

Sechs Stunden, in denen eines der größten Unternehmen der Welt seine eigene Adresse nicht mehr fand.

Und die Server, die da ausgefallen waren, gehören zu einem System, das du jeden Tag hundertfach benutzt, ohne es zu merken. Es heißt DNS.

Heute klären wir, was DNS ist, wie es funktioniert und warum es nicht nur darüber entscheidet, ob deine Website erreichbar ist. Sondern auch darüber, ob deine E-Mails im Posteingang landen oder im Spam.

Fangen wir mit einem Problem an, das du aus den letzten Folgen schon kennst.

Computer im Internet finden sich nicht über Namen. Sie finden sich über IP-Adressen. Die IP-Adresse kennst du aus der Pixel-Folge: Das ist die Adresse, an die ein Server seine Antwort zurückschickt. Und auch jeder Server hat so eine Adresse. Eine IP-Adresse sieht zum Beispiel so aus: 203.0.113.42. Vier Zahlen, durch Punkte getrennt.

Damit kann ein Computer arbeiten. Ein Mensch eher nicht. Niemand merkt sich für jede Website eine Zahlenreihe. Wir merken uns Namen. trace5.co. deinshop.de. google.com.

Also braucht es etwas, das zwischen beidem übersetzt. Du tippst einen Namen ein, und irgendetwas sagt deinem Browser: Dieser Name gehört zu dieser IP-Adresse.

Genau das ist DNS. Die Abkürzung steht für Domain Name System. Man nennt es oft das Telefonbuch des Internets, weil es Namen in Nummern übersetzt. Aber das DNS steht nicht an einem Ort. Es ist über die ganze Welt verteilt. Und genau das macht es spannend.

Bevor wir uns anschauen, wie das funktioniert, lohnt sich ein kurzer Blick darauf, wie so ein Name überhaupt aufgebaut ist. Denn das DNS liest Namen anders als wir.

Nimm www.deinshop.de. Wir lesen das von links nach rechts. Das DNS liest es von rechts nach links.

Ganz rechts steht die Endung, hier .de. Die nennt man Top-Level-Domain. Davor steht der Name, den du dir gesichert hast: deinshop. Zusammen ergibt das deinshop.de, deine Domain. Und alles, was links davor steht, ist eine Subdomain. www ist eine Subdomain. Genauso wie shop.deinshop.de, angebote.deinshop.de oder news.deinshop.de.

Und das Praktische daran: Subdomains kannst du dir als Besitzer der Domain selbst anlegen, so viele du willst. Ohne irgendetwas dazukaufen zu müssen. Das wird gleich noch wichtig.

Schauen wir uns jetzt an, was passiert, wenn du trace Five.co in deinen Browser tippst.

Als Erstes schaut dein Computer nach, ob er die Antwort schon kennt. Hast du die Seite vor Kurzem besucht, hat er sich die IP-Adresse gemerkt. Diesen Zwischenspeicher nennt man Cache. Dann geht es sofort weiter.

Kennt er sie nicht, fragt er einen Server, der sich auf solche Fragen spezialisiert hat. Den nennt man Resolver. Meistens ist das ein Resolver deines Internetanbieters. Es gibt aber auch öffentliche, zum Beispiel von Google oder Cloudflare.

Der Resolver kennt die Antwort vielleicht auch schon aus seinem eigenen Cache, weil heute schon jemand anderes nach trace5.co gefragt hat. Wenn nicht, macht er sich auf die Suche.

Und dafür fragt er sogenannte Nameserver. Ein Nameserver ist ein Server, der Auskunft über Namen gibt. Davon gibt es nicht einen, sondern sehr viele. Und sie sind in Ebenen geordnet, genau so, wie wir es eben beim Aufbau des Namens gesehen haben: von rechts nach links. Oder anders gesagt: von oben nach unten.

Ganz oben stehen die Root-Server. Das sind die Nameserver der obersten Ebene. Die kennen nicht jede Domain der Welt. Aber sie wissen, welche Nameserver für welche Endung zuständig sind. Also für .de, für .com, für .co.

Und wer betreibt diese Root-Server? Nicht eine einzelne Firma. Es sind 12 voneinander unabhängige Organisationen, darunter Universitäten, Unternehmen, US-Behörden und Einrichtungen aus Schweden, den Niederlanden und Japan. Und obwohl man immer von 13 Root-Servern spricht, stehen dahinter heute rund 2.000 Server auf der ganzen Welt. Deine Anfrage landet automatisch beim nächstgelegenen.

Eine Ebene darunter stehen die Nameserver für die Endungen, die sog. TLD-Server. Die für .co kennen auch nicht jede einzelne Website. Aber sie wissen, welche Nameserver für welche Domain mit dieser Endung zuständig sind. Also zum Beispiel für trace5.co.

Und ganz unten stehen die Nameserver der einzelnen Domain. Die kennen die eigentliche Antwort. Man nennt sie autoritative Nameserver. Autoritativ heißt dabei nicht, dass sie über den anderen stehen. Im Gegenteil, sie stehen ganz unten. Es heißt nur: Für diese eine Domain haben sie die verbindliche Antwort.

Und wer betreibt die autoritativen Nameserver? Das entscheidet der Besitzer der Domain. Meistens ist es einfach der Anbieter, bei dem die Domain gekauft wurde, der stellt sie automatisch mit bereit.

Viele Unternehmen nutzen aber auch einen spezialisierten Dienst wie Cloudflare. Und sehr große Unternehmen wie Facebook betreiben ihre eigenen. Welche Nameserver für eine Domain zuständig sind, ist bei der Registry für die Endung hinterlegt, also zum Beispiel bei der DENIC für .de.

Der Resolver geht diese Ebenen jetzt von oben nach unten durch.

Zuerst fragt er einen Root-Server: Wer ist zuständig für Namen, die auf .co enden? Der Root-Server sagt ihm, wer die Nameserver für .co sind.

Dann fragt er dort: Wer ist zuständig für trace5.co? Die TLD-Server sagen deinem Resolver nun, wer die autoritativen Nameserver von trace5.co sind.

Und erst die autoritativen Nameserver liefern die eigentliche Antwort: trace Five.co hat diese IP-Adresse.

Der Resolver gibt sie an deinen Computer weiter. Dein Browser schickt seine Anfrage an diese Adresse. Und die Seite lädt.

Das Ganze dauert meistens nur Millisekunden. Du merkst davon nichts.

Und jetzt verstehst du auch, was bei Facebook passiert ist. Facebook betreibt seine autoritativen Nameserver selbst. Und genau die waren nicht mehr erreichbar. Die Resolver auf der ganzen Welt fragten also nach facebook.com und bekamen keine Antwort. Ohne Antwort keine IP-Adresse. Ohne IP-Adresse kein Facebook.

Und hier gibt es eine Unterscheidung, die selbst in vielen Unternehmen nicht klar ist.

Es gibt den Anbieter, bei dem du die Domain registriert hast. Den nennt man Registrar. Bei ihm mietest du den Namen, und bei ihm bezahlst du jedes Jahr die Gebühr. Und es gibt den Anbieter, der die Nameserver für deine Domain betreibt. Also den, bei dem die eigentlichen Einträge stehen.

Oft ist das derselbe Anbieter. Muss es aber nicht sein. Viele Unternehmen haben ihre Domain zum Beispiel bei einem Hoster registriert, die Nameserver aber auf einen anderen Dienst umgestellt, etwa auf Cloudflare. Dann fragt die ganze Welt bei Cloudflare nach.

Genau hier lauert eine Falle. Denn beim Registrar gibt es meistens trotzdem noch eine Oberfläche, in der man DNS-Einträge bearbeiten kann. Nur fragt dort niemand mehr nach. Wer also zum Beispiel einen Eintrag für ein neues Tool beim Registrar einträgt statt bei Cloudflare, ändert etwas, das keinerlei Wirkung hat. Und wundert sich, warum nichts passiert.

Gut.

Jetzt weißt du, wie dein Browser herausfindet, welche IP-Adresse zu welcher Domain gehört. Er fragt den Resolver. Und wenn der die Antwort nicht parat hat, fragt er sich durch. Zuerst beim Root-Server, der ihn zum TLD-Server schickt. Dann beim TLD-Server, der ihn zu den autoritativen Nameservern der Domain schickt. Und die nennen ihm schließlich die IP-Adresse.

Aber was genau steht eigentlich auf diesen autoritativen Nameservern? Das sind die sogenannten DNS-Einträge. Und davon gibt es verschiedene Arten. Vier solltest du als Marketer kennen. Denn du kannst alle vier für deine eigene Domain eintragen und verändern..

Da ist zunächst einmal der A-Eintrag. Der verbindet einen Namen mit einer IP-Adresse. Das ist genau die Übersetzung, über die wir gerade gesprochen haben. Der A-Eintrag sagt: Diese Domain soll zu folgender IP-Adresse führen.

Dann haben wir noch den CNAME-Eintrag. Was macht der? Nun, nehmen wir einmal an, du baust deine Landingpage mit einem externen Tool. Deine Landingpage liegt nicht auf deinem eigenen Server, sondern auf dem des Anbieters. Trotzdem soll sie nicht unter dessen, sondern unter deiner Domain erreichbar sein, zum Beispiel unter angebote.deinshop.de. Dann nimmst du nicht den A-Eintrag, sondern einen CNAME-Eintrag. Der verweist nicht auf eine IP-Adresse, sondern auf den Namen, den dir der Anbieter nennt. Um die IP-Adresse dahinter kümmert sich dann der Anbieter selbst. Zieht er auf neue Server um, musst du bei dir nichts ändern.

Dann gibt es den MX-Eintrag. MX steht für Mail Exchange. Und der regelt, wohin E-Mails für deine Domain zugestellt werden.

Und jetzt fragst du dich vielleicht: Wozu braucht es dafür einen eigenen Eintrag? Die IP-Adresse von deinshop.de steht doch schon im A-Eintrag.

Weil deine Website und deine E-Mails sehr oft auf ganz verschiedenen Servern liegen. Deine Website liegt vielleicht bei einem Hoster. Deine Postfächer aber bei Google Workspace oder Microsoft 365. Der Server, auf dem deine Website läuft, nimmt also gar keine Mails an. Und deshalb muss es eine eigene Angabe geben, welche Server für deine E-Mails zuständig sind.

So läuft das ab: Jemand schickt eine Mail an info@deinshop.de. Der Mailserver des Absenders schaut sich an, was hinter dem @ steht, also deinshop.de. Dann fragt er im DNS: Welcher MX-Eintrag gehört zu deinshop.de? Und bekommt als Antwort die Namen der Mailserver, die Post für deine Domain annehmen. Bei Google Workspace sind das zum Beispiel Server von Google. Und an die stellt er die Mail zu.

Und der TXT-Eintrag. Der ist erst mal einfach nur Text. Aber mit diesem Text wird erstaunlich viel gemacht.

Zum Beispiel beweist du damit, dass dir eine Domain gehört. Wenn du deine Domain in der Google Search Console bestätigst oder bei Meta im Business-Bereich, dann bekommst du oft einen Text, den du als TXT-Eintrag in dein DNS schreibst. Google oder Meta schauen dann nach. Steht der Text da, weißt du offenbar, wie man das DNS dieser Domain ändert. Also gehört sie dir.

Und bevor wir zu den E-Mails kommen, noch eine Sache, die dir bei jedem Relaunch begegnet.

Erinnere dich an den Cache. Resolver merken sich Antworten. Aber wie lange? Das legt der Besitzer der Domain fest, bei jedem Eintrag. Diese Zeitangabe heißt TTL, für Time to Live. Steht da eine Stunde, merken sich Resolver die Antwort eine Stunde lang. Steht da ein Tag, einen Tag lang.

Und genau deshalb heißt es nach einem Serverumzug oft: Das DNS braucht noch ein bisschen. Die neue IP-Adresse ist längst eingetragen. Aber viele Resolver haben noch die alte im Speicher. Und geben sie weiter, bis die TTL abgelaufen ist. In dieser Zeit landen manche Besucher auf dem alten Server und manche auf dem neuen.

Deshalb setzen erfahrene Techniker die TTL einige Tage vor einem Umzug herunter. Dann wechselt beim eigentlichen Umzug alles viel schneller. Wenn bei dir ein Relaunch mit Serverumzug ansteht, ist das eine gute Frage an deine IT.

So. Und jetzt zum Teil, den viele Marketer unterschätzen. Den E-Mails.

Stell dir vor, dein Unternehmen führt ein neues CRM ein. Alles ist eingerichtet, die Kontakte sind importiert. Und du schickst die erste Kampagne raus. Direkt aus dem neuen Tool, mit deiner gewohnten Absenderadresse.

Am nächsten Tag schaust du in die Zahlen. Und die Klickrate ist nur noch halb so hoch wie sonst. Am Inhalt liegt es nicht. Am Betreff auch nicht.

Was ist passiert? Um das zu verstehen, müssen wir einen Schritt zurückgehen.

E-Mail hat ein uraltes Problem. Absender lassen sich fälschen. Im Grunde kann jeder eine Mail verschicken, in der als Absender newsletter@deinshop.de steht. Genau so funktioniert Phishing.

Aber warum ist das überhaupt möglich? Weil der Server, der eine Mail verschickt, dem empfangenden Server selbst mitteilt, von wem die Mail kommt. Diese Angabe ist einfach Text, den der sendende Server hinschreibt.

Und der empfangende Server übernimmt ihn, ohne nachzuprüfen. Dasselbe gilt für die Absenderadresse, die du später im Postfach siehst. Auch die steht nur als Text in der Mail. Wer einen Mailserver betreibt, kann dort also hineinschreiben, was er will.

Das ist historisch so gewachsen, weil die Technologie hinter der E-Mail 1982 festgelegt wurde und es damals nur einer begrenzten Zahl von Nutzern zur Verfügung stand, die sich kannten. Damals dachte noch niemand an Betrug.

Komisch? Tja, ich habe es dir bereits in Folge 3 dieses Podcasts gesagt: das Netz ist nun einmal ein Altbau …

Zurück zum Thema: Woher soll der Mailserver des Empfängers also wissen, ob eine Mail wirklich von dir kommt?

Nur so viel vorweg: Die Antwort steht ebenfalls im DNS. In genau den TXT-Einträgen, die wir eben kennengelernt haben. Und sie hat drei Namen: SPF, DKIM und DMARC.

Was dahintersteckt, warum dein neues CRM daran scheitern kann und warum Google und Yahoo dabei seit 2024 keinen Spaß mehr verstehen, das schauen wir uns in der nächsten Folge an.

So, und jetzt die Frage: Was kannst du aus dieser Folge jetzt eigentlich für deinen Alltag als Online Marketer mitnehmen?

Ich würde dir drei Dinge mitgeben.

Erstens: Kläre, wer euer DNS verwaltet. Frage: Bei welchem Registrar ist eure Domain registriert? Bei welchem Anbieter laufen eure autoritativen Nameserver, also wo stehen die Einträge? Wer hat Zugang? Und wohin geht die Erinnerung, wenn die Domain verlängert werden muss? Denn wenn eine Domain ausläuft, ist nicht nur die Website weg. Dann ist auch der Empfang eurer E-Mails weg. Mit allem, was daran hängt.

Zweitens: Wenn ein Relaunch mit Serverumzug ansteht, frag nach der TTL. Rechtzeitig vorher. Das erspart dir Tage, in denen ein Teil deiner Besucher noch auf der alten Seite landet. Und deine Kampagnen auf eine Seite schicken, die es eigentlich nicht mehr gibt.

Und drittens: Mach eine Liste aller Tools, die E-Mails im Namen eurer Domain verschicken. Newsletter-Tool, CRM, Shop-System, Support-Tool, Rechnungsprogramm. Was du mit dieser Liste anfängst, erfährst du in der nächsten Folge. Und die meisten Unternehmen sind überrascht, wie lang sie wird.

Und wenn du nach dieser Folge nur eine Sache machst, dann die erste. Denn eine Domain, bei der niemand mehr weiß, wer Zugang hat, ist ein Risiko, das du erst bemerkst, wenn es zu spät ist.

Übrigens: Falls du die DNS-Abfrage einmal mit eigenen Augen sehen willst: In den Entwicklertools deines Browsers siehst du bei Anfragen an einen Server, dessen Adresse noch nicht im Cache lag, wie lange die DNS-Abfrage gedauert hat, bevor überhaupt etwas geladen wurde. Genau mit diesen Werkzeugen arbeiten wir in meinem Kurs „Was passiert im Browser?“.

Vielleicht hast du Lust darauf, dich tiefer in die Materie einzuarbeiten … Wenn ja, findest du den Link in den Shownotes.

So und bevor wir diese Folge abschließen, fassen wir einmal zusammen, was du jetzt weißt.

Also:

DNS übersetzt Namen wie trace-Five.co in IP-Adressen. Gelesen werden die Namen von rechts nach links: Endung, Domain, Subdomain. Dein Computer fragt einen Resolver. Der hangelt sich, wenn er die Antwort nicht schon kennt, von den Root-Servern über die TLD-Server bis zu den autoritativen Nameservern der Domain. Antworten werden für die Dauer der TTL zwischengespeichert. Wo du die Domain mietest und wo deine autoritativen Nameserver laufen, können zwei verschiedene Anbieter sein. Und in den DNS-Einträgen steht, wo deine Website liegt, unter welchem Namen externe Tools erreichbar sind, wohin E-Mails für deine Domain gehen und dass die Domain dir gehört.

Facebook hat im Oktober 2021 sechs Stunden lang erlebt, was passiert, wenn niemand mehr weiß, wo man wohnt. Dein DNS sorgt jeden Tag dafür, dass das bei dir nicht passiert.

Und in der nächsten Folge schauen wir uns an, wie es außerdem dafür sorgt, dass deine Mails nicht für Betrug gehalten werden.

So viel für heute.

Mach’s gut, und bis zur nächsten Folge.