Netztools24

DNS Lookup: DNS-Einträge prüfen (A, AAAA, MX, NS, TXT)

DNS-Lookup für beliebige Domains: A-, AAAA-, MX-, NS-, TXT-, CNAME- und SOA-Records in Echtzeit abfragen. Nützlich bei der Fehlersuche zu E-Mail-, Website- und Migrationsproblemen.

Zuletzt aktualisiert: 03. Februar 2026

13 Buchstaben tragen einen großen Teil des Internets

Das gesamte Domain Name System stützt sich an der Wurzel auf nur 13 benannte Root-Server-Adressen, von a.root-servers.net bis m.root-servers.net. Das klingt nach einem winzigen Nadelöhr für Milliarden täglicher Anfragen, funktioniert aber, weil hinter jedem dieser 13 Namen über Anycast-Routing hunderte physische Maschinen weltweit verteilt stehen. Fragt Ihr Rechner in Berlin einen Root-Server an, landet er automatisch beim nächstgelegenen Standort, nicht irgendwo in den USA.

Diese Root-Server kennen keine einzelnen Domains, sie wissen nur, welche Server für .de, .com oder andere Endungen zuständig sind. Von dort geht die Anfrage weiter, bis am Ende eine IP-Adresse steht. Genau diese Kette aus Zuständigkeiten macht ein Lookup-Tool sichtbar: Welcher Server antwortet für eine Domain, und mit welchem Wert?

So funktioniert die Abfrage auf dieser Seite

Tragen Sie eine Domain ein, etwa netztools24.de, und wählen Sie den gewünschten Record-Typ. Unser Server stellt eine rekursive Anfrage an einen öffentlichen Resolver und liefert das Ergebnis inklusive TTL (Time-To-Live) zurück. Zwischengespeichert wird bei uns nichts, Sie sehen also den aktuellen Stand und keinen veralteten Cache-Eintrag. Abgefragt werden können A, AAAA, MX, NS, TXT, CNAME, SOA, CAA und SRV.

Welcher Record-Typ wofür steht

  • A-Record: verknüpft eine Domain mit einer IPv4-Adresse, zum Beispiel 185.199.108.153.
  • AAAA-Record: dasselbe Prinzip für IPv6, etwa 2606:4700::6810:85e5.
  • MX-Record: bestimmt, welcher Server E-Mails für die Domain annimmt. Jeder MX-Eintrag trägt zusätzlich eine Prioritätszahl, niedrigere Werte werden zuerst versucht.
  • NS-Record: nennt die Nameserver, die für die Zone autoritativ sind. Üblich sind zwei bis vier Einträge pro Domain.
  • TXT-Record: transportiert beliebigen Text. In der Praxis meist SPF (Spamschutz), DKIM (Signatur), DMARC (Mail-Richtlinie) oder Verifizierungscodes von Google und Let's Encrypt.
  • CNAME-Record: leitet eine Subdomain auf einen anderen Hostnamen um, häufig www auf den Root-Host. Ein CNAME darf nicht auf den Zone-Apex selbst zeigen, das verbietet der Standard.
  • SOA-Record: enthält administrative Zonendaten wie Serial, Refresh-Intervall, Retry-Wert und die Admin-Mailadresse.
  • CAA-Record: legt fest, welche Zertifizierungsstellen für diese Domain überhaupt SSL-Zertifikate ausstellen dürfen.

TTL: warum zwei Abfragen unterschiedliche Werte liefern können

Jeder Record trägt eine TTL in Sekunden, die angibt, wie lange Resolver das Ergebnis zwischenspeichern dürfen. Üblich sind Werte zwischen 300 (5 Minuten) und 86400 (24 Stunden). Planen Sie eine Migration, senken Sie die TTL vorher deutlich, damit die neue Konfiguration schnell greift. Danach kann sie wieder erhöht werden, das reduziert unnötige DNS-Last.

Wofür Sie das in der Praxis nutzen

  • E-Mails, die im Spam landen: Ein TXT-Lookup zeigt sofort, ob SPF, DKIM oder DMARC überhaupt gesetzt sind.
  • Migration begleiten: Sie sehen, ob die neuen A- oder AAAA-Werte aus Sicht unseres Servers bereits ausgeliefert werden.
  • Neue Subdomain prüfen: Zeigt sie tatsächlich auf den richtigen Cloud-Anbieter?
  • CAA als Sicherheitsnetz: Fehlt der Eintrag, kann im Zweifel jede öffentliche CA ein Zertifikat für Ihre Domain ausstellen. Ein Lookup zeigt, ob das Risiko besteht.

Datenschutz und Sicherheit

Die Abfrage läuft serverseitig über unsere Infrastruktur in Deutschland. Angefragte Domains speichern wir nicht dauerhaft, es entstehen keine Nutzerprofile. Nach der Antwort werden die Ergebnisse verworfen.

Häufig gestellte Fragen zum DNS-Lookup

Warum liefern verschiedene DNS-Tools unterschiedliche Ergebnisse?

Jeder Resolver cacht nach eigener TTL. Google, Cloudflare und regionale Provider zeigen deshalb kurzzeitig abweichende Werte, bis die TTL des jeweiligen Eintrags abgelaufen ist. Unser Server fragt direkt gegen einen aktuellen Resolver ab.

Wie lange dauert es, bis eine DNS-Änderung überall sichtbar ist?

Formal genau so lange wie die TTL des alten Eintrags. In der Praxis kalkulieren wir mit 4 bis 48 Stunden, bis wirklich jeder Resolver weltweit umgestellt hat.

Zeigt das Tool auch DNSSEC-Signaturen an?

Nein, das leistet dieses Tool aktuell nicht. Für signierte Zonen greifen Sie besser zu dig +dnssec auf der Kommandozeile oder einem spezialisierten Validator.

Was bedeutet die Antwort NXDOMAIN?

Die abgefragte Domain existiert im DNS nicht. Ursachen sind meist ein Tippfehler, eine frisch registrierte Domain, die noch nicht delegiert wurde, oder eine gelöschte Zone.