Nameserver ändern ohne Ausfall: eine Checkliste

Nameserver ändern ohne Ausfall klappt dann, wenn beim neuen DNS-Anbieter schon vor dem Wechsel alle DNS-Einträge vollständig angelegt sind. Während der Umstellung fragen manche Resolver noch die alten Nameserver, andere schon die neuen, und beide müssen dasselbe antworten. Mit der folgenden Checkliste weißt du, was du übernehmen, prüfen und hinterher kontrollieren musst, und deine E-Mails kommen dabei weiter an.

Was Nameserver eigentlich tun

Tippt jemand deine Domain in den Browser, muss sein Resolver herausfinden, welche IP-Adresse dazugehört. Dafür fragt er zuerst bei der Registry deiner Top-Level-Domain nach, also etwa bei .de oder .com, welche Server für deine Domain zuständig sind. Das sind deine Nameserver. Erst dann fragt er diese nach den eigentlichen Einträgen: wo die Website liegt, wohin E-Mails gehen und so weiter.

Es gibt also zwei Ebenen, und die solltest du auseinanderhalten:

Beim Nameserver-Wechsel ziehst du die komplette Zone auf einen Schlag zu einem anderen Anbieter um. Änderst du dagegen einen einzelnen Eintrag, bearbeitest du nur eine Zeile innerhalb der Zone. Wie eine DNS-Abfrage grundsätzlich abläuft, erklärt der kurze MDN-Glossareintrag zu DNS (auf Englisch).

Was beim Wechsel passiert

Du trägst die neuen Nameserver bei deinem Registrar ein. Der gibt die Änderung an die Registry weiter, was meist nur Minuten dauert. Danach übernehmen Resolver auf der ganzen Welt die neue Delegation, sobald ihre zwischengespeicherte Kopie abläuft.

Wie lange das dauert, steuert die TTL (Time to Live). Dieser Wert gibt in Sekunden an, wie lange ein Resolver eine Antwort behalten darf, so festgelegt in RFC 1034. Die TTL der Delegation bestimmt allerdings die Registry, nicht du, und sie liegt oft bei ein bis zwei Tagen. Deshalb heißt es bei vielen Anbietern, dass ein Nameserver-Wechsel bis zu 48 Stunden braucht, bis er überall angekommen ist. Viele Besucher sehen ihn aber deutlich früher.

In dieser Zeit bekommen beide Nameserver-Paare Anfragen. Solange sie gleich antworten, merkt niemand etwas. Zum Ausfall kommt es erst, wenn in der neuen Zone etwas fehlt, zum Beispiel der MX-Eintrag. Wer dann schon die neuen Nameserver fragt, bekommt keine Antwort.

Vor dem Wechsel: die Checkliste

1. Sichere deine komplette Zone

Melde dich bei deinem bisherigen DNS-Anbieter an und exportiere die Zonendatei, falls es diese Funktion gibt. Sonst schreibst du jeden Eintrag ab: Typ, Name, Wert, Priorität und TTL. Verlass dich dabei nicht auf dein Gedächtnis und nicht nur auf das, was die Website braucht. Vergessene Subdomains wie eine Staging-Seite, ein Kundenportal oder ein Autodiscover-Eintrag für Mail sind die häufigste Fehlerquelle.

2. Prüf die E-Mail-Einträge doppelt

Bei E-Mail fallen Fehler oft erst Tage später auf. Such deshalb gezielt nach diesen Einträgen:

• MX-Einträge samt Priorität
• SPF: ein TXT-Eintrag auf der Hauptdomain, der mit v=spf1 beginnt
• DKIM: TXT- oder CNAME-Einträge unter <selector>._domainkey
• DMARC: ein TXT-Eintrag unter _dmarc
• Autodiscover/Autoconfig: CNAME- oder SRV-Einträge, die Mailprogramme für die Einrichtung nutzen

DKIM rutscht leicht durch, denn die Selektoren kann man von außen nicht auflisten. Schau im Admin-Bereich deines Mail-Anbieters nach oder öffne eine E-Mail, die du verschickt hast, und such im Header DKIM-Signature nach s=. Dieser Wert ist der Selektor.

3. Denk an Verifizierungseinträge

TXT-Einträge für die Google Search Console, Microsoft 365, Zahlungsanbieter, SSL-Validierung und ähnliche Dienste liegen oft auf der Hauptdomain oder speziellen Subdomains. Fehlen sie, funktionieren diese Dienste womöglich nicht mehr oder verlangen eine neue Bestätigung.

4. Prüf, ob DNSSEC aktiv ist

Ist DNSSEC eingeschaltet, liegt bei deinem Registrar ein DS-Eintrag, der zu den Schlüsseln beim alten Anbieter passt. Wechselst du die Nameserver, ohne dich darum zu kümmern, lehnen validierende Resolver deine Domain komplett ab. Am sichersten ist es, den DS-Eintrag zuerst beim Registrar zu entfernen, abzuwarten, bis er abgelaufen ist, und erst dann umzustellen. Wie die Vertrauenskette funktioniert, erklärt die DNSSEC-Übersicht der ICANN (auf Englisch).

5. Leg die Zone beim neuen Anbieter an

Trag alle Einträge in die Zone beim neuen Anbieter ein, bevor du die Nameserver anfasst. Vergleiche danach alt und neu Zeile für Zeile.

6. Wähl einen ruhigen Zeitpunkt

Stell um, wenn wenig los ist und du danach ein, zwei Stunden Zeit zum Kontrollieren hast. Freitagabend oder der Tag, an dem ein Newsletter rausgeht, sind keine gute Wahl.

Der Wechsel selbst

1. Öffne die Domain-Einstellungen bei deinem Registrar, nicht bei deinem Webhoster, außer beides ist dieselbe Firma.
2. Such den Bereich für Nameserver und wähl eigene Nameserver.
3. Ersetz die bisherigen Einträge durch die, die dir der neue Anbieter nennt. Entferne alle alten Nameserver, denn eine Mischung aus alt und neu führt zu widersprüchlichen Antworten.
4. Speichere. Manche Registrare wollen die Änderung zusätzlich per E-Mail bestätigt haben.
5. Lass den alten DNS-Dienst noch ein paar Tage laufen. Resolver, die noch die alte Delegation im Cache haben, brauchen ihn, bis der Cache abläuft.

Nach dem Wechsel: kontrollieren

So prüfst du, welche Nameserver die Welt für deine Domain sieht:

dig NS example.de +short

Frag die neuen Nameserver dann direkt, damit kein Cache dazwischenfunkt:

dig MX example.de @ns1.neuer-anbieter.example +short
dig TXT example.de @ns1.neuer-anbieter.example +short
dig A www.example.de @ns1.neuer-anbieter.example +short

Gleich jedes Ergebnis mit deinem Export ab. Danach folgen die Praxistests: Website aufrufen, von einer externen Adresse eine Mail an die Domain schicken, eine Mail von der Domain verschicken und prüfen, ob sie nicht im Spam landet, und dich bei allen Diensten anmelden, die einen TXT- oder CNAME-Eintrag brauchen.

Wenn etwas schiefgeht

• Website für manche Besucher nicht erreichbar: Vergleiche die A- und AAAA-Einträge in beiden Zonen. Ein fehlender AAAA-Eintrag wird leicht übersehen.
• E-Mails kommen zurück oder gar nicht an: Prüf zuerst MX, dann SPF, DKIM und DMARC gegen deinen Export.
• Domain löst überhaupt nicht mehr auf: Schau nach DNSSEC. Meist ist ein übrig gebliebener DS-Eintrag schuld.
• Du willst zurück: Trag beim Registrar wieder die alten Nameserver ein. Genau dafür läuft der alte Dienst noch weiter, und die Rückkehr verbreitet sich genauso wie der Wechsel.

Weitere Fälle findest du im Support-Artikel zu DNS-Problemen.

So hilft dir fast.site

Die Einrichtung von fast.site ist ein Nameserver-Wechsel, diese Checkliste passt also direkt. Du fügst deine Domain im Dashboard hinzu, trägst die dort angezeigten Nameserver bei deinem Registrar ein und bestätigst. Ob die Umstellung angekommen ist, prüft fast.site danach automatisch im Hintergrund, du musst also nicht ständig selbst nachsehen.

Nach dem Wechsel verwaltet fast.site das DNS deiner Domain und unterstützt A-, AAAA-, CNAME-, MX-, TXT- und SRV-Einträge. Deine bestehenden Einträge, auch MX und die Einträge für E-Mail-Authentifizierung, müssen deshalb in der DNS-Zone bei fast.site stehen. Gleich sie mit deinem Export ab, bevor du beim Registrar etwas änderst. Die einzelnen Schritte findest du in der DNS-Dokumentation und im Einstieg.

Deine Website bleibt bei deinem bisherigen Hoster. fast.site arbeitet davor, wie im Ratgeber Was ist ein CDN beschrieben, cacht öffentliche Seiten am Edge und erkennt DDoS-Angriffe auf Layer 7 automatisch. Das ist auch dann wichtig, wenn du gerade wegen eines Angriffs umziehst (siehe DDoS-Angriff: Was jetzt zu tun ist). SSL-Zertifikate werden automatisch ausgestellt und verlängert.

Ist die Domain aktiv, miss deine Website vorher und nachher. Eine kostenlose 7-Tage-Testphase beginnt erst, wenn DNS, SSL und die Aktivierung der Domain bereit sind.

Häufige Fragen

Wie lange dauert es, die Nameserver zu ändern?

Die Registry übernimmt die Änderung meist innerhalb von Minuten. Resolver übernehmen sie dann, sobald ihre zwischengespeicherte Delegation abläuft, und das kann bis zu 48 Stunden dauern. Viele Besucher sehen die neuen Nameserver aber deutlich früher.

Funktionieren meine E-Mails nach dem Nameserver-Wechsel noch?

Ja, wenn die neue Zone dieselben MX-, SPF-, DKIM- und DMARC-Einträge enthält wie die alte. Mailserver fragen MX-Einträge genauso ab wie jeder andere Resolver. Fehlen sie in der neuen Zone, kommen eingehende Mails zurück oder verspätet an.

Ist ein Nameserver-Wechsel dasselbe wie ein Domain-Umzug?

Nein. Beim Domain-Umzug (Transfer) wechselt die Registrierung zu einem anderen Registrar. Beim Nameserver-Wechsel ändert sich nur, wer die DNS-Anfragen beantwortet. Die Domain bleibt bei deinem Registrar, und du kannst die Nameserver jederzeit ohne Transfer ändern.

Sollte ich vorher die TTL senken?

Für Einträge, die du ändern willst, lohnt es sich, denn Resolver holen sie dann früher neu. Die Delegation selbst beschleunigt das nicht, weil deren TTL die Registry festlegt. Antworten beide Zonen gleich, verursacht die TTL ohnehin keinen Ausfall.

Kann ich die Nameserver zurückstellen, wenn etwas nicht klappt?

Ja. Trag die alten Nameserver wieder beim Registrar ein, und die Änderung verbreitet sich auf demselben Weg. Reibungslos klappt das aber nur, wenn dein alter DNS-Dienst die Zone noch hat. Kündige ihn deshalb nicht direkt nach dem Wechsel.