„Propagation": warum der eine es schon sieht und der andere nicht

Modul 6: Zeit, Cache und Domain-Umzug · Lesezeit: 8 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, warum eine DNS-Änderung nicht überall gleichzeitig sichtbar ist, einschätzen, wie lange das dauert, und das Problem lösen, wenn nur Sie selbst noch die alte Situation sehen.

Kernbegriffe: „Propagation", Cache, negativer Cache (NXDOMAIN), SOA-Minimum, Delegations-TTL, Nameserverwechsel, Cache leeren

Ein Missverständnis in einem Wort

Sie haben einen Eintrag geändert. Ihr Kollege sieht die neue Website bereits, Sie selbst noch die alte. Im Internet lesen Sie dann: „Warten Sie ab, das DNS muss noch propagieren." Das Wort Propagation (Verbreitung) erweckt den Eindruck, Ihre Änderung rolle wie eine Welle über das Internet, von Server zu Server.

So funktioniert es nicht. Ihre Änderung steht sofort auf den autoritativen Nameservern Ihrer Domain (oder innerhalb weniger Minuten, wenn Ihr DNS-Anbieter mehrere Nameserver synchronisiert). Es wird nichts weitergeschickt. Was Sie sehen, ist das Ablaufen von Caches: Jeder Resolver gibt die alte Antwort weiter, bis die TTL in seinem Cache abgelaufen ist (Lektion 6.1). Da jeder Resolver zu einem anderen Zeitpunkt zu zählen begann, sieht der eine die Änderung früher als der andere.

„Propagation" bedeutet also eigentlich: warten, bis alle Caches leergelaufen sind. Diese Erkenntnis hilft Ihnen, denn jetzt wissen Sie genau, worauf Sie warten und wie lange maximal.

Wie lange dauert es?

Das hängt davon ab, was Sie ändern.

Bestehende Einträge

Hier ist es einfach: Die alte TTL ist das Maximum. Hatte der Eintrag TTL 3600, sieht jeder die neue Antwort spätestens eine Stunde nach Ihrer Änderung. Sieht jemand nach über einer Stunde immer noch die alte, liegt das Problem woanders (siehe weiter unten).

Neue Einträge und der negative Cache

Ein neuer Eintrag funktioniert meist sofort, außer wenn jemand den Namen bereits abgefragt hat, als er noch nicht existierte. Der Resolver bekam damals die Antwort NXDOMAIN („dieser Name existiert nicht") oder „dieser Name existiert, hat aber keinen Eintrag dieses Typs". Auch dieses „Nein" wird gespeichert. Das nennt man den negativen Cache.

Wie lange ein „Nein" gespeichert bleibt, steht nicht in einem Eintrag, der nicht existiert. Es ergibt sich aus dem SOA-Eintrag der Zone: Laut RFC 2308 ist es der kleinere von zwei Werten, der TTL des SOA-Eintrags selbst und dem letzten Feld des SOA-Eintrags (dem „Minimum"). Ein Beispiel:

example.com.  3600  IN  SOA  ns1.example.com. hostmaster.example.com. (
                             2026110701 ; Seriennummer
                             14400      ; Refresh
                             3600       ; Retry
                             1209600    ; Expire
                             300 )      ; Minimum

Hier wird ein „Nein" maximal 300 Sekunden gespeichert (der kleinere Wert von 3600 und 300). Bei manchen Zonen ist das eine Stunde oder mehr.

Daher die goldene Regel: Öffnen Sie eine neue Subdomain nicht in Ihrem Browser, bevor Sie sie angelegt haben. Ihr Computer und Ihr Resolver merken sich dann, dass sie nicht existiert, und Sie sind der Einzige, der warten muss.

Nameserver ändern

Bei einem Nameserverwechsel warten Sie auf etwas anderes: die NS-Einträge bei der Registry Ihrer Endung. Diese Einträge sagen Resolvern, wo die Nameserver Ihrer Domain liegen (Lektion 2.1), und auch das wird gespeichert. Jede Registry wählt dafür eine eigene TTL. Gemessen im November 2026:

Hinzu kommt, dass eine Registry Ihre Änderung manchmal nicht sofort veröffentlicht und die Nameserver Ihres alten Anbieters in der Zwischenzeit häufig noch mit der alten Zone antworten. Rechnen Sie bei einem Nameserverwechsel daher mit ein paar Stunden, bei .com mit bis zu zwei Tagen. Sorgen Sie also dafür, dass beide Anbieter während des Wechsels dieselben, korrekten Einträge haben (Lektion 6.3).

Sehen nur Sie noch die alte Version?

Zeigt ein Online-Checker bei fast allen Resolvern bereits die neue Antwort, bei Ihnen aber nicht? Dann liegt die alte Antwort in Ihrer Nähe. Gehen Sie diese Schritte durch, vom schnellen zum gründlichen:

1. Privates Fenster oder anderer Browser. Ihr Browser speichert DNS-Antworten und Seiten.
2. Telefon über 4G oder 5G, mit ausgeschaltetem WLAN. Dann nutzen Sie den Resolver Ihres Mobilfunkanbieters statt den Ihres Heimnetzwerks.

3. Cache Ihres Computers leeren.

   • Windows (Eingabeaufforderung): ipconfig /flushdns
   • macOS (Terminal): sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
   • Linux mit systemd-resolved: resolvectl flush-caches
4. Router neu starten. Viele Router arbeiten als kleiner Resolver mit eigenem Cache.
5. Hosts-Datei prüfen. Haben Sie zuvor einen neuen Server getestet, indem Sie die Adresse in Ihrer Hosts-Datei eingetragen haben (C:\Windows\System32\drivers\etc\hosts oder /etc/hosts)? Diese Zeile geht dem DNS vor. Entfernen Sie sie. Das wird oft vergessen.
6. Direkt an der Quelle nachsehen. Fragen Sie den Eintrag beim autoritativen Nameserver ab (dig A example.com @ns1.hosting.example). Steht dort ebenfalls noch die alte Antwort, wurde die Änderung nicht richtig gespeichert oder Sie haben sie an der falschen Stelle vorgenommen.

Nach der Wartezeit immer noch nichts?

Wenn die TTL längst abgelaufen ist und auch Online-Tools die alte Antwort zeigen, ist Warten sinnlos. Dann liegt etwas anderes vor. Die drei häufigsten Ursachen:

• An der falschen Stelle geändert. Ihre Domain nutzt die Nameserver eines anderen Anbieters (zum Beispiel Cloudflare oder einen Website-Baukasten), und Sie haben die Einträge bei Ihrem Hostinganbieter geändert. Prüfen Sie, welche Nameserver Ihre Domain hat (Lektion 2.1) und ändern Sie dort.
• Tippfehler oder fehlender Punkt. mail.example.com ohne Punkt wird in vielen Paneelen zu mail.example.com.example.com (Lektion 2.2).
• Die Nameserver sind sich untereinander nicht einig. Eine Domain hat mindestens zwei Nameserver. Synchronisieren diese nicht richtig, gibt der eine die neue und der andere die alte Antwort. Vergleichen Sie die SOA-Seriennummer bei jedem Nameserver: Diese muss identisch sein.

dig +short SOA example.com @ns1.hosting.example
dig +short SOA example.com @ns2.hosting.example

In der Praxis: So sieht es in einem Panel aus

Möchten Sie sehen, was Resolver an verschiedenen Orten der Welt antworten, nutzen Sie einen Online-DNS-Checker, der pro Land einen Resolver abfragt (zum Beispiel dnschecker.org). Im Beispielpanel Mein WebOké prüft die Karte Domain / E-Mail Gesundheit die Nameserver und Einträge Ihrer Domain bei den autoritativen Nameservern, und die DNS-Diagnose vergleicht die Seriennummern der Nameserver. Andere Anbieter haben oft eine vergleichbare Prüfung in ihrem Panel; falls nicht, liefern dig und die Online-Tools aus Lektion 8.3 dasselbe Bild.

Zusammenfassung

• Es wird nichts „verbreitet": Sie warten, bis Caches ablaufen.
• Ein geänderter Eintrag ist spätestens nach der alten TTL überall sichtbar; ein neuer Eintrag meist sofort, außer jemand hat den Namen bereits zuvor abgefragt (negativer Cache, bestimmt durch den SOA-Eintrag).
• Ein Nameserverwechsel hängt von der TTL bei der Registry ab: bei .nl eine Stunde, bei .com zwei Tage.
• Sehen nur Sie noch die alte Version? Privates Fenster, 4G, Cache leeren, Router neu starten und die Hosts-Datei prüfen.
• Immer noch alt beim autoritativen Nameserver? Dann ist Warten sinnlos: Suchen Sie den Fehler.

Quiz

Aufgabe

Aufgabe Z6.2: Delegations-TTL und negativer Cache. Zwei Fragen, beide mit dig oder einem Online-Dig-Tool zu beantworten:

1. Wie viele Sekunden speichern Resolver laut der .com-Registry die Nameserver von google.com? Fragen Sie bei einem .com-Server nach: dig NS google.com @a.gtld-servers.net und schauen Sie sich die TTL im AUTHORITY-Abschnitt an.
2. Wie viele Sekunden speichert ein Resolver, dass ein Name unter sidn.nl nicht existiert? Fragen Sie den SOA-Eintrag von sidn.nl bei ns1.sidn.nl ab und wenden Sie die Regel aus dieser Lektion an (der kleinere Wert von SOA-TTL und SOA-Minimum).

Weiterführende Informationen

Die Schritte in diesen Artikeln beziehen sich auf die Panels von WebOké; in anderen Panels funktioniert es ähnlich.

• Wie lange dauert eine Nameserver- oder DNS-Änderung, und was ist, wenn Sie sie nicht sehen?
• Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
• DirectAdmin Anleitung 5.11: Wann wirkt eine Änderung? Wartezeit und TTL
• Ein Subdomain erstellen und was zu tun ist, wenn es nicht funktioniert
• Wie kann ich meine Domain vor dem Umzug testen? (localhost)
• WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben