Domain, DNS und HTTPS: was passiert, wenn jemand Ihre Adresse eintippt

01Vom Namen zur Nummer: warum es das DNS gibt

Montagmorgen, neun Uhr. Die Website einer Kanzlei bleibt weiß, E-Mails kommen nicht an, das Telefon beginnt zu klingeln. Kein Virus, kein Serverausfall: Die Domain ist am Freitag abgelaufen, und die Erinnerung zur Verlängerung ging an ein Postfach, das niemand mehr liest. Das passiert öfter, als man denkt, und lässt sich mit dem Wissen um ein paar Mechanismen vermeiden. Der Reihe nach.

Computer im Internet erkennen sich an Nummern, den IP-Adressen: etwa 203.0.113.10 in der älteren Version (IPv4) oder eine lange Folge aus Ziffern und Buchstaben, getrennt durch Doppelpunkte, in der neueren (IPv6). Menschen dagegen merken sich Namen. Kein Kunde würde eine Zahlenreihe eintippen, um Ihr Büro zu finden, während er sich firmenname.it mühelos merkt.

Das DNS (Domain Name System, das System der Domainnamen) ist der Dienst, der beides verbindet: Er erhält einen Namen und liefert die Nummer des Servers, an den man sich wenden muss. Beschrieben wurde es 1987 in zwei technischen Dokumenten, den RFC 1034 und 1035, die bis heute die Grundlage von allem sind. Es ist buchstäblich das Straßenverzeichnis des Internets.

Im Kapitel über die professionelle Web-Infrastruktur habe ich das Haus beschrieben, also den Server. Hier geht es um die Adresse und den Weg dorthin: was Sie kaufen, wenn Sie eine Domain kaufen, was in den Millisekunden zwischen dem Eintippen Ihres Namens und dem Erscheinen der Seite geschieht, und welche Fehler in dieser Kette eine Website oder die E-Mail eines ganzen Unternehmens lahmlegen.

Wie man eine Adresse liest

Eine Webadresse liest man von rechts nach links, vom Allgemeinen zum Besonderen, wie eine umgekehrt geschriebene Postanschrift. Jeder Punkt trennt eine Ebene:

• die Endung (im Fachjargon TLD, Top Level Domain) ist der letzte Teil: .it, .com, .eu, .ro;
• der Name ist der Teil, den Sie registrieren: Er gehört Ihnen, solange Sie ihn verlängern;
• die Subdomain ist alles, was davor steht: www, aber auch buchen.firmenname.it oder post.firmenname.it. Sie wird nicht gekauft: Sie legen sie mit einem DNS-Eintrag selbst an;
• der Pfad nach dem Schrägstrich hat mit dem DNS nichts zu tun: Er ist die Seite innerhalb der Website, und darüber entscheidet der Server.

02Registry, Registrar und Inhaber: wem der Name gehört

Eine Domain kauft man nicht für immer: Man registriert sie für einen Zeitraum, meist ein oder mehrere Jahre, und verlängert sie dann. In der Kette gibt es vier Beteiligte, und es lohnt sich, alle zu kennen, denn jeder hat eine andere Rolle:

• ICANN ist die internationale gemeinnützige Organisation, die das System der Namen und Adressen weltweit koordiniert;
• die Registry verwaltet eine einzelne Endung und führt das offizielle Verzeichnis der registrierten Namen. Für .it ist das das Registro .it mit Sitz in Pisa, am Institut für Informatik und Telematik des CNR (des italienischen Nationalen Forschungsrats);
• der Registrar ist der Anbieter, über den Sie den Namen registrieren, oft derselbe, der auch Hosting und E-Mail verkauft;
• der Inhaber (englisch registrant) ist, wer das Nutzungsrecht am Namen hat: Das muss Ihr Unternehmen sein, mit dessen Daten.

Der Ablauf: das banalste und teuerste Risiko

Eine nicht verlängerte Domain funktioniert nicht mehr: Website, E-Mail, alles. Nach dem Ablauf gibt es meist eine Frist, in der der bisherige Inhaber sie noch zurückholen kann; danach wird der Name frei, und jeder kann ihn registrieren, auch wer abgelaufene Namen kauft, um sie weiterzuverkaufen. Drei Vorkehrungen genügen, um dieses Risiko nicht einzugehen:

• die automatische Verlängerung aktivieren, mit einem Zahlungsmittel, das nicht in einem Monat abläuft;
• die Kontakt-E-Mail des Inhabers aktuell halten, denn dort kommen die Erinnerungen an;
• das Ablaufdatum dort notieren, wo es auch jemand anderes im Unternehmen sieht.

03Die Auflösung: vier Fragen in wenigen Millisekunden

Wenn jemand Ihre Adresse eintippt, weiß sein Computer nicht, wo der Server steht. Er muss danach fragen, und das geschieht über eine Kette von Fragen, die man Auflösung nennt. Es lohnt sich, ihr Schritt für Schritt zu folgen, denn sie erklärt fast alle «rätselhaften» Verhaltensweisen von Domains.

So erzählt klingt es lang, doch es geschieht in wenigen Dutzend Millisekunden und fast nie vollständig: Jedes Glied speichert die bereits erhaltenen Antworten. Der Resolver Ihres Internetanbieters weiß längst, wer .it verwaltet, weil Tausende Menschen ihn vor einer Minute danach gefragt haben. Auch der Browser und das Betriebssystem bewahren die letzten Antworten auf.

Die Root-Server werden im System mit 13 Namen bezeichnet, vom Buchstaben a bis m, betrieben von 12 verschiedenen Organisationen. Hinter jedem Namen stehen in Wirklichkeit viele Maschinen auf der ganzen Welt, die unter derselben Adresse antworten: Deshalb fällt die Root des Internets nicht aus, wenn ein einzelner Computer defekt ist.

Der autoritative Server ist der, auf den es für Sie ankommt: Dort liegen die Einträge Ihrer Domain, und wer Zugang zu dem Bereich hat, in dem man sie ändert, bestimmt, wohin Website und E-Mail gehen. Welche Server für Sie autoritativ sind, teilen Sie der Registry über die NS-Einträge mit, meist mit ein paar Klicks im Kundenbereich des Registrars.

04Die DNS-Einträge: der Ausweis der Domain

Auf dem autoritativen Server wird Ihre Domain durch eine Liste von Zeilen beschrieben, die man Einträge (englisch records) nennt. Jeder Eintrag hat einen Namen (auf welche Adresse er sich bezieht), einen Typ (was er aussagt), einen Wert und eine TTL (wie lange andere ihn speichern dürfen). Es ist ein Ausweis: Wer ihn liest, weiß, wo die Website wohnt, wohin die E-Mail zugestellt wird und wer in Ihrem Namen versenden darf.

Die TXT-Einträge und die E-Mail

Drei Einträge vom Typ TXT entscheiden, ob Ihre E-Mails im Posteingang oder im Spam landen: SPF (welche Server im Namen der Domain versenden dürfen), DKIM (die kryptografische Signatur der Nachrichten) und DMARC (was mit E-Mails geschieht, die die Prüfungen nicht bestehen). Sie sind so wichtig, dass sie ein eigenes Kapitel haben, das über die professionelle geschäftliche E-Mail. Hier genügt es zu wissen, wo sie stehen: im selben Ausweis der Domain, neben dem Eintrag der Website.

Subdomains: verschiedene Türen desselben Hauses

Mit einem Eintrag entsteht eine Subdomain, und jede Subdomain kann auf einen anderen Server zeigen: die Präsentationswebsite auf einem Hosting, buchen.firmenname.it auf dem VPS des Portals, shop.firmenname.it auf einer externen Plattform. Das ist auch eine der Möglichkeiten, eine Website in mehreren Sprachen zu organisieren, neben Ordnern (/ro/) und Länderdomains: Vor- und Nachteile jeder Lösung vergleiche ich im Kapitel über die mehrsprachige Website.

05Die TTL und die berühmte «Propagierung»

Wenn man einen Eintrag ändert, sieht derjenige, der ihn gerade geändert hat, die neue Website, der Kollege nebenan noch die alte, und ein Kunde am anderen Ende des Landes je nach Uhrzeit die eine oder die andere. Man sagt, das DNS «propagiert» sich, als müsste die Änderung reisen. In Wirklichkeit reist nichts: Die Zwischenspeicher laufen ab.

Jeder Eintrag hat eine TTL (Time To Live, Lebensdauer), angegeben in Sekunden. Ein Resolver, der eine Antwort mit TTL 3600 erhalten hat, darf sie eine Stunde lang wiederverwenden, ohne neu zu fragen. Haben Sie die Adresse fünf Minuten danach geändert, liefert dieser Resolver noch weitere 55 Minuten die alte. Multiplizieren Sie das mit den Millionen Resolvern weltweit, jeder mit seinem eigenen Ablauf, und Sie haben die «Propagierung».

Wie ein Umzug ohne Ausfall gelingt

Die TTL ist der Hebel, um eine Website oder ein Postfach ohne Unterbrechung von einem Server auf einen anderen umzuziehen. Ich gehe dabei immer gleich vor:

1. Ein oder zwei Tage vorher die TTL der Einträge senken, die sich ändern werden (zum Beispiel auf 300 Sekunden, fünf Minuten). Man muss warten, bis die alte, lange TTL abgelaufen ist, damit die Zwischenspeicher sich aktualisieren.
2. Den neuen Server vorbereiten und testen, bevor der Name umgestellt wird, zum Beispiel indem man die Adresse auf dem eigenen Computer fest einträgt.
3. Den Eintrag ändern: Innerhalb weniger Minuten sehen fast alle den neuen Server.
4. Den alten Server noch eine Weile eingeschaltet lassen, für verspätete Anfragen.
5. Nach dem Umzug die TTL wieder erhöhen: Ein hoher Wert entlastet die Server und macht die Domain widerstandsfähiger.

Dieses Vorgehen gilt auch beim Wechsel von einem Shared Hosting auf einen VPS, den ich im Kapitel über die Web-Infrastruktur beschreibe. Bei der E-Mail braucht es zusätzliche Sorgfalt: Der MX-Eintrag muss umgestellt und SPF und DKIM für den neuen Versandserver aktualisiert werden, sonst wirken ausgehende E-Mails tagelang verdächtig.

06HTTPS: die verschlüsselte Verbindung und das Schloss

Ist der Server gefunden, beginnt der Browser mit ihm zu sprechen. Beim alten HTTP lief die Verbindung im Klartext: Jeder im selben Netz (das WLAN eines Cafés, ein kompromittierter Router) konnte Passwörter und Formulare mitlesen oder sogar die Seite unterwegs verändern. HTTPS ist dasselbe HTTP in einem Kanal, der mit dem Protokoll TLS verschlüsselt ist, und löst drei Probleme auf einmal:

• Vertraulichkeit: Was Browser und Server austauschen, kann niemand dazwischen lesen;
• Integrität: Niemand kann die Seite oder die Daten unterwegs verändern, ohne dass der Browser es bemerkt;
• Authentizität: Der Server beweist mit einem Zertifikat, dass er wirklich zu der Domain in der Adressleiste gehört.

Der Handschlag

Bevor die Seite übertragen wird, führen Browser und Server eine kurze Aushandlung durch, den Handshake, den Handschlag. In der aktuellen Version des Protokolls, TLS 1.3, genügt ein einziger Hin- und Rückweg: Der Browser schlägt vor, wie verschlüsselt werden soll, der Server wählt aus und legt sein Zertifikat vor, beide berechnen einen geheimen Schlüssel, der nie übertragen wurde, und ab diesem Moment ist alles verschlüsselt.

Das Zertifikat und die Vertrauenskette

Das Zertifikat ist ein digitales Dokument, das den Domainnamen an einen kryptografischen Schlüssel bindet, signiert von einer Zertifizierungsstelle. Der Browser kennt Ihr Zertifikat nicht, wohl aber eine Liste von Root-Instanzen, denen er vertraut: Ist Ihr Zertifikat von einem Zwischenzertifikat signiert und dieses von einer Root aus der Liste, hält die Kette, und die Seite öffnet sich ohne Warnung.

Heute kostet ein Zertifikat für eine Website nichts mehr: Let's Encrypt, eine gemeinnützige Zertifizierungsstelle, stellt sie kostenlos und automatisch aus. Ihre Zertifikate gelten 90 Tage und werden von einem Programm erneuert, das das selbstständig erledigt, meist alle 60 Tage. Die ganze Branche bewegt sich zu immer kürzeren Laufzeiten: Das CA/Browser Forum, das Gremium von Zertifizierungsstellen und Browserherstellern, hat 2025 eine schrittweise Verkürzung der maximalen Laufzeit von Zertifikaten von 398 auf 47 Tage beschlossen, in Etappen zwischen März 2026 und März 2029. Fazit: Ein Zertifikat einmal im Jahr von Hand zu erneuern, ist eine Arbeitsweise, die ausläuft. Die Erneuerung muss automatisch sein.

Was das Schloss sagt und was nicht

Das Schloss in der Adressleiste bedeutet, dass die Verbindung verschlüsselt ist und der Server wirklich zur angezeigten Domain gehört. Es bedeutet nicht, dass die Website ehrlich ist: Auch eine betrügerische Seite kann ein gültiges Zertifikat für ihre betrügerische Domain haben. Deshalb muss man die Adresse lesen, nicht nur auf das Schloss schauen: firmenname.it und firmenname-zahlung.com gehören zwei verschiedenen Eigentümern.

Die letzten drei Vorkehrungen

• Die dauerhafte Weiterleitung: Alle Varianten der Adresse (mit und ohne www, mit http und mit https) müssen mit einer 301-Weiterleitung auf eine einzige Version führen. Für Suchmaschinen ist eine Website, die unter vier verschiedenen Adressen erreichbar ist, vier Websites, die sich gegenseitig Konkurrenz machen.
• HSTS: ein Header, mit dem der Server dem Browser sagt: «Ab jetzt mit mir nur noch über HTTPS.» Damit ist auch der erste Moment abgesichert, in dem die Verbindung im Klartext starten könnte.
• Keine gemischten Inhalte: Eine HTTPS-Seite, die ein Bild oder ein Skript über HTTP lädt, verliert einen Teil des Schutzes, und Browser blockieren solche Teile oder weisen darauf hin.

07Die Fehler, die eine Website lahmlegen (und wie man sie vermeidet)

Fast alle Probleme mit Domains und Zertifikaten gehen auf wenige wiederkehrende Fehler zurück. Sie zu kennen, ist der günstigste Weg, sie nicht zu erleben.

Eine gut verwaltete Domain fällt nie auf. Sie fällt an dem Tag auf, an dem keine E-Mails mehr ankommen, und das ist meistens ein Montag.

Häufige Fragen

Quellen

1. RFC 1034, «Domain Names – Concepts and Facilities» und RFC 1035, «Domain Names – Implementation and Specification»: die Grundlagen des DNS, der Einträge und der TTL.
2. IANA, «Root Servers»: die 13 Namen der Root-Server und die 12 Organisationen, die sie betreiben.
3. ICANN und Registro .it (auf Italienisch): die weltweite Koordinierung der Namen und die Registry der italienischen Endung.
4. RFC 8446, «The Transport Layer Security (TLS) Protocol Version 1.3»: der Handschlag in einem einzigen Durchgang.
5. Let's Encrypt, häufige Fragen (auf Italienisch): kostenlose Zertifikate, Laufzeit von 90 Tagen und empfohlene Erneuerung alle 60 Tage.
6. CA/Browser Forum, Ballot SC-081v3: die Verkürzung der maximalen Laufzeit von Zertifikaten von 398 auf 47 Tage zwischen März 2026 und März 2029.
7. MDN, «Strict-Transport-Security» und MDN, «Gemischte Inhalte» (auf Italienisch).

Kapitel aktualisiert im Oktober 2026. IP-Adressen, Servernamen und Uhrzeiten in den Tafeln sind Beispiele aus den Bereichen, die die Standards für Dokumentation reservieren; das Weiterleitungsverhalten von zenithdevelop.com wurde am 22. Oktober 2026 überprüft.