Ein Reverse DNS Lookup nimmt eine IP-Adresse und gibt den dazu registrierten Hostnamen zurück. Forward DNS macht aus unspam.email eine IP-Adresse; Reverse DNS macht das Gegenteil, über einen PTR-Eintrag, den die Stelle veröffentlicht, der der IP-Block gehört.
Am wichtigsten ist das für E-Mails. Empfangende Mailserver prüfen, ob deine versendende IP einen Reverse-DNS-Eintrag hat, bevor sie über deine Nachricht entscheiden, und ein fehlender Eintrag gilt als starkes Zeichen für einen falsch konfigurierten oder wegwerfbaren Absender. Von den versendenden IPs, die wir prüfen, haben 99 % ein gültiges Reverse DNS, das 1 % ohne Eintrag fällt also sofort auf.
Dieser Leitfaden zeigt, was Reverse DNS ist, wie du einen Lookup über die Kommandozeile oder den Browser ausführst und wie du den PTR-Eintrag selbst anlegst.
Was ist Reverse DNS?
Reverse DNS ist die Abfrage, die den Hostnamen zu einer gegebenen IP-Adresse ermittelt. Forward DNS macht das Umgekehrte und holt sich über einen Hostnamen die IP-Adresse.
Das DNS selbst ist das Domain Name System, das Telefonbuch des Internets, und es funktioniert in beide Richtungen, weil sowohl Menschen als auch Maschinen darin lesen müssen. Forward Lookups nutzt du jeden Tag, ohne es zu merken. Reverse Lookups sind die Abfragen, mit denen Mailserver entscheiden, ob sie dir vertrauen.
Wichtig zu wissen: Auch wenn die IETF verlangt, dass jede Domain eine solche Abfrage beantworten kann, haben in der Praxis nicht alle IP-Adressen einen Reverse-Eintrag.
Der Grund dafür ist banal: Für die korrekte Funktion des DNS ist Reverse DNS nicht entscheidend. Ein Reverse DNS Lookup ist deshalb nur eine Empfehlung, keine Pflicht.
In den meisten Fällen, besonders bei bekannten oder seriösen Unternehmen, lässt sich ein Reverse DNS Lookup aber problemlos durchführen.
Klicke auf Play, um dieses Video von YouTube (Google) zu laden. Siehe unsere Cookie-Richtlinie.
Wie funktioniert Reverse DNS?
Ein Resolver dreht die IP-Adresse um, hängt das Suffix der Reverse-Zone an und fragt das DNS nach dem PTR-Eintrag unter diesem Namen. Das sind die Schritte:
- Das System sucht auf dem Server nach einem PTR-Eintrag.
- Wird der Eintrag gefunden, nimmt es die IP-Adresse und hängt „.in-addr.arpa“ an (bei IPv6 „.ip6.arpa“), um den Ort der Datei mit den Informationen zur Domain zu bestimmen. Danach ruft es den Hostnamen ab.
- Wird kein PTR-Eintrag gefunden, lassen sich Domain und IP-Adresse nicht zuordnen, und das Ergebnis bleibt undefiniert.
Ein Lookup, der nichts zurückgibt, ist kein Fehler. Er bedeutet, dass für diese Adresse kein PTR-Eintrag veröffentlicht ist. Das ist bei privaten Breitbandanschlüssen und beim Shared Hosting üblich, und genau diesen Zustand behandeln empfangende Mailserver als verdächtig.
Sehen wir uns ein paar gute Gründe an, warum Reverse DNS wichtig ist.
Das Grundprinzip des Reverse DNS Lookup
Warum Reverse DNS für die E-Mails wichtig ist, die du versendest
Reverse DNS ist eines der günstigsten Vertrauenssignale, die ein Absender veröffentlichen kann, und eines der wenigen, das geprüft wird, bevor überhaupt jemand deinen Inhalt ansieht. Drei Dinge hängen davon ab.
Annahme deiner E-Mails
Ähnlich wie SPF, DKIM und DMARC dient Reverse DNS dazu, seriöse Absender von Wegwerf-Infrastruktur zu trennen. Mailserver schlagen die versendende IP nach, und viele weisen eine Verbindung ab oder bewerten sie deutlich schlechter, wenn kein PTR-Eintrag zurückkommt. Die Begründung: Ein ernsthafter Absender kontrolliert seinen eigenen IP-Block, ein Spammer meist nicht. Die strengsten Empfänger verlangen zusätzlich Forward-Confirmed Reverse DNS, bei dem der Hostname aus dem PTR-Eintrag wieder auf dieselbe IP auflöst.
Reverse DNS ist dabei aber nur eines von mehreren Signalen: Wie die IP auf Blacklists dasteht, wiegt genauso schwer, und von den versendenden IPs, die wir prüfen, tauchen 6 % auf einer IP-Blacklist auf. Wenn du genau sehen willst, von welcher IP eine Nachricht verschickt wurde und wie der empfangende Server sie bewertet hat, schick eine verdächtige Nachricht durch unsere E-Mail-Header-Analyse.
Spam-Filter und Missbrauchsverfolgung
Reverse DNS steckt im Kern mehrerer seit Langem etablierter Anti-Spam-Techniken. Ein empfangender Server, der eine verbindende IP zu mail.yourcompany.com auflösen kann, behandelt sie ganz anders als eine, die zu nichts auflöst oder zu einem generischen Provider-Hostnamen wie host-92-14-233-8.dynamic.example.net. Dieselbe Abfrage ist es, mit der Abuse-Stellen und Sicherheitsteams den Betreiber hinter einer IP identifizieren, die bösartige E-Mails verschickt, eine Firewall abklopft oder versucht, in ein System einzubrechen.
Lesbare Logs und Diagnose
Server-Logs, Traceroutes und Monitoring-Werkzeuge lösen IPs zu Hostnamen auf, damit ein Mensch sie lesen kann. Ohne Reverse DNS taucht dein Traffic in den Logs aller anderen als nackte Zahl auf. Das macht deine eigene Fehlersuche langsamer und lässt dich für jeden, der einen Vorfall untersucht, anonym wirken.
Was Reverse DNS nicht leistet. Es sagt dir nicht, wer deine Website besucht hat, welche Seiten gelesen wurden, wie lange jemand geblieben ist oder welches Gerät im Einsatz war. Diese Angaben kommen aus der Web-Analyse, und die Zuordnung zu Unternehmen, die manche Anbieter darauf aufsetzen, stammt aus kommerziellen Datenbanken, die IPs zu Firmen zuordnen, nicht aus einem PTR-Eintrag. Ein Reverse Lookup gibt einen Hostnamen zurück und sonst nichts.
Reverse DNS ist im Protokoll optional und in der Praxis Pflicht
Für die Funktion des DNS ist Reverse DNS nicht erforderlich, und genau deshalb lassen es so viele Absender weg, und genau deshalb wird es teuer. Die IETF erwartet, dass jede Adresse auflösbar ist, technisch bricht ein fehlender PTR-Eintrag aber nichts. Also drängt nichts auf eine Lösung, bis deine E-Mails anfangen zu bouncen.
Der Punkt ist: Mailserver und ISPs prüfen die Reverse-DNS-Einrichtung, wenn sie über E-Mails von deinem Server entscheiden. Sie schauen nach, ob die IP-Adresse des versendenden Servers einen Reverse-DNS-Eintrag hat. Die meisten Server werten es als Betrug, wenn kein Eintrag vorhanden ist, und weisen E-Mails aus dieser Quelle ohne Umschweife ab. Das ist inzwischen der Normalfall: Von den versendenden IPs, die wir prüfen, haben 99 % ein gültiges Reverse DNS, das 1 % ohne Eintrag fällt empfangenden Servern also sofort auf.
Angenommen, du fährst E-Mail-Marketing-Kampagnen und erreichst deine Abonnenten laufend über diesen Kanal. Dann wird eine fehlende Reverse-DNS-Einrichtung schnell zur echten Blockade, weil deine E-Mails ohne triftigen Grund abgewiesen werden. Es ist deshalb sehr zu empfehlen, Reverse DNS für deine Domain einzurichten und so eine hohe Zustellrate für deine E-Mails abzusichern.
Außerdem trägst du mit Reverse DNS zur Gemeinschaft bei und hilfst bei verbreiteten Sicherheitsproblemen. Schon die einfache Einrichtung kann anderen Stellen dabei helfen, mögliche Bedrohungen zu erkennen und Cyberkriminalität wirksamer zu bekämpfen. So entsteht ein sicheres und transparentes Ökosystem für dich und deine Kundschaft.
Wie führst du einen Reverse DNS Lookup durch?
Es gibt zwei Wege für einen Reverse DNS Lookup: einen einzigen Befehl auf deinem eigenen Rechner oder ein Werkzeug im Browser, wenn du kein Terminal anfassen willst.
Der erste Weg führt über die Kommandozeile. Weil die meisten Betriebssysteme (Linux, macOS und natürlich Windows) Anfragen an das Domain Name System schicken können, um über eine IP-Adresse einen Hostnamen zu bekommen, hilft dir dein Rechner oder Notebook dabei schon weiter.
Windows-Nutzer verwenden zum Beispiel Befehle wie „ping“ oder „nslookup“. Die Beispielabfrage sieht so aus:
ping -a w.x.y.z
oder
nslookup 7.7.7.7
Ist die Reverse-Lookup-Zone eingerichtet, geben diese Befehle den Domainnamen zurück.
Unter Linux nutzt du den Befehl „dig“ mit dem Flag „-x“ und der IP-Adresse, so:
dig -x 7.7.7.7
Wenn dir die Kommandozeile Angst macht, liefert ein Lookup im Browser dieselbe Antwort.
Drei Werkzeuge, die einen Reverse DNS Lookup im Browser ausführen
Unspam, MxToolBox und WhatIsMyIP lösen eine IP ohne Terminal zu ihrem Hostnamen auf, und alle drei sind für diese Prüfung kostenlos.
- Unspam.email. Unspam ist ein professioneller Spam-Check für E-Mails samt Heatmap-Vorhersage. Unter den zahlreichen Diagnose-Werkzeugen findest du auch einen Reverse DNS Lookup. Er gibt dir gute Hinweise zum Reverse-DNS-Eintrag: ob er sauber konfiguriert ist und ob das rDNS der Mailserver-IP zur HELO-Client-IP passt. Beides ist für E-Mail-Marketer entscheidend. Wenn du schon dort bist, kombiniere ihn mit einem MX-Record-Check, um zu bestätigen, dass genau dieser Mailserver die E-Mails deiner Domain tatsächlich empfängt.
- MxToolBox. MxToolBox ist ein weiterer vielseitiger Diagnose-Dienst. Die meisten Werkzeuge dort kosten Geld, der Reverse DNS Lookup ist aber kostenlos. Gib einfach die IP-Adresse im IPv4- oder IPv6-Format ein und sieh dir die Ergebnisse an.
- WhatIsMyIP. Führt Forward- und Reverse-Lookups im selben Feld aus. Gib die IP-Adresse ein, und du bekommst den PTR-Hostnamen zurück.
So richtest du Reverse DNS in sechs Schritten ein
Reverse DNS einzurichten heißt, die Stelle, der dein IP-Block gehört, um die Delegierung der Reverse-Zone zu bitten und darin einen PTR-Eintrag zu veröffentlichen. Dafür brauchst du in jedem Fall eine dedizierte IP-Adresse: Beim Shared Hosting gehört der PTR-Eintrag deinem Anbieter, und du kannst ihn nicht ändern.
Schritt 1: Nötige Informationen sammeln
Als Erstes musst du herausfinden, wer dein Hosting-Anbieter ist und ob du Zugriff auf das DNS hast.
In den allermeisten Fällen gehört dein IP-Block deinem Hosting-Anbieter oder deinem ISP. Ist das nicht der Fall, findest du den Inhaber über kostenlose Dienste von Drittanbietern wie IP WHOIS Lookup.
Schritt 2: Namen der Reverse-DNS-Zone festlegen
Wenn du den Inhaber des IP-Blocks kennst, kontaktierst du ihn und forderst eine Zone für die IP-Adresse deines Mailservers an.
Dir wird auffallen, dass diese Zone auf „in-addr.arpa“ endet und einen IP-Block mit umgekehrten Oktetten enthält. Das ist die offizielle Syntax, mit der du deine eigene Reverse-DNS-Zone anlegst.
Das Format ist geradlinig: Es beginnt mit einer IP-Adresse mit umgekehrten Oktetten und endet auf „.in-addr.arpa“.
Mit dieser einfachen Routine aus 5 Schritten legst du den Namen deiner Reverse-DNS-Zone fest:
- Nimm die IP-Adresse deines Netzes.
- Handelt es sich um einen klassenlosen Adressblock, entferne den Netzmaskenteil der Adresse. Bei einem vollständigen Adressblock lässt du das letzte Oktett weg.
- Kehre die Reihenfolge der verbleibenden Oktette um.
- Hänge „in-addr.arpa“ ans Ende.
- Bei einem klassenlosen Adressblock setzt du die Netzmaske mit einem Bindestrich (-) wieder in die Adresse ein. Beachte aber: Manche Vergabestellen verlangen dafür einen Schrägstrich (/), damit es gültig ist.
Sieh dir das Beispiel an, um das Verfahren vollständig zu verstehen.
Angenommen, du hast die IP-Adresse 187.133.11.219/27. Das ist ein klassenloser Adressblock. Du musst also den Netzmaskenteil entfernen, sprich „/27“.
Jetzt hast du 187.133.11.219
Danach kehrst du die Reihenfolge der Oktette um: 219.11.133.187
Dann hängst du „.in-addr.arpa“ an: 219.11.133.187.in-addr.arpa
Zum Schluss holst du den Netzmaskenteil mit einem Bindestrich zurück: 219-27.11.133.187.in-addr.arpa
Schritt 3: Reverse-DNS-Delegierung beantragen
Bitte deinen ISP darum, Reverse DNS an deinen DNS-Anbieter zu delegieren. Dafür musst du deinem ISP die Nameserver deiner Domain nennen.
Den Nameserver deiner Domain findest du über ein kostenloses Werkzeug namens Dig Web Interface Tool.
Kann ein Hosting-Anbieter oder ISP das Reverse DNS nicht delegieren, erledigt er wahrscheinlich alles selbst. Dann überlässt du die Reverse-DNS-Einrichtung dem Support-Team und überspringst die nächsten Schritte.
Schritt 4: Reverse-DNS-Zone anlegen
Melde dich bei deinem Hosting-Anbieter an und such in der Verwaltungsoberfläche das DNS-Menü.
Klick darauf und wähle „Manage DNS“. Der Punkt kann auch ähnlich heißen.
Klick auf „Add domains“.
Trag den Namen der Reverse-DNS-Zone ein, den wir in Schritt 2 festgelegt haben.
Schritt 5: PTR-Eintrag anlegen
Nachdem du die Zonendatei angelegt hast, musst du einen PTR-Eintrag erstellen. Das geht in deiner Verwaltungsoberfläche in zwei Schritten.
Öffne den passenden Reiter. Je nach Anbieter heißt er „PTR record“ oder ähnlich.
Trag die letzte Ziffer der IP-Adresse in das Feld „name“ ein.
Trag den Domainnamen, auf den die IP-Adresse zeigen soll, in das Feld „canonical name“ ein.
Schritt 6: Eintrag bestätigen, nicht einfach abwarten
Die Verbreitung richtet sich nach der TTL der Zone, ein neuer PTR-Eintrag ist deshalb meist innerhalb von Minuten bis wenigen Stunden sichtbar und nicht erst nach den zwei Tagen, die der alte Ratschlag nennt. Warte bis zu 24 Stunden, bevor du von einem Fehler ausgehst, und wiederhole den Lookup zur Bestätigung, statt blind zu warten.
DNS-Eintrag für Unspam.email
Ein PTR-Eintrag ist die ganze Arbeit
Reverse DNS kostet einen einzigen Eintrag und verschafft dir bei jedem empfangenden Mailserver den Vertrauensvorschuss. Deshalb haben 99 % der versendenden IPs, die wir prüfen, ihn längst.
Finde heraus, wem dein IP-Block gehört, bitte um die Delegierung der Reverse-Zone, veröffentliche einen PTR-Eintrag, der auf einen Hostnamen zeigt, den du kontrollierst, und prüfe, ob dieser Hostname wieder auf dieselbe IP auflöst. Mach dann einen kostenlosen Spam-Test, um zu sehen, wie die Empfängerseite deine E-Mails jetzt liest, und sieh dir die E-Mail-Header einer echten Nachricht an, um zu bestätigen, dass der PTR-Eintrag zurückgegeben wird.
