Domain-Umzug ohne Ausfall: Nameserver wechseln und DNS sauber umstellen

Ein Nameserver-Wechsel klingt nach einem Knopfdruck, ist aber der Moment, in dem Webseiten verschwinden und Mails verloren gehen, sobald man unvorbereitet umstellt. Der Schlüssel zu einem Umzug ohne Downtime liegt in der Reihenfolge: erst sichern und spiegeln, dann die Nameserver umstellen, danach bei Bedarf die IP ändern und am Ende kontrollieren. Dieser Ratgeber führt Schritt für Schritt durch den Ablauf.

Warum der Umzug überhaupt riskant ist

Beim Domain-Umzug ändern Sie nicht den Inhalt, sondern die Frage, welcher Nameserver die DNS-Zone der Domain verwaltet. Diese Zone enthält alle Einträge: A und AAAA für die Webseite, MX für die Mail, TXT für SPF, DKIM und DMARC, dazu CNAME-Verweise für Subdomains. Wechselt der Nameserver, ohne dass diese Einträge am neuen Ort vorliegen, sind sie schlagartig weg.

Erschwerend kommt das Caching hinzu. Resolver speichern Antworten für die Dauer der TTL zwischen. Eine Änderung erreicht deshalb nicht alle gleichzeitig. Genau dieser Übergangszustand, in dem ein Teil der Resolver den alten und ein anderer den neuen Server nennt, macht den Umzug heikel.

Ein Umzug ohne Ausfall ist kein Glück, sondern Vorbereitung. Wer vorher spiegelt und die Reihenfolge einhält, macht den Wechsel für Besucher unsichtbar.

Schritt 1: Alle Einträge sichern

Bevor irgendetwas geändert wird, dokumentieren Sie den kompletten Ist-Zustand. Am zuverlässigsten ist ein Export der Zonendatei beim bisherigen Anbieter. Ergänzend fragen Sie im DNS-Lookup mit „Alle Records“ A, AAAA, CNAME, MX, NS, TXT, SOA und CAA ab. SRV, HTTPS und andere Typen wählen Sie einzeln aus, denn „Alle Records“ umfasst sie nicht. Notieren Sie jeden Wert exakt, inklusive Prioritäten. Die TTL, die der Lookup zeigt, ist die Restlaufzeit im Cache und nicht der Zonenwert, den Sie nur im Zonenexport oder beim Anbieter sehen. Der CSV- und JSON-Export des Tools hilft bei der Dokumentation. Beachten Sie: DNS kann nicht alle Subdomains einer Zone auflisten, und DKIM-Selektoren lassen sich nur abfragen, wenn Sie ihren Namen kennen. Vergessen werden gern die unscheinbaren Einträge: Verifikations-TXT von Google oder Microsoft, CNAMEs für Tracking-Subdomains, ein SRV-Eintrag für einen Dienst.

Die kritische Gruppe sind die Mail-Einträge. MX, SPF, DKIM und DMARC entscheiden über die Zustellung und sind beim Wechsel besonders fehleranfällig. Wie diese vier zusammenwirken, erklärt der Ratgeber E-Mail-Zustellung über DNS absichern. Eine vollständige Übersicht aller Typen liefert der Ratgeber DNS-Record-Typen.

Schritt 2: TTL der veränderlichen Einträge senken

Die Time-to-Live (TTL) bestimmt, wie lange ein Resolver einen Eintrag im Cache hält. Steht sie auf 86400 Sekunden, also 24 Stunden, kann ein Resolver bis zu einen Tag lang den alten Wert ausliefern, selbst nachdem Sie ihn geändert haben. Das betrifft Einträge, deren Wert sich ändert, etwa die IP-Adresse hinter www. Senken Sie sie mindestens so lange vor der Änderung, wie die alte TTL beträgt, etwa auf 300 Sekunden. Für den Wechsel der Nameserver selbst hilft diese Senkung nicht: Die NS-Einträge liegen als Delegation in der Zone der Top-Level-Domain bei der Registry, und eine Senkung beim alten Anbieter wirkt dort nicht. Wechseln Sie deshalb zuerst die Nameserver mit identisch gespiegelter Zone und ändern Sie IP-Adressen erst danach, wenn der Wechsel durch ist.

# vor dem Umzug
www  A  86400  192.0.2.34
# vor einer geplanten IP-Änderung senken
www  A    300  192.0.2.34

Die Logik dahinter: Die Senkung muss selbst erst die alte TTL überdauern, bevor sie bei den Resolvern greift. Deshalb braucht es den Vorlauf. Nach der Änderung heben Sie die TTL wieder an, sobald alles stabil läuft, damit die Resolver entlastet werden. Mehr zur Wirkung der TTL steht in der Anleitung zur Propagation und im Ratgeber DNS-Propagation und TTL.

Schritt 3: Neue Einträge anlegen und spiegeln

Jetzt legen Sie beim neuen Anbieter die komplette Zone an, exakt nach Ihrer Sicherung, bevor Sie den Nameserver umstellen. Das ist der entscheidende Punkt für einen Umzug ohne Ausfall: Solange der alte Nameserver noch aktiv ist, bereiten Sie den neuen vollständig vor. So liefern beide denselben Stand aus, und im Moment des Wechsels ändert sich für Besucher nichts.

Achten Sie dabei auf Details, die beim Kopieren verloren gehen: die Priorität bei MX-Einträgen, der genaue Selektor bei DKIM, abschließende Punkte bei vollqualifizierten Hostnamen. Ein einziger Tippfehler im SPF-Record reicht, damit die Mailprüfung fehlschlägt.

Schritt 4: Nameserver umstellen

Prüfen Sie vorab, ob die Domain DNSSEC nutzt: Eine Abfrage des DS-Records zeigt, ob bei der Registry ein DS-Eintrag hinterlegt ist, und das AD-Flag im Lookup zeigt, ob ein Resolver die Antwort validiert. Existiert ein DS-Eintrag, der neue Anbieter signiert die Zone aber nicht mit demselben Schlüssel, melden validierende Resolver SERVFAIL, und die Domain gilt als nicht erreichbar. Entfernen Sie den DS-Eintrag in diesem Fall vor dem Wechsel beim Registrar, warten Sie dessen TTL ab und setzen Sie nach dem Umzug den neuen DS-Eintrag.

Erst wenn die Zone beim neuen Anbieter vollständig steht, ändern Sie die NS-Einträge der Domain. Das geschieht beim Registrar, also dort, wo die Domain registriert ist, nicht beim Hoster. Sie tragen die neuen Nameserver ein und entfernen die alten. Der Registrar meldet diese Änderung an die zuständige Registry, bei einer .de-Domain an die DENIC.

Ab diesem Moment beginnt die Verbreitung. Resolver, deren Cache abläuft, fragen neu an und erhalten den neuen Nameserver. Wie schnell das geht, hängt von der TTL der Delegation und der Aktualisierung der Registry ab.

Schritt 5: Propagation abwarten

Die Propagation ist die Phase, in der sich die Änderung nach und nach in den Caches der Resolver durchsetzt. Sie ist nicht ein einzelner Schalter, sondern ein gestaffelter Vorgang über viele Resolver hinweg. Realistisch ist die folgende Spanne:

In dieser Zeit sehen verschiedene Nutzer möglicherweise unterschiedliche Server. Genau deshalb war der Parallel-Betrieb aus Schritt 3 so wichtig: Solange beide dasselbe ausliefern, fällt der Übergang niemandem auf.

Schritt 6: Ergebnis prüfen

Nach dem Wechsel kontrollieren Sie per Lookup, ob der neue Stand greift. Fragen Sie dabei beide Resolver ab, Google Public DNS und Cloudflare, und vergleichen Sie die Antworten. Die Delegation bei der Registry selbst zeigt die Whois- oder RDAP-Abfrage Ihres Registrars, bei .de-Domains die der DENIC. Drei Abfragen im Lookup sind zentral:

• NS zeigt, ob die Domain bereits den neuen Nameserver nennt.
• A und AAAA belegen, dass die Webseite auf den richtigen Server zeigt.
• MX bestätigt, dass die Mail weiterhin korrekt zugestellt wird.

Erst wenn alle drei bei beiden Resolvern über mehrere Stunden stabil den neuen Anbieter zeigen und die Delegations-TTL abgelaufen ist, ist die Propagation durch. Jetzt dürfen Sie den alten Server abschalten und die TTL wieder anheben. Die Anleitung zum Domain-Umzug führt durch die einzelnen Lookups, die Anleitung zum MX-Record hilft beim Mail-Check.

Übersicht: Jeder Schritt und worauf zu achten ist

Häufige Fehler beim Umzug

• Mail vergessen. MX, SPF, DKIM und DMARC werden nicht übernommen, die Zustellung bricht ab. Sichern und spiegeln Sie diese vier zuerst.
• TTL vor einer IP-Änderung nicht gesenkt. Resolver halten den alten Server stundenlang fest, der Übergang zieht sich und wirkt wie ein Ausfall.
• DNSSEC vergessen. Bleibt ein alter DS-Eintrag stehen, lösen validierende Resolver die Domain beim neuen Anbieter nicht mehr auf.
• Alten Server zu früh abgeschaltet. Solange die Propagation läuft, trifft ein Teil der Anfragen noch den alten Host. Erst nach dem stabilen Check abschalten.
• Details übersehen. Verifikations-TXT, CNAMEs für Subdomains oder ein abschließender Punkt im Hostnamen gehen beim Kopieren verloren und brechen einzelne Dienste.

Wer zusätzlich auf die Robustheit der Zone achten will, findet im Ratgeber DNS-Sicherheit weiterführende Hinweise.

So bleibt der Umzug unsichtbar

Ein Domain-Umzug ohne Downtime ist reine Disziplin in der Reihenfolge. Sichern Sie zuerst jeden Eintrag, spiegeln Sie die komplette Zone beim neuen Anbieter, klären Sie DNSSEC und stellen Sie den Nameserver erst dann um. Ändern Sie die IP-Adresse danach getrennt davon, mit rechtzeitig gesenkter TTL. Während der Propagation hält der Parallel-Betrieb den Übergang unsichtbar, und der Abschluss-Check über NS, A und MX bei beiden Resolvern gibt zusammen mit dem Ablauf der Delegations-TTL das Signal, den alten Server abzuschalten. Wer diese Kette einhält, zieht eine Domain um, ohne dass Besucher oder Mail je etwas davon merken.