Reverse DNS (rDNS) und PTR-Einträge verstehen

Die meiste DNS-Arbeit läuft in eine Richtung: Sie haben einen Namen wie example.com und möchten seine IP-Adresse. Reverse DNS geht den umgekehrten Weg. Zu einer IP-Adresse beantwortet es die Frage: „Welcher Hostname gehört zu dieser Adresse?“ Das klingt nach einem Detail, doch Reverse DNS entscheidet still mit, ob Ihre E-Mails im Posteingang ankommen, wie lesbar Ihre Serverlogs sind und wie vertrauenswürdig Ihre Infrastruktur auf andere Systeme wirkt.

Dieser Leitfaden erklärt, wie Reverse DNS unter der Haube funktioniert, wer es überhaupt setzen darf, warum Mailserver so viel Wert darauf legen und wie Sie die richtige Konfiguration prüfen und beantragen. Wenn Ihnen Record-Typen noch neu sind, beginnen Sie mit unserem Leitfaden zu den Grundlagen von DNS-Records.

Was Reverse DNS und PTR-Records sind

Ein normaler (Forward-)Lookup nutzt einen A-Record für IPv4 oder einen AAAA-Record für IPv6, um einen Namen in eine Adresse zu übersetzen. Ein Reverse-Lookup nutzt einen PTR-Record (Pointer-Record), der eine Adresse in einen Namen übersetzt.

Der Forward-Record besagt zum Beispiel, dass mail.example.com auf 203.0.113.25 zeigt. Der passende PTR-Record besagt, dass 203.0.113.25 auf mail.example.com zeigt. Das sind zwei getrennte Records, an zwei getrennten Orten gespeichert und oft von zwei verschiedenen Organisationen verwaltet. Eine Änderung am einen aktualisiert den anderen nie automatisch.

Eine IP-Adresse hat in der Regel genau einen PTR-Record. Mehrere PTR-Records für eine Adresse sind technisch erlaubt, führen aber oft zu uneinheitlichen Ergebnissen. Gängige Praxis ist daher ein klarer Hostname pro IP.

Wie in-addr.arpa und ip6.arpa funktionieren

DNS ist um Namen herum gebaut, nicht um Zahlen – Reverse-Lookups brauchen also einen Kniff: Die IP-Adresse wird als Domainname innerhalb spezieller Zonen umgeschrieben.

IPv4: in-addr.arpa

Bei IPv4 werden die vier Oktette umgedreht und das Suffix in-addr.arpa angehängt. Aus der Adresse 203.0.113.25 wird:

25.113.0.203.in-addr.arpa.  IN  PTR  mail.example.com.

Die Umkehrung ist wichtig, weil DNS von rechts nach links delegiert. Durch die umgedrehten Oktette lässt sich die Zone 113.0.203.in-addr.arpa (das gesamte /24-Netz) an den Inhaber dieses Bereichs delegieren – genau wie example.com unterhalb von .com delegiert wird.

IPv6: ip6.arpa

Bei IPv6 wird die Adresse auf alle 32 Hexadezimalziffern ausgeschrieben, jede Ziffer wird zu einem eigenen Label, die Reihenfolge wird umgekehrt und ip6.arpa angehängt. Aus 2001:db8::1 wird ein langer Name, der auf ...8.b.d.0.1.0.0.2.ip6.arpa endet. Das wirkt einschüchternd, doch Tools erzeugen ihn für Sie, und Anbieter lassen Sie IPv6-PTR-Records meist über ein einfaches Formular setzen.

Wer PTR-Records kontrolliert

An diesem Punkt geraten die meisten durcheinander. Der Besitz einer Domain berechtigt Sie nicht, Reverse DNS für die IP zu setzen, auf die Ihre Domain zeigt. Reverse-Zonen folgen der Vergabe von IP-Adressen: Regionale Internet-Registries wie RIPE NCC, ARIN oder APNIC teilen Adressblöcke an Anbieter zu und delegieren die passenden Reverse-Zonen an diese Anbieter.

In der Praxis bedeutet das:

• Bei einem VPS, dedizierten Server oder einer Cloud-Instanz kontrolliert Ihr Anbieter die Reverse-Zone, lässt Sie den PTR für Ihre zugewiesene IP aber meist im Kundenpanel setzen.
• Beim Shared Hosting teilen sich viele Websites eine IP, daher zeigt der PTR normalerweise auf den Server-Hostnamen des Anbieters und lässt sich von einzelnen Kunden nicht ändern.
• Bei einem Privat- oder Büroanschluss setzt der Internetanbieter einen generischen PTR (oft mit der IP und Wörtern wie „dynamic“ oder „pool“). Geschäftstarife mit statischen IPs erlauben auf Anfrage teils eigene PTRs.
• Verfügt Ihre Organisation über eigenen IP-Adressraum, kann die Registry die Reverse-Zone an Ihre eigenen Nameserver delegieren.

Wenn Sie nicht sicher sind, wer eine IP betreibt, zeigt der Hosting-Lookup von TLDix, zu welchem Netz und Anbieter die Adresse gehört – so wissen Sie, an wen Sie sich wenden müssen.

Forward-Confirmed Reverse DNS (FCrDNS)

Ein PTR-Record allein beweist wenig, denn wer einen IP-Bereich kontrolliert, kann ihn auf jeden beliebigen Namen zeigen lassen, auch auf Namen, die ihm nicht gehören. Forward-Confirmed Reverse DNS schließt diese Lücke mit einer zweistufigen Prüfung:

1. Den PTR der IP abfragen: 203.0.113.25 liefert mail.example.com.
2. Den A- (oder AAAA-)Record dieses Hostnamens abfragen: mail.example.com muss 203.0.113.25 zurückgeben.

Stimmen beide Richtungen überein, ist bestätigt, dass IP und Hostname zusammengehören, denn den Forward-Record kann nur der Domaininhaber setzen. Viele empfangende Systeme werten ein passendes Paar als grundlegendes Zeichen eines ordentlich betriebenen Servers.

Warum rDNS für die E-Mail-Zustellung zählt

Bei E-Mail ist Reverse DNS am wichtigsten. Empfangende Mailserver prüfen die verbindende IP üblicherweise, bevor sie eine Nachricht annehmen, und ein fehlender oder generischer PTR ist ein häufiger Grund für Ablehnung oder Spam-Ordner. Große Postfachanbieter, darunter Gmail, schreiben in ihren Absenderrichtlinien, dass sendende IPs gültiges, übereinstimmendes Forward- und Reverse-DNS haben sollten.

Für einen Server, der Mails versendet, sollten Sie dieses Setup anstreben:

• Die sendende IP hat einen PTR-Record, der auf einen echten Hostnamen zeigt, etwa mail.example.com.
• Dieser Hostname hat einen A- oder AAAA-Record, der auf dieselbe IP zurückzeigt (FCrDNS).
• Der Hostname, den der Mailserver in seiner SMTP-Begrüßung (HELO/EHLO) nennt, entspricht idealerweise dem PTR-Namen.
• Vermeiden Sie generisch wirkende Namen mit der IP-Adresse oder Wörtern wie „dynamic“, die manche Filter als Privatanschlüsse einstufen.

Reverse DNS wirkt zusammen mit SPF, DKIM und DMARC, ersetzt sie aber nicht. Ein korrekter PTR rettet keine schlechte Absenderreputation, ein fehlender kann jedoch ansonsten legitime Mails versenken. Versenden Sie über einen Dienst wie einen Anbieter für Transaktionsmails, verwaltet dieser das rDNS seiner eigenen Versand-IPs.

So prüfen Sie Reverse DNS

Am schnellsten geht es mit dig und der Option -x, die den in-addr.arpa- oder ip6.arpa-Namen für Sie bildet:

dig -x 203.0.113.25 +short
dig -x 2001:db8::1 +short

Bestätigen Sie anschließend die Forward-Richtung:

dig mail.example.com A +short

Unter Windows liefert nslookup 203.0.113.25 dieselbe Antwort, auf vielen Systemen funktioniert auch host 203.0.113.25. Liefert die PTR-Abfrage nichts, existiert kein Reverse-Record. Liefert sie einen Hostnamen, der nicht auf die IP zurückauflöst, scheitert FCrDNS, und Sie sollten eine der beiden Seiten korrigieren.

So beantragen oder setzen Sie einen PTR-Record

Da der IP-Inhaber die Reverse-Zone kontrolliert, hängt das Vorgehen von Ihrem Anbieter ab:

1. Zuerst den Forward-Record anlegen. Erstellen Sie einen A- oder AAAA-Record, etwa mail.example.com, der auf Ihre Server-IP zeigt. Viele Anbieter setzen einen PTR erst, wenn der Forward-Record existiert.
2. Die Einstellung finden. Cloud- und VPS-Anbieter nennen sie im Netzwerk- oder IP-Bereich des Panels oft „Reverse DNS“ oder „PTR“.
3. Bei Bedarf ein Ticket eröffnen. Gibt es keine Selfservice-Option, bitten Sie den Support, den PTR für Ihre IP zu setzen, und nennen Sie den exakten Hostnamen.
4. Auf die Caches warten. Wie jede DNS-Änderung kann auch der neue PTR je nach TTL des alten Records eine Weile brauchen, bis er überall sichtbar ist. Details dazu unter So funktionieren DNS-TTL-Einstellungen.
5. Beide Richtungen prüfen mit dig -x und einem Forward-Lookup.

Praxis-Check für Ihren Mailserver

Bevor Sie einen neuen Mailserver produktiv schalten, lohnt sich ein kurzer Durchlauf: PTR mit dig -x prüfen, Forward-Record des Hostnamens bestätigen, den HELO-Namen in der Konfiguration Ihres Mailservers (etwa myhostname in Postfix) auf denselben Hostnamen setzen und eine Testmail an ein Postfach bei einem großen Anbieter schicken. In den Headern der empfangenen Nachricht sehen Sie, ob SPF, DKIM und DMARC bestanden wurden und welchen Hostnamen der Empfänger für Ihre IP ermittelt hat. Stimmt alles überein, haben Sie die wichtigsten technischen Grundlagen für eine gute Zustellbarkeit gelegt.

Weitere Einsatzzwecke von Reverse DNS

Über E-Mail hinaus macht rDNS Logs und Netzwerktools lesbarer: Traceroute-Ausgaben, Firewall-Logs und Analysen zeigen Hostnamen statt nackter Zahlen. Manche Dienste nutzen es, um echte Crawler zu erkennen – etwa indem sie prüfen, ob ein Besucher, der sich als Suchmaschinen-Bot ausgibt, einen PTR in der Domain der Suchmaschine hat und dieser Name auf dieselbe IP zurückauflöst. Sicherheitsteams nutzen es außerdem, um schnell zu sehen, zu welchem Anbieter oder Netz eine verdächtige Adresse gehört.

Reverse DNS wird leicht übersehen, weil es außerhalb der Zone Ihrer Domain liegt. Ein paar Minuten, in denen Sie für jeden Server, der Mails versendet oder öffentliche Dienste anbietet, einen sauberen, passenden PTR setzen, gehören zu den kosteneffizientesten DNS-Hygienemaßnahmen überhaupt. Wenn Sie schon dabei sind, hilft ein Blick auf Ihre Domaindaten mit dem Domain-Lookup von TLDix, auch die Forward-Seite korrekt zu halten.