Nameserver ändern ohne Ausfall: Ablauf in acht Schritten

Die Nameserver einer Domain sind die Server, die verbindlich Auskunft über ihre DNS-Einträge geben: welche IP-Adresse die Website hat, wohin Mails gehen, welche TXT-Einträge für SPF oder die Bestätigung bei Google hinterlegt sind. Wer die Nameserver ändert, verlegt diese gesamte Auskunft an einen anderen Anbieter. Das ist nötig, wenn du ein CDN wie Cloudflare vor die Website schaltest, das DNS zu einem spezialisierten Anbieter verlegst oder beim Hosterwechsel die Domain beim alten Registrar lässt. Gemeint sind hier die Nameserver einer Domain. Wer an seinem Rechner oder Router einen anderen DNS-Dienst zum Nachschlagen eintragen will, findet das unter DNS-Server am Gerät oder Router ändern.

Wie Nameserver und Delegation zusammenhängen

Das DNS ist in Zonen aufgeteilt. Die Zone .de weiß nicht, welche IP-Adresse www.beispiel.de hat. Sie weiß nur, welche Nameserver für die Zone beispiel.de zuständig sind. Diese Verweise nach unten heißen Delegation und bestehen aus NS-Einträgen in der übergeordneten Zone ^[1]. Liegt der Nameserver selbst innerhalb der Domain, etwa ns1.beispiel.de, braucht die Elternzone zusätzlich seine IP-Adresse. Diese Hilfseinträge heißen Glue ^[1].

Die NS-Einträge stehen damit an zwei Stellen: in der Elternzone als Delegation und in deiner eigenen Zone. RFC 1034 verlangt, dass beide Seiten übereinstimmen und dass die Verwalter beider Zonen darauf achten ^[1]. Beim Ändern der Nameserver passt du über deinen Registrar die Delegation in der Elternzone an. Die NS-Einträge in der neuen Zone setzt in der Regel der neue DNS-Anbieter selbst.

Was die DENIC bei .de-Domains prüft

Für .de-Domains führt die DENIC vor jeder Änderung der Nameserver eine automatische Prüfung durch, den Predelegation Check. Verstöße gegen Muss-Regeln führen zu einem Fehler, und die Änderung wird nicht ausgeführt. Bei Soll-Regeln gibt es nur eine Warnung ^[2]. Die wichtigsten Muss-Regeln:

• Es sind mindestens zwei Nameserver nötig. Mindestens einer muss über IPv4 erreichbar sein und eine IP-Adresse haben, die sich von allen anderen Nameservern des Auftrags unterscheidet ^[2].
• Alle angegebenen Nameserver müssen erreichbar und für die Zone autoritativ sein, also die Zone tatsächlich ausliefern ^[2].
• Die NS-Einträge in der Zone müssen exakt der Liste im Auftrag entsprechen ^[2].
• Am obersten Punkt der Zone darf kein CNAME-Eintrag stehen ^[2].
• Liegt ein Nameserver innerhalb der Domain, muss mindestens eine IPv4- oder IPv6-Adresse mitgeliefert werden. Für Nameserver außerhalb der Domain ignoriert die DENIC angegebene Adressen ^[2].

Als Soll-Regeln nennt die DENIC unter anderem Wertebereiche für den SOA-Eintrag, etwa Refresh zwischen 3600 und 86400 Sekunden und eine Zeit für das Zwischenspeichern negativer Antworten zwischen 180 und 86400 Sekunden. Außerdem sollen die Nameserver keine rekursiven Anfragen beantworten und über TCP erreichbar sein ^[2]. Die Prüfung kannst du vorab selbst laufen lassen: Die DENIC bietet sie unter nast.denic.de öffentlich an ^{[2, 7]}.

Dass es mindestens zwei Server sein müssen, ist keine Eigenheit von .de. Schon RFC 1034 fordert, dass jede Zone auf mindestens zwei Servern verfügbar ist, und RFC 2182 rät wegen längerer Ausfälle eher zu mehr als zwei ^{[1, 3]}.

Vorbereitung: die neue Zone vollständig aufbauen

Der häufigste Fehler beim Wechsel: In der neuen Zone fehlen Einträge. Die Website läuft dann vielleicht, aber Mails kommen nicht mehr an, weil der MX-Eintrag fehlt, oder die Bestätigung bei einem Dienst schlägt fehl, weil ein TXT-Eintrag nicht mitgekommen ist. Cloudflare liest beim Einrichten die vorhandenen Einträge automatisch aus, warnt aber, dass dieser Scan nicht garantiert alle Einträge findet. Du sollst die Liste deshalb selbst prüfen ^[4].

Notiere vorher alle Einträge der alten Zone. Viele Anbieter bieten einen Export als Zonendatei an. Achte besonders auf diese Gruppen:

• A- und AAAA-Einträge für die Domain, www und alle Subdomains
• MX-Einträge und die zugehörigen Hostnamen
• TXT-Einträge für SPF, DMARC und Bestätigungen bei Google, Microsoft und anderen Diensten
• CNAME-Einträge, darunter die DKIM-Schlüssel mancher Mailanbieter
• SRV-, CAA- und andere seltene Einträge

Der Wechsel in acht Schritten

1. Alle Einträge der alten Zone sichern und in der neuen Zone anlegen.
2. Die TTL wichtiger Einträge in der alten Zone einige Tage vorher senken, damit Resolver sie nach dem Wechsel schneller neu abfragen.
3. Ist die Domain mit DNSSEC signiert, DNSSEC beim Registrar abschalten und warten, bis der DS-Eintrag aus der Elternzone verschwunden ist. Cloudflare schreibt, dass ein Nameserverwechsel bei aktivem DNSSEC die Domain unerreichbar machen kann ^[4].
4. Bei .de-Domains die neuen Nameserver vorab mit der DENIC-Prüfung testen ^[2].
5. Beim Registrar die bisherigen Nameserver entfernen und die neuen eintragen, und zwar genau so geschrieben, wie der neue Anbieter sie angibt. Cloudflare weist darauf hin, dass DNS bei abweichenden Namen nicht richtig auflöst ^[4].
6. Warten. Cloudflare nennt bis zu 24 Stunden, bis der Registrar die Änderung umgesetzt hat ^[4]. Danach halten Resolver die alte Delegation noch so lange fest, wie ihre TTL erlaubt ^[5].
7. Mit dem DNS-Check prüfen, welche Nameserver und Einträge ausgeliefert werden, und Website und Mail testen.
8. DNSSEC beim neuen Anbieter wieder einschalten, sobald die Domain dort aktiv ist ^[4].

Wenn du eigene Nameserver betreibst

Wer seine Zone selbst auf einem eigenen Server pflegt, hat meist einen Hauptserver (Primary) und einen oder mehrere sekundäre Server (Secondary), die eine Kopie halten. Nach RFC 1034 fragen die Secondaries in einstellbaren Abständen die Seriennummer im SOA-Eintrag des Primary ab. Ist sie gestiegen, holen sie sich die neue Zone per Zonentransfer. Die Abstände steuern die SOA-Felder REFRESH und RETRY. Erreicht ein Secondary den Primary länger als die Zeit in EXPIRE nicht, muss er seine Kopie als veraltet verwerfen ^[1].

Daraus ergeben sich zwei Regeln für den Umzug: Nach jeder Änderung muss die Seriennummer steigen, sonst bleiben die Secondaries beim alten Stand. Und wer den Primary abschaltet, bevor die Delegation auf neue Server zeigt, hat nach Ablauf von EXPIRE gar keinen funktionierenden Nameserver mehr.

Wie lange der Wechsel dauert

Die Dauer hat zwei Teile. Zuerst muss der Registrar die Änderung an die Registry weitergeben, bei .de also an die DENIC. Dann müssen die Resolver der Nutzer die neue Delegation erfahren. Ein Resolver darf einen Eintrag so lange aus seinem Speicher beantworten, wie die TTL des Eintrags erlaubt ^[5]. Das gilt auch für die NS-Einträge der Delegation. Deren TTL legt die Registry fest, nicht du. Die TTL der Einträge in deiner eigenen Zone kannst du dagegen vorher senken. Wie sich das im Detail auswirkt, beschreibt die Seite DNS-Änderung: wie lange dauert es, bis sie überall gilt?.

In der Übergangszeit fragen manche Resolver noch die alten Nameserver, andere schon die neuen. Solange beide Zonen dieselben Einträge haben, merkt davon niemand etwas. Ärger gibt es erst, wenn du in dieser Phase Einträge änderst, aber nur in einer der beiden Zonen.

Stolperfalle: NS-Einträge für Subdomains

NS-Einträge können auch innerhalb deiner Zone stehen, etwa für shop.beispiel.de. Dann ist die Subdomain an andere Nameserver delegiert. Alle Einträge für diese Subdomain müssen auf den dort genannten Servern stehen. Daten unterhalb dieser Grenze gehören nicht mehr zur verbindlichen Auskunft deiner Hauptzone ^[1]. Ein A-Eintrag für shop.beispiel.de, den du in der Hauptzone anlegst, kommt bei Resolvern dann nicht an.

Solche Delegationen entstehen manchmal unbemerkt, etwa wenn eine Subdomain in der Hosting-Oberfläche als eigenständige Domain mit eigener Zone angelegt wird. Hat der dort genannte Nameserver die Zone nicht, scheitert die Auflösung. Dann schlagen auch Zertifikatsprüfungen fehl: Let's Encrypt ruft bei der HTTP-01-Prüfung eine Datei unter der Domain über Port 80 ab und fragt bei der DNS-01-Prüfung einen TXT-Eintrag im DNS ab ^[6]. Beides klappt nur, wenn der Name auflöst. Ein Blick auf die NS-Einträge der Subdomain mit dem DNS-Check klärt das schnell. Wie Plesk Subdomains und Zonen verwaltet, steht auf Plesk: Domains, Subdomains und Zertifikate verwalten.

Nameserverwechsel oder Domainumzug?

Ein Nameserverwechsel lässt die Domain beim bisherigen Registrar. Du zahlst die Domain weiter dort, nur die DNS-Auskunft kommt von woanders. Beim Domainumzug wechselt dagegen der Registrar, und dafür brauchst du einen Auth-Code. Beides lässt sich kombinieren, sollte aber nicht am selben Tag passieren: Wer erst die Domain umzieht und dann die Nameserver ändert, kann jeden Schritt einzeln prüfen.

Gehört der Wechsel zu einem größeren Umbau der Website, lohnt sich ein Blick auf Website-Relaunch ohne Rankingverlust.

1. Gesetz RFC 1034: Domain Names, Concepts and Facilities, Abschnitte 4.1 bis 4.3. IETF. Stand November 1987. abgerufen am 29.10.2026
2. Organisation DENIC-23, Abschnitt 2: Nameserver Predelegation Check. DENIC eG. Stand ohne Datum. abgerufen am 29.10.2026
3. Gesetz RFC 2182: Selection and Operation of Secondary DNS Servers. IETF. Stand Juli 1997. abgerufen am 29.10.2026
4. Organisation Set up a primary zone (Full setup). Cloudflare. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz RFC 1035: Domain Names, Implementation and Specification, Abschnitt 3.2.1. IETF. Stand November 1987. abgerufen am 29.10.2026
6. Organisation Challenge Typen. Let's Encrypt. Stand 12.02.2026. abgerufen am 29.10.2026
7. Organisation Nameserver Check (NAST). DENIC eG. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.