Was ist eine Subdomain?

shop.beispiel.de, mail.beispiel.de, www.beispiel.de: Vor dem eigentlichen Domainnamen steht oft noch ein weiterer Teil. Das ist eine Subdomain. Wer eine Domain registriert hat, kann darunter so viele Subdomains anlegen, wie er braucht, ohne einen weiteren Namen zu kaufen. Dieser Beitrag erklärt, was eine Subdomain technisch ist, wofür sie sich eignet und an welchen Stellen sie sich anders verhält als die Hauptdomain.

Die Subdomain im Aufbau einer Domain

Domains sind wie ein Baum geordnet. Gelesen wird von rechts nach links: Ganz rechts steht die Endung, links davon der registrierte Name, noch weiter links die Subdomain. RFC 1034, eine der Grundlagen des DNS, definiert es so: Eine Domain ist eine Subdomain einer anderen, wenn sie innerhalb dieser Domain liegt ^[1]. Praktisch heißt das, ihr Name endet mit dem Namen der übergeordneten Domain.

Streng genommen ist schon beispiel.de eine Subdomain von .de. Im Alltag meint man mit Subdomain aber die Ebenen unterhalb des registrierten Namens. Davon kann es mehrere geben, etwa test.shop.beispiel.de. Jede einzelne Bezeichnung darf höchstens 63 Byte lang sein, der ganze Name höchstens 255 Byte ^[1]. Wie die oberen Ebenen funktionieren, erklärt der Beitrag Was ist eine Domain?.

Wie eine Subdomain entsteht

Eine Subdomain wird nicht bestellt. Der Inhaber legt in der DNS-Zone seiner Domain einen Eintrag an, und ab dann gibt es den Namen. Meist ist das ein A-Eintrag mit einer IPv4-Adresse, ein AAAA-Eintrag mit einer IPv6-Adresse oder ein CNAME, der auf einen anderen Namen verweist. Ein Beispiel aus einer Zone:

Die Subdomain kann auf denselben Server zeigen wie die Hauptdomain oder auf einen ganz anderen. Der Server muss dann allerdings wissen, dass er für diesen Namen zuständig ist, und braucht ein passendes Zertifikat. Die Schritte im Einzelnen stehen in der Anleitung Subdomain einrichten.

Eine Subdomain lässt sich auch ganz abgeben. Dann trägt der Inhaber in seiner Zone NS-Einträge ein, die auf fremde Nameserver zeigen. Ab diesem Schnitt verwaltet ein anderer die Einträge unterhalb der Subdomain ^[1]. So arbeiten zum Beispiel Dienste, die eine eigene Zone für einen Teilbereich brauchen.

Ein Eintrag für alle Subdomains

Statt jede Subdomain einzeln anzulegen, kannst du einen Wildcard-Eintrag setzen, etwa *.beispiel.de. Der Nameserver beantwortet dann Anfragen für Namen, die es in der Zone sonst nicht gibt, aus diesem Eintrag ^[10]. Ein Aufruf von irgendwas.beispiel.de landet so auf dem Server, den der Wildcard-Eintrag nennt. Namen, die in der Zone schon existieren, haben Vorrang. Steht dort ein eigener Eintrag für shop.beispiel.de, greift der Platzhalter für diesen Namen nicht ^[10].

Anders als beim Wildcard-Zertifikat kann ein Wildcard-Eintrag im DNS auch tiefere Ebenen abdecken. RFC 4592 zeigt das am Beispiel foo.bar.example, das aus *.example beantwortet wird, solange bar.example in der Zone nicht existiert ^[10]. Bequem ist das für Anwendungen, die für jeden Kunden eine eigene Subdomain erzeugen. Der Nachteil: Jeder Tippfehler und jeder ausgedachte Name führt auf deinen Server. Ob eine Subdomain wirklich angelegt ist, siehst du dann nicht mehr auf den ersten Blick.

Wofür Subdomains genutzt werden

Subdomains trennen Bereiche, die technisch oder inhaltlich eigenständig sind. Typische Beispiele:

• www für die Website selbst, oft parallel zur Domain ohne Präfix,
• shop, app oder konto für Anwendungen mit eigener Software,
• mail, smtp oder autodiscover für E-Mail-Dienste,
• dev, test oder staging für Entwicklungs- und Testumgebungen,
• de, en oder fr für Sprach- oder Länderversionen,
• cdn oder static für Dateien, die ein Content Delivery Network ausliefert.

Auch domain-root.de nutzt Subdomains: Jedes Thema von Fußball bis Bibel hat einen eigenen Host. Ob ein neuer Bereich besser auf eine Subdomain oder in ein Verzeichnis wie beispiel.de/shop/ gehört, ist eine eigene Frage. Die Antwort steht im Beitrag Subdomain oder Verzeichnis.

Ist www eine Subdomain?

Technisch ja. www.beispiel.de ist ein eigener Name unter beispiel.de und braucht einen eigenen DNS-Eintrag. Ohne ihn ist die Website unter www gar nicht erreichbar. Google behandelt www und m bei der Anzeige des Websitenamens in den Suchergebnissen in der Regel wie die Hauptdomain ^[2]. Für Crawler und Browser bleiben es trotzdem verschiedene Hosts. Deshalb sollte eine der beiden Varianten per Weiterleitung auf die andere zeigen, damit jede Seite nur unter einer Adresse erreichbar ist.

Was eine Subdomain von der Hauptdomain trennt

Eine Subdomain hängt an der Domain, ist für viele Systeme aber ein eigener Host. Das hat Folgen an mehreren Stellen.

Suchmaschinen

Eine robots.txt gilt nur für den Host, unter dem sie liegt. Die Datei unter www.example.com regelt laut Google weder example.com noch eine Subdomain darunter ^[3]. Jede Subdomain braucht also eine eigene robots.txt. Für das Crawling betrachtet Google jeden Hostnamen als eigene Website mit eigenem Crawl-Budget ^[4]. Was in eine robots.txt gehört, erklärt robots.txt richtig schreiben auf seo.domain-root.de.

Zertifikate

Ein HTTPS-Zertifikat muss jeden Namen abdecken, unter dem eine Website läuft. Ein Wildcard-Zertifikat für *.beispiel.de gilt nach RFC 9525 für genau eine Ebene ^[5]. Es deckt shop.beispiel.de ab, test.shop.beispiel.de aber nicht. Welche Lösung bei vielen Subdomains passt, steht im Beitrag SSL für Subdomains.

Cookies

Ein Cookie ohne Angabe einer Domain bleibt bei dem Host, der es gesetzt hat. Setzt ein Server dagegen Domain=beispiel.de, schickt der Browser das Cookie an die Domain und an alle Subdomains ^[6]. Eine gemeinsame Anmeldung über mehrere Subdomains ist dadurch möglich. Gleichzeitig kann jede Subdomain solche Cookies lesen, auch eine, die schlecht gesichert ist.

Wo Subdomains gefährlich werden

Das größte Risiko sind vergessene Einträge. Microsoft beschreibt den Ablauf so: Eine Subdomain zeigt per CNAME auf einen Dienst in der Cloud. Der Dienst wird gelöscht, der DNS-Eintrag bleibt. Ein Angreifer legt beim selben Anbieter einen Dienst mit dem alten Zielnamen an und bekommt damit den Verkehr der Subdomain ^[7]. Microsoft nennt CNAME-Einträge als besonders anfällig.

Mit der übernommenen Subdomain kann der Angreifer ein gültiges Zertifikat beantragen, Cookies abgreifen, die für alle Subdomains gelten, und echt wirkende Seiten für Phishing aufbauen. Zeigt ein vergessener MX-Eintrag ins Leere, kann er unter Umständen sogar E-Mails empfangen ^[7]. Die Gegenmaßnahme ist einfach: Wer einen Dienst abschaltet, löscht im selben Schritt den DNS-Eintrag. Microsoft empfiehlt außerdem, die Zone regelmäßig zu prüfen, ob jedes Ziel noch existiert und dir gehört ^[7].

Wer deine Subdomains sehen kann

Subdomains sind nicht geheim. Chrome akzeptiert öffentlich vertrauenswürdige Zertifikate nur, wenn sie in Certificate-Transparency-Logs eingetragen sind ^[9]. Das sind Verzeichnisse, an die nur angehängt werden kann und die jeder durchsuchen darf ^[8]. Wer für shop.beispiel.de ein Zertifikat ausstellen lässt, macht den Namen damit öffentlich. Das hat auch einen Vorteil: Über einen Dienst, der diese Logs beobachtet, erfährst du, wenn jemand ein Zertifikat für deine Domain bekommen hat ^[8].

Welche Subdomains für eine Domain in diesen Logs stehen, zeigt der Subdomain-Finder. Er eignet sich gut, um die eigene Domain auf vergessene Namen zu prüfen.

Subdomain und eigene Domain im Vergleich

Manchmal ist eine eigene Domain die bessere Wahl. Eine Subdomain kostet nichts extra und ist schnell angelegt. Sie bleibt aber an die Hauptdomain gebunden: Läuft die Domain aus oder wechselt der Inhaber, betrifft das alle Subdomains. Wer einen Bereich später verkaufen oder an eine andere Firma abgeben will, ist mit einer eigenen Domain besser beraten. Für Teile desselben Angebots, die nur technisch getrennt laufen, ist die Subdomain der einfachere Weg.

1. Gesetz RFC 1034: Domain Names, Concepts and Facilities. IETF. Stand November 1987. abgerufen am 29.10.2026
2. Organisation Provide a site name to Google Search. Google Search Central. Stand 10.12.2025. abgerufen am 29.10.2026
3. Organisation How Google interprets the robots.txt specification. Google Search Central. Stand 23.10.2026. abgerufen am 29.10.2026
4. Organisation Large site owner's guide to managing your crawl budget. Google Search Central. Stand 22.07.2026. abgerufen am 29.10.2026
5. Gesetz RFC 9525: Service Identity in TLS. IETF. Stand November 2023. abgerufen am 29.10.2026
6. Organisation Set-Cookie header. MDN Web Docs, Mozilla. Stand 2026. abgerufen am 29.10.2026
7. Organisation Prevent dangling DNS entries and avoid subdomain takeover. Microsoft. Stand 20.07.2026. abgerufen am 29.10.2026
8. Organisation How CT works. Certificate Transparency (Google). Stand 2026. abgerufen am 29.10.2026
9. Organisation Chrome Certificate Transparency Policy. Google Chrome. Stand 2026. abgerufen am 29.10.2026
10. Gesetz RFC 4592: The Role of Wildcards in the Domain Name System. IETF. Stand Juli 2006. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.