Reverse-DNS-Abfrage: PTR-Eintrag einer IP prüfen

Im gewohnten DNS zeigt ein A-Eintrag von einem Namen auf eine IPv4-Adresse und ein AAAA-Eintrag auf eine IPv6-Adresse. Der PTR-Eintrag (Pointer) ist die Umkehrung: Er zeigt von einer Adresse auf einen Namen. Fragt man zum Beispiel 8.8.8.8 ab, lautet der PTR dns.google.

Damit eine Adresse im DNS nachgeschlagen werden kann, wird sie in einen Namen in zwei eigens dafür reservierten Zonen umgeschrieben.

• IPv4: in-addr.arpa. Die vier Zahlenblöcke werden umgedreht und um in-addr.arpa ergänzt. Aus der Beispieladresse 203.0.113.25 wird 25.113.0.203.in-addr.arpa. Die Umkehrung ist nötig, weil DNS-Namen von rechts nach links vom Allgemeinen zum Speziellen gelesen werden, IP-Adressen aber von links nach rechts.
• IPv6: ip6.arpa. Die Adresse wird vollständig ausgeschrieben, in einzelne Hexadezimalziffern zerlegt und in umgekehrter Reihenfolge, durch Punkte getrennt, vor ip6.arpa gesetzt. So entsteht ein langer Name aus 32 einzelnen Ziffern.
• Die Zone gehört zum Adressblock. Diese Reverse-Zonen werden entlang der Adressvergabe delegiert: von der regionalen Registry an den Inhaber des Blocks, etwa einen Provider oder ein Rechenzentrum. Wer eine Domain besitzt, hat damit keinen Zugriff auf den PTR einer IP.

Das Ergebnis oben zeigt diesen umgeschriebenen Namen als „PTR-Name“, damit Sie nachvollziehen können, welche Frage tatsächlich an das DNS gestellt wurde. Wem der Adressblock gehört, sehen Sie mit der WHOIS- und RDAP-Abfrage, und welches Netz ihn ankündigt, mit der ASN-Abfrage.

Einen PTR-Eintrag kann der Inhaber eines Adressblocks frei wählen. Er könnte also auch einen Namen eintragen, der ihm gar nicht gehört. Deshalb verlassen sich Mailserver und andere Prüfsysteme selten auf den PTR allein und machen die Gegenprobe.

1. Rückwärts. Die IP wird über den PTR-Eintrag in einen Hostnamen aufgelöst.
2. Vorwärts. Dieser Hostname wird über seine A- und AAAA-Einträge wieder in eine oder mehrere Adressen aufgelöst.
3. Vergleich. Ist die ursprüngliche IP unter diesen Adressen, ist das Reverse DNS vorwärts bestätigt (forward-confirmed reverse DNS, kurz FCrDNS).

Die Gegenprüfung hat Gewicht, weil an ihr zwei Seiten beteiligt sind: Den PTR setzt der Inhaber der IP, den A- oder AAAA-Eintrag der Inhaber der Domain. Stimmen beide überein, haben sich beide auf dieselbe Zuordnung festgelegt. Die Abfrage auf dieser Seite führt genau diese Prüfung aus und zeigt das Ergebnis als „FCrDNS bestätigt“. Gibt es zwar einen PTR, aber die Gegenprüfung geht nicht auf, steht dort „PTR gefunden“, und ohne PTR „Kein PTR gefunden“.

Schlägt die Prüfung fehl, ist meist eine der beiden Seiten nicht mehr aktuell: Der PTR wurde falsch gesetzt, oder der A-Eintrag des Hostnamens wurde geändert, ohne den PTR anzupassen. Die Lösung ist, beide wieder auf dieselbe Adresse zu bringen. Was ein Hostname vorwärts liefert, sehen Sie auch einzeln mit der DNS-Abfrage.

Am meisten zählt Reverse DNS beim Versand von E-Mails. Viele empfangende Mailserver sehen bei eingehenden Verbindungen nach, ob die sendende IP einen PTR-Eintrag hat und ob dieser vorwärts bestätigt ist. Fehlt der PTR oder passt er nicht, landen Nachrichten oft im Spam oder werden abgelehnt.

Wenn Sie einen eigenen Mailserver betreiben, gehört ein passender PTR deshalb zu den wichtigsten Schritten für die Zustellbarkeit.

• Ein eigener Name. Der PTR sollte auf einen Hostnamen zeigen, der zu Ihrem Mailserver gehört, etwa mail.beispiel.de, und nicht auf einen generischen Namen des Providers.
• Der Name zeigt zurück. Der A- oder AAAA-Eintrag dieses Hostnamens muss wieder auf dieselbe IP zeigen. Sonst ist der PTR zwar vorhanden, aber nicht bestätigt.
• IPv6 nicht vergessen. Versendet der Server auch über IPv6, braucht die IPv6-Adresse ebenfalls einen eigenen PTR. Ein korrekter IPv4-PTR hilft nicht, wenn die Verbindung über IPv6 kommt.

Ein bestätigter PTR ist eine Voraussetzung, keine Garantie: Er beweist weder Zustellbarkeit noch Seriosität. Ob die Adresse Ihres Servers auf Sperrlisten steht, prüfen Sie mit der IP-Blacklist-Prüfung.

Das Formular oben nimmt eine einzelne IP-Adresse entgegen. Vier Regeln vermeiden Abfragen, die nichts liefern.

1. Nur die Adresse eingeben. 8.8.8.8 oder 2001:4860:4860::8888, ohne Port, ohne Präfixlänge wie /24 und ohne http://. Einen Hostnamen nimmt dieses Tool nicht an: Für die Richtung vom Namen zur IP ist die DNS-Abfrage da.
2. Eine öffentliche Adresse verwenden. Private Bereiche wie 192.168.x.x, 10.x.x.x und 172.16 bis 172.31 sowie Loopback-, Link-Local- und reservierte Adressen werden blockiert. Ihre eigene öffentliche IP zeigt Ihnen die Prüfung Wie lautet meine öffentliche IP.
3. IPv6 auch in Kurzform. Verkürzte Formen mit :: werden erkannt und für die Abfrage vollständig ausgeschrieben.
4. Das Ergebnis der Reihe nach lesen. Zuerst, ob überhaupt ein PTR geliefert wurde, dann der Hostname, dann die vorwärts aufgelösten Adressen und zuletzt, ob die ursprüngliche IP darunter ist.

Haben Sie eine Änderung am PTR veranlasst und sehen noch den alten Namen, kann die Antwort zwischengespeichert sein: Resolver halten Einträge bis zum Ablauf ihrer TTL vor. Fragen Sie nach einer Weile erneut ab.

Der häufigste Irrtum bei Reverse DNS: Man sucht den PTR in der DNS-Verwaltung der eigenen Domain und findet dort kein Feld dafür. Das ist richtig so. Der PTR steht nicht in Ihrer Domain-Zone, sondern in der Reverse-Zone des Adressblocks, und die verwaltet, wer die IP vergeben hat.

• Server und Cloud. Bei vielen Hostern und Cloud-Anbietern lässt sich der PTR einer gemieteten IP in der Verwaltungsoberfläche einstellen oder über den Support setzen. Manche verlangen, dass der gewünschte Hostname vorher schon vorwärts auf diese IP zeigt.
• Eigener Adressblock. Wer einen eigenen Block von einer regionalen Registry erhalten hat, lässt sich die Reverse-Zone dafür auf die eigenen Nameserver delegieren und pflegt die PTR-Einträge dort selbst.
• Privatanschluss. Bei Internetanschlüssen für Privatkunden setzt der Provider generische Namen oder gar keine, und ändern lässt sich das in der Regel nicht. Für einen Mailserver ist ein solcher Anschluss deshalb die falsche Grundlage.

Die Abfrage oben zeigt Ihnen, was das öffentliche DNS derzeit liefert. Ändern kann den Eintrag nur der Inhaber des Blocks, und welche Organisation das ist, nennt die WHOIS-Abfrage für die IP.

Wer nach einem Reverse Lookup für eine IP sucht, meint manchmal etwas anderes: eine Liste aller Domains, die auf einer Adresse liegen. Das kann Reverse DNS nicht liefern. Eine IP hat in der Regel einen PTR-Eintrag oder gar keinen, nur selten mehrere, und dieser beschreibt die Maschine aus Sicht des Netzbetreibers, nicht die Websites darauf.

Bei Shared Hosting und hinter einem CDN teilen sich viele Domains eine Adresse. Der PTR nennt dann typischerweise einen Server- oder Knotennamen des Hosters oder des CDN, aber keine der Kundendomains. Umgekehrt gilt: Eine Domain, die auf eine IP zeigt, taucht deshalb noch lange nicht in deren PTR auf.

Listen von Domains pro IP stammen aus gesammelten DNS-Daten Dritter und sind zwangsläufig unvollständig. Diese Seite erstellt keine solche Liste. Sie zeigt den PTR, den der Adressinhaber veröffentlicht, und das ist alles, was das DNS in dieser Richtung verrät.

Ein PTR ist eine Angabe des Netzbetreibers, keine geprüfte Tatsache. Hier geraten die meisten Schlussfolgerungen auf Abwege.

• Er beweist nicht, was heute auf der IP läuft. PTR-Namen werden gesetzt und oft lange nicht mehr angefasst. Der Name kann von einem früheren Kunden oder einem früheren Dienst stammen.
• Ein generischer Name ist kein Warnsignal. Namen, die die IP selbst enthalten, sind bei Zugangsnetzen und Cloud-Bereichen üblich. Sie verraten Namenskonventionen des Anbieters, etwa für dynamische Pools, VPS-Hosts, Mail-Gateways oder CDN-Knoten, mehr nicht.
• Ein fehlender PTR ist bei vielen IPs normal. Für Privatanschlüsse und viele Cloud-Bereiche gibt es oft keinen Eintrag, und für das normale Surfen spielt das keine Rolle. Bei IPs von VPN-Diensten oder Hostern kann ein fehlender PTR aber Sicherheitswerkzeugen auffallen, die die Reputation einer IP bewerten.
• Die Gegenprüfung ist eng begrenzt. Sie prüft nur, ob die gelieferten A- und AAAA-Einträge die ursprüngliche IP enthalten. Wem Domain oder IP gehören, sagt sie nicht.
• Der PTR ist keine Standortangabe. Städte- oder Flughafenkürzel in Hostnamen sind interne Bezeichnungen des Betreibers und können veraltet sein. Eine Einschätzung des Standorts liefert die IP-Geolokalisierung, ebenfalls nur als Näherung.

Das Ergebnis ist darum ein begrenztes, öffentliches Signal. Es beschreibt, was ein rekursiver Resolver zum Zeitpunkt der Abfrage über DNS over HTTPS geliefert hat, und kann zwischengespeichert sein. Die Kriterien für jedes Signal stehen in der Methodik auf Deutsch.

Was ist ein PTR-Eintrag?

Ein PTR-Eintrag (Pointer) ordnet einer IP-Adresse einen Hostnamen zu, als Umkehrung eines A- oder AAAA-Eintrags. Gesetzt wird er vom Inhaber der IP-Adresse, meist einem Internetanbieter oder Hoster, und er steht in der Zone in-addr.arpa für IPv4 oder ip6.arpa für IPv6. Die IP 8.8.8.8 hat zum Beispiel den PTR dns.google. PTR-Einträge dienen dazu, Server zu erkennen, sendende Mail-IPs zu prüfen und Netzverbindungen zu analysieren.

Wie funktioniert eine Reverse-DNS-Abfrage?

Die IP-Adresse wird in einen Namen umgeschrieben: Bei IPv4 werden die vier Zahlenblöcke umgedreht und um in-addr.arpa ergänzt, bei IPv6 werden die einzelnen Hexadezimalziffern in umgekehrter Reihenfolge vor ip6.arpa gesetzt. Für diesen Namen fragt der Resolver den PTR-Eintrag ab. Unser Tool löst den gefundenen Hostnamen danach wieder vorwärts auf und prüft, ob er auf dieselbe IP zurückzeigt.

Meine IP hat keinen PTR-Eintrag. Ist das ein Problem?

Bei einem Privatanschluss nicht: Dort ist ein fehlender PTR normal und für das Surfen ohne Bedeutung. Bei einem Mailserver schon, denn ohne PTR werden Nachrichten oft abgelehnt oder als Spam eingestuft. Bei IPs von VPN-Diensten oder Hostern kann ein fehlender PTR Sicherheitswerkzeugen auffallen, die die Reputation einer IP bewerten. Einrichten kann den PTR nur der Anbieter, von dem die IP stammt.

Was bedeutet vorwärts bestätigtes Reverse DNS (FCrDNS)?

Es ist die Gegenprobe zum PTR: Die IP liefert per PTR einen Hostnamen, und der A- oder AAAA-Eintrag dieses Hostnamens muss wieder die ursprüngliche IP enthalten. Zeigt er auf eine andere Adresse, ist die Prüfung fehlgeschlagen. Meist wurde dann der PTR falsch gesetzt oder der A-Eintrag geändert, ohne den PTR anzupassen. Bringen Sie beide wieder auf dieselbe Adresse.

Warum prüfen Mailserver den PTR-Eintrag?

Weil ein vorwärts bestätigter PTR zeigt, dass Netzbetreiber und Domaininhaber dieselbe Zuordnung von IP und Hostname veröffentlichen. Viele empfangende Mailserver prüfen das bei der sendenden IP. Fehlt der PTR oder passt er nicht, landen Nachrichten oft im Spam oder werden abgelehnt. Ein passender PTR ist deshalb einer der wichtigsten Schritte für einen eigenen Mailserver, aber keine Garantie für die Zustellung.

Kann ich den PTR-Eintrag in der DNS-Zone meiner Domain setzen?

Nein. Der PTR steht in der Reverse-Zone des Adressblocks, und die verwaltet der Inhaber der IP, nicht der Inhaber der Domain. Wenden Sie sich an den Anbieter, von dem die IP stammt: Bei vielen Hostern und Cloud-Anbietern geht das über die Verwaltungsoberfläche oder den Support. In Ihrer eigenen Zone setzen Sie nur den passenden A- oder AAAA-Eintrag für den Hostnamen.

Zeigt Reverse DNS alle Websites auf einer IP?

Nein. Eine IP hat meist höchstens einen PTR-Eintrag, und der nennt den Namen, den der Netzbetreiber gewählt hat, nicht die Domains der Websites. Bei Shared Hosting und CDN teilen sich viele Domains eine Adresse, ohne im PTR aufzutauchen. Listen von Domains pro IP stammen aus gesammelten DNS-Daten Dritter, und diese Seite erstellt keine solche Liste.

Funktioniert die Reverse-DNS-Abfrage auch mit IPv6?

Ja. Geben Sie die IPv6-Adresse ein, gern auch in der verkürzten Form mit ::. Das Tool schreibt sie vollständig aus, bildet daraus den Namen unter ip6.arpa und fragt den PTR ab. Die Gegenprüfung berücksichtigt A- und AAAA-Einträge. Versendet ein Mailserver über IPv6, braucht auch diese Adresse einen eigenen, vorwärts bestätigten PTR.