Was ist ein DNS SOA-Eintrag?

Ein SOA-Eintrag (Start of Authority) ist der DNS-Eintrag, in dem die zentralen Verwaltungseinstellungen einer DNS-Zone gespeichert sind, darunter der autoritative Nameserver, der administrative Ansprechpartner sowie Zeitangaben für DNS-Aktualisierungen. Jede DNS-Zone muss genau einen SOA-Eintrag enthalten.

Was bewirkt ein SOA-Eintrag?

Der SOA-Datensatz oder Start of Authority-Datensatz ist eine Art DNS-Datensatz, der wichtige Informationen wie die E-Mail-Adresse des Administrators, den Zeitrahmen für die Aktualisierung des Servers, den Verlauf der Domänenaktualisierung usw. enthält. Die Konfiguration eines SOA-Eintrags in Ihrem jeweiligen DNS ist wichtig, um mit den IETF-Standards (Internet and Engineering Task Force) übereinzustimmen.

DNS SOA-Einträge werden für erfolgreiche Zonentransfers benötigt, da sie von einem Primärserver an einen Sekundärserver gesendet werden müssen.

Was beinhaltet ein typischer DNS SOA-Eintrag?

Ein standardmäßiger DNS-SOA-Eintrag enthält die folgenden Angaben:

• Primärer Nameserver einer Domäne.
• Korrespondenz der verantwortlichen Partei einer Domain.
• Ein Zeitstempel zur Erfassung aller vorgenommenen Aktualisierungen.
• Die Anzahl der verbleibenden Sekunden für die Zonenauffrischung.
• Die Anzahl der verbleibenden Sekunden für das Verwerfen einer fehlgeschlagenen Aktualisierung.
• Die Obergrenze in Sekunden, bevor eine Zone als nicht autorisierend eingestuft wird.
• Das negative Ergebnis TTL oder Time-to-Live. TTL ist die Zeitspanne, in der ein Paket oder Daten überleben.

Beispiel für einen SOA-Eintrag

Ein typischer SOA-Datensatz könnte wie folgt aussehen:

Keine

example.com.  IN  SOA  ns1.example.com. admin.example.com. (
                    2026081201 ; Seriennummer
                    3600       ; Aktualisierung
                    900        ; Wiederholungsversuch
                    1209600    ; Ablaufdatum
                    86400      ; Standard-TTL
                    )

Jeder Wert gibt den DNS-Servern unterschiedliche Informationen darüber, wie die Zone verwaltet werden soll:

• Primärer Nameserver: ns1.example.com. Bezeichnet den autoritativen primären Nameserver für die Zone.
• E-Mail-Adresse des DNS-Administrators: admin.example.com. steht für den für die DNS-Zone zuständigen Administrator. In einem SOA-Eintrag steht der erste Punkt normalerweise für das @-Zeichen.
• Die Seriennummer 2026081201 kennzeichnet die aktuelle Version der Zone. Sekundäre DNS-Server verwenden diese Nummer, um festzustellen, ob sie eine aktualisierte Kopie abrufen müssen.
• Aktualisierungsintervall: Der Wert „3600 Sekunden“ gibt den sekundären Servern vor, wie oft sie prüfen sollen, ob sich die Zone geändert hat.
• Wiederholungsversuch: 900 Sekunden – gibt an, wie lange sekundäre Server warten, bevor sie einen erneuten Versuch unternehmen, falls eine Zonentransfer fehlschlägt.
• „Expire: 1209600 Sekunden“ legt fest, wie lange ein sekundärer Server die Zone weiterhin bereitstellen kann, wenn er den primären Server nicht erreichen kann.
• Standard-TTL: 86400 Sekunden – gibt die Standarddauer an, für die DNS-Einträge zwischengespeichert werden können, wenn keine spezifische TTL angegeben ist.

Möglicherweise wird auch ein SOA-Eintrag angezeigt, wenn Sie einen Befehl wie „dig“ verwenden:

Keine 
$ dig SOA example.com

example.com.  3600  IN  SOA  ns1.example.com. admin.example.com.
                               2026081201 3600 900 1209600 86400

Die Werte und die Formatierung können je nach DNS-Anbieter variieren, die sieben SOA-Felder bleiben jedoch unverändert.

SOA-Datensatzstruktur: Die 7 Felder im Detail

Ein SOA-Eintrag enthält sieben Schlüsselfelder. Zusammen steuern sie, wie DNS-Server die autoritative Quelle für eine Zone identifizieren und Änderungen zwischen Primär- und Sekundärservern synchronisieren.

Seriennummer

Es ist die Revisionsnummer einer Zonendatei, die sich bei jeder Änderung einer Datei ändert. Dieser Wert sollte geändert werden, damit die vorgenommenen Änderungen auf alle DNS-Server verteilt werden. In den meisten Systemen erfolgt dieser Vorgang automatisch.

Primärer Namensserver

Wie der Name schon sagt, handelt es sich um den primären DNS-Server einer Zone. Er wechselt zurück zum Standard, wenn Sie einen ungültigen primären Nameserver eingeben.

DNS-Verwaltungs-E-Mail

Dies ist die E-Mail-Adresse der Person, die für die Verwaltung bestimmter DNS- und Zonendateien zuständig ist. Wenn Sie eine falsche E-Mail-Adresse eingeben, wird sie auf die Standardadresse zurückgesetzt.

Aktualisierungsrate

Die Aktualisierungsrate ist die Zeit in Sekunden, die ein sekundärer Server wartet, bevor er den primären DNS SOA-Eintrag nach Aktualisierungen abfragt. Die Aktualisierungsrate variiert zwischen 1200 und 43.200 Sekunden.

Wiederholungsrate

Die Wiederholungsrate ist die Zeit in Sekunden, die ein sekundärer Server wartet, bevor er eine fehlgeschlagene Zonenübertragung erneut versucht. Normalerweise ist die Aktualisierungsrate höher als die Wiederholungsrate, und die Standardrate beträgt 1800 Sekunden. Sie kann jedoch zwischen 180 und 2.419.200 Sekunden variieren.

Ablauf der Zeit

Dies ist die Zeit in Sekunden, die ein sekundärer Server versucht, eine Zonenübertragung abzuschließen. Läuft diese Zeit vor Abschluss einer Zonenübertragung ab, sind auch seine Zonendateien veraltet. Der sekundäre Server antwortet dann nicht auf Anfragen, da er die Daten als veraltet ansieht. Die Standard-Verfallszeit beträgt 1.209.600 Sekunden.

Standard-TTL

TTL steht für Time-to-Live, also die Zeitspanne, die ein Paket oder Daten überleben. Andere Server verwenden diesen Wert, um zu wissen, wie lange sie die Daten im Cache behalten sollen. Der Standardwert ist 3.600 Sekunden oder 1 Stunde.

Warum benötigen Sie einen SOA-Eintrag? (Ist er vorgeschrieben?)

Ein DNS-SOA-Eintrag enthält Details zu Ihrer Zone. DNS-Nameserver werden in der Regel in Clustern eingerichtet, und die Datenbank wird durch interne Zonenübertragungen synchronisiert. Jede Zone ohne SOA-Datensatz entspricht nicht den IETF-Protokollen, und eine Zonenübertragung ist nicht möglich. IT-gesteuerte Unternehmen müssen daher wissen, was ein DNS-SOA-Eintrag ist.

Jede DNS-Zone benötigt genau einen SOA-Eintrag. Eine Zone ohne gültigen SOA-Eintrag erfüllt nicht die grundlegenden Anforderungen an eine ordnungsgemäß funktionierende DNS-Zone und kann möglicherweise nicht zuverlässig aufgelöst werden.

Wie funktionieren SOA-Datensätze?

DNS ist ein dezentralisiertes System, das nach einer Hierarchie funktioniert. Nameserver liefern also Informationen an die Server, die einer bestimmten Zone zugeordnet sind, indem sie alle Zonendateien verwalten. Dabei handelt es sich um einfache Textdateien, die Einzelheiten zu allen DNS-Einträgen enthalten. Diese Datensätze geben Aufschluss darüber, ob der richtige Server für die Lösung einer Aufgabe angefordert wurde oder nicht.

DNS-SOA-Einträge sind für Server-Cluster erforderlich, da sie Anfragen auf verschiedene Geräte verteilen. Dadurch wird die Überlastung eines bestimmten Servers vermieden, die zu einem Systemausfall führen kann.

Ein Zonentransfer muss regelmäßig durchgeführt werden, damit die Zonendateien auf allen beteiligten Servern aktiv bleiben. Allerdings müssen die Slaves (Server, die in der Hierarchie weiter unten stehen) mit dem Master-Server (dem einzigen Host in einer bestimmten Domäne, der die maßgeblichen Karten verwaltet) synchronisiert werden.

Er gibt vor, wie ein Zonentransfer durchgeführt und geregelt werden soll. Ein DNS-SOA-Eintrag erhält also alle Arten von Informationen.

Was ist der Zonentransfer im DNS?

Um zu verstehen, wie SOA-Einträge funktionieren, müssen Sie wissen, was Zonentransfer im DNS ist.

Bei der Zonenübertragung wird der Inhalt einer Zone auf einem Primärserver auf andere DNS-Server übertragen. Dadurch entfällt die Notwendigkeit, Informationen auf mehreren Servern zu bearbeiten. Sie können also Informationen auf dem Hauptserver bearbeiten und sie auf andere Server kopieren, was Zeit und Mühe spart.

So überprüfen Sie Ihren SOA-Eintrag

Sie können spezielle Tools oder Webdienste verwenden, um den DNS-SOA-Eintrag Ihrer Website zu überprüfen. Sie müssen lediglich eine entsprechende Domäne eingeben, und auf der folgenden Seite wird der "A"-Eintrag angezeigt. Sie können "SOA" im entsprechenden Feld auswählen, um die Einträge zu überprüfen.

Mit Public DNS können Sie sogar zusätzliche effiziente Verbindungen mit DNS aufbauen; allerdings bieten nur begrenzte Ressourcen dies an. Die über DNS empfangenen Informationen fließen vom Absender, und die Sicherheitsprotokolle können theoretisch nicht manipuliert werden.

Diese Art der SOA-Eintragsüberprüfung wird im Frage- und Antwortformat durchgeführt. Sie können den Master-Server, die E-Mail-Adresse des Administrators und die Zeitangaben abfragen.

Sie können Ihren SOA-Datensatz mit unserem SOA-Datensatz-Lookup-Tool überprüfen, wenn Sie sich auf der PowerDMARC-Plattform anmelden. Der Prozess ist sofort und genau, mit Ergebnissen, die Fehler in Ihrem Datensatz hervorheben und Ihnen helfen, Probleme schneller zu beheben!

Sie können einen SOA-Eintrag auch direkt über die Befehlszeile mit „dig“ oder „nslookup“ überprüfen.

Keine 
dig SOA yourdomain.com

Oder:

Keine
nslookup -type=SOA yourdomain.com

Die Ausgabe enthält den autoritativen Nameserver, den administrativen Ansprechpartner, die Seriennummer, das Aktualisierungsintervall, das Wiederholungsintervall, das Ablaufintervall und die Standard-TTL für die Domain.

Um DNS-Informationen auf einfachere Weise zu überprüfen, können Sie auch die SPF-Eintrag-Abfrage von PowerDMARC nutzen.

SOA-Einträge und E-Mail-Authentifizierung

Ihr SOA-Eintrag dient nicht zur Authentifizierung der E-Mails selbst, gehört jedoch zu der DNS-Zone, die auch Ihre SPF-, DKIM- und DMARC-Einträge enthält. Änderungen an diesen Authentifizierungseinträgen hängen daher vom Zustand und Verhalten der DNS-Zone ab, in der sie veröffentlicht sind.

Der SOA-Eintrag enthält außerdem Zeitangaben, die von DNS-Servern genutzt werden, insbesondere für Zonentransfers und die Synchronisation. Dies ist unabhängig von der TTL, die für einzelne SPF-, DKIM- oder DMARC-Einträge konfiguriert ist und die regelt, wie lange diese Einträge zwischengespeichert werden dürfen.

Das Verständnis des SOA-Eintrags kann daher bei der Fehlerbehebung im Zusammenhang mit DNS-Änderungen hilfreich sein, die sich auf die E-Mail-Authentifizierung auswirken. Weitere Informationen finden Sie in unseren Anleitungen zu SPF-Einträgen und DMARC-Einträgen.

Häufig gestellte Fragen

Was bewirkt ein SOA-Eintrag?

Ein SOA-Eintrag enthält die wichtigsten Verwaltungsinformationen für eine DNS-Zone, darunter den primären Nameserver, die Kontaktdaten des Administrators, die Seriennummer und die Zeitangaben. Außerdem hilft er sekundären DNS-Servern dabei, festzustellen, wann sie Änderungen an der Zone synchronisieren müssen.

Ist ein SOA-Eintrag zwingend erforderlich?

Ja. Jede DNS-Zone muss als Teil ihrer autoritativen DNS-Informationen genau einen SOA-Eintrag enthalten. Ohne einen gültigen SOA-Eintrag ist die Zone nicht ordnungsgemäß konfiguriert und kann möglicherweise nicht zuverlässig aufgelöst werden.

Können Sie ein Beispiel für einen SOA-Datensatz nennen?

Ja. Ein typischer SOA-Eintrag enthält den primären Nameserver, die E-Mail-Adresse des Administrators sowie die Werte für „refresh“, „retry“, „expire“ und die Standard-TTL. Ein vollständiges Beispiel finden Sie im Abschnitt „Beispiel für einen SOA-Eintrag “ weiter oben.

Wie finde ich meinen SOA-Eintrag?

Sie können den Eintrag über die Befehlszeile mit dem Befehl „dig SOA yourdomain.com“ oder „nslookup -type=SOA yourdomain.com“ abrufen. Alternativ können Sie auch ein Online-Tool zur SOA-Abfrage verwenden, um den Eintrag einzusehen, ohne Befehle über die Befehlszeile ausführen zu müssen.

Was passiert, wenn die SOA-Seriennummer nicht aktualisiert wird?

Sekundäre DNS-Server verwenden die SOA-Seriennummer, um festzustellen, ob sich die Zone geändert hat. Wird die Seriennummer nach einer Zonenänderung nicht erhöht, verwenden sekundäre Server möglicherweise weiterhin eine ältere Version der Zone, anstatt die aktualisierten Daten zu übertragen.

Wie wirkt sich der SOA-Eintrag auf die Ausbreitung von SPF, DKIM und DMARC aus?

Der SOA-Eintrag legt fest, wie eine DNS-Zone verwaltet und synchronisiert wird, während die TTL der einzelnen SPF-, DKIM- und DMARC-Einträge deren Zwischenspeicherung steuert. Änderungen an E-Mail-Authentifizierungseinträgen können daher je nach ihrer TTL und der betreffenden DNS-Infrastruktur einige Zeit in Anspruch nehmen, bis sie in allen DNS-Resolvern einheitlich sichtbar sind.

Abschließende Überlegungen

Der DNS-SOA-Eintrag enthält sensible Informationen wie die E-Mail-Adresse eines Administrators, den Zeitrahmen für die Serveraktualisierung, den Verlauf der Domain-Aktualisierungen usw. Diese Einträge helfen bei der Zonenübertragung, dem Prozess des Kopierens des Inhalts einer Zone auf alle sekundären DNS-Server. Dies spart Zeit und Aufwand bei der manuellen Replikation von Inhalten. SOA-Einträge verteilen Anfragen auf verschiedene Server, um Überlastungen und Ausfälle zu vermeiden.

Infotech-Unternehmen müssen sich an eine DMARC-Richtlinie einhalten, die auf den Protokollen SPF und DKIM basiert. Sie müssen einen DMARC-Eintrag im DNS veröffentlichen, um den Postfächern der Empfänger mitzuteilen, wie sie mit Ihren E-Mails gemäß den festgelegten Richtlinien verfahren sollen. Sie können den DMARC-Analysator verwenden, um Einblicke in verschiedene damit zusammenhängende Fragen zu erhalten.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• SSL- und TLS-Protokolle: Was ist der Unterschied? – 13. August 2026
• Was ist URL-Manipulation (URL-Rewriting)? Wie Angreifer vertrauenswürdige Links missbrauchen, um Phishing zu verschleiern – 10. August 2026
• Sicherheitswarnung per E-Mail zum Microsoft-Konto: So erkennen Sie Betrugsversuche und schützen Ihre Domain – 9. August 2026