Was ist ein DNS-TXT-Eintrag? Format und Beispiele

Ein DNS-TXT-Eintrag ist ein DNS-Eintrag, in dem Text für eine Domain gespeichert wird. Heutzutage wird er hauptsächlich dazu verwendet, den Besitz einer Domain nachzuweisen und E-Mail-Authentifizierungseinträge (SPF, DKIM und DMARC) zu veröffentlichen.

Überprüfen Sie die TXT-Einträge einer beliebigen Domain mit unserer TXT-Eintrag-Abfrage.

Was ist ein DNS-TXT-Eintrag?

Ein DNS-TXT-Eintrag (Text) ist ein Ressourceneintrag im Domain Name System, der dazu dient, unformatierte Textzeichenfolgen zu speichern. Als TXT-Einträge in den frühen Internet-Spezifikationen definiert wurden, dienten sie als Speicherort für für Menschen lesbare Notizen, Kontaktdaten oder Systembeschreibungen, die mit einem Hostnamen verknüpft waren.

Im Laufe der Zeit wurden die Sicherheits- und Messaging-Standards an diesen Datensatztyp angepasst, um eine automatisierte Verarbeitung zu ermöglichen. Moderne Mailserver, Cloud-Anbieter und Zertifizierungsstellen fragen TXT-Einträge ab, um maschinenlesbare Sicherheitsrichtlinien, kryptografische Schlüssel und Eigentumsnachweise auszulesen.

Im Gegensatz zu Adress-Einträgen lenken TXT-Einträge weder den Netzwerkverkehr noch verbinden sie Nutzer mit einer IP-Adresse. Stattdessen veröffentlichen sie betriebliche Metadaten, die von externen Systemen abgefragt und ausgewertet werden. Eine einzelne Domain kann mehrere TXT-Einträge unter genau demselben Hostnamen veröffentlichen, ohne dass es dabei zu Konflikten kommt.

Um mehr über grundlegende Zonen-Einträge zu erfahren, lesen Sie unseren Leitfaden zum Thema „Was ist ein DNS-Eintrag?“ sowie unser vollständiges Verzeichnis der DNS-Eintragstypen.

Format des DNS-TXT-Eintrags

In Standard-DNS-Zonendateien folgt ein TXT-Eintrag einer festgelegten Struktur:

example.com. 3600 IN TXT „v=spf1 include:_spf.google.com ~all“

Die Komponenten dieses Eintrags funktionieren wie folgt:

• Name (beispiel.com.): Die Domain oder Subdomain, für die der Eintrag gilt.
• TTL (3600): Time to Live in Sekunden, die den auflösenden Nameservern angibt, wie lange die Zeichenkette im Cache gespeichert werden soll.
• Klasse (IN): Internet-Klasse, die von fast allen Public-Domain-Konfigurationen verwendet wird.
• Typ (TXT): Kennzeichnet den Ressourceneintrag als Text.
• Wert („v=spf1…“): Die eigentlichen Textdaten, die in Anführungszeichen stehen.

DNS-Dashboards vereinfachen dies häufig durch die Felder „Host“, „TTL“ und „Wert“. Bei der Konfiguration des Hosts bezeichnet „@“ in der Regel die Apex- oder Root-Domain, während Präfixe wie „_dmarc“, „_mta-sts“ oder „selector._domainkey“ auf bestimmte Subdomains verweisen. Die meisten DNS-Verwaltungs-Dashboards fügen Ihre Apex-Domain automatisch an. Die Eingabe von „_dmarc.example.com“ in ein Host-Feld kann unbeabsichtigt zu „_dmarc.example.com.example.com“ führen und damit die Auflösung beeinträchtigen.

Die Beschränkung auf 255 Zeichen und die Aufteilung von Zeichenketten

Gemäß den DNS-Spezifikationen (RFC 1035) darf eine einzelne Zeichenfolge innerhalb eines TXT-Eintrags 255 Oktette (Zeichen) nicht überschreiten. Bei der Veröffentlichung langer Einträge, wie beispielsweise 2048-Bit-DKIM-Schlüssel oder detaillierte SPF-Richtlinien, müssen Sie den Inhalt in mehrere durch Anführungszeichen umschlossene Zeichenfolgen innerhalb desselben Eintrags aufteilen:

example.com. 3600 IN TXT „v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0Y…“ „…Rest der Zeichenfolge des öffentlichen Schlüssels…“

Empfangende Resolver fügen diese benachbarten Zeichenfolgen automatisch wieder zusammen, ohne Leerzeichen einzufügen. Lange Werte werden automatisch mit unserem DNS-Eintrag-Splitter.

Beispiele für DNS-TXT-Einträge

Moderne Internetstandards nutzen TXT-Einträge für die E-Mail-Zustellung, die Routing-Sicherheit und die Identitätsprüfung. In der folgenden Tabelle sind acht gängige Implementierungen aufgeführt:

DMARC-Richtlinien-Flags wie „p“, „rua“ und „pct“ werden in unserer umfassenden Dokumentation zu DMARC-Einträgen näher erläutert.

Häufige Verwendungen von DNS TXT Records

E-Mail-Authentifizierung: SPF, DKIM, DMARC und BIMI

Die E-Mail-Authentifizierung stützt sich fast ausschließlich auf DNS-TXT-Einträge, um Identitätsbetrug zu verhindern und den Ruf der Marke zu schützen.

Sender Policy Framework (SPF) verwendet einen auf der Root-Domain veröffentlichten TXT-Eintrag, um festzulegen, welche Mailserver und IP-Adressen Nachrichten in Ihrem Namen zustellen dürfen. Mail-Zustellungsagenten fragen diesen Eintrag während der Zustellung ab, um gefälschte Absender zu erkennen und Unternehmen dabei zu helfen, Spoofing-E-Mails zu verhindern.

DomainKeys Identified Mail (DKIM) veröffentlicht kryptografische öffentliche Schlüssel unter festgelegten Selektor-Hostnamen. Empfangsserver rufen diese Schlüssel ab, um die kryptografischen Signaturen in den Kopfzeilen ausgehender E-Mails zu überprüfen und so nachzuweisen, dass die Nachrichten während der Übertragung weder verändert noch gefälscht wurden. Eine Schritt-für-Schritt-Anleitung zur Schlüsselveröffentlichung finden Sie in unserer DKIM-Einrichtungsanleitung nachlesen.

Domain-based Message Authentication, Reporting, and Conformance (DMARC) stimmt die SPF- und DKIM-Authentifizierung aufeinander ab. Das unter _dmarc veröffentlichte Protokoll gibt empfangenden E-Mail-Anbietern Anweisungen zum Umgang mit nicht authentifizierten Nachrichten durch Überwachung sowie eine Quarantänepolitikoder durch strikte Ablehnung.

Ergänzende Standards bauen auf dieser Grundlage auf. „Brand Indicators for Message Identification“ (BIMI) stellt eine Verknüpfung zu verifizierten Markenzeichen her, die in unterstützenden Webmail-Oberflächen angezeigt werden, während MTA-STS und TLS-RPT verschlüsselte Übertragungstunnel vorschreiben und Verbindungsfehler melden.

Überprüfung der Domäneneigentümerschaft

Webanwendungen von Drittanbietern und SaaS-Plattformen verlangen einen Nachweis der Domain-Kontrolle, bevor administrativer Zugriff gewährt wird. Dienste wie Google Workspace, Microsoft 365, Suchkonsolen und öffentliche Zertifizierungsstellen generieren bei der Einrichtung eindeutige Verifizierungstoken.

Die Veröffentlichung der generierten Zeichenfolge in einem Apex-TXT-Eintrag bestätigt den administrativen Zugriff auf die zugrunde liegende DNS-Zone. Da nur autorisierte Domaininhaber DNS-Zonendateien bearbeiten können, wird dadurch die Berechtigung des Mandanten nachgewiesen, ohne dass das Routing der Website oder die Hosting-Konfigurationen geändert werden müssen.

Sonstige Verwendungszwecke

TXT-Einträge unterstützen zudem die Automatisierung von Betriebsabläufen und das Zertifikatslebenszyklusmanagement. Automatisierte Zertifikatssysteme wie Let’s Encrypt verwenden _acme-challenge TXT-Einträge für die DNS-01-Validierung, um die Kontrolle über die Domain nachzuweisen, bevor kostenlose TLS-Zertifikate ausgestellt werden. Andere Unternehmensplattformen nutzen TXT-Token, um Webhook-Ziele zu verifizieren, Dienste von Drittanbietern weiterzuleiten und administrative Notizen zu speichern.

So fügen Sie einen DNS-TXT-Eintrag hinzu

Zugriff auf Ihre DNS-Einstellungen 

Melden Sie sich bei Ihrem Domain-Registrar, Ihrem Hosting-Control-Panel oder Ihrem Cloud-DNS-Anbieter an, bei dem Ihre autoritativen Nameserver gehostet werden. Navigieren Sie zum Dashboard für die DNS-Zonenverwaltung Ihrer Zieldomain.

Hinzufügen des Datensatzes

1. Klicken Sie auf „Datensatz hinzufügen“ und wählen Sie „TXT“ aus der Dropdown-Liste für den Datensatztyp aus.
2. Geben Sie den Host oder Nameein. Verwenden Sie @ für Ihre Apex-Domain oder geben Sie das spezifische Subdomain-Präfix ein (z. B. _dmarc oder Ihren DKIM-Selektor). Geben Sie nicht den vollständigen Domainnamen ein, wenn Ihr Provider diesen automatisch anhängt.
3. Fügen Sie die angegebene Zeichenfolge in das Wert oder Inhalt Feld ein. Geben Sie den Wert sauber ein, ohne zusätzliche Anführungszeichen hinzuzufügen, es sei denn, Ihre DNS-Schnittstelle verlangt ausdrücklich die manuelle Einfassung der Zeichenfolge in Anführungszeichen.
4. Legen Sie die TTL (Time to Live)ein. Der Standardwert beträgt 3600 (eine Stunde), während 300 (fünf Minuten) sich gut zum Testen neuer Datensätze eignet.
5. Speichern oder veröffentlichen Sie Ihre Änderungen.

Ausbreitungszeit 

DNS-Aktualisierungen werden nicht sofort weltweit übernommen. Die auflösenden Nameserver verwenden weiterhin ihre zwischengespeicherte Kopie, bis die bisherige TTL abgelaufen ist.

Die meisten Aktualisierungen von TXT-Einträgen werden innerhalb weniger Minuten an die primären Resolver weitergegeben, wobei die vollständige weltweite Ausbreitung je nach den Caches der Anbieter bis zu 48 Stunden dauern kann. Verfolgen Sie die Ausbreitung von Änderungen mit unserem DNS-Propagierungs-Checkerverfolgen oder erfahren Sie mehr über das Cache-Verhalten in unserem Leitfaden zum Thema wie lange DNS-Aktualisierungen dauern.

Überprüfen von DNS-TXT-Einträgen

Online

Die Überprüfung von Einträgen mithilfe von Web-Tools ermöglicht es Ihnen, die Auflösungswerte einzusehen, ohne lokale Terminalumgebungen nutzen zu müssen. Sie können die aktuelle Konfiguration Ihrer Domain mithilfe unseres speziellen TXT-Eintrag-Abfrage-Tool alle veröffentlichten Zoneneinträge gleichzeitig zu überprüfen, fragen Sie Ihre Domain über unsere umfassende DNS-Eintrag-Abfrageab.

Befehlszeile

Sie können Datensätze auch direkt über das Terminal Ihres Betriebssystems abfragen:

Verwendung von „dig“ unter Linux und macOS:

dig TXT example.com +short

So fragen Sie einen bestimmten Subdomain-Eintrag wie DMARC ab:

dig TXT _dmarc.example.com +short

Verwendung von „nslookup“ unter Windows, macOS oder Linux:

nslookup -type=TXT example.com

Verwendung von PowerShell auf modernen Windows-Systemen:

Resolve-DnsName example.com -Type TXT

Regeln für TXT-Einträge und häufige Fehler

Obwohl das DNS ein hohes Maß an Flexibilität bietet, gelten für TXT-Konfigurationen einige strukturelle Regeln:

• Veröffentlichen Sie nur einen SPF-Eintrag pro Domain: Domains können Dutzende separater TXT-Einträge in der Root-Ebene enthalten, Sie dürfen jedoch niemals mehr als einen SPF-Eintrag (v=spf1) veröffentlichen. Die Veröffentlichung mehrerer SPF-Einträge führt dazu, dass die auflösenden Mailserver einen SPF PermError zurückgeben, wodurch die Authentifizierung fehlschlägt. Fassen Sie alle Absenderquellen in einer einzigen Zeile zusammen.
• Halten Sie die Anzahl der DNS-Abfragen unter dem SPF-Limit: SPF-Richtlinien dürfen nicht mehr als 10 DNS-Lookups über alle „include“, „a“, „mx“ und „ptr“-Einträge hinweg erfordern. Halten Sie Ihre Lookup-Nutzung mit unserem SPF-Lookup-Zählerinnerhalb der festgelegten Grenzen.
• Zeichenfolgen mit mehr als 255 Zeichen aufteilen: Wenn eine zusammenhängende Textzeichenfolge ohne Anführungszeichenunterbrechungen mehr als 255 Zeichen umfasst, lehnen einige DNS-Anbieter die Aktualisierung ab oder kürzen den Wert, wodurch kryptografische DKIM-Schlüssel beschädigt werden.
• Vermeiden Sie typografische Anführungszeichen: Beim Kopieren und Einfügen von Datensätzen aus Textverarbeitungsprogrammen oder Dokumentationssystemen werden häufig geschwungene oder intelligente Anführungszeichen (“ ”). DNS-Systeme erfordern einfache ASCII-Anführungszeichen (” “).
• Veraltete Verifizierungstoken entfernen: Entfernen Sie veraltete Domain-Verifizierungstoken, sobald Cloud-Anbieter oder Softwaremigrationen eingestellt werden, um die Zonendateien übersichtlich und überschaubar zu halten.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem DNS-TXT-Eintrag und einem CNAME-Eintrag?

Ein TXT-Eintrag speichert beliebige Textdaten, die zur Authentifizierung, als Metadaten und zur Domain-Verifizierung verwendet werden. Ein CNAME-Eintrag erstellt einen Alias, der einen Domainnamen einem anderen kanonischen Domainnamen zuordnet und Suchanfragen umleitet, anstatt Textinformationen direkt zu speichern.

Kann eine Domäne mehrere DNS-TXT-Einträge haben?

Ja. Eine einzelne Domain oder ein einzelner Hostname kann gleichzeitig mehrere TXT-Einträge enthalten. So kann Ihre Root-Domain beispielsweise einen SPF-Eintrag sowie separate Verifizierungstoken für Google und Microsoft enthalten. Sie dürfen jedoch niemals mehrere SPF-Einträge unter demselben Hostnamen veröffentlichen.

Beeinträchtigen TXT-Datensätze die Geschwindigkeit oder Leistung einer Website?

Nein. Webbrowser fragen A- und AAAA-Adressdatensätze ab, um Webserver zu finden und Webseiten darzustellen. Bei der normalen Seitennavigation fordern sie keine TXT-Einträge an und werten diese auch nicht aus, was bedeutet, dass TXT-Einträge keinerlei Einfluss auf die Ladegeschwindigkeit von Websites haben.

Gibt es eine Längenbeschränkung für TXT-Einträge?

Ja. Einzelne Zeichenfolgen innerhalb eines TXT-Eintrags dürfen 255 Zeichen nicht überschreiten. Werte, die diese Grenze überschreiten, müssen innerhalb desselben Eintrags in mehrere Zeichenfolgen in Anführungszeichen aufgeteilt werden. Moderne Resolver fügen diese benachbarten Zeichenfolgen automatisch wieder zu einem zusammenhängenden Block ohne Leerzeichen zusammen.

Wie kann ich überprüfen, ob ein DNS-TXT-Eintrag aktiv ist?

Sie können überprüfen, ob ein TXT-Eintrag übernommen wurde, indem Sie den Hostnamen in unserer kostenlosen TXT-Eintrag-Abfrage überprüfen oder indem Sie in Ihrer Befehlszeile den Befehl „dig TXT example.com +short“ ausführen. Wenn die Ausgabe die von Ihnen gewünschte Zeichenfolge enthält, ist der Eintrag aktiv.

Abschließende Worte

DNS-TXT-Einträge haben sich von einfachen Verwaltungshinweisen zu einem zentralen Mechanismus für E-Mail-Sicherheit, Identitätsprüfung und die Integration von Webdiensten entwickelt. Von der Veröffentlichung von SPF-, DKIM- und DMARC-Richtlinien bis hin zur Validierung von SSL-Zertifikaten und Unternehmenssoftware-Suiten – die korrekte Formatierung von TXT-Einträgen schützt Ihre digitale Domain vor Spoofing und Fehlkonfigurationen.

Wenn Sie Ihre veröffentlichten Einträge kontinuierlich im Blick behalten, stellen Sie sicher, dass Richtlinienänderungen und veraltete Einträge weder die Zustellbarkeit noch das Vertrauen in Ihre Marke beeinträchtigen.

Jeden Datensatz auf jeder Domain überwachen

Nach Schweregrad geordnete fehlgeschlagene Prüfungen mit Maßnahmen zur Behebung, Warnmeldungen zu ähnlich klingenden Domains, Überwachung des Ablaufs von SSL-Zertifikaten und Domains sowie PDF- und CSV-Berichte im Unternehmensdesign für SOC 2-, ISO 27001- und PCI DSS-Audits – alles in einem Dashboard.