Reverse DNS und PTR-Eintrag: Funktion und E-Mail-Versand
Wie PTR-Einträge IP-Adressen Namen zuordnen, wer sie ändern kann, was FCrDNS für Mailserver bedeutet und was fehlende oder abweichende Ergebnisse zeigen.
Von der Adresse zum Namen
Vorwärts-DNS-Einträge wie A und AAAA liegen in der Zone einer Domain: Wer example.com verwaltet, legt fest, dass www.example.com auf eine Adresse zeigt. Reverse DNS braucht einen eigenen Namensbaum, weil Adressen nicht nach Domainnamen organisiert sind. Für IPv4 ist das in-addr.arpa, für IPv6 ip6.arpa.
Für den Reverse-Namen wird die Adresse rückwärts geschrieben. Aus 8.8.8.8 wird 8.8.8.8.in-addr.arpa und aus 203.0.113.10 wird 10.113.0.203.in-addr.arpa, damit der allgemeinste Teil der Adresse wie bei einem Domainnamen am Ende steht. Bei IPv6 wird jede Hexadezimalziffer der vollständigen 32-stelligen Adresse in umgekehrter Reihenfolge notiert und durch Punkte getrennt; deshalb sind IPv6-Reverse-Namen lang.
Wer einen PTR-Eintrag verwaltet
Die regionale Internet-Registry delegiert die Reverse-Zone eines Adressblocks an die Organisation, der der Block zugeteilt ist; diese kann sie wiederum an eine Stelle ihrer Wahl weitergeben. Bei einem Privat- oder Mobilfunkanschluss ist das der eigene Anbieter. Bei einem Cloud-Server ist es der Cloud-Anbieter, der den Namen meist im Kundenportal oder auf Anfrage setzen lässt.
Deshalb bewirkt ein PTR-Eintrag beim Domain-Registrar oder DNS-Hoster nichts: Diese verwalten nicht die Reverse-Zone der Serveradresse. Zuständig ist der Anbieter, der die Adresse vergeben hat; ihm den gewünschten Hostnamen exakt nennen.
Forward-Confirmed Reverse DNS (FCrDNS)
Wer eine Reverse-Zone verwaltet, kann darin jeden beliebigen Namen veröffentlichen, auch einen Namen in einer fremden Domain. Ein PTR-Name wird deshalb in Gegenrichtung geprüft: Die A- oder AAAA-Einträge dieses Namens werden abgefragt, und einer davon muss die ursprüngliche Adresse sein. Stimmen beide Richtungen überein, spricht man von Forward-Confirmed Reverse DNS (FCrDNS), also einem durch die Vorwärtsauflösung bestätigten Reverse DNS.
Die Reverse-DNS-Abfrage von IPNixa führt beide Schritte aus. Sie fragt Cloudflare und Google nach dem PTR-Eintrag, löst dann den zurückgegebenen Namen auf und meldet einen von vier Zuständen.
| Ergebnis | Bedeutung | Typischer nächster Schritt |
|---|---|---|
| Vorwärtsauflösung stimmt überein | Ein PTR-Name existiert und löst wieder auf dieselbe Adresse auf | Nichts zu tun; genau das erwarten Mailserver |
| Vorwärtsauflösung weicht ab | Ein PTR-Name existiert, aber seine Vorwärtseinträge enthalten die Adresse nicht | Den Anbieter bitten, den PTR-Eintrag zu ändern, oder die Adresse in den A- oder AAAA-Eintrag des Namens aufnehmen |
| Kein PTR-Eintrag | Die Reverse-Zone antwortet, dass für diese Adresse kein Name existiert | Den Adressinhaber bitten, einen anzulegen, falls die Adresse E-Mails versendet oder einen Namen braucht |
| Nicht überprüfbar | Ein Resolver ist fehlgeschlagen, hat das Zeitlimit überschritten oder eine widersprüchliche Antwort geliefert | Die Abfrage später wiederholen, bevor etwas geändert wird |
Beobachtete Abfragen
Wir haben diese öffentlichen Adressen am 2. November 2026 über die DNS-over-HTTPS-Resolver von Cloudflare und Google abgefragt. Jeder Name löste wieder auf die ursprüngliche Adresse auf.
| Adresse | PTR-Name | Vorwärtsabfrage enthält die Adresse |
|---|---|---|
| 8.8.8.8 | dns.google | Ja (8.8.8.8 und 8.8.4.4) |
| 1.1.1.1 | one.one.one.one | Ja (1.1.1.1 und 1.0.0.1) |
| 9.9.9.9 | dns9.quad9.net | Ja (9.9.9.9 und 149.112.112.9) |
| 173.194.118.27 | yukulhq-in-f27.1e100.net | Ja |
Was die Beispiele zeigen
Die vierte Adresse wurde zu diesem Zeitpunkt für den Posteingangsserver von Gmail, gmail-smtp-in.l.google.com, zurückgegeben. Ihr PTR-Name liegt nicht unter gmail.com, sondern unter 1e100.net, der Domain, die Google für seine Servernamen verwendet. Ein PTR-Name muss nicht zu der Domain passen, unter der ein Dienst bekannt ist; er muss wieder auf die Adresse auflösen.
Die beiden Resolver lieferten dieselben Namen mit sehr unterschiedlichen Restlaufzeiten im Cache. Für 8.8.8.8 meldete Cloudflare 84.907 Sekunden und Google 18.566 Sekunden, weil jeder den Eintrag zu einem anderen Zeitpunkt zwischengespeichert hatte. Nach einer PTR-Änderung durch den Anbieter kann der alte Name daher bis zum Ablauf der vollen TTL des Eintrags erscheinen.
Ein Privatanschluss hat meist einen generischen, aus der Adresse erzeugten Namen. Ein am selben Tag geprüfter Breitbandanschluss in Bangkok lieferte einen Namen der Form ppp-a-b-c-d.revip8.asianet.co.th, wobei a bis d für die Zahlen der Adresse stehen. Solche Namen kennzeichnen den Anbieter und oft die Anschlussart, nicht den Anschlussinhaber.
Warum Mailserver Reverse DNS brauchen
Empfangende Mailserver nutzen Reverse DNS als einfache erste Prüfung gegen Spam von kompromittierten Heimcomputern. Die Richtlinien von Google für E-Mail-Absender verlangen, dass sendende Server einen gültigen PTR-Eintrag haben, der wieder auf die sendende Adresse auflöst; andere große Postfachanbieter prüfen ähnlich. Generische Namen wie im Breitband-Beispiel oben werden häufig als Privatanschluss eingestuft und gefiltert.
- Einen Hostnamen für den Server unter einer selbst verwalteten Domain wählen, zum Beispiel mail.example.com.
- Einen A-Eintrag anlegen, der den Hostnamen der Adresse des Servers zuordnet, und einen AAAA-Eintrag, falls der Server über IPv6 sendet.
- Den Anbieter, dem die Adresse gehört, bitten, den PTR-Eintrag dieser Adresse auf denselben Hostnamen zu setzen. Das für jede Adresse wiederholen, von der der Server sendet, für IPv4 und IPv6.
- Den Mailserver so konfigurieren, dass er in seiner SMTP-Begrüßung (HELO oder EHLO) denselben Hostnamen nennt.
- Das Ergebnis mit der Reverse-DNS-Abfrage von IPNixa prüfen, bis beide Resolver eine Übereinstimmung zeigen; dabei berücksichtigen, dass die TTL des alten Eintrags erst ablaufen muss.
Was Reverse DNS nicht verrät
Ein PTR-Name ist eine vom Adressinhaber gewählte Bezeichnung. Er kann veraltet, generisch oder gar nicht vorhanden sein und sagt nichts darüber, wer eine dynamische Adresse heute nutzt. Er eignet sich, um das Netzwerk oder die Serverrolle zu erkennen, nicht eine Person. Private Adressen wie 192.168.1.10 haben keine öffentlichen Reverse-Einträge; die Abfrage überspringt sie.
Häufige Fragen
Kann ich einen PTR-Eintrag bei meinem Domain-Registrar setzen?
In der Regel nicht. Der PTR-Eintrag gehört zur Reverse-Zone der IP-Adresse, die der Inhaber des Adressblocks verwaltet. Zuständig ist der Hosting- oder Internetanbieter; manche Cloud-Anbieter erlauben die Einstellung in den Server- oder Adresseinstellungen.
Kann eine Adresse mehrere PTR-Namen haben?
DNS erlaubt es, doch viele Systeme verwenden nur einen dieser Namen. Für Mailserver genau einen PTR-Namen pro Adresse veröffentlichen, der wieder auf diese Adresse auflöst.
Braucht mein Internetanschluss zu Hause Reverse DNS?
Nicht zum Surfen, Spielen oder Streamen. Relevant ist es nur beim Betrieb eines Servers, den andere anhand seines Namens prüfen, etwa eines Mailservers. Die meisten Anbieter für Privatkunden lassen Kunden den Eintrag ohnehin nicht ändern.
Warum zeigt die Abfrage bei einer großen Website eine Abweichung?
Content-Delivery-Netzwerke und Load Balancer haben oft PTR-Namen für ihre eigene Infrastruktur, und die Vorwärtseinträge dieser Namen können sich schnell ändern. Eine Abweichung ist bei einem selbst betriebenen Mailserver wichtig, bei einer besuchten Website kaum.