DNS_PROBE_FINISHED_NXDOMAIN: Ursachen und Lösung

Was der Fehler bedeutet

Bevor ein Browser eine Website aufrufen kann, fragt er das Domain Name System nach der Adresse hinter dem Namen. NXDOMAIN ist die DNS-Antwort „diesen Namen gibt es nicht“. Chrome zeigt sie als DNS_PROBE_FINISHED_NXDOMAIN („Diese Website ist nicht erreichbar“), Firefox als „Hmm. Diese Seite ist nicht auffindbar“, Safari als „Safari kann den Server nicht finden“. Es wurde keine Verbindung versucht; der Browser hat nie eine Adresse bekommen, zu der er verbinden könnte.

Das ist in einer Hinsicht eine gute Nachricht: Der Webserver ist gar nicht beteiligt. Das Problem liegt im DNS, entweder beim Besucher (Tippfehler, alter Cache, ein falscher Resolver) oder beim Betreiber (Domain oder Einträge sind weg).

Häufige Ursachen

Beim Besucher

1. Ein Tippfehler in der Adresse oder ein Link auf eine Domain, die es nicht mehr gibt.
2. Ein DNS-Cache auf dem Rechner, im Browser oder im Router, der noch eine alte Antwort „gibt es nicht“ hält.
3. Ein Resolver ohne Internetverbindung, ein VPN oder Firmennetz, das die Domain sperrt, ein Jugendschutzfilter.
4. Antivirus- oder „Web-Schutz“-Software, die DNS abfängt.

Beim Betreiber

5. Die Domain ist abgelaufen. Der Registrar entfernt bei Ablauf die Nameserver, und ab dann existiert der Name nicht mehr. Die häufigste Ursache bei einer Website, die gestern noch lief.
6. Der A- oder AAAA-Eintrag fehlt. Nach einem Umzug zu einem neuen Hoster oder DNS-Anbieter wurde der Eintrag für www oder für die nackte Domain nie angelegt.
7. Nameserver gewechselt, Zone leer. Du hast die Domain auf Cloudflare oder einen neuen Hoster gezeigt, die Einträge aber vorher nicht dorthin kopiert.
8. Eine nie eingerichtete Subdomain. shop.example.com liefert NXDOMAIN, weil es keinen Eintrag für shop gibt, während example.com funktioniert.
9. DNSSEC kaputt. Ein falscher DS-Eintrag beim Registrar nach einem Anbieterwechsel lässt validierende Resolver (heute die meisten) scheitern, was Browser als NXDOMAIN oder einen ähnlichen Fehler anzeigen.
10. Propagation. Du hast gerade die Nameserver gewechselt; manche Resolver sehen noch die alte, jetzt leere Zone. Dauert bis zur TTL, schlimmstenfalls 24 bis 48 Stunden.

Wenn du Besucher bist

1. Prüf die Schreibweise der Adresse und probier sie mit und ohne www.
2. Leer den DNS-Cache: Windows ipconfig /flushdns, macOS sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder, Linux sudo resolvectl flush-caches. In Chrome chrome://net-internals/#dns öffnen und „Clear host cache“ klicken.
3. Starte den Router neu, oder ruf die Website auf dem Smartphone ohne WLAN auf. Klappt es dort, ist der Resolver deines Netzes das Problem.
4. Stell in den Netzwerkeinstellungen einen öffentlichen Resolver ein (1.1.1.1 oder 9.9.9.9).
5. Hilft nichts davon, ist die Domain wirklich weg oder kaputt, und nur der Betreiber kann das beheben.

Wenn es deine Website ist: zuerst prüfen

Lass den Website-Down-Checker laufen: Er sagt dir, ob die Domain von einem neutralen Standort aus auflöst. Wenn nicht, lies hier weiter. Wenn doch, liegt das Problem beim Besucher; schick ihm die Liste oben.

Dann sieh dir die Domain selbst an:

# löst der Name auf, und wer antwortet?
dig +short example.com A
dig +short www.example.com A
dig example.com NS +short

# den autoritativen Nameserver direkt fragen (umgeht jeden Cache)
dig @ns1.dein-dns-anbieter.de example.com A

# Registrierungsstatus und Ablaufdatum
whois example.com | grep -iE 'expir|status'

Eine leere Antwort von dig mit status: NXDOMAIN in der vollen Ausgabe heißt: Der Eintrag existiert beim autoritativen Server nicht. Zeigt whois einen Status wie clientHold, redemptionPeriod oder pendingDelete, ist die Registrierung das Problem, nicht die Einträge.

# DNSSEC: eine kaputte Kette erscheint bei validierenden Resolvern als SERVFAIL
dig @1.1.1.1 example.com A +dnssec | grep -E 'status|flags'

Lösungen für Betreiber

1. Abgelaufene Domain

Melde dich bei deinem Registrar an und verlängere. Die meisten Registrare stellen eine Domain in der Nachfrist (meist 30 Tage) binnen Minuten nach der Zahlung wieder her; in der Redemption-Phase danach kostet es eine Wiederherstellungsgebühr und dauert länger. Stell die Domain auf automatische Verlängerung und halte die hinterlegte Zahlungsart aktuell; eine abgelaufene Domain nimmt Mail, Website und jede Subdomain auf einmal vom Netz.

2. Fehlender Eintrag

Leg bei deinem DNS-Anbieter den fehlenden Eintrag an. Für eine Website ist das typischerweise:

example.com.      A      203.0.113.10
www.example.com.  CNAME  example.com.

Nimm die IP deines Webservers (hostname -I auf dem Server, oder die Adresse von deinem Hoster). Hat der Server IPv6, ergänze einen AAAA-Eintrag, oder entferne einen kaputten, wenn der Server keins hat. Änderungen wirken innerhalb der TTL des Eintrags, meist 5 Minuten bis eine Stunde.

3. Leere Zone nach einem Nameserver-Wechsel

Vor dem Wechsel der Nameserver die Zone beim alten Anbieter exportieren (dig example.com AXFR @alter-ns klappt selten; die meisten Anbieter haben einen Export-Button) und beim neuen importieren. Hast du schon gewechselt: Leg die Einträge beim neuen Anbieter neu an; A für die nackte Domain und www, MX und TXT für Mail, dazu alle Subdomains, die du nutzt. Der alte Anbieter zeigt dir die Liste oft noch.

4. DNSSEC

Liefert dig +dnssec SERVFAIL, während die einfache Abfrage beim autoritativen Server klappt, passt der DS-Eintrag beim Registrar nicht zu den Schlüsseln beim DNS-Anbieter. Entweder DNSSEC beim Registrar entfernen (DS-Eintrag löschen), bis beide Seiten gemeinsam eingerichtet sind, oder den neuen DS-Eintrag vom DNS-Anbieter zum Registrar kopieren.

5. Auf deinem eigenen Server

Nichts auf dem Webserver verursacht NXDOMAIN, es gibt also nichts neu zu starten. Prüf trotzdem, ob der Resolver deines Servers funktioniert, denn ein Server, der keine Namen auflöst, scheitert bei Updates, Mail und API-Aufrufen:

resolvectl status | head -20
dig +short example.com @127.0.0.53

Wenn es ein Problem deines Hosters ist

Betreibt dein Hoster auch dein DNS (üblich im Shared Hosting) und sehen die Einträge in seinem Panel richtig aus, lösen aber von außen trotzdem nicht auf, schick ihm:

Guten Tag, meine Domain example.com löst seit etwa 11:00 Uhr (UTC) nicht mehr auf (NXDOMAIN). Die Einträge im Kundenbereich sehen richtig aus, und die Domain ist bis 2027 registriert. Könnten Sie die DNS-Zone auf Ihren Nameservern prüfen und ob die Domain noch an sie delegiert ist?

Damit es nicht wieder passiert

NXDOMAIN auf der eigenen Domain ist fast immer die vergessene Verlängerung oder der nicht kopierte Eintrag. Ein DNS-Monitor vergleicht deine Einträge mit den Sollwerten und alarmiert dich, sobald einer verschwindet oder sich ändert; eine Website-Prüfung von außen erwischt den Moment, in dem der Name nicht mehr auflöst. Beides gehört zum Website-Monitoring, kostenlos für die ersten 50 Monitore. Und liegen die Einträge auf deinem eigenen Server, stellt der Intensiveingriff sie wieder her.