DNS-Probleme im Firmennetz: Fehlersuche am Server

Kurz gesagt: Wenn im Firmennetz Namen nicht mehr aufgelöst werden, Anmeldungen hängen oder Webseiten nur verzögert laden, liegt es oft am Windows-DNS-Server. Microsoft empfiehlt eine feste Prüfreihenfolge: IP-Konfiguration, Erreichbarkeit des DNS-Servers, Zonendaten, Rekursion und Weiterleitungen. Die häufigsten Ursachen sind fehlende Einträge durch falsch eingestelltes Aufräumen (Scavenging), nicht erreichbare Forwarder und doppelte Registrierungen über DHCP.

Stand: 03.11.2026

Wie erkenne ich ein DNS-Problem?

DNS-Fehler tarnen sich gern als etwas anderes. Typische Symptome im Firmennetz: Die Anmeldung am Domänen-PC dauert minutenlang, Netzlaufwerke werden nicht verbunden, Outlook findet den Server nicht, Webseiten laden erst nach einer langen Pause, oder ein Server ist per IP-Adresse erreichbar, per Name aber nicht. Treten solche Symptome bei mehreren Nutzern gleichzeitig auf, schauen wir zuerst auf den DNS-Server, meist den Domänencontroller.

In welcher Reihenfolge prüfe ich?

Microsoft gibt für die Fehlersuche eine Prüfliste vor. Auf dem Server: IP-Konfiguration, DNS-Server, maßgebliche Zonendaten (Authoritative Data), Rekursion und Zonenübertragung. Auf dem Client: IP-Konfiguration und Netzwerkverbindung. In der Praxis heißt das:

1. Client prüfen. Hat der Client die richtige IP-Adresse und als DNS-Server ausschließlich die internen DNS-Server eingetragen? Ein externer DNS-Server als zweiter Eintrag ist eine Klassikerursache für sporadische Anmeldeprobleme, weil er die interne Domäne nicht kennt.
2. Server erreichbar? Antwortet der DNS-Server überhaupt auf Anfragen? Lauscht er auf der richtigen Adresse?
3. Zonendaten prüfen. Sind die Einträge für Domänencontroller, Server und Clients vorhanden und aktuell?
4. Rekursion und Weiterleitung. Löst der Server externe Namen über Forwarder oder Stammhinweise (Root Hints) auf, und sind diese erreichbar?
5. Replikation. Bei mehreren Domänencontrollern: Sind die Zonen auf allen Servern gleich?

Warum fehlen plötzlich Einträge in der Zone?

Das ist das häufigste Fehlerbild, und Microsoft nennt dafür mehrere Ursachen:

• Scavenging falsch eingestellt. Das Aufräumen alter Einträge (Aging und Scavenging) löscht Einträge, wenn Nicht-Aktualisierungsintervall und Aktualisierungsintervall beide unter 24 Stunden liegen. Dann verschwinden auch Einträge von Geräten, die nur gerade nicht eingeschaltet waren.
• Fehlgeschlagene dynamische Updates. Kann ein Client seinen Eintrag nicht erneuern, räumt das Scavenging ihn irgendwann weg. Hinweise liefert das Systemprotokoll mit Netlogon-Ereignissen der Reihe 577x.
• IP-Wechsel bei AD-integrierten Zonen. Beim Ändern der IP-Adresse kann die Löschung des alten A-Eintrags auf dem alten Server auf den neuen repliziert werden.
• DHCP und Client registrieren beide. Steht der DHCP-Server auf „DNS-Einträge immer dynamisch aktualisieren“ und registriert der Client zusätzlich selbst, entstehen bei „Nur sichere Updates“ inkonsistente Einträge. Microsoft rät, dynamische Updates am Client nicht zu konfigurieren, wenn der DHCP-Server bereits aktualisiert.
• Lease in Reservierung umgewandelt. Dann werden A- und PTR-Eintrag gelöscht. Das ist so vorgesehen, beim nächsten DHCP-Renewal werden sie neu gesetzt.

Warum antwortet der DNS-Server nur verzögert?

Lange Wartezeiten beim Aufruf externer Namen deuten auf Weiterleitungen, die ins Leere laufen. Öffne den DNS-Manager und prüfe in den Servereigenschaften, ob die eingetragenen Forwarder und bedingten Weiterleitungen erreichbar sind. Nicht erreichbare Einträge entfernst du. Werden weder Forwarder noch Stammhinweise benötigt, etwa auf einem rein internen Server, kannst du unter Erweitert die Option Rekursion deaktivieren (Disable recursion) setzen. Beachte: Das schaltet auch die Weiterleitung ab.

Welche Ereignis-IDs sollte ich kennen?

• Ereignis 4004 und 4013: Der DNS-Server kann Active Directory nicht öffnen. Das passiert typischerweise nach dem Neustart eines Domänencontrollers, wenn der DNS-Dienst vor den AD-Diensten startet. Microsoft verweist hier auf die Fehlerbehebung der AD-Dienste und einen Neustart des DNS-Serverdienstes.
• Ereignis 410: Bei NIC-Teaming übernimmt der DNS-Server nach einem Neustart die Beschränkung auf bestimmte Schnittstellen nicht und lauscht auf allen IP-Adressen.
• Netlogon 577x: Fehlgeschlagene dynamische DNS-Registrierungen.

Welche Fehler sehen wir sonst noch?

• Falsche Netzwerkadapter registriert. Ein Server mit mehreren Adaptern trägt alle Adressen in DNS ein, Clients erwischen die falsche. Lösung laut Microsoft: In den TCP/IP-Eigenschaften unter Erweitert, DNS die Registrierung für den betreffenden Adapter deaktivieren, im DNS-Manager die Schnittstellen einschränken, die Adresse aus den Namenserver-Einstellungen der Zone entfernen und den alten A-Eintrag löschen.
• Bedingte Weiterleitung mit IPv4 und IPv6. Die Auflösung bricht nach einiger Zeit ab, nslookup meldet „nonexistent domain“. Den Cache zu leeren hilft nur kurz.
• Client-Cache abgeschaltet. Windows hat einen DNS-Cache auf dem Client. Ein Betrieb mit deaktiviertem Cache wird von Microsoft nicht unterstützt und erzeugt unnötige Last auf dem Server.

Wie sammle ich Daten für den Support?

Reicht die Sichtprüfung nicht, nutzt Microsoft das Werkzeug TSS. Du lädst es von aka.ms/getTSS herunter, entpackst es nach C:tss und startest in einer PowerShell mit Administratorrechten das Szenario NET_DNSsrv auf dem Server oder NET_DNScli auf dem Client. Dann reproduzierst du das Problem und beendest die Aufzeichnung mit Y. Das Archiv liegt anschließend unter C:MS_DATA. Vorher muss gegebenenfalls die Ausführungsrichtlinie für den Prozess auf RemoteSigned gesetzt werden.

So unterstützen wir dich

Wir betreuen Windows-Server und Netzwerke für Unternehmen in Osnabrück und Umgebung. Bei DNS-Problemen schalten wir uns per Fernwartung auf, prüfen Zonen, Forwarder und Scavenging und räumen die Konfiguration dauerhaft auf, statt nur den Cache zu leeren. Mehr auf unserer Seite zu Netzwerk und Server.

Häufige Fragen

Warum sollte der Client nur interne DNS-Server eingetragen haben?

Externe DNS-Server kennen die interne Domäne nicht. Fragt der Client dort nach dem Domänencontroller, bekommt er keine Antwort, und Anmeldung oder Gruppenrichtlinien hängen.

Darf ich Scavenging einfach abschalten?

Dann sammeln sich veraltete Einträge an. Besser sind Intervalle, die Microsoft als sicher beschreibt: Nicht-Aktualisierungs- und Aktualisierungsintervall nicht beide unter 24 Stunden.

Was bedeutet Ereignis 4013 nach dem Neustart?

Der DNS-Server konnte Active Directory beim Start nicht öffnen. Meist löst sich das nach dem Start der AD-Dienste, sonst hilft ein Neustart des DNS-Serverdienstes.

Hilft ein Neustart des Servers?

Kurzfristig oft, die Ursache bleibt. Fehlende Einträge, kaputte Forwarder oder doppelte Registrierungen kommen wieder, bis die Konfiguration korrigiert ist.

Quellen

• Troubleshooting guidance for DNS issues (Microsoft Learn, abgerufen am 03.11.2026)