PTR-Eintrag prüfen: Reverse DNS für deinen Mailserver

Was ist ein PTR-Eintrag?

DNS ist das Verzeichnis, das Namen und technische Adressen miteinander verbindet. Bei einer normalen DNS-Abfrage suchst du zu einem Namen die IP-Adresse. Ein A-Eintrag liefert eine IPv4-Adresse, ein AAAA-Eintrag eine IPv6-Adresse.

Reverse DNS arbeitet in die andere Richtung: Du fragst nach einer IP-Adresse und erhältst über den PTR-Eintrag einen Hostnamen. PTR steht für „Pointer“. Für den Mailbetrieb kann dieser Name zum Beispiel mail.werkstatt.example lauten.

Damit beide Richtungen zusammenpassen, muss der zurückgelieferte Name wieder zur geprüften IP-Adresse auflösen. Diese Gegenprobe wird auch „Forward-confirmed Reverse DNS“ genannt.

Wichtig für die Zuständigkeit: Die Rückwärtszone gehört zum IP-Adressbereich. Sie liegt deshalb normalerweise beim Internetanbieter oder Serverhoster. Ein PTR-Feld in der DNS-Verwaltung deiner Domain reicht nicht, wenn dieser Anbieter die Rückwärtszone gar nicht verwaltet. Cloudflare erläutert die Verwaltung von Reverse-DNS-Zonen.

Warum ist Reverse DNS für Firmenmail wichtig?

Ein empfangender Mailserver sieht zunächst die IP-Adresse des Servers, der eine Verbindung aufbaut. Ein plausibler, überprüfbarer Hostname hilft dabei, diesen Absender technisch einzuordnen. Google verlangt für sendende IP-Adressen gültige, zueinander passende Vorwärts- und Rückwärtsauflösung. Quelle: Gmail-Richtlinien für E-Mail-Absender.

Ein korrekter PTR-Eintrag ist allerdings keine Eintrittskarte für den Posteingang. Auch die Reputation der IP-Adresse, die Authentifizierung deiner Domain und der tatsächliche Versand spielen eine Rolle. Eine abgelehnte Nachricht wird nicht automatisch zugestellt, nur weil Reverse DNS stimmt.

Für ein kleines Unternehmen lautet die praktische Frage deshalb: Wer baut die letzte SMTP-Verbindung zum Empfänger auf? SMTP ist das Protokoll für die Übertragung von E-Mails zwischen Servern. Genau dessen sendende öffentliche IP-Adresse interessiert uns hier.

Direktversand oder SMTP-Relay: Welche IP musst du prüfen?

Beim Direktversand verschickt dein Mailserver selbst an die Server der Empfänger. Läuft er hinter einem Router, ist seine lokale Adresse wie 192.168.1.20 dafür nicht entscheidend. Relevant ist die öffentliche Adresse, mit der die Verbindung nach außen erscheint.

Bei einem SMTP-Relay übergibt dein Server ausgehende Nachrichten an einen Versanddienst. Dieser stellt sie weiter zu. Auf diesem letzten Weg sieht der Empfänger die IP-Adresse des Relays. Dessen Anbieter kümmert sich um die zugehörige Serveridentität. Du musst weiterhin die von ihm geforderten Einstellungen für deine Absenderdomain korrekt vornehmen.

So ermittelst du den passenden Prüfpunkt:

• Eigener Server mit Direktversand: Öffentliche ausgehende IP-Adresse in der Server- und Netzwerkkonfiguration ermitteln. Bei mehreren Adressen alle tatsächlich genutzten Versandwege berücksichtigen.
• MailPlus mit Relay: Relay-Konfiguration und Vorgaben des Versanddienstes prüfen. Der PTR deiner eigenen Anschlussadresse löst hier nicht automatisch ein Zustellproblem des Relays.
• Gehostete Firmenmail: Zustellfehler und vollständige Mailheader an den Anbieter geben. Die IP-Adressen seiner Versandserver verwaltest du normalerweise nicht selbst.

Die IP-Adresse einer Webseite ist kein zuverlässiger Ersatz für diese Prüfung. Website und Mailversand können bei unterschiedlichen Anbietern laufen.

PTR und Vorwärtsauflösung in drei Schritten prüfen

Die folgenden Befehle sind reine Abfragen und verändern keine DNS-Einträge. Du kannst sie in einem Terminal mit installiertem dig ausführen, etwa unter macOS. Alle Adressen und Ausgaben im Beispiel sind reservierte Beispieldaten, keine Messung eines echten Servers. Ersetze sie durch deinen tatsächlichen Versandweg.

1. Rückwärts nach dem Namen fragen

Für die Beispieladresse lautet die Abfrage:

dig -x 203.0.113.25 +short

Eine passende Beispielantwort wäre:

mail.werkstatt.example.

Der abschließende Punkt kennzeichnet einen vollständigen DNS-Namen. Er ist kein Tippfehler.

Bleibt die Ausgabe leer, wiederhole die Abfrage ohne +short:

dig -x 203.0.113.25

Erst die vollständige Antwort zeigt, ob beispielsweise kein Eintrag existiert oder die DNS-Abfrage fehlgeschlagen ist. Eine leere Kurzantwort allein erklärt die Ursache noch nicht.

2. Den gefundenen Namen vorwärts auflösen

Frage jetzt den Namen aus der tatsächlichen PTR-Antwort ab:

dig A mail.werkstatt.example +short

In unserem Beispiel muss die Antwort die Adresse 203.0.113.25 enthalten. Kommt eine andere Adresse zurück, passen beide Richtungen für diese Versand-IP nicht zusammen.

Für einen Versandweg über IPv6 nutzt du die tatsächliche IPv6-Adresse bei dig -x und prüfst anschließend den AAAA-Eintrag des zurückgegebenen Namens. Ein funktionierender IPv4-Pfad beweist nichts über IPv6.

3. Mit dem wirklichen Versand vergleichen

Schicke eine Testnachricht über den betroffenen Versandweg an ein eigenes externes Postfach. Prüfe dort die vollständigen Nachrichtenheader und bei Problemen den Zustellbericht. Entscheidend ist, ob deine DNS-Prüfung wirklich die IP-Adresse betrifft, die der empfangende Server gesehen hat.

Bei komplexen Headern hilft der Mailanbieter oder Administrator beim Einordnen. Leite vollständige Header nicht unbedacht an öffentliche Foren weiter: Sie können Adressen und interne technische Informationen enthalten.

Einen PTR-Eintrag ändern lassen

Wenn die Zuordnung fehlt oder falsch ist, öffne die Reverse-DNS-Einstellung beim Anbieter deiner IP-Adresse oder kontaktiere dessen Support. Bei einem eigenen festen Anschluss ist das typischerweise dein Internetanbieter, bei einem virtuellen Server der Hoster.

Eine konkrete Anfrage kann so aussehen:

Bitte setzen Sie den PTR-Eintrag für unsere öffentliche Versand-IP auf den Hostnamen unseres Mailservers. Der zugehörige A- beziehungsweise AAAA-Eintrag soll auf dieselbe Adresse zeigen. Bitte bestätigen Sie, für welche IPv4- und IPv6-Adressen die Änderung erfolgt.

Ergänze vor dem Absenden die echten Adressen und den echten Hostnamen. Stimme außerdem den Namen ab, mit dem sich dein Mailserver per SMTP meldet. Diese Serverkonfiguration ist ein eigener Punkt neben dem DNS-Eintrag.

Plane die Prüfung nach einer Änderung mit ein. DNS-Antworten werden zwischengespeichert; die TTL beschreibt ihre vorgesehene Gültigkeitsdauer im Cache. Bereits gespeicherte Antworten können deshalb noch den alten Stand zeigen. Prüfe erneut, statt mehrere Änderungen auf Verdacht hintereinander vorzunehmen.

Typische Fehler und der passende nächste Schritt

Beobachtung	Sinnvolle Prüfung
Die Rückwärtsabfrage liefert keinen Namen.	Vollständige DNS-Antwort prüfen und Zuständigkeit beim IP-Anbieter klären.
PTR liefert einen Namen, dessen A-Eintrag auf eine andere IP zeigt.	Vorwärts- und Rückwärtsauflösung gemeinsam korrigieren lassen.
IPv4 ist korrekt, einzelne Zustellungen scheitern weiter.	Prüfen, ob der Server zusätzlich über IPv6 sendet und dieser Weg korrekt eingerichtet ist.
DNS sieht gut aus, der Empfänger lehnt trotzdem ab.	Konkreten SMTP-Fehler, Authentifizierung und Versand-IP untersuchen. PTR ist nur ein Baustein.
Der Anschluss erlaubt keinen eigenen PTR oder hat keine geeignete öffentliche IP.	Eignung für Direktversand neu bewerten; Relay oder gehostete Firmenmail prüfen.

Bei CGNAT teilen sich mehrere Anschlüsse eine öffentliche IPv4-Adresse. Ein eigener Mailserver mit direkt steuerbarer öffentlicher IPv4-Adresse lässt sich daraus nicht durch einen zusätzlichen DNS-Eintrag machen. Kläre die Anschlussbedingungen vor dem Aufbau.

Braucht jede Maildomain einen eigenen PTR?

Nicht automatisch. Ein Mailserver kann mehrere Absenderdomains bedienen und dabei über dieselbe IP-Adresse versenden. Der PTR beschreibt die Serveradresse. Er muss nicht für jede Mail die Domain rechts vom sichtbaren @ nachbilden.

Die Berechtigung, für eine bestimmte Domain zu senden, behandeln andere Verfahren: SPF, DKIM und DMARC. Auch der MX-Eintrag hat eine andere Aufgabe: Er nennt die Server, die eingehende E-Mails für eine Domain annehmen. Ein korrekter MX-Eintrag ersetzt keinen PTR.

Was du jetzt konkret erledigen kannst

Notiere deinen tatsächlichen Versandweg, die ausgehende öffentliche IP-Adresse und den zuständigen Anbieter. Prüfe PTR und Vorwärtsauflösung. Wenn etwas nicht passt, hast du damit eine konkrete Supportanfrage statt eines allgemeinen „Unsere E-Mails kommen nicht an“.

Danach geht es an die Domain-Authentifizierung: SPF, DKIM und DMARC für Firmenmail verständlich erklärt. Kurze Definitionen zu weiteren Begriffen findest du im Glossar.