DNS für Endkunden-Domains

mittel · Stand 8. Mai 2026

DNS ist eine der häufigsten Reseller-Aufgaben — neue Domain einrichten, Mail-Records anpassen, externe Service-Provider eintragen (Google Site Verification etc.). Plesk macht das in der GUI, aber Du musst die Mechanik verstehen.

DNS-Setup-Varianten

Drei Wege, wie eine Endkunden-Domain DNS-konfiguriert wird:

A) Master-DNS bei xaweho (empfohlen)

Domain zeigt auf unsere Nameserver:

ns1.xaweho.de
ns2.xaweho.de

Plesk verwaltet alle DNS-Records direkt. Du machst Änderungen in Plesk, sie sind sofort weltweit aktiv (nach DNS-Propagation).

Vorteile:

Alles in einer GUI
DNSSEC einfach zu aktivieren
Schnelle Änderungen

Wenn Du das willst: Beim Domain-Registrar des Endkunden Nameserver-Wechsel auf ns1.xaweho.de und ns2.xaweho.de.

B) Slave-DNS bei xaweho

Master-DNS bleibt beim externen Anbieter, xaweho ist Backup-Slave:

Externer Master: z.B. Cloudflare, der eigene DNS-Provider des Kunden
Slave bei uns für Redundanz

Wenn Du das willst: Schreib uns Ticket — wir richten Slave-Synchronisation ein.

C) Externer DNS-Provider, kein xaweho

Manche Endkunden wollen DNS bei Cloudflare, Hetzner-DNS, Route53 etc. behalten:

A-Record bei externen Anbieter manuell auf unsere IP setzen
MX-Record auf mail.<deinedomain> setzen
SPF, DKIM, DMARC manuell pflegen

Plesk DNS-Einstellungen sind dann deaktiviert für diese Domain.

DNS-Records, die Plesk automatisch setzt

Bei Master-DNS-Setup mit unseren Nameservern setzt Plesk automatisch:

A-Record: <deinedomain> → Server-IP
AAAA-Record: <deinedomain> → IPv6
A-Record für www: gleiche IP
A-Record für mail, webmail: Mail-Server-IP
A-Record für ftp, pop3, smtp, imap: Server-Aliasse
NS-Records: zeigt auf ns1 und ns2
SOA-Record: Standard-Settings
MX-Record: mail.<deinedomain> mit Prio 10
TXT-Records:
- SPF (v=spf1 mx ~all)
- DKIM (key)
- DMARC (v=DMARC1; p=none; ...)

Standard-Setup deckt 95% der Use-Cases ab.

Custom-Records hinzufügen

Wenn ein Kunde z.B. Google-Site-Verification, externes Mail (Office 365), oder eigenen Subdomain-Service hat:

Endkunde-Domain → Hosting & DNS → DNS-Einstellungen.

Klick + Eintrag hinzufügen:

Typ: A, AAAA, CNAME, MX, TXT, SRV, etc.
Name: leer = Hauptdomain, oder Subdomain (z.B. _acme-challenge)
Wert: der Record-Inhalt
TTL: Default 3600

Speichern → Zone wird aktualisiert.

Beispiel: externes Mail mit Office 365

Kunde wechselt Mail zu Office 365, Webhosting bei Dir:

In Plesk DNS-Settings:

MX 0 <kundendomain>-de.mail.protection.outlook.com.
TXT  v=spf1 include:spf.protection.outlook.com -all
TXT  selector1._domainkey.<kundendomain>.de  selector1-<...>

(Office 365 gibt die exakten Werte vor.)

Plus: in Plesk Mail-Einstellungen → Mail-Service deaktivieren für die Domain. Sonst antwortet unser Mail-Server lokal, statt Office 365 zu nutzen.

DNS-Templates

Wenn Du oft die gleichen Custom-Records einbaust (z.B. immer einen analytics-Subdomain):

In Reseller-Settings → DNS-Vorlage kannst Du Template-Records definieren. Bei jeder neuen Domain werden die automatisch eingefügt.

Praktisch für:

Verifications-Records, die Du standardmäßig setzt
Eigene Tracking-Subdomains
Spezial-Records für CMS

SSL und DNS — Zusammenhang

Let’s-Encrypt-Validierung läuft per HTTP-Challenge (Plesk legt Datei in /.well-known/acme-challenge/).

Wenn Du Wildcard-Zertifikat willst (*.deinedomain.de):

Plesk muss DNS-Records ad-hoc anlegen können (TXT-Record für ACME-DNS-Challenge)
Funktioniert automatisch bei Master-DNS bei xaweho
Funktioniert nicht bei externem DNS — manuelle Validierung nötig

DNSSEC

DNS-Sicherheit gegen Cache-Poisoning. Aktivierbar bei xaweho-DNS:

In Plesk: Domain → DNSSEC aktivieren → Plesk generiert Schlüssel, kommuniziert mit Domain-Registrar.

Wichtig: Domain-Registrar muss DS-Records vom Plesk übernehmen. Bei manchen Registrars manueller Schritt — Plesk gibt Anweisungen.

DNS-Änderungen und Propagation

DNS-Änderungen sind nicht sofort weltweit aktiv. Caching:

TTL bestimmt, wie lange Resolver den Wert cachen
Default 3600 (1 Stunde)
Bei Migration TTL vorher auf 300 (5 Min) reduzieren

Praktischer Test: dig <kundendomain>.de @8.8.8.8 zeigt aktuelle Werte aus Google-DNS-Sicht.

Häufige Stolperfallen

Domain zeigt nicht auf uns

Symptom: Endkunde-Webseite erreichbar nur lokal. Lösung: Nameserver beim Registrar prüfen.

dig <kundendomain>.de NS @8.8.8.8

Sollte ns1.xaweho.de und ns2.xaweho.de zeigen.

Mail bouncet trotz korrektem MX

Häufige Gründe:

SPF zu strikt (-all statt ~all) — externe Mail-Anbieter werden blockiert
DKIM fehlt — Empfänger lehnen ab
Reverse-DNS (PTR) — Plesk setzt das nicht, ist Server-Admin-Sache (für unsere IPs setzen wir das automatisch)

CNAME bei Hauptdomain

DNS-Standard: CNAME nur für Subdomains, nicht für die Wurzel-Domain. Wenn Du <kundendomain>.de als CNAME setzen willst (z.B. zu Cloudflare), geht das nicht — A-Record nötig.

Workaround: ALIAS-Record (manche DNS-Provider unterstützen das). Plesk: nicht direkt, aber wir können auf Anfrage konfigurieren.

TTL-Falle bei Migration

Wenn der Kunde noch beim alten Hoster ist und Du DNS bei uns vorbereitest: kein Effekt, solange Nameserver am alten Hoster zeigen.

Erst wenn Nameserver-Wechsel beim Registrar: unsere DNS-Settings werden weltweit aktiv.

Häufige Fragen

Wie schnell sind DNS-Änderungen aktiv? Bei TTL 3600: 0-60 Min weltweit. Bei TTL 300: 0-5 Min.

Kann ich Endkunden-DNS-Verwaltung erlauben? Ja, im Service-Plan: Berechtigung „DNS verwalten” → Endkunde sieht DNS-Settings im Customer-Plesk.

Aber: viele Endkunden machen DNS-Fehler. Wir empfehlen, DNS bei Reseller (Dir) zu lassen, außer der Kunde ist technisch versiert.

DNS für viele Domains gleichzeitig anpassen? Plesk hat keine direkte Bulk-Funktion. Bei strukturellen Änderungen (z.B. neuer Mail-Server-Hostname): per Skript oder uns Ticket.

Funktionieren _dmarc und _acme-challenge automatisch? DMARC ja, mit Standard-Werten. ACME-Challenge wird ad-hoc bei SSL-Beantragung erstellt.

Eigene Nameserver mit Reseller-Branding? Möglich auf Anfrage: ns1.deine-agentur.de als Alias auf unsere Nameserver. Setup-Aufwand, schreib uns Ticket.

Was, wenn Endkunde DNS-Änderung will, die ich für riskant halte? Du hast als Reseller die Kontrolle. Du kannst Änderungen ablehnen oder testen lassen. Bei Unsicherheit: schreib uns Ticket, wir geben Zweit-Meinung.

DNS-Propagation-Test-Tools? whatsmydns.net zeigt DNS aus mehreren globalen Locations. Praktisch zum Verifizieren.

Weiter geht’s

Passende Produkte