PTR-Record: wie aus einem Rechnernamen eine Firma wird

Wer wissen will, wem eine IP-Adresse gehört, schaut meist ins Netzverzeichnis, bei europäischen Adressen also in die Datenbank von RIPE. Es gibt einen zweiten Weg, der oft übersehen wird: die Rückwärtssuche im DNS. Dabei fragen Sie nicht „Wem gehört das Netz?“, sondern „Wie heißt der Rechner hinter dieser Adresse?“. Steht im Namen die Domain einer Firma, haben Sie einen brauchbaren Hinweis.

Dieser Artikel erklärt, was ein PTR-Record (PTR-Eintrag) ist, wer ihn setzt, woran Sie verwertbare von wertlosen Einträgen unterscheiden und wo die Methode an Grenzen stößt. Den Netzverzeichnis-Weg beschreibt Reverse IP Lookup einfach erklärt.

Was ein PTR-Eintrag ist

Das DNS kennt zwei Richtungen. Normalerweise fragen Sie nach einem Namen und bekommen eine Adresse (A- oder AAAA-Eintrag). Der PTR-Eintrag (englisch pointer record) ist die Gegenrichtung: Zu einer Adresse liefert er einen Namen.

Technisch wird die Adresse dafür umgedreht und mit einer Spezialendung versehen. Aus 203.0.113.25 wird die Abfrage 25.113.0.203.in-addr.arpa. Bei IPv6 heißt die Endung ip6.arpa. Die Adresse wird dabei Zeichen für Zeichen umgedreht. Die Antwort ist ein Rechnername, etwa mail.beispiel-firma.example.

Wichtig: Ein PTR-Eintrag ist freiwillig. Es gibt Adressen ohne Eintrag. Der Eintrag muss nicht mit dem Vorwärtseintrag übereinstimmen. Er ist ein Hinweis, kein Nachweis.

Wer ihn setzt

Den PTR-Eintrag pflegt, wer den Adressblock verwaltet:

• Provider setzen für ihre Kundenanschlüsse meist automatisch erzeugte Sammelnamen.
• Firmen mit eigenem Adressblock pflegen die Einträge selbst und tragen oft ihre eigene Domain ein.
• Geschäftsanschlüsse bekommen bei manchen Providern auf Wunsch einen Eintrag mit der Kundendomain. Das passiert vor allem bei Mailservern, weil viele Empfänger Mails von Adressen ohne passenden Rechnernamen ablehnen.

Daraus folgt: Ein Eintrag mit eigener Domain ist ein Zeichen, dass sich jemand bewusst um die Adresse gekümmert hat. Ein automatisch erzeugter Name sagt nur etwas über den Provider.

Muster erkennen: Sammelname oder eigene Domain

Der Rechnername besteht aus zwei Teilen: dem Vorderteil (mail, pool-1-2-3-4) und der registrierbaren Domain am Ende (beispiel-firma.example). Die Domain verrät Ihnen den Betreiber, der Vorderteil verrät Ihnen, ob der Name von Hand oder automatisch vergeben wurde.

Typische Anzeichen für einen Sammelnamen, der keine Firma verrät:

• Teile der Adresse stehen im Namen: 203-0-113-25.provider.example oder 25.113.0.203.provider.example
• Wörter wie dyn, dynamic, dial, pool, dsl, adsl, cable, cust, customer, mobile, lte, static, nat, cgn, client
• eine Domain, die erkennbar einem Provider, Hoster oder Rechenzentrum gehört

Typische Anzeichen für einen brauchbaren Namen:

• ein sprechender Vorderteil wie mail, gw, fw, vpn, proxy oder smtp
• keine Adressteile im Namen
• eine Domain, die erkennbar zu einem Unternehmen gehört und nicht zum Provider

Die Tabelle zeigt auch eine Falle: Kommt die Domain vom Provider oder Hoster, bringt Ihnen der Name nichts, selbst wenn er hübsch aussieht. Eine brauchbare Auswertung braucht deshalb eine Liste bekannter Provider- und Hoster-Domains, die ausgeschlossen werden.

Von der Domain zur Firma

Eine Domain ist noch keine Firma. Der übliche Weg zur Firma führt über die Website hinter der Domain:

1. Die registrierbare Domain bestimmen. Aus mail.beispiel-firma.example wird beispiel-firma.example. Bei Endungen wie co.uk zählen drei Teile.
2. Das Impressum aufrufen. In Deutschland, Österreich und der Schweiz müssen geschäftsmäßige Websites den Betreiber nennen, meist mit Rechtsform (GmbH, AG, KG und so weiter).
3. Den Rechtsnamen herauslesen und prüfen, ob er zu einer juristischen Person gehört und nicht zu einer Privatperson.

Die Textsuche hat Grenzen. Impressen sind nicht einheitlich aufgebaut, manche Seiten laden Inhalte erst per Skript nach. Manchmal steht im Impressum eine Agentur oder ein Mutterkonzern. Eine automatische Zuordnung bleibt deshalb ein Vorschlag, den ein Mensch im Zweifel prüft. Alternativ liefern Firmendatenbanken zu einer Domain den Firmennamen, auch das ist nie vollständig.

Selbst ausprobieren

Sie brauchen keine Spezialsoftware. Unter macOS und Linux gibt es dig, unter Windows nslookup. Die Beispiele benutzen 203.0.113.25, eine Adresse aus dem Bereich für Dokumentation (RFC 5737). Sie gehört niemandem und hat deshalb keinen echten Eintrag. Setzen Sie für eigene Versuche die Adresse Ihres eigenen Anschlusses oder Servers ein.

# Rückwärtssuche, nur die Antwort
dig -x 203.0.113.25 +short

# Ausführlich, mit der umgedrehten Abfrage
dig -x 203.0.113.25

# Windows, macOS und Linux
nslookup 203.0.113.25

So lesen Sie die Ausgabe:

• Bei +short steht in der Antwort nur der Rechnername, zum Beispiel mail.beispiel-firma.example. (der Punkt am Ende ist Absicht). Kommt nichts zurück, gibt es keinen Eintrag.
• Ohne +short zeigt dig im Abschnitt QUESTION die umgedrehte Abfrage mit in-addr.arpa. Im Abschnitt ANSWER steht die Zeile mit PTR und dem Namen.
• Der Status NXDOMAIN heißt: Für diese Adresse gibt es keinen Eintrag. SERVFAIL oder eine Zeitüberschreitung heißt: Der zuständige Namensserver antwortet nicht.
• nslookup zeigt name = gefolgt vom Rechnernamen, oder die Meldung, dass der Name nicht gefunden wurde.

Als Gegenprobe fragen Sie den Namen vorwärts ab (dig beispiel-firma.example +short). Zeigt der Name wieder auf dieselbe Adresse, ist der Eintrag glaubwürdiger. Stimmen Hin- und Rückrichtung nicht überein, ist Vorsicht angebracht.

Grenzen der Methode

• Veraltete Einträge. Adressen wechseln den Besitzer, Einträge bleiben stehen. Ein Name, der vor Jahren richtig war, kann heute zu einer anderen Firma oder gar keiner mehr führen.
• Mailserver von Dienstleistern. Viele Firmen versenden Mails über einen Hoster oder ein Marketing-Tool. Der Rechnername zeigt dann auf den Dienstleister, nicht auf die Firma.
• Gemeinsam genutzte Adressen. Hinter einer Adresse mit Firmenname können mehrere Mieter eines Bürogebäudes oder Coworking-Space sitzen. Der Name gehört dann dem Vermieter.
• Zeitlimits. DNS-Abfragen können hängen. Wer sie im Hintergrund auswertet, muss nach kurzer Zeit aufgeben und darf die Antwort nicht erzwingen.
• Homeoffice und Mobilfunk. Hier gibt es fast immer nur Sammelnamen. Warum das so ist, steht in Homeoffice, VPN und Mobilfunk: wen Sie nicht sehen.

Wie PTR, Netzverzeichnis und Auswertung zusammen eine Besuchererkennung ergeben, zeigt der Überblick Wie funktioniert Firmenerkennung? Technik in 6 Schritten. Dort steht auch, warum die Treffer je nach Zielgruppe stark schwanken.

Ein Beispiel aus der Praxis: Whovisit nutzt die Rückwärtssuche nur bei Adressen aus Provider-Netzen, wirft Sammelnamen und bekannte Provider-Domains weg, wartet höchstens zwei Sekunden auf die Antwort und merkt sich nur die Zuordnung von Domain zu Firma, nie die IP-Adresse. Welche Besucherklassen es gibt und was sie bedeuten, steht in der Hilfe unter Besucherklassen: Firma, Internetanbieter, Rechenzentrum.

Kurz zusammengefasst

Ein PTR-Eintrag ist ein freiwilliger Hinweis auf den Rechnernamen hinter einer Adresse. Wertvoll wird er, wenn der Name eine eigene Firmendomain enthält und keine Provider-Muster zeigt. Von der Domain zur Firma führt in der Regel das Impressum. Jede Zuordnung bleibt eine Vermutung mit Fehlerquote. Kein Eintrag ist besser als ein falscher.