Subdomains herausfinden: Alle Subdomains einer Domain finden (5 Methoden, kostenlos)

Jede Domain ist größer, als sie auf den ersten Blick wirkt. Hinter example.de verbirgt sich meist ein ganzes Geflecht aus Subdomains: mail.example.de, vpn.example.de, staging.example.de, api.example.de. Viele davon wurden vor Jahren eingerichtet und sind längst in Vergessenheit geraten. Wer die Subdomains einer Domain herausfinden will, hat dafür in der Regel einen guten Grund: die eigene Angriffsfläche prüfen, einen autorisierten Sicherheitstest durchführen oder die Infrastruktur eines Unternehmens recherchieren.

Der Haken: Es gibt keine einzelne DNS-Abfrage, die „alle Subdomains“ zurückliefert. So funktioniert DNS schlicht nicht. Stattdessen kombiniert man mehrere Techniken, die sich gegenseitig ergänzen, denn jede findet Subdomains, die den anderen entgehen.

Dieser Leitfaden zeigt fünf praxiserprobte Methoden, von der schnellsten (Domain in ein Tool eintippen) bis zur gründlichsten (passive und aktive Suche kombinieren). Wenn Sie sofort Ergebnisse brauchen, starten Sie unseren kostenlosen Subdomain Finder und lesen Sie hier nach, was das Tool im Hintergrund tut.

Warum „einfach DNS fragen“ nicht funktioniert

Die naheliegende Idee, den Nameserver der Domain nach einer Liste aller Einträge zu fragen, scheitert fast immer. Diese Funktion heißt Zonentransfer (AXFR), und aus gutem Grund verweigern nahezu alle Nameserver im Internet Zonentransfers an Fremde. Ein falsch konfigurierter Server, der öffentliche Zonentransfers erlaubt, ist selbst schon ein Sicherheitsbefund. Verlassen kann man sich darauf aber nicht.

Subdomains herauszufinden wird deshalb zu einer Sammelaufgabe: Hinweise aus vielen Quellen zusammentragen und die Ergebnisse zusammenführen. Die folgenden fünf Methoden sind die, die in der Praxis wirklich etwas finden.

Methode 1: Certificate-Transparency-Logs (die ergiebigste Quelle)

Jedes Mal, wenn eine Zertifizierungsstelle ein TLS-Zertifikat ausstellt, wird es in öffentliche, unveränderliche Certificate-Transparency-Logs (CT-Logs) eingetragen. Da fast jede Subdomain, die jemals HTTPS ausgeliefert hat, ein Zertifikat brauchte, sind diese Logs eine Goldgrube echter, bestätigter Subdomains. Darunter finden sich auch intern klingende Namen wie dev., jenkins. oder vpn..

CT-Logs sind:

• Passiv: Sie lesen öffentliche Daten, ohne das Ziel zu berühren.
• Historisch: Sie zeigen auch Subdomains, die es früher gab und die heute offline sind.
• Zuverlässig: Für diese Namen wurden tatsächlich Zertifikate ausgestellt.

Der Nachteil: CT-Logs enthalten nur Namen, die auf einem Zertifikat standen. Eine Subdomain, die nie HTTPS genutzt hat oder sich hinter einem Wildcard-Zertifikat für *.example.de versteckt, taucht dort nicht auf.

Unser Subdomain Finder durchsucht die CT-Logs für Sie und löst jeden gefundenen Namen per DNS auf. So sehen Sie sofort, welche Subdomains noch aktiv sind, ganz ohne manuelle Log-Recherche.

Methode 2: DNS-Brute-Force (häufige Namen durchprobieren)

Beim Brute-Force nimmt man eine Wortliste gängiger Subdomain-Namen (www, mail, smtp, ftp, api, dev, test, staging, vpn, portal, admin, cdn, blog) und prüft für jeden Namen, ob er sich auflösen lässt:

www.example.de      → 203.0.113.10   ✅ existiert
mail.example.de     → 203.0.113.25   ✅ existiert
staging.example.de  → NXDOMAIN        ❌ existiert nicht
api.example.de      → 203.0.113.40   ✅ existiert

Das ist aktive Suche: Für jeden Kandidaten geht eine DNS-Anfrage raus. Die Stärke liegt darin, aktive Subdomains zu finden, die nie in einem Zertifikatslog standen. Die Schwäche: Gefunden wird nur, was auf der Wortliste steht. Eine Subdomain namens q3-migration-temp wird niemand erraten.

Der Subdomain Finder kombiniert CT-Logs (Methode 1) mit einer kuratierten Liste der häufigsten Subdomain-Namen und löst alle Kandidaten auf. Sie bekommen die wertvollen Treffer schnell, ohne selbst einen Scanner betreiben zu müssen.

Methode 3: Suchmaschinen und OSINT-Operatoren

Suchmaschinen haben viele Subdomains einer Domain längst gecrawlt. Mit dem Site-Operator holen Sie sie hervor:

site:example.de -www

Das -www blendet die Hauptseite aus, damit die Subdomains nach oben rutschen. Kombinieren Sie das mit öffentlichen OSINT-Quellen wie Shodan, VirusTotal oder DNS-Aggregatoren, die eigene Verzeichnisse beobachteter Hostnamen führen. Jede Quelle hat eine etwas andere Sicht, und genau deshalb lohnt sich die Kombination.

Methode 4: Die eigenen DNS-Einträge der Domain auswerten

Bestehende DNS-Einträge verweisen auf Subdomains, die man sonst leicht übersieht:

• MX-Einträge nennen die Mailserver (etwa mail.example.de oder mx1.example.de). Mit unserem MX Record Lookup sehen Sie sie auf einen Blick.
• CNAME- und A-Einträge, die im HTML, JavaScript und CSS der Website referenziert werden, zeigen oft auf cdn., static., assets. oder api..
• TXT- und SPF-Einträge enthalten häufig include:-Verweise auf weitere Hostnamen. Prüfen lassen sie sich mit dem SPF Checker.
• NS-Einträge verraten delegierte Subdomains, die von einem anderen Team betrieben werden.

Ein kurzer Blick auf die veröffentlichten Einträge mit dem DNS Health Check bringt erstaunlich viele Hostnamen ans Licht.

Methode 5: Alles kombinieren (der gründliche Weg)

Ernsthafte Subdomain-Ermittlung führt passive Quellen (CT-Logs, Suchmaschinen, OSINT-Feeds: leise und historisch) mit aktiver Verifikation (DNS-Auflösung, um zu bestätigen, was gerade wirklich aktiv ist) zusammen. Der Ablauf sieht so aus:

1. Kandidaten aus CT-Logs und OSINT ziehen (Methoden 1 und 3).
2. Brute-Force-Treffer für häufige Namen ergänzen (Methode 2).
3. Hostnamen aus den DNS-Einträgen und dem Quelltext der Domain extrahieren (Methode 4).
4. Die gesammelte Liste deduplizieren.
5. Jeden Kandidaten auflösen, um zu bestätigen, welche Subdomains aktiv sind und wohin sie zeigen.

Genau diese Schleife aus Sammeln und Verifizieren automatisiert ein guter Subdomain Finder.

Subdomains checken: Was die Ergebnisse bedeuten

Sobald die Liste steht, lohnt sich für jede Subdomain ein kurzer Check:

Subdomains jetzt herausfinden

Sie brauchen keinen Kommandozeilen-Scanner, um anzufangen:

1. Öffnen Sie den Subdomain Finder.
2. Geben Sie Ihre Domain ein (zum Beispiel example.de).
3. Sehen Sie sich die gefundenen Subdomains an und prüfen Sie, wohin jede auflöst.
4. Gleichen Sie Überraschendes mit Ihrem DNS-Anbieter ab und entfernen Sie veraltete oder hängende Einträge.

Häufige Fragen

Wie finde ich alle Subdomains einer Domain? Kombinieren Sie Certificate-Transparency-Logs, DNS-Brute-Force mit gängigen Namen, Suchmaschinen-Operatoren und die DNS-Einträge der Domain selbst. Lösen Sie anschließend jeden Kandidaten auf, um zu bestätigen, dass er aktiv ist. Ein Subdomain Finder automatisiert genau das.

Kann ich Subdomains kostenlos herausfinden? Ja. Certificate-Transparency-Logs und Suchmaschinen-Operatoren sind kostenlos, und unser Subdomain Finder ist ohne Anmeldung kostenlos nutzbar.

Kann ich eine einzelne Subdomain checken? Geben Sie die Subdomain direkt ein (zum Beispiel shop.example.de): Der Subdomain Finder sucht dann nach weiteren Namen unterhalb dieser Subdomain und scannt zusätzlich die Hauptdomain, sodass Sie die Subdomain im Gesamtbild sehen. Wollen Sie nur prüfen, ob eine Subdomain sich auflösen lässt und auf welche IP oder welchen CNAME sie zeigt, nutzen Sie den DNS Health Check mit dem vollständigen Hostnamen.

Ist es legal, Subdomains zu ermitteln? Das Auslesen öffentlicher Quellen (CT-Logs, Suchmaschinen) ist im Allgemeinen unproblematisch. Aktives Scannen von Infrastruktur, die Ihnen nicht gehört oder für die Sie keine Freigabe haben, kann es dagegen nicht sein. Bleiben Sie bei eigenen Domains oder beauftragten Tests.

Warum werden nicht alle Subdomains angezeigt? Keine Methode ist vollständig. CT-Logs übersehen Namen ohne Zertifikat, Brute-Force übersieht ungewöhnliche Namen, und Suchmaschinen übersehen nicht gecrawlte Hosts. Deshalb kombiniert man die Quellen.

Das Wichtigste in Kürze

• ✅ Es gibt keine einzelne Abfrage für „alle Subdomains“. Zonentransfers werden zu Recht blockiert.
• ✅ Certificate-Transparency-Logs sind die ergiebigste passive Quelle.
• ✅ DNS-Brute-Force findet aktive Namen, die nie auf einem Zertifikat standen.
• ✅ Die eigenen MX-, CNAME-, SPF- und NS-Einträge verraten weitere Hostnamen.
• ✅ Passiv und aktiv kombinieren, deduplizieren, dann zur Bestätigung auflösen.
• ✅ Auf Wildcard-DNS und hängende Subdomains achten, die ein Takeover-Risiko darstellen.

Sie prüfen gerade Ihre gesamte DNS-Konfiguration? Starten Sie mit dem DNS Health Check und lesen Sie, warum ein Tippfehler in TXT-Einträgen den E-Mail-Versand lahmlegt (englisch).