DNS über HTTPS und TLS: Einrichtung in jedem Browser und Betriebssystem

Bevor Ihr Browser eine Seite laden kann, fragt er einen DNS-Resolver, um eine Domain wie example.com in eine IP-Adresse umzuwandeln. Traditionell erfolgt diese Abfrage in Klartext, sodass Ihr ISP, Netzwerkbetreiber oder jeder, der die Verbindung überwacht, jede Domain, die Sie besuchen, lesen kann – selbst wenn die Seite selbst HTTPS ist. DNS ist eines der größten Datenschutzprobleme, die beim normalen Surfen verbleiben.

DNS über HTTPS (DoH) und DNS über TLS (DoT) beheben dies, indem sie die Abfrage zwischen Ihnen und dem Resolver verschlüsseln. Der praktische Unterschied: DoH sendet DNS innerhalb von normalem HTTPS über Port 443, sodass es sich mit dem Webverkehr vermischt und schwer zu blockieren oder zu unterscheiden ist; DoT verwendet einen dedizierten Port (853), der architektonisch sauberer, aber für ein Netzwerk leichter zu erkennen und zu blockieren ist. Browser bevorzugen DoH; Betriebssysteme unterstützen beide. Sie können testen, was Ihr Resolver sieht, mit dem DNS-Tool.

Verschlüsseltes DNS verbirgt welche Domains Sie abfragen vor Ihrem ISP und auf dem Weg befindlichen Beobachtern und stoppt DNS-basierte Manipulationen. Das ist ein echter Gewinn für die Privatsphäre und Integrität. Aber seien Sie sich seiner Grenzen bewusst: Ihr gewählter Resolver sieht immer noch Ihre Abfragen, sodass Sie das Vertrauen von Ihrem ISP auf diesen Anbieter verlagern — wählen Sie einen mit einer starken Datenschutzrichtlinie. Es verbirgt auch nicht die Ziel-IP, mit der Sie sich dann verbinden, und TLS SNI kann weiterhin den Hostnamen offenbaren, es sei denn, Encrypted Client Hello ist aktiv.

Wie das mit einem VPN zusammenhängt: Ein richtig konfiguriertes VPN leitet bereits Ihr DNS durch seinen eigenen Resolver innerhalb des verschlüsselten Tunnels, sodass Ihr ISP weder Ihr DNS noch Ihren Datenverkehr sieht. Deshalb ist es wichtig, auf einen DNS-Leck zu überprüfen — wenn Abfragen den Tunnel zu dem Resolver Ihres ISPs verlassen, wird die Verschlüsselung des restlichen Datenverkehrs untergraben. DoH/DoT und ein VPN sind komplementär: Verschlüsseltes DNS schützt Abfragen in jedem Netzwerk; ein VPN schützt die gesamte Verbindung und deren DNS zusammen.