encrypted DNS erklärt: DoH, DoT und DoQ

encrypted DNS verhindert, dass die Betreiber des von Ihnen genutzten Netzwerks Ihre Abfragen nach Websites mitlesen können, doch dieser Schutz hat klare Grenzen. DNS, das Domain Name System, ist der Mechanismus, mit dem Ihr Gerät nach der Netzwerkadresse fragt, die mit dem Namen einer Website verknüpft ist. Bei herkömmlichem DNS wird diese Anfrage als plain text übertragen. Das bedeutet, dass sie nicht verschlüsselt ist und von jedem gelesen werden kann, der sie im Netzwerk beobachten kann.

Diese Offenlegung ist in Netzwerken von Bedeutung, die Sie nicht vollständig kontrollieren. Ein Internetanbieter oder der Betreiber eines öffentlichen WLANs kann erkennen, zu welchen Websites Ihr Gerät DNS-Anfragen stellt, wenn diese als plain text gesendet werden. Die Abfrage ist nur ein Teil des Besuchs einer Website, kann aber dennoch offenlegen, welche Website Sie aufrufen möchten. encrypted DNS behebt genau diese Schwachstelle, indem es dafür sorgt, dass die DNS query nur von Ihrem Gerät und dem DNS server gelesen werden kann, der sie verarbeitet.

Das Grundprinzip ähnelt dem Schutz, für den das Schlosssymbol bei einer verschlüsselten Websiteverbindung steht. Statt eine DNS query als lesbare Information durch das Netzwerk zu senden, verschlüsselt ein Protokoll für encrypted DNS sie während der Übertragung zwischen dem Gerät und dem DNS server. Die drei wichtigsten Ansätze sind DNS over HTTPS (DoH), DNS over TLS (DoT) und DNS over QUIC (DoQ). Sie schützen dieselbe Art von Anfrage, übertragen sie jedoch auf unterschiedliche Weise.

DoH bettet DNS queries in HTTPS ein, das verschlüsselte Protokoll, das üblicherweise für Websiteverbindungen verwendet wird. Es nutzt port 443, einen nummerierten Netzwerkzugangspunkt, der ebenfalls von HTTPS-Datenverkehr verwendet wird. Kurz gesagt besteht sein entscheidendes Merkmal darin, dass DNS innerhalb von gewöhnlichem verschlüsseltem HTTPS-Datenverkehr übertragen wird und nicht über einen sichtbar getrennten DNS-Kanal.

DoT sendet DNS über einen eigenen verschlüsselten Kanal und verwendet dafür TLS beziehungsweise Transport Layer Security, das Informationen während der Übertragung zwischen zwei Systemen schützt. Anders als DoH bettet es DNS nicht in HTTPS-Datenverkehr ein. Der einfache Unterschied liegt in der Trennung: DoT stellt einen eigenen Kanal speziell für verschlüsselte DNS-Anfragen bereit.

DoQ überträgt DNS über QUIC, ein neueres, auf Geschwindigkeit ausgelegtes Transportverfahren. Ein Transportverfahren ist die zugrunde liegende Methode, mit der Informationen über ein Netzwerk zwischen Geräten übertragen werden. Kurz gesagt verwendet DoQ dieses neuere, auf Geschwindigkeit ausgerichtete Transportverfahren, während DoH HTTPS nutzt und DoT einen eigenen verschlüsselten Kanal verwendet.

Diese Protokolle schützen die DNS query selbst, nicht alles, was danach folgt. Sobald die Abfrage abgeschlossen ist, bildet die Verbindung zur angeforderten Website einen separaten Teil des Surfprozesses. Das Aktivieren von DoH, DoT oder DoQ verschlüsselt daher nicht automatisch eine ansonsten unverschlüsselte Gesamtverbindung. Es verbirgt auch nicht die IP address, also die numerische Netzwerkadresse, mit der Datenverkehr an sein Ziel gesendet wird. encrypted DNS sollte weder als vollständige Anonymität noch als Schutz sämtlicher Internetaktivitäten verstanden werden.

encrypted DNS ist somit eine echte, aber nur teilweise wirksame Datenschutzebene. Es schließt die durch DNS im plain text entstehende Lücke zwischen einem Gerät und dem ausgewählten DNS server. Dadurch wird verhindert, dass ein Internetanbieter, der Betreiber eines öffentlichen WLANs oder ein anderer Beobachter in diesem Netzwerk die DNS query während der Übertragung einfach mitlesen kann. Gleichzeitig bleiben andere Informationen außerhalb dieser geschützten DNS query, darunter die IP address und der übrige Teil der Verbindung. Wer diese Grenze versteht, kann encrypted DNS gezielt für seine Stärken einsetzen, ohne Schutzfunktionen zu erwarten, die es nicht bietet.

Um encrypted DNS zu aktivieren, wählen Sie zunächst einen DNS-Dienst, der DoH, DoT oder DoQ unterstützt. Übernehmen Sie anschließend die Einstellungen des Dienstes auf dem jeweiligen Gerät oder auf dem Router, also dem Gerät, das ein Heim- oder Arbeitsplatznetzwerk mit dem Internet verbindet. Bei der Einrichtung auf Geräteebene gilt die Auswahl nur für dieses Gerät, während die Konfiguration des Routers die Einstellung am Verbindungspunkt des Netzwerks vornimmt. Auszuwählen ist genau das Protokoll, das sowohl vom gewählten Dienst als auch vom zu konfigurierenden Gerät oder Router unterstützt wird.

Für Leser, die einen privaten DNS-Dienst als Teil dieses Schutzes in Betracht ziehen, gilt: AEU DNS bietet privates, sicheres DNS für alle. Unabhängig vom ausgewählten Dienst sollte geprüft werden, ob er ein verschlüsseltes Protokoll unterstützt, ob die Einstellung tatsächlich auf dem vorgesehenen Gerät oder Router angewendet wurde und ob encrypted DNS als einzelne Datenschutzmaßnahme und nicht als Schutz der gesamten Verbindung verstanden wird.