DNS over HTTPS vs. DNS over TLS
DNS over HTTPS (DoH) und DNS over TLS (DoT) verschlüsseln den DNS-Austausch zwischen einem Client und dem von ihm gewählten Resolver. Beide schützen diesen Teil des Weges vor beiläufiger Einsicht und Veränderung im Netzwerk. Keines von beiden macht Website-Besuche vollständig unsichtbar oder anonym.
Wie Anfragen übertragen werden
DoH verpackt DNS-Anfragen und -Antworten in HTTPS-Austausche; das Protokoll ist in RFC 8484 definiert. DoT überträgt DNS-Nachrichten in einer eigenen TLS-Verbindung, spezifiziert in RFC 7858. Beide setzen Unterstützung auf Client- und Resolver-Seite sowie die Authentifizierung des Resolvers voraus. Eine Einstellung namens „sicheres DNS“ allein verrät nicht, welcher Anbieter ausgewählt ist oder ob das Gerät auf gewöhnliches DNS zurückfallen kann.
DoH ist häufig in einen Browser oder eine Anwendung integriert und kann die gewöhnliche HTTPS-Infrastruktur nutzen. DoT wird meist vom Betriebssystem oder Netzwerk konfiguriert und verwendet eine eigene DNS-Verbindung. Das sind typische Muster, keine Garantien: Das tatsächliche Verhalten hängt von Gerät, Anwendung und Netzwerkrichtlinie ab. Weder eine Portnummer noch eine Protokollbezeichnung beweist, dass ein Dienst vertrauenswürdig ist.
Was sichtbar bleibt
Der Betreiber des gewählten Resolvers erhält die Anfragen, die er zur Beantwortung benötigt. Die Ziel-Website sieht eine Verbindung, während andere Netzwerkteilnehmer die IP-Adressen der Verbindung und weitere Metadaten sehen können. Verschlüsseltes DNS löscht weder den Browserverlauf noch Cookies, Kontoanmeldungen oder Daten, die Sie an eine Website übermitteln. Betrachten Sie für Datenschutzentscheidungen den gesamten Verbindungsweg und die Datenrichtlinie des Resolvers.
DNSSEC dient einem anderen Zweck. Es kann Herkunft und Integrität signierter DNS-Daten validieren, wenn die Vertrauenskette eingerichtet ist; Anfragen zwischen Client und Resolver verschlüsselt es nicht. Auch ein DoH- oder DoT-Resolver kann DNSSEC validieren. Betrachten Sie diese Mechanismen als einander ergänzend, nicht als austauschbar. Einzelne Resolver können Sie mit der DNS-Antwortzeit-Prüfung von 2IP vergleichen.
Die tatsächliche Konfiguration prüfen
Finden Sie heraus, ob der Browser die DNS-Konfiguration des Systems oder einen eigenen verschlüsselten Resolver verwendet. Vergleichen Sie die erwartete Antwort mit dem Ergebnis der Domain-Konfigurationsprüfung von 2IP und mit einer Abfrage über den ausgewählten Resolver. Abweichungen bedeuten nicht immer ein Leck: Ein CDN kann Antworten an den Standort des Resolvers und andere Bedingungen anpassen. Testen Sie außerdem, was passiert, wenn der verschlüsselte Resolver nicht erreichbar ist.
In einem verwalteten Netzwerk können Filterung, interne Namen und Sicherheitsrichtlinien einen bestimmten Resolver erfordern. Eine beliebige DNS-Änderung kann interne Ressourcen unerreichbar machen. Klären Sie vor dem Anpassen der Einstellungen, wer das Netzwerk betreibt, welche Namen aufgelöst werden müssen und ob ein alternativer DNS-Weg erlaubt ist.
Bewusst auswählen
Verlassen Sie sich nicht auf ein einzelnes Datenschutzversprechen, sondern bewerten Sie Verfügbarkeit, Datenverarbeitung, DNSSEC-Validierung und das Verhalten des Anbieters im Fehlerfall. Testen Sie nach einer Änderung gewöhnliche Websites und die benötigten internen Namen. Ist die eigentliche Ursache ein falscher autoritativer Eintrag, kann ein Wechsel des DNS-Transports ihn nicht korrigieren.