DARAN
Wie verschlüsseltes DNS schützt und Vertrauen verlagert
Wer unterwegs eine Nachrichtenseite öffnet, möchte dem Betreiber des WLANs möglichst wenig über die eigene Lektüre verraten. Die verschlüsselte Verbindung zur Website schützt bereits deren Inhalte, doch vorher muss das Gerät meist herausfinden, unter welcher IP-Adresse der gewünschte Dienst erreichbar ist. Diese Namensauflösung konnte lange unverschlüsselt über das Netzwerk laufen. Ist verschlüsseltes DNS aktiv, erhält auch dieser vorbereitende Austausch einen geschützten Übertragungsweg. Das schließt eine reale Lücke: Außenstehende sollen nicht einfach mitlesen oder Antworten auf dem Weg verändern können, nur weil sie Zugriff auf einen Teil der Verbindung besitzen.
Der Vorteil ist erheblich, gerade in fremden Netzen. Eine Datenschutzfunktion, die solche Anfragen schützt, muss weder künstlich aufgewertet noch mit einem vollständigen Anonymitätsversprechen versehen werden. Sie verhindert eine bestimmte Form der Beobachtung und erschwert Eingriffe an einer Stelle, die beim normalen Surfen unsichtbar bleibt. Gleichzeitig braucht jede Anfrage weiterhin einen Empfänger, der sie verstehen und beantworten kann. Die Verschlüsselung nimmt diesem Dienst seine Aufgabe nicht ab und verhindert deshalb auch nicht automatisch, dass er die angefragten Namen verarbeitet oder protokolliert.
Damit entsteht ein Zielkonflikt zwischen Schutz, Komfort und Kontrolle, der hinter einer einfachen Einstellung kaum zu erkennen ist. Wer einen zusätzlichen DNS-Anbieter auswählt, verändert möglicherweise auch, welcher Organisation diese Informationen anvertraut werden und welche Regeln im eigenen Netzwerk noch greifen. Bleibt der bisherige Anbieter erhalten und unterstützt er verschlüsselte Anfragen, muss sich die Zuständigkeit dagegen überhaupt nicht verschieben. Entscheidend ist die Kombination aus Übertragungsweg, Empfänger und tatsächlichem Verhalten der verwendeten Software.
Was verschlüsseltes DNS tatsächlich schützt
Das Domain Name System übersetzt unter anderem verständliche Namen in die IP-Adressen, die Geräte für eine Verbindung benötigen. Die Anfrage geht gewöhnlich an einen sogenannten rekursiven Resolver, der eine vorhandene Antwort aus seinem Zwischenspeicher liefern oder die nötigen Informationen bei weiteren DNS-Servern ermitteln kann. Browser und Betriebssysteme halten ebenfalls Antworten vor, weshalb nicht jeder Seitenaufruf eine neue externe Anfrage erzeugt. Außerdem können Anwendungen zahlreiche zusätzliche Namen abfragen, etwa für eingebundene Bilder oder technische Dienste. Eine DNS-Anfrage ist deshalb weder mit einem bewussten Klick noch mit dem vollständigen Verlauf eines Browsers gleichzusetzen. Die Rollen beschreibt die IETF in ihrer DNS-Terminologie.
Bei DNS over HTTPS, kurz DoH, wird der Austausch mit dem Resolver in eine HTTPS-Verbindung eingebettet. DNS over TLS, kurz DoT, verwendet dafür eine eigene TLS-gesicherte Verbindung. Beide Verfahren können die Vertraulichkeit auf diesem Abschnitt schützen; wie der empfangende Dienst anschließend mit den Anfragen umgeht, beantworten die Namen der Protokolle jedoch nicht. Ebenso wenig folgt daraus, dass sämtliche weiteren Schritte der Namensauflösung verschlüsselt stattfinden. Die Standards beschreiben einen konkreten Schutzbereich, keinen undurchsichtigen Tunnel durch das gesamte Internet. Dieser Unterschied ist in den Spezifikationen für DNS over HTTPSund DNS over TLS angelegt.
Der Empfänger bleibt eine Vertrauensstelle
Ein gewöhnlicher DoH- oder DoT-Resolver muss den angefragten Namen lesen können, um eine passende Antwort zu liefern. Bei einer direkten Verbindung sieht er außerdem die öffentliche Quell-IP-Adresse, über die die Anfrage ankommt. Das ist nicht zwangsläufig die Adresse eines einzelnen Menschen: Mehrere Geräte oder Haushalte können sich eine öffentliche Adresse teilen, und vorgeschaltete Vermittlungsdienste können die sichtbare Herkunft verändern. Trotzdem entsteht beim Resolver ein aussagekräftiger Beobachtungspunkt. Welche Namen aus welcher Verbindung zu welchen Zeiten angefragt werden, kann Rückschlüsse auf genutzte Dienste ermöglichen, auch wenn die eigentlichen Seiteninhalte verschlüsselt bleiben. Die IETF behandelt diese Risiken ausdrücklich in ihren Datenschutzüberlegungen zu DNS.
Wer den Resolver wechselt, sollte deshalb auch die neue Zuständigkeit wahrnehmen können. Ein vertrauter Browser bietet möglicherweise eine bequem erreichbare Liste an, während die Datenschutzbedingungen des ausgewählten Dienstes anderswo stehen. Das kann eine sinnvolle Auswahl sein, entbindet aber nicht von der Frage, wer die Anfragen künftig erhält. Umgekehrt ist der vom Internetanschluss vorgegebene Resolver nicht allein deshalb vertrauenswürdiger, weil er schon vorher verwendet wurde. Ein großer öffentlicher Dienst kann nachvollziehbarere Regeln besitzen als ein unbekannter Netzbetreiber. Die faire Unterscheidung verläuft zwischen überprüfbaren Verfahren und bloßen Erwartungen, nicht zwischen vertrauten und fremden Namen.
Daraus ergibt sich auch eine über den einzelnen Anschluss hinausreichende Folge: Wird derselbe öffentliche Resolver in vielen unterschiedlichen Netzwerken verwendet, können dort Anfragen zusammenkommen, die zuvor auf verschiedene Betreiber verteilt waren. Das ist eine mögliche Konzentration von Einblicken, kein Beweis für deren Missbrauch. Gerade deshalb verdienen Vorgaben in Browsern und Betriebssystemen Aufmerksamkeit. Sie erleichtern den Zugang zu einer Schutzfunktion, können zugleich aber beeinflussen, welchen Diensten besonders viele Menschen ihre Anfragen anvertrauen. Technisch notwendige Verschlüsselung und wirtschaftliche Konzentration sind dabei unterschiedliche Fragen; das eine verlangt keineswegs zwangsläufig das andere.
Hinter dem sicheren Transport stehen unterschiedliche Speicherregeln
Wie unterschiedlich die Verarbeitung aussehen kann, zeigt Google Public DNS. Nach der Datenschutzerklärung des Dienstes enthalten temporäre Protokolle sowohl die Quell-IP-Adresse als auch die DNS-Anfrage und unterliegen normalerweise einer Löschung innerhalb von 24 bis 48 Stunden. Zur Bearbeitung von Sicherheits- und Missbrauchsfällen können Daten länger aufbewahrt werden. Daneben beschreibt Google dauerhafte Stichprobenprotokolle, in denen die IP-Adresse durch eine Ortsangabe auf Stadt- oder Regionsebene ersetzt wird. Personenbezogene Informationen aus Public DNS würden nicht zur gezielten Werbung verwendet; eine Verknüpfung mit anderen Google-Diensten schließt das Unternehmen grundsätzlich aus, mit einer Ausnahme für Sicherheit und Missbrauchsabwehr.
Cloudflare beschreibt für seinen öffentlichen Resolver 1.1.1.1 andere Grenzen. Laut Cloudflares Dokumentation werden gekürzte Quell-IP-Adressen innerhalb von 25 Stunden gelöscht, ebenso die dort definierten Anfrageprotokolle. Die Erklärung nennt zugleich Ausnahmen und weitere Verarbeitungen, darunter zufällig ausgewählte Netzwerkpakete für technische Fehleranalyse und Angriffsabwehr, begrenzten Zugriff von APNIC auf anonymisierte Daten sowie länger gespeicherte Zusammenfassungen. Aus dem Begriff „anonymisiert“ oder einer kurzen Löschfrist folgt daher nicht, dass keinerlei Informationen entstehen oder dauerhaft erhalten bleiben. Entscheidend ist, welche Datenform gemeint ist und welche Ausnahmen ausdrücklich vorgesehen sind.
Das sind zunächst dokumentierte Zusagen der Unternehmen. Eine verschlüsselte Verbindung kann ihre Einhaltung nicht selbst beweisen. Für die Einordnung zählen deshalb auch nachvollziehbare Prüfungen, klar benannte Zwecke und verständliche Angaben darüber, ob einzelne Anfragen, gekürzte Adressen oder nur zusammengefasste Statistiken gespeichert werden. Die IETF empfiehlt DNS-Datenschutzdiensten in RFC 8932 entsprechend eine strukturierte Erklärung zu Speicherung, Weitergabe, Verknüpfung und Filterung. Damit wird aus der Frage nach einem Protokoll eine Frage nach der tatsächlichen Arbeitsweise des Betreibers, die beim Aktivieren eines Schalters leicht im Hintergrund bleibt.
Der Router entscheidet nicht mehr über jede Anfrage
Im Heimnetz kann dieselbe Änderung eine zweite Wirkung entfalten. Manche Haushalte lassen DNS-Anfragen zunächst durch einen lokalen Filter laufen, der bekannte Schadsoftware-Domains, bestimmte Inhalte oder unerwünschte Werbedienste blockiert. Verwendet ein Browser stattdessen unmittelbar einen externen DoH-Resolver, können seine Anfragen an diesem Filter vorbeigehen. Der Router transportiert die verschlüsselte Verbindung weiterhin, erhält dadurch aber nicht automatisch die darin enthaltenen Domainnamen zur Auswertung. Die Schutzfunktion im Browser und die Schutzfunktion im Netzwerk können somit unterschiedliche Entscheidungen treffen, obwohl beide aus Sicht ihrer jeweiligen Betreiber sinnvoll eingerichtet sind.
Diese Spannung ist den Browserherstellern bekannt. Mozilla beschreibt beispielsweise Prüfungen auf Jugendschutz und Unternehmensvorgaben, die verhindern sollen, dass Firefox bestehende DNS-Regeln unbemerkt umgeht. Solche Mechanismen hängen allerdings von der jeweiligen Konfiguration ab und ersetzen keine allgemeine Garantie für jede Anwendung. Zugleich wäre es falsch, jeden lokalen Filter automatisch als schützenswert zu behandeln: In einem fremden Netzwerk kann derselbe Zugriff zur unerwünschten Beobachtung oder Einschränkung dienen. Die technische Eigenschaft bleibt gleich, während sich ihre Bewertung mit dem Netz und dessen Verantwortlichen verändert. Für Nutzer zählt deshalb, wessen Regeln in der konkreten Situation gelten sollen.
Bei einer Störung entscheidet die Ausweichregel
Auch eine korrekt eingerichtete verschlüsselte Namensauflösung kann scheitern, etwa weil der ausgewählte Dienst nicht erreichbar ist oder die Verbindung blockiert wird. Dann muss die Software zwischen verschiedenen Zielen abwägen. Sie kann auf einen anderen Weg ausweichen, damit die gewünschte Seite trotzdem lädt, oder den Vorgang anhalten, damit die zugesagte Vertraulichkeit erhalten bleibt. Beides gleichzeitig lässt sich nicht immer gewährleisten. Die Unterscheidung zwischen einem möglichst verfügbaren und einem strikt geschützten Betrieb gehört bereits zu den Nutzungsprofilen für DNS over TLS. Eine aktivierte Datenschutzfunktion sagt für sich genommen deshalb noch nicht, was im Fehlerfall passiert.
Google erläutert für Chrome unter Android, dass der automatische Modus bei Problemen auf eine unverschlüsselte Namensauflösung zurückgreifen kann. Wird ein benutzerdefinierter Anbieter gewählt, erfolgt dieser Rückfall laut Dokumentation nicht standardmäßig. Mozilla unterscheidet ebenfalls mehrere DoH-Schutzstufen in Firefox: Der Standardschutz erlaubt Ausweichwege und berücksichtigt Netzwerkbedingungen, während der maximale Schutz bei entsprechenden Problemen eine Warnung anzeigt. Solche Unterschiede sind keine nebensächlichen Menüdetails. Sie legen fest, ob die Software im Zweifel den Seitenaufruf oder die Schutzanforderung priorisiert, und können erklären, weshalb dieselbe Website auf zwei Geräten unterschiedlich reagiert.
Eine vertrauliche Namensauflösung macht das Gerät nicht anonym
Selbst wenn sämtliche betreffenden DNS-Anfragen zuverlässig verschlüsselt übertragen werden, entsteht daraus kein umfassender Schutz des Internetverkehrs. Die anschließende Verbindung zur Website hat eigene Eigenschaften und eigene mögliche Beobachtungspunkte. Google weist in der Android-Hilfe zu privatem DNS ausdrücklich darauf hin, dass diese Funktion nur DNS-Fragen und die zugehörigen Antworten absichert. Andere Bestandteile werden dadurch nicht geschützt. Wer sich bei einem Dienst anmeldet, teilt diesem zudem weiterhin die für die Anmeldung nötigen Informationen mit; eine vertrauliche Adressauskunft hebt eine bewusst hergestellte Kontoverbindung nicht auf.
Für die Praxis bedeutet das vor allem, Schutzversprechen nicht von einer Ebene auf alle anderen zu übertragen. Ein Browser kann seine eigene Namensauflösung anders organisieren als das Betriebssystem, während weitere Anwendungen eigene Verbindungen aufbauen. Eine Routereinstellung ist daher noch kein Nachweis dafür, dass alle Geräte denselben DNS-Weg benutzen, und eine Browsereinstellung beschreibt zunächst den Schutz dieses Browsers. Der Gewinn bleibt dennoch bestehen: Eine klar begrenzte Lücke zu schließen ist sinnvoll, auch wenn andere offenbleiben. Problematisch wird es erst, wenn die verständliche Bezeichnung „sicheres DNS“ als vollständige Aussage über die Sicherheit oder Anonymität des Geräts gelesen wird.
Weniger Wissen beim Empfänger braucht eine andere Architektur
Soll auch der Resolver nicht ohne Weiteres Herkunft und angefragten Namen zusammenführen können, reicht die übliche direkte Verschlüsselung nicht aus. Einen anderen Ansatz beschreibt das als experimentell veröffentlichte Verfahren Oblivious DNS over HTTPS in RFC 9230. Dabei gelangt die zusätzlich verschlüsselte Anfrage über einen Vermittler zum Zielserver. Der Vermittler kennt die ankommende Verbindung, kann aber den angefragten Namen nicht entschlüsseln. Der Zielserver kann die Anfrage lesen und beantworten, sieht als unmittelbaren Absender jedoch den Vermittler. Das Wissen, das bei einer direkten DNS-Verbindung an einer Stelle zusammentrifft, wird damit auf unterschiedliche Rollen verteilt.
Dieser Ansatz verschiebt die Vertrauensfrage erneut, statt sie verschwinden zu lassen. Sein Schutzmodell setzt voraus, dass Vermittler und Zielserver ihre Informationen nicht zusammenführen; außerdem müssen die beteiligte Software und die Dienste das Verfahren unterstützen. Ein gewöhnlich aktivierter DoH-Schalter ist deshalb kein Beleg dafür, dass eine solche Trennung stattfindet. Die Architektur zeigt aber einen wichtigen Unterschied: Datenschutz kann auf einer Zusage beruhen, vorhandenes Wissen begrenzt zu verwenden, oder darauf, bestimmte Informationen technisch gar nicht erst gemeinsam verfügbar zu machen. Welche Variante tatsächlich eingesetzt wird, lässt sich am Wort „verschlüsselt“ allein nicht erkennen.
Der Haken daran
Verschlüsseltes DNS ist ein sinnvoller Fortschritt, weil ein unnötig offener Teil alltäglicher Internetverbindungen geschützt werden kann. Daraus folgt weder eine Pflicht zum Wechsel auf einen bestimmten öffentlichen Dienst noch ein Grund, die Funktion aus Misstrauen grundsätzlich abzuschalten. Ein bereits verwendeter Resolver kann verschlüsselte Verbindungen anbieten, ein bewusst ausgewählter anderer Betreiber kann bessere Datenschutzregeln besitzen, und ein kontrollierter lokaler Weg kann für ein bestimmtes Netzwerk wichtig sein. Die Unterschiede liegen in den Zuständigkeiten und Bedingungen, unter denen die Anfragen verarbeitet werden. Ein pauschales Urteil würde genau diese Unterschiede verdecken.
Der Haken liegt darin, dass die sichtbar einfachste Entscheidung nur einen Teil der tatsächlichen Entscheidung abbildet. Ein Schalter schützt den Übertragungsweg; zugleich können die Wahl des Empfängers, dessen Speicherregeln und das Verhalten bei Ausfällen darüber bestimmen, wer welche Informationen erhält. Ähnlich wie bei der Kontrolle über vernetzte Geräte und Dienste bleibt eine unsichtbare Zuständigkeit für den Alltag entscheidend. Mehr Privatsphäre entsteht deshalb nicht allein durch zusätzliche Verschlüsselung, sondern durch eine nachvollziehbare Antwort auf die Frage, wem die verbleibenden Einblicke anvertraut werden und wie eng diese Einblicke begrenzt sind.
Stand der Recherche: 19. Oktober 2026.
Hauptquellen
- IETF: DNS-Terminologie, RFC 9499, DNS over HTTPS, RFC 8484 und DNS over TLS, RFC 7858.
- IETF: Datenschutzrisiken bei DNS, RFC 9076 und Empfehlungen für DNS-Datenschutzdienste, RFC 8932.
- IETF: Nutzungsprofile für DNS over TLS, RFC 8310.
- RFC Editor: Oblivious DNS over HTTPS, experimentelles Verfahren in RFC 9230.
- Mozilla: DoH-Schutzstufen in Firefox und Fragen zu DNS over HTTPS.
- Google: Datenschutzerklärung von Public DNS.
- Cloudflare: Datenverarbeitung beim öffentlichen Resolver 1.1.1.1.
- Google: Sicheres DNS in Chrome unter Android und privates DNS in Android.
Transparenzhinweis: Die beschriebenen Speicher- und Verarbeitungsregeln beruhen auf den verlinkten Angaben der Anbieter. Eine eigene technische Überprüfung ihrer Umsetzung wurde nicht durchgeführt.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
