DNS over TLS (DoT): Ihre Domain-Abfragen privat halten

Jedes Mal, wenn Sie eine Webseitenadresse in Ihren Browser eingeben, sendet Ihr Gerät eine DNS-Anfrage – im Wesentlichen eine Frage an einen Server: „Welche IP-Adresse gehört zu dieser Domain?" Traditionell werden diese Anfragen unverschlüsselt über das Internet übertragen, was bedeutet, dass Ihr Internetanbieter, Netzwerkadministratoren oder jeder, der Ihre Verbindung überwacht, genau sehen kann, welche Webseiten Sie besuchen möchten. DNS over TLS, allgemein als DoT abgekürzt, wurde entwickelt, um genau dieses Problem zu lösen.

Was es ist

DNS over TLS ist ein Netzwerkprotokoll, das Ihre DNS-Anfragen in eine TLS-verschlüsselte (Transport Layer Security) Verbindung einbettet – dieselbe Technologie, die Ihre Banking-Website oder Ihren E-Mail-Login schützt. Anstatt diese „Wo ist diese Webseite?"-Anfragen offen zu versenden, stellt DoT sicher, dass sie verschlüsselt werden, bevor sie Ihr Gerät verlassen. Das Protokoll wurde 2016 im RFC 7858 offiziell standardisiert und seitdem von großen DNS-Resolvern übernommen, darunter Cloudflare (1.1.1.1), Google (8.8.8.8) und andere.

Wie es funktioniert

Normalerweise läuft DNS-Datenverkehr über Port 53 und verwendet UDP oder TCP ohne jede Verschlüsselung. DoT ändert dies, indem es eine dedizierte TLS-Verbindung über Port 853 aufbaut. Der grundlegende Ablauf sieht wie folgt aus:

  1. Ihr Gerät (oder DNS-Resolver) initiiert einen TLS-Handshake mit dem DNS-Server und überprüft dessen Identität anhand digitaler Zertifikate.
  2. Sobald der verschlüsselte Tunnel aufgebaut ist, wird Ihre DNS-Anfrage durch diesen geleitet – für externe Beobachter vollständig verborgen.
  3. Der DNS-Server verarbeitet die Anfrage und sendet die Antwort über denselben verschlüsselten Kanal zurück.
  4. Ihr Gerät verwendet die zurückgegebene IP-Adresse, um eine Verbindung zur Webseite herzustellen.

Da DoT über einen dedizierten Port (853) arbeitet, können Netzwerkadministratoren und Firewalls DoT-Datenverkehr leicht identifizieren und bei Bedarf blockieren. Dies ist ein wesentlicher Unterschied zu seinem nahen Verwandten, DNS over HTTPS (DoH), das DNS-Datenverkehr mit regulärem Web-Datenverkehr auf Port 443 vermischt und daher schwerer zu blockieren ist.

Warum es für VPN-Nutzer wichtig ist

Sie fragen sich vielleicht: Wenn ich bereits ein VPN verwende, muss ich mir dann überhaupt Gedanken über DoT machen? Das ist eine berechtigte Frage. Ein VPN verschlüsselt bei korrekter Konfiguration Ihren gesamten Datenverkehr, einschließlich DNS-Anfragen. Es gibt jedoch einige wichtige Feinheiten:

  • DNS-Leaks: Wenn Ihr VPN-Client nicht ordnungsgemäß konfiguriert ist, können DNS-Anfragen manchmal den verschlüsselten VPN-Tunnel umgehen und im Klartext direkt zum Resolver Ihres Internetanbieters gelangen. Ein DNS-Leak kann Ihre Browser-Aktivitäten offenlegen, selbst wenn Sie glauben, geschützt zu sein. DoT bietet eine zusätzliche Verschlüsselungsebene, die davor schützt.
  • Umgebungen ohne VPN: Nicht jeder nutzt jederzeit ein VPN. In offenen WLAN-Netzwerken, am Arbeitsplatz oder bei der Nutzung mobiler Daten schützt DoT Ihre DNS-Anfragen unabhängig von einem VPN.
  • Überwachung und Drosselung durch Internetanbieter: Ohne verschlüsseltes DNS kann Ihr Internetanbieter jede von Ihnen besuchte Domain protokollieren und diese Metadaten möglicherweise verkaufen oder dazu verwenden, bestimmte Dienste zu drosseln. DoT verhindert, dass diese Anfragen ausgelesen werden können.

Praktische Beispiele und Anwendungsfälle

Heimnetzwerksicherheit: Wenn Sie Ihren Router oder lokalen DNS-Resolver so konfigurieren, dass er DoT verwendet (und dabei auf einen datenschutzorientierten Resolver wie Cloudflare oder Quad9 verweist), profitiert jedes Gerät in Ihrem Netzwerk von verschlüsselten DNS-Abfragen – ganz ohne zusätzliche Installation auf jedem einzelnen Gerät.

Mobile Privatsphäre: Android 9 und höher verfügt über eine integrierte Funktion namens „Privates DNS", die DoT nativ unterstützt. Sie können diese in den Einstellungen aktivieren und alle DNS-Anfragen ohne Drittanbieter-App über einen verschlüsselten Resolver leiten.

Unternehmensnetzwerke: IT-Teams nutzen DoT, um zu verhindern, dass Mitarbeiter oder Angreifer im Netzwerk interne DNS-Anfragen abfangen können. Dadurch wird das Risiko von DNS-Spoofing oder Man-in-the-Middle-Angriffen reduziert.

Journalisten und Aktivisten: In Regionen mit intensiver Internetüberwachung bietet die Verschlüsselung von DNS-Anfragen eine bedeutsame zusätzliche Datenschutzebene und erschwert es Überwachungssystemen, anhand des DNS-Datenverkehrs ein Bild des Online-Verhaltens zu erstellen.

DoT ist für sich allein keine vollständige Datenschutzlösung – Ihr eigentlicher Web-Datenverkehr benötigt weiterhin HTTPS oder ein VPN für umfassenden Schutz – aber es schließt eine häufig übersehene Lücke in der alltäglichen Internetsicherheit.