Verbirgt verschlüsseltes DNS, welche Seiten ich besuche?

Es verbirgt die Namensauflösung, nicht die Verbindung. Nach dem Auflösen verbindet sich dein Gerät weiterhin mit der IP-Adresse dieses Servers, und der Servername ist im TLS-Handshake meist sichtbar — wer das Netzwerk beobachtet, kann die Seite also oft trotzdem erkennen.

Warum liefern verschiedene Leak-Test-Seiten unterschiedliche Ergebnisse?

Weil sie Unterschiedliches messen. Manche melden den Resolver, der bei ihnen ankam, manche jeden Resolver einer Rotation, und verschlüsseltes DNS im Browser kann auf derselben Maschine ein anderes Ergebnis liefern als eine Prüfung auf der Kommandozeile.

Ist es automatisch ein Leak, wenn mehrere Resolver aufgeführt sind?

Nein. Mehrere Einträge sind auf Rechnern mit mehreren Netzwerkwegen normal. Zum Leak wird es, wenn einer davon zu einem Netz gehört, das du ausschließen wolltest — denn Anfragen gehen üblicherweise an den, der zuerst antwortet.

DNS-Leaks: was sie sind und wie du sie prüfst

Ein DNS-Leak liegt vor, wenn dein Gerät Domainnamen-Anfragen an einen Resolver schickt, den du gar nicht benutzen wolltest — meist den deines Internetanbieters — und damit jede Seite verrät, die du gleich aufrufst. Prüfen heißt feststellen, welcher Resolver deine Anfragen tatsächlich beantwortet: auf Ebene des Betriebssystems, des Browsers und des Netzwerks.

Jedes Mal, wenn du eine Seite öffnest, bittet dein Gerät einen Resolver darum, den Domainnamen in eine IP-Adresse zu übersetzen. Diese Frage ist ein Klartextprotokoll darüber, wohin du gleich gehst, und standardmäßig geht sie an den Resolver, den dein Netzwerk dir zugewiesen hat — normalerweise den deines Internetanbieters.

Ein DNS-Leak liegt vor, wenn diese Anfragen irgendwohin gehen, wo du sie nicht haben wolltest. Der übliche Fall: ein Gerät ist auf einen privaten oder verschlüsselten Resolver eingestellt, schickt aber aus einem von mehreren strukturellen Gründen trotzdem einen Teil oder alle Anfragen an den Provider. Sichtbar geht dabei nichts kaputt, und genau deshalb bleiben Leaks jahrelang unbemerkt.

Was gibt DNS eigentlich preis?

Die Domain, den Zeitstempel und die Quelle — das reicht, um eine Browsersitzung zu rekonstruieren.

Klassisches DNS läuft unverschlüsselt über Port 53. Wer zwischen dir und dem Resolver sitzt, kann die Anfrage mitlesen, und der Resolver selbst sieht jede einzelne davon, deiner Verbindung zugeordnet. Die konkrete Seite sieht er nicht, aber der heikle Teil ist meistens die Domain.

Verschlüsselung ändert, wer dieses Protokoll führt — nicht, ob es existiert:

Transportweg	Verschlüsselt?	Wer die Anfrage sieht
Klassisches DNS (Port 53)	Nein	Dein Netzwerk, dein Provider, der Resolver
DNS over TLS (DoT, Port 853)	Ja	Der Resolver, den du gewählt hast
DNS over HTTPS (DoH, Port 443)	Ja	Der Resolver, den du gewählt hast; für das Netzwerk schwerer von Webverkehr zu unterscheiden
DNSSEC	Nein — es authentifiziert	Wie bei klassischem DNS; es belegt, dass Antworten echt sind, es verbirgt sie nicht

DNSSEC ist der Eintrag, der am häufigsten missverstanden wird. Es signiert Antworten, damit sie nicht gefälscht werden können. Vertraulichkeit bietet es überhaupt keine.

Wie entstehen Leaks in der Praxis?

Sechs strukturelle Ursachen decken fast alle ab.

Ursache	Mechanismus
Geteiltes Routing	Ein Teil des Verkehrs läuft durch einen Tunnel, DNS geht über die Standardschnittstelle
IPv6 nicht mitgeführt	Der Tunnel kann nur IPv4, also nehmen IPv6-Anfragen den Weg über den Provider
Parallele Auflösung im OS	Windows kann alle Schnittstellen gleichzeitig fragen und die erste Antwort nehmen
DoH im Browser	Der Browser löst unabhängig von der Systemeinstellung auf — in beide Richtungen
Router setzt sich durch	Der Router erzwingt seinen eigenen Resolver per DHCP oder fängt Port 53 ab
Captive Portal	Hotel- oder Flughafennetze kapern DNS, um ihre Login-Seite zu erzwingen

Den Browser-Fall lohnt es sich auszubuchstabieren, denn er schneidet in beide Richtungen. Ein Browser mit eigener DoH-Einstellung kann einen sorgfältig eingerichteten System-Resolver umgehen — und genauso kann ein korrekt eingestellter Browser verdecken, dass alles außerhalb dieses Browsers weiterhin leakt. Eines zu prüfen und das andere anzunehmen ist der häufigste Testfehler.

Wie prüfst du das?

Prüfe jede Ebene einzeln, denn sie können sich widersprechen.

Betriebssystem — welche Resolver eingetragen sind:

System	Befehl
macOS	`scutil --dns \| grep nameserver`
Windows	`Get-DnsClientServerAddress`
Linux (systemd-resolved)	`resolvectl status`
Linux (allgemein)	`cat /etc/resolv.conf`

Welcher Resolver tatsächlich geantwortet hat — Konfiguration und Verhalten gehen auseinander:

dig +short whoami.akamai.net gibt die IP-Adresse des Resolvers zurück, der die Auflösung für dich durchgeführt hat. Vergleiche sie mit dem Resolver, den du erwartet hast.

Browser-Ebene: öffne die Einstellung für sicheres DNS im Browser und schau nach, ob sie aktiv ist und welcher Anbieter ausgewählt ist. Lade dann in diesem Browser eine DNS-Leak-Testseite. Meldet die Seite einen anderen Resolver als deine Prüfung auf der Kommandozeile, löst der Browser eigenständig auf.

IPv6: wiederhole die Prüfung mit einer reinen IPv6-Anfrage. Ein Tunnel, der nur IPv4 trägt, ist die mit Abstand häufigste Ursache eines Teil-Leaks.

Wie liest du das Ergebnis?

Vergleiche, wem der Resolver gehört, mit deiner Erwartung — nicht mit einer Liste „guter“ Adressen.

Beobachtung	Deutung
Resolver gehört deinem Provider, obwohl du einen anderen eingestellt hast	Leak
Mehrere Resolver, einer davon dein Provider	Teil-Leak — die Anfragen werden aufgeteilt
IPv4 zeigt den erwarteten Resolver, IPv6 den Provider	IPv6-Leak
Browser und System melden verschiedene Resolver	Nicht zwingend ein Leak, aber zwei unabhängige Wege, die zu prüfen sind
Resolver liegt in einem unerwarteten Land	Oft normal — Anycast-Resolver antworten vom nächstgelegenen Standort
Resolver ist die private Adresse des Routers	Nicht aussagekräftig; der Router leitet weiter, also prüfe die Einstellung im Router selbst

Die letzte Zeile ist die Falle in Heimnetzen. Ein Ergebnis von 192.168.1.1 sagt dir nur, dass dein Router geantwortet hat. Wohin der Router weiterleitet, ist eine eigene Frage, die in den WAN- oder DNS-Einstellungen des Routers beantwortet wird.

Wo sind die Grenzen einer Behebung?

Einen DNS-Leak zu beheben ändert, wer erfährt, welche Domains du nachgeschlagen hast. Es macht den Besuch nicht privat, und das zu übertreiben ist die Hauptquelle für Fehldarstellungen zu diesem Thema.

Nach der Namensauflösung öffnet dein Gerät eine Verbindung zu dieser IP-Adresse. Wer auf dem Weg mithört, sieht die Zieladresse, und bei den meisten TLS-Verbindungen wird der Servername unverschlüsselt im Handshake übertragen — es sei denn, auf beiden Seiten ist Encrypted Client Hello im Einsatz. Beide Signale identifizieren die Seite unabhängig von DNS.

Die ehrliche Zusammenfassung ist also eng, aber echt: verschlüsseltes DNS zu einem Resolver deiner Wahl nimmt die Klartextliste aller Domains, die du besuchst, aus deinem lokalen Netz und den Logs deines Providers heraus — und übergibt diese Liste stattdessen dem Betreiber des Resolvers. Es verschiebt Vertrauen, statt es abzuschaffen. Damit wird die eigentlich entscheidende Frage, wer den Resolver betreibt und was er protokolliert.