Was verrät DNS über dich? Einfach erklärt

DNS ist das Telefonbuch des Internets. Dein Smartphone kennt Namen wie bank.example, das Netz transportiert Daten aber zwischen Zahlenadressen. Bevor also eine Website, eine App oder eine Benachrichtigung lädt, fragt das Handy einen Resolver: „Wo liegt dieser Name?“ Das passiert Hunderte Male am Tag, ohne dass du es merkst.

Jede einzelne Frage ist winzig. Zusammen ergeben sie ein erstaunlich genaues Tagebuch. Hier steht, was in diesem Tagebuch steht, wer es lesen kann und was sich wirklich ändert, wenn du verschlüsseltes DNS oder ein VPN einschaltest.

Was deine DNS-Anfragen verraten

Eine Anfrage enthält einen Namen, keine Seite. Sie sagt „gesundheit.example“, nicht, welchen Artikel du dort gelesen hast. Diese Grenze ist wichtig, und trotzdem ist es eine Menge:

Die IETF, die Organisation hinter den Internetstandards, sagt es in RFC 9076 ohne Umschweife: Dein Resolver „weiß eine Menge über dich“.

Wer eine Anfrage sehen kann

Eine Anfrage nimmt mehrere Stationen, und jede sieht etwas anderes.

1. Das Netz, in dem du bist. Klassisches DNS läuft unverschlüsselt über Port 53. Wer das WLAN betreibt (ein Café, ein Hotel, dein Arbeitgeber, wer zu Hause den Router hat) und dein Internetanbieter können jeden Namen lesen. Wer einen Hotspot kontrolliert, kann die Antworten sogar ändern und dich woandershin schicken; wie gefälschte Hotspots das ausnutzen, steht in unserem Artikel über Fake-WLAN-Hotspots. Wie das bei deiner eigenen Verbindung aussieht, zeigt unser Tool Was dein WLAN sieht.
2. Der Resolver. Standardmäßig ist es der deines Anbieters oder der, den das WLAN vorgibt. Er sieht jeden Namen, den du abfragst, und die Adresse, von der du fragst. Was er speichert und wie lange, entscheidet sein Betreiber.
3. Die Nameserver. Der Resolver fragt die Server, die für die Root-Zone, für .example und für bank.example zuständig sind. Sie sehen die Adresse des Resolvers, nicht deine. Zwei Standards bestimmen, wie viel sie erfahren: die QNAME-Minimierung (RFC 9156) schickt jedem Server nur den Teil des Namens, den er braucht, und die Option Client-Subnetz (RFC 7871) erlaubt manchen Resolvern, einen Teil deiner IP weiterzugeben, damit die Website einen nahen Server wählen kann.

Was verschlüsseltes DNS ändert

Drei Standards verschlüsseln den Weg zwischen Handy und Resolver:

Mit jedem davon können WLAN und Anbieter die Namen nicht mehr lesen oder umschreiben. Zwei Dinge bleiben:

• Der Resolver sieht weiterhin alles. Verschlüsselung schützt den Weg, nicht das Ziel. Du hast dein Vertrauen vom Netz auf den Betreiber des Resolvers verlagert.
• Das Netz sieht weiterhin, wohin du dich verbindest. Nach der Anfrage verbindet sich dein Handy mit der IP-Adresse der Website, und die meisten HTTPS-Verbindungen nennen den Namen der Seite noch in der ersten TLS-Nachricht (Server Name Indication, SNI). Encrypted Client Hello (RFC 9849) verbirgt diesen Namen, aber nur, wo Browser und Website es unterstützen.

Verschlüsseltes DNS ist also eine echte Verbesserung, allein aber noch keine Privatsphäre gegenüber dem Netz. Privates DNS in Android hat drei Modi (Aus, Automatisch und ein Anbietername deiner Wahl), wie Google bei der Einführung erklärt hat; welches du wählen solltest, steht in unserem Artikel privates DNS oder VPN.

Was ein VPN ändert

Ein VPN verschlüsselt alles, nicht nur DNS. Das Netz sieht eine einzige verschlüsselte Verbindung zum VPN-Server; die Anfragen, die IP-Adressen, mit denen du dich verbindest, und die Seitennamen im TLS laufen darin. Ein gut gebautes VPN beantwortet deine Anfragen außerdem selbst, im Tunnel, sodass sie nie beim Resolver des WLANs oder des Anbieters landen.

Damit liegt alles an einer Stelle: Jetzt sieht der Resolver des VPN jeden Namen. Ob das eine Verbesserung ist, hängt ganz davon ab, was der Anbieter speichert. Deshalb ist die Log-Politik eines VPN kein Detail. Unsere steht Zeile für Zeile in was wir speichern und wer zahlt.

Was DNS nicht verrät

Damit die Relationen stimmen:

• Weder Seite noch Inhalt. Mit HTTPS zeigt eine Anfrage an nachrichten.example nicht, welchen Artikel du gelesen, was du getippt oder was du gekauft hast.
• Nicht deine Nachrichten. Apps mit Ende-zu-Ende-Verschlüsselung verraten den Namen ihrer Server, nicht, was du schreibst.
• Nicht immer deine Identität. Der Resolver sieht eine IP-Adresse, keinen Namen. Aber eine Adresse plus ein Muster von Anfragen kann reichen, um einen Haushalt wiederzuerkennen.

Der Inkognito-Modus ändert daran nichts: Er verhindert nur, dass dein Browser den Verlauf auf deinem eigenen Gerät speichert.

Wie PryVPN mit DNS umgeht

Das DNS von PryVPN ist um genau diesen letzten Punkt herum gebaut:

• Jeder PryVPN-Server hat seinen eigenen Resolver, erreichbar nur im Tunnel, sodass deine Anfragen nie unverschlüsselt durchs WLAN gehen.
• Der Resolver prüft DNSSEC-Signaturen und weist gefälschte Antworten ab.
• Er antwortet aus dem Arbeitsspeicher und protokolliert deine Anfragen nicht; es bleiben nur Summen ohne Kennungen.
• Filter sind optional und nach Kategorien (Tracker und Malware standardmäßig an, Werbung nur, wenn du sie einschaltest). Sie funktionieren, weil der Resolver Namen prüft, nie, weil er notiert, wer gefragt hat. Details stehen im Hilfeartikel zu DNS-Filtern.
• Der Leak-Test in der App zeigt, welchen DNS-Server dein Handy wirklich nutzt, und warnt, wenn Androids privates DNS die Anfragen woandershin schickt.

Checkliste für fünf Minuten

1. Im öffentlichen oder geteilten WLAN kein normales DNS. Schalte privates DNS ein (Einstellungen › Netzwerk & Internet › Privates DNS) oder nutze ein VPN.
2. Wähle deinen Resolver bewusst. Achte auf eine veröffentlichte Liste, was er speichert und wie lange.
3. Einstellungen nicht blind stapeln. Wenn ein VPN dein DNS übernimmt, kann ein fest eingetragener Name im privaten DNS die Anfragen aus dem Tunnel holen und seine Filter abschalten. Mit aktivem VPN ist „Automatisch“ meist richtig.
4. Prüfen statt vermuten. Ein DNS-Leak-Test zeigt, welchen Resolver du tatsächlich nutzt.
5. An HTTPS denken. Es schützt den Inhalt; DNS-Privatsphäre schützt die Liste der Orte.

Häufige Fragen

Sieht der WLAN-Besitzer meine DNS-Anfragen im Inkognito-Modus?

Ja. Inkognito betrifft nur, was dein Browser auf dem Handy speichert. Die Anfragen laufen genauso durchs Netz.

Zeigt DNS die genauen Seiten, die ich besuche?

Nein. Es zeigt Namen wie forum.example, nicht die Adresse der Seite oder ihren Inhalt. Bei unverschlüsseltem HTTP (heute selten) sähe das Netz mehr, aber das ist dann nicht mehr DNS.

Reicht DNS over HTTPS allein?

Es verhindert, dass das Netz deine Anfragen liest und ändert. Es verbirgt nicht, mit welchen IP-Adressen du dich verbindest, und die meisten Websites nennen ihren Namen beim TLS-Verbindungsaufbau noch immer. Ein guter Schritt, keine Komplettlösung.

Sieht ein VPN mein DNS?

Sein Resolver schon, wenn das VPN das DNS übernimmt, und das sollte es. Deshalb zählt die Log-Politik des Anbieters so viel wie die Verschlüsselung.

Der Resolver von PryVPN ist so gebaut, dass die Antwort auf „Was habt ihr gespeichert?“ kurz ausfällt. Wenn du es ausprobieren willst, kannst du bei der Beta mitmachen.

Einen Fehler entdeckt? Schreib uns an support@pryvpn.com. Wir korrigieren ihn und aktualisieren das Datum.