Was verschlüsseltes DNS wirklich verbirgt

Sie haben einen Artikel darüber gelesen, dass Internetanbieter Browserverläufe verkaufen, in den Browser-Einstellungen "Sicheres DNS" aktiviert und sich damit fertig gefühlt — verschlüsselt, geschützt, unsichtbar. Dieses Gefühl stimmt nur teilweise. Verschlüsseltes DNS verbirgt tatsächlich eine ganz bestimmte Sache vor Beobachtern im Netzwerk, und es lohnt sich, genau zu wissen, was das ist — denn es ist enger gefasst, als die Werbeversprechen nahelegen.

Was verschlüsseltes DNS (DoH/DoT) tatsächlich verbirgt

Unverschlüsseltes DNS sendet jede Abfrage — "wie lautet die IP für example.com?" — im Klartext über das Netzwerk, lesbar für Ihren Internetanbieter, den Betreiber des Café-WLANs oder jeden anderen auf dem Übertragungsweg. DoH verpackt dieselbe Anfrage in eine HTTPS-Verbindung; DoT verpackt sie in eine dedizierte verschlüsselte TLS-Verbindung. Beide verhindern, dass ein Netzwerkbeobachter die Abfrage selbst lesen kann:

Ebene	Klartext-DNS	DoH / DoT	DoH + ECH
Inhalt der DNS-Anfrage	Sichtbar	Verborgen	Verborgen
Ziel-IP-Adresse	Sichtbar	Sichtbar	Sichtbar
SNI (Domain im TLS-Handshake)	Sichtbar	Sichtbar	Verborgen
Wer die Anfrage sehen kann	ISP, jeder Netzwerk-Hop	Nur Ihr gewählter DNS-Resolver	Nur Ihr gewählter DNS-Resolver

Die Anfrage selbst zu verschlüsseln ist ein echter Gewinn — es ist der Unterschied zwischen einem Internetanbieter, der "Nutzer hat example.com abgefragt" protokolliert, und einem, der gar nichts protokolliert. Aber genau dort endet der Schutz, solange keine zweite Technologie hinzukommt.

Was es nicht verbirgt — die Lücke, die niemand benennt

Nachdem die DNS-Abfrage aufgelöst wurde, baut Ihr Gerät weiterhin eine direkte Verbindung zur IP-Adresse des Zielservers auf — und diese IP-Adresse ist für jeden sichtbar, der das Netzwerk beobachtet, verschlüsseltes DNS hin oder her. Liegt die Seite auf einer geteilten IP (wie bei den meisten CDN-gehosteten Seiten), identifiziert die IP allein nicht genau, welche Seite Sie aufgerufen haben — bei einer dedizierten IP oft schon.

Die größere Lücke ist der TLS-Handshake selbst. Wenn Ihr Browser sich per HTTPS mit einem Server verbindet, enthielt die allererste Nachricht — das ClientHello — historisch den Domainnamen im Klartext, in einem Feld namens SNI (Server Name Indication), damit der Server weiß, welches Zertifikat er präsentieren soll. Das bedeutet: Selbst bei vollständig verschlüsseltem DNS kann ein Netzwerkbeobachter, der den TLS-Handshake mitliest, den Domainnamen oft direkt aus diesem ersten Paket auslesen. Encrypted Client Hello (ECH) ist der neuere Standard, der endlich auch das SNI-Feld verschlüsselt — aber die ECH-Unterstützung ist 2026 über Browser, Server und Netzwerke hinweg noch uneinheitlich, sodass die meisten Verbindungen heute den Domainnamen auf TLS-Ebene weiterhin preisgeben, selbst wenn die DNS-Ebene vollständig verschlüsselt ist.

Das Vertrauensproblem: Sie wählen nur, wem Sie vertrauen

DoH zu Cloudflare (1.1.1.1) oder Google (8.8.8.8) zu aktivieren entfernt Ihren Internetanbieter aus der Sichtbarkeit Ihrer DNS-Anfragen — aber es entfernt keinen einzigen Beobachtungspunkt, es verlagert ihn nur. Jetzt sieht Cloudflare oder Google jede Domain, die Sie abfragen. Das kann eine Verbesserung sein, wenn Sie den angegebenen No-Logging-Richtlinien mehr vertrauen als der Datenverkaufspraxis Ihres Internetanbieters — aber es ist ein Tausch, keine Eliminierung.

Der einzige Weg, einen Dritten als DNS-Beobachter vollständig zu entfernen, ist, gar keinen zu haben — also DNS-Anfragen selbst aufzulösen, direkt gegen die Root- und autoritativen Nameserver des Internets, statt jede Anfrage an den Resolver von jemand anderem weiterzuleiten. Öffentliche Resolver sind kostenlos, anders als bei der Kostenrechnung von Identitätsdiebstahl-Schutz ist das hier also keine Kostenfrage — sondern rein die Frage, wie vielen Unternehmen Sie erlauben wollen, jede Domain zu sehen, die Ihr Haushalt abfragt.

Den eigenen rekursiven Resolver betreiben: Pi-hole + Unbound

Ich betreibe Unbound als rekursiven Resolver auf meinem Proxmox-Homelab, mit Pi-hole davor für netzwerkweites Werbeblocken. Der Unterschied ist wichtig: Pi-hole leitet unblockierte Anfragen standardmäßig weiterhin an einen von Ihnen gewählten Upstream-Resolver weiter (oft einen öffentlichen) — es ist ein Filter, kein Resolver. Unbound ersetzt diesen Upstream vollständig, indem es die DNS-Hierarchie direkt abfragt, genauso wie es ein öffentlicher Resolver intern tut, nur dass die Ergebnisse ausschließlich mein eigenes Netzwerk erreichen. Das ist der unbound.conf-Block, der es in den reinen rekursiven Modus versetzt, ganz ohne Weiterleitung an einen Upstream:

server:
    interface: 127.0.0.1@5335
    do-ip4: yes
    do-udp: yes
    do-tcp: yes
    prefetch: yes
    root-hints: "/var/lib/unbound/root.hints"

In den Pi-hole-eigenen Einstellungen unter DNS wird der benutzerdefinierte Upstream dann auf diese lokale Unbound-Instanz (127.0.0.1#5335) gesetzt, statt auf einen öffentlichen Resolver — sodass jede Anfrage, die Pi-hole nicht blockiert, rekursiv und im eigenen Haus aufgelöst wird, statt an Cloudflare oder Google weitergeleitet zu werden.

Nach dem ersten Tag Cache-Aufwärmung lösen sich die meisten wiederholten Abfragen aus Unbounds lokalem Cache im niedrigen einstelligen Millisekundenbereich auf, und Abfragen, die tatsächlich die Root-/autoritative Kette treffen, landen im Bereich von 100–200 ms — spürbar langsamer als der Edge-Cache eines öffentlichen Resolvers bei einer kalten Abfrage, aber niemand sieht die Anfrage außer meinem eigenen Resolver.

Lohnt sich der eigene Betrieb, oder reicht ein öffentlicher verschlüsselter Resolver

Für die meisten Menschen ist der Wechsel zu DoH oder DoT mit einem seriösen öffentlichen Resolver ein spürbarer, aufwandsarmer Datenschutzgewinn gegenüber unverschlüsseltem ISP-DNS — eine Fünf-Minuten-Einstellung mit echtem Nutzen. Einen eigenen rekursiven Resolver zu betreiben ist der richtige Schritt für alle, die gezielt nicht wollen, dass ein einzelnes Unternehmen ein Protokoll jeder Domain führt, die ihr Haushalt abfragt, und die mit dem laufenden Wartungsaufwand des Selbst-Hostens einverstanden sind — dieselbe Abwägung wie beim Betrieb von Vaultwarden statt eines Cloud-Passworttresors, oder bei der Wahl einer rein lokalen Authenticator-App statt einer synchronisierten.

So oder so bleibt das ehrliche Fazit dasselbe: Verschlüsseltes DNS verengt, was ein Netzwerkbeobachter sehen kann — es macht Sie nicht unsichtbar. Und genau zu wissen, wo die verbleibende Lücke liegt (Ziel-IP, SNI ohne ECH), zählt mehr, als dem Wort "verschlüsselt" zu vertrauen und anzunehmen, damit sei alles abgedeckt.

Häufig gestellte Fragen

Verhindert verschlüsseltes DNS, dass mein Internetanbieter sieht, welche Seiten ich besuche?

Teilweise. Es verbirgt die DNS-Abfrage selbst, aber Ihr Internetanbieter kann oft weiterhin die Ziel-IP-Adresse sehen, mit der Sie sich verbinden, und — weil Encrypted Client Hello noch nicht flächendeckend eingesetzt wird — häufig auch den Domainnamen im SNI-Feld des TLS-Handshakes.

Was ist der Unterschied zwischen DNS over HTTPS und DNS over TLS?

Beide verschlüsseln dieselbe DNS-Anfrage; sie unterscheiden sich im Transport. DoT nutzt eine dedizierte verschlüsselte Verbindung über Port 853, den ein Netzwerk leicht vollständig blockieren kann. DoH läuft über den regulären HTTPS-Port (443), vermischt sich mit normalem Web-Traffic und macht gezieltes Blockieren schwieriger.

Ist Cloudflare DNS wirklich privat?

Cloudflares 1.1.1.1 verschlüsselt Ihre Anfrage bei der Übertragung und veröffentlicht eine No-Logging-Richtlinie, aber die Nutzung bedeutet weiterhin, dass Cloudflare — statt Ihres Internetanbieters — jede Domain sieht, die Sie abfragen. Es verlagert den Beobachtungspunkt, es eliminiert ihn nicht.

Sollte ich zu Hause einen eigenen DNS-Server betreiben?

Nur, wenn Sie gezielt keinen Dritt-Resolver möchten, der die DNS-Anfragen Ihres Haushalts sieht, und bereit sind, ihn zu warten. Ein Tool wie Unbound als rekursiver Resolver, kombiniert mit Pi-hole zum Werbeblocken, erreicht das — aber ein öffentlicher verschlüsselter Resolver ist für die meisten Menschen eine vernünftige, aufwandsärmere Wahl.

Was ist Encrypted Client Hello (ECH)?

ECH ist eine neuere TLS-Erweiterung, die das SNI-Feld verschlüsselt — den Domainnamen, der sonst im Klartext während des TLS-Handshakes übertragen wird. Sie schließt die verbleibende Lücke, die verschlüsseltes DNS allein offenlässt, aber die Unterstützung ist 2026 über Browser, Server und Netzwerke hinweg noch uneinheitlich.