EMZETT.DNS über HTTPS und DNS über TLS: Verschlüsselte Namensauflösung
Kurz: Verfahren, die DNS-Anfragen verschlüsseln, damit Dritte im Netz nicht mitlesen können, welche Webseiten ein Gerät aufruft.
Genauer: Klassisches DNS überträgt Anfragen im Klartext über UDP Port 53. Jeder auf dem Weg (WLAN-Betreiber, Provider) sieht, welche Namen aufgelöst werden, und kann Antworten verändern. DoT (DNS over TLS, Port 853) und DoH (DNS over HTTPS, Port 443) packen die Anfragen in eine verschlüsselte Verbindung.
Im Detail
Unterschiede
- DoT verwendet einen eigenen Port. Netzbetreiber können ihn leicht erkennen und bei Bedarf blockieren oder gezielt erlauben.
- DoH läuft über normalen HTTPS-Verkehr (Port 443) und ist von anderem Web-Verkehr kaum zu unterscheiden. Browser wie Firefox und Chrome können es direkt unterstützen, auch ohne Einstellung im Betriebssystem. Beide schützen den Weg zwischen dir und dem Resolver. Der Resolver selbst sieht weiterhin alle Anfragen.
Was es bringt und was nicht
Gewonnen wird Schutz vor Mitlesen und Manipulation im öffentlichen WLAN oder beim Provider. Nicht verborgen wird die Ziel-IP-Adresse, die bei der Verbindung sichtbar bleibt, und oft der Servername (SNI) beim TLS-Aufbau (Encrypted Client Hello soll das schließen). Mit DoH vertraut man dem gewählten Anbieter (zum Beispiel Cloudflare, Google, Quad9 oder den eigenen Resolver), anstatt dem Provider.
Einrichten
Unter Windows 11 und Android („Privates DNS“) lässt sich DoT/DoH in den Netzwerkeinstellungen eintragen. In Firefox: Einstellungen → Datenschutz → DNS über HTTPS. Auf einem Router oder eigenen Server übernimmt ein Resolver wie Unbound, dnsdist oder AdGuard Home die Verschlüsselung für alle Geräte im Netz.
Nachteile
In Firmennetzen kann DoH interne Namen und Filter umgehen, weshalb Administratoren es steuern oder die interne Auflösung per Richtlinie festlegen. Fehlersuche wird schwerer, da klassische Mitschnitte die Anfragen nicht mehr zeigen. DNSSEC prüft zusätzlich die Echtheit der Antworten, DoH/DoT dagegen die Vertraulichkeit des Transports.