DNS over HTTPS: Was ist das und wie schützt es Ihre Anfragen?

Alpha-Leitfaden » Rechnen » DNS over HTTPS: Was ist das und wie schützt es Ihre Anfragen?

Wenn Sie eine Webadresse eingeben, sorgt im Hintergrund ein System dafür, dass Sie die richtige Website erreichen: das Domain Name System (DNS). DNS übersetzt leicht zu merkende Namen in IP-Adressen , die Computer verstehen. Das ist zwar praktisch, aber jahrelang gab es eine erhebliche Sicherheitslücke: Die Anfragen wurden unverschlüsselt übertragen. Deshalb hat sich DNS over HTTPS (DoH) so weit verbreitet – eine zusätzliche Schutzebene, die es Ihrem Internetanbieter erschwert, Ihre besuchten Domains nachzuverfolgen.

Eines ist von vornherein wichtig: DoH verbessert die Vertraulichkeit von DNS-Anfragen, ist aber kein VPN und macht Ihre Verbindung auch nicht zu einem geheimen Tunnel . In diesem Artikel erfahren Sie genau, was DoH ist, warum es so beliebt geworden ist, wie Sie es in Chrome, Edge und Firefox aktivieren, welche Vor- und Nachteile es hat, wie es sich von DNS over TLS und einem VPN unterscheidet und welche technischen und praktischen Grenzen es hat.

Was ist DNS und warum ist das traditionelle System unzureichend?

DNS-Server gehören zu den Komponenten, die kaum jemand beachtet, obwohl sie einen Großteil des Online-Surfens ermöglichen. Ihre Aufgabe ist es, einen Domainnamen mit der IP-Adresse des zugehörigen Servers zu verknüpfen . Wenn Sie eine Website besuchen, versteht Ihr Computer keine Buchstaben: Er benötigt eine IP-Adresse, um zu wissen, mit welchem ​​Server er sich verbinden soll. Viele Router verfügen über bereits vom Internetanbieter konfigurierte DNS-Server, was die Einrichtung zwar vereinfacht, aber auch Spuren für den Betreiber der Infrastruktur hinterlässt.

Das grundlegende Problem besteht darin, dass herkömmliche DNS-Anfragen unverschlüsselt und ungeschützt erfolgen . Dies öffnet Tür und Tor für Abhören, Man-in-the-Middle-Angriffe und die Manipulation der Antwort. Ein Internetdienstanbieter kann erfahren, welche Domains Sie wann abfragen; ein Angreifer in einem gemeinsam genutzten Netzwerk kann versuchen, die Anfrage abzufangen und eine gefälschte Antwort zurückzusenden. Diese Technik wird als DNS-Hijacking bezeichnet und kann Sie letztendlich auf eine gefälschte Seite, unerwünschte Werbung oder eine Website führen, die Daten stiehlt. Regierungen und Internetdienstanbieter haben diese Schwachstellen in der Vergangenheit auch ausgenutzt, um Zensur durchzusetzen, Domains zu blockieren oder zusätzliche Werbung einzublenden.

• Passives Zuhören: Jemand beobachtet die Suchanfragen und schließt daraus, welche Dienste oder Websites Sie häufig besuchen.
• Mann in der Mitte: Die Kommunikation wird abgefangen und die Antwort so verändert, dass sie einen Server vortäuscht.
• Blockieren und Filtern: Es verhindert die Auflösung bestimmter Domains, um den Zugriff auf Inhalte zu kontrollieren.

DNS over HTTPS: Die Anfrage wird verschlüsselt, sodass sie nicht für jedermann sichtbar ist.

DNS over HTTPS (DoH) ist eine Lösung, die das HTTPS-Protokoll nutzt, um DNS-Anfragen und -Antworten verschlüsselt zu übertragen . Anstatt eine unverschlüsselte DNS-Anfrage zu senden, kapselt das Gerät diese in einer sicheren Verbindung, typischerweise über Port 443 – dem gleichen Port, der auch von sicheren Websites verwendet wird. Dadurch werden sowohl die Anfrage als auch die Antwort geschützt und ein einfaches Mitlesen durch Dritte verhindert.

Damit dies funktioniert, muss der abgefragte DNS-Server ebenfalls Domain-basiertes DNS (DoH ) unterstützen. Es reicht nicht aus, lediglich eine Option im Browser zu aktivieren: Der gewählte Resolver muss diesem Standard entsprechen. Die Spezifikation wird stetig weiterentwickelt und gilt weiterhin als Technologie in der Entwicklung, obwohl Unternehmen wie Google und die Mozilla Foundation sie seit 2018 testen und integrieren. Tests zeigen, dass DoH neben verbessertem Datenschutz auch die Latenz reduzieren und Anfragen beschleunigen kann, da nicht immer die gesamte Domain, sondern nur der minimal erforderliche Teil aufgelöst werden muss.

Vorteile von DoH: mehr Datenschutz, weniger Manipulation und bessere Leistung

Der größte Vorteil liegt in der Sicherheit. Da DNS-Anfragen verschlüsselt übertragen werden, sind sie deutlich schwerer abzufangen oder zu manipulieren . Dies erschwert Man-in-the-Middle-Angriffe, reduziert die Angriffsfläche in öffentlichen WLAN-Netzen und verhindert, dass lokale Betreiber die angeforderten Domains einsehen können. Da DoH-Datenverkehr Port 443 nutzt, ist er im Vergleich zu anderen HTTPS-Verbindungen kaum zu erkennen und nur schwer von einem normalen Webseitenbesuch zu unterscheiden.

Es gibt auch Performance-Gründe. DoH kann die Latenz reduzieren und die DNS-Kommunikation beschleunigen, indem die Namensauflösung optimiert und der Cache besser genutzt wird. Beispielsweise ist die GET-Methode einiger APIs so konzipiert, dass sie effizienter zwischengespeichert werden kann. In der Praxis kann dies zu etwas schnellerem Surfen führen, auch wenn es kein Allheilmittel ist und der Unterschied nicht immer spürbar ist. Da DoH im Browser implementiert ist, muss der Nutzer außerdem nicht auf die Aktivierung durch seinen Internetanbieter warten.

Nachteile und Debatten: Wenn Verschlüsselung das Leben verkompliziert

Nicht jeder sieht die domänenbasierte Verschlüsselung (DoH) positiv. Dieselbe Verschlüsselung, die den Nutzer schützt, erschwert gleichzeitig die Netzwerküberwachung . Viele Kindersicherungsprogramme analysieren DNS-Anfragen, um festzustellen, welche Websites Kinder besuchen. Mit DoH wird diese Aufgabe deutlich komplizierter und unter Umständen sogar unmöglich. Eine ähnliche Situation ergibt sich für Netzwerkadministratoren in Unternehmen, die den Überblick über die abgefragten Domains verlieren und bestimmte Regeln nicht mehr so ​​einfach durchsetzen können.

Internetanbieter verlieren zudem die Möglichkeit, Zugriffe zu überwachen und bestimmte Domains auf Anweisung von Institutionen zu sperren. Dies löst eine berechtigte Debatte aus: Manche sehen darin einen Gewinn für den Datenschutz, andere hingegen ein Kontroll- und Verwaltungsproblem . Im Fall von DoT wird außerdem kritisiert, dass es einen eigenen, eindeutigen Port verwendet, der die Identifizierung von DNS-Anfragen ermöglicht, selbst ohne Kenntnis des genauen Anfrageinhalts. DoH umgeht dieses eindeutige Signal, indem es sich im HTTPS-Verkehr tarnt, wodurch Netzwerkadministratoren jedoch weniger Werkzeuge zur Verwaltung ihrer Kommunikation zur Verfügung stehen.

So aktivieren Sie DoH in Chrome, Edge und Firefox

Die Aktivierung des Domain Name Systems (DNS) in einem modernen Browser ist in der Regel unkompliziert, insbesondere bei Browsern, die auf Chromium oder Firefox basieren. Die Option ist vorhanden, auch wenn sie in manchen Fällen in den erweiterten Einstellungen versteckt ist . Bevor Sie Änderungen vornehmen, ist es wichtig zu verstehen, dass der Browser nur seine eigenen Anfragen schützt: Andere Anwendungen auf dem Gerät verwenden möglicherweise weiterhin ein anderes DNS-System, wenn dieses nicht auch systemweit konfiguriert ist.

Google Chrome

In Chrome geht es am schnellsten so: chrome://flags/#dns-over-https in der Adressleiste. Das führt Sie direkt zu den Chrome-Flags oder experimentellen Funktionen.Die Option „Sichere DNS-Abfragen“ ist ausgewählt. Klicken Sie auf das Dropdown-Menü mit der Bezeichnung „Standard“ und wählen Sie „Aktiviert“. Anschließend müssen Sie Ihren Browser neu starten, damit die Änderung wirksam wird.

Microsoft Edge

Bei Chromium-basiertem Edge ist der Prozess nahezu identisch. Öffnen Sie Ihren Browser und geben Sie Folgendes ein: edge://flags/#dns-over-https in der SuchleisteSie rufen die Edge-Flags auf, woraufhin die Option für sichere DNS-Abfragen erscheint. Ändern Sie die Standardeinstellung auf „Aktiviert“ und starten Sie den Browser neu, wenn Sie dazu aufgefordert werden.

Mozilla Firefox

In Firefox müssen Sie nicht auf „Flags“ gehen. Klicken Sie auf die Menüschaltfläche oben rechts und wählen Sie „Einstellungen“ . Scrollen Sie im Abschnitt „Allgemein“ nach unten und klicken Sie auf „Netzwerkeinstellungen“. Aktivieren Sie im sich öffnenden Fenster das Kontrollkästchen neben „DNS über HTTPS aktivieren“. Anschließend können Sie einen Anbieter wie Cloudflare oder NextDNS auswählen, um die HTTPS-Verschlüsselung zu nutzen.

DNS over TLS (DoT): der andere verschlüsselte Pfad

DNS over TLS (DoT) ist eine weitere Methode zum Schutz von DNS-Anfragen. Anstelle von HTTPS verwendet es TLS über eine TCP-Verbindung und den standardisierten Port 853. TLS basiert auf demselben Sicherheitsstandard wie HTTPS, daher ist das Prinzip ähnlich: Es wird ein verschlüsselter Tunnel erstellt, in dem nur die beiden Teilnehmer die Informationen entschlüsseln und verarbeiten können. Dies erschwert Man-in-the-Middle-Angriffe und verhindert, dass Dritte die Anfrage lesen oder manipulieren.

DotT bietet Vorteile, insbesondere im Vergleich zu herkömmlichem DNS, das keine Sicherheitsmaßnahmen bietet. Die Verschlüsselung verhindert, dass Cyberkriminelle Anfragen abfangen, und erschwert bestimmte Zensurmaßnahmen . Allerdings setzt DotT Kompatibilität sowohl auf Client- als auch auf Serverseite voraus. Mehrere Anbieter stellen kompatible Server bereit, doch die Nutzung auf einem Desktop-PC oder Laptop erfordert in der Regel die Installation zusätzlicher Software. Auf modernen Android-Geräten ist DotT, zumindest seit Android 9, bereits integriert. Lösungen für Windows und Linux existieren zwar, sind aber nicht immer so transparent, wie man es sich wünschen würde.

Zu den Nachteilen von DoT zählt die Kritik vieler Datenschutzexperten, dass es nur einen einzigen, erkennbaren Port verwendet. Zwar lässt sich nicht feststellen, welche Website aufgerufen wird, der DNS-Verkehr hingegen ist nachvollziehbar . Für manche Netzwerkadministratoren ist dies hilfreich, da sie so den Überblick behalten; andere wiederum möchten dieses Signal lieber verbergen. Zudem ist DoT noch nicht so weit verbreitet wie das herkömmliche DNS, und die serverseitige Nutzung ist begrenzt. Es besteht die Sorge, dass einige wenige Unternehmen DNS-Anfragen zunehmend bündeln und dadurch möglicherweise ein internationales Monopol errichten.

DoH vs. DoT: Zwei Wege, um dasselbe zu schützen

Der Hauptunterschied zwischen DoH und DoT liegt im Port und der Art der Datenverkehrsverschleierung. DoT verwendet den Port 853, während DoH Port 443 nutzt und sich in den normalen HTTPS-Datenverkehr einfügt . Dieser scheinbar geringfügige Unterschied hat zu erheblichen Diskussionen geführt. Aus Datenschutzsicht ist die Ununterscheidbarkeit von DNS-Anfragen von anderem Datenverkehr ein Vorteil: Werden sie nicht erkannt, lassen sie sich nicht so leicht manipulieren. Aus Sicht des Netzwerkmanagements geht jedoch die Kontrolle verloren, und die Implementierung von Sicherheits- oder Filterrichtlinien wird schwieriger.

Im Kern stehen zwei Visionen gegenüber. Das IETF, das Konsortium, das viele Internetstandards entwickelt, unterstützt DoT , während Google und die Mozilla Foundation DoH stark fördern. Es handelt sich dabei nicht um gegensätzliche Technologien, sondern um unterschiedliche Auffassungen von Datenschutz, Netzwerktransparenz und der Rolle von Vermittlern. Die Wahl zwischen den beiden hängt davon ab, was geschützt werden muss und wer das Netzwerk verwalten soll.

DoH vs. VPN: Es schützt die Frage, nicht den gesamten Datenverkehr.

DoH und VPN werden oft im Zusammenhang mit Datenschutz erwähnt, aber sie funktionieren nicht gleich. DoH schützt die Namensabfrage; ein VPN schützt den Übertragungsweg Ihrer Daten . Am einfachsten lässt sich das so veranschaulichen: DoH steckt eine sensible Anfrage in einen versiegelten Umschlag, während ein VPN die gesamte Übertragung durch einen privaten Tunnel leitet, bevor sie wieder auf die öffentliche Straße gelangt. Beide Technologien verbessern den Datenschutz, aber nur eine ist darauf ausgelegt, den gesamten Datenverkehr von Smartphones, Tablets und Computern umfassend abzudecken.

Was macht DNS, bevor eine Webseite geladen wird?

Bevor Ihr Browser eine Website laden kann, muss Ihr Gerät dessen Standort kennen. Das DNS funktioniert wie ein Telefonbuch und übersetzt einen Website-Namen in eine IP-Adresse . Dieser Vorgang findet ständig statt: beim Öffnen einer Seite, Starten einer App, Aktualisieren Ihrer E-Mails oder Abspielen eines Videos. Meistens geschieht dies unbemerkt, was zwar praktisch ist, aber auch dazu führt, dass es leicht als Datenschutzproblem übersehen wird. Herkömmliche DNS-Anfragen sind nicht verschlüsselt. Daher können Ihr Internetanbieter, Ihr Arbeitgeber, Ihre Schule, das WLAN eines Cafés oder das Netzwerk eines Hotels sehen, welche Domains Ihr Gerät aufruft. Sie sehen zwar nicht den vollständigen Inhalt einer HTTPS-Seite, erhalten aber dennoch einen recht aufschlussreichen Überblick über Ihre Aktivitäten.

Eine DNS-Abfrage gibt zwar nicht jede besuchte Seite oder jeden eingegebenen Formulartext preis, doch eine Liste von Domains kann Rückschlüsse auf Gewohnheiten, Interessen, Arbeitsmittel, Gesundheitsforschung oder Finanzdienstleistungen zulassen . Daher hat sich verschlüsseltes DNS zu einem nützlichen Datenschutzmerkmal entwickelt. Es enthüllt zwar nicht alles, aber mehr, als vielen bewusst ist.

Was verbirgt das Gesundheitsministerium und was enthüllt es?

DoH sendet DNS-Anfragen über HTTPS, dasselbe verschlüsselte Protokoll, das auch von sicheren Websites verwendet wird. Die Anfrage verlässt Ihr Gerät verschlüsselt und erreicht einen Resolver, der den Standard unterstützt . In öffentlichen WLAN-Netzen kann dies verhindern, dass der Netzbetreiber Ihre Anfragen versehentlich mitliest. Wenn Ihr Internetanbieter die DNS-Auflösung verwaltet, kann die Umstellung auf einen DoH-Resolver verhindern, dass er diese Anfragen wie gewohnt einsehen kann. Darüber hinaus kann verschlüsseltes DNS bestimmte Manipulationsformen reduzieren, falls ein Netzwerk die Namensauflösung manipuliert.

DoH verbirgt zwar die Anfrage, aber nicht die gesamte Kommunikation. Es kann verhindern, dass manche Beobachter die Domain-Auflösung eindeutig sehen, aber es macht Ihre Internetverbindung nicht zu einem verschlüsselten Tunnel . Sobald das Gerät die IP-Adresse kennt, verläuft die Verbindung wie gewohnt, sofern kein anderes Datenschutztool diesen Pfad ändert. DoH verbirgt Ihre echte IP-Adresse nicht vor den Websites, Apps oder Diensten, mit denen Sie sich verbinden, und lässt Sie auch nicht so aussehen, als befänden Sie sich in einer anderen Stadt oder einem anderen Land. Wenn Sie sich in ein Konto einloggen, weiß der Dienst, dass Sie es sind. Falls der Browser Cookies, gespeicherte Sitzungen, Werbe-IDs oder einen erkennbaren Fingerabdruck enthält, werden diese Signale von DoH nicht gelöscht.

DoH schützt auch nicht jede Anwendung, es sei denn, es ist systemweit konfiguriert und die Anwendung berücksichtigt diese Einstellung. Ein Browser verwendet möglicherweise sicheres DNS, während eine andere Anwendung auf demselben Gerät einen anderen DNS-Pfad nutzt . Manche Apps verwalten ihr eigenes Netzwerk und stimmen nicht immer mit den System- oder Browsereinstellungen überein. Daher kann DoH ein trügerisches Gefühl von vollständigem Schutz vermitteln: Es verbessert zwar die Vertraulichkeit von DNS-Anfragen, schützt aber Dateiübertragungen, Nachrichtenverkehr, Videoanrufe, Spielverbindungen, Hintergrundsynchronisierung oder Streaming-Anwendungen nicht so wie ein VPN.

Was schützt ein VPN und was kann es nicht verbergen?

Ein VPN schützt einen anderen Teil Ihrer Internetverbindung. Es erstellt einen verschlüsselten Tunnel zwischen Ihrem Gerät und einem VPN-Server und leitet Ihren Internetverkehr über diesen Server . Ihr Internetanbieter oder Ihr lokales WLAN-Netzwerk sieht eine verschlüsselte Verbindung zum VPN-Server und nicht die vollständige IP-Adresse jeder Website und jedes Dienstes, mit dem Sie sich verbinden. Zusätzlich ändert das VPN die öffentliche IP-Adresse, die Websites und Apps sehen: Anstelle der IP-Adresse Ihres Heimnetzwerks oder Mobilfunkanbieters sieht der Empfänger die IP-Adresse des VPN-Servers. Dies kann standortbezogenes Tracking reduzieren, Ihnen helfen, einige ISP-Profile zu umgehen und die Nutzung öffentlicher WLAN-Netze sicherer machen.

Ein umfassendes VPN schützt Browser, Streaming-Apps, E-Mail-Clients, Cloud-Backup-Tools, Messenger-Apps, Spiele und Hintergrunddienste. Bei korrekter Konfiguration leitet es auch DNS-Anfragen über den verschlüsselten Tunnel . Daher ist ein DNS-Leak-Test ratsam. Ein VPN ist jedoch keine Zauberei. Wenn Sie sich in einem sozialen Netzwerk, einem E-Mail-Konto, einem Streaming-Dienst oder einem Online-Shop anmelden, weiß dieser Dienst weiterhin, wer Sie sind. Er kann zwar Ihre ursprüngliche IP-Adresse verbergen, aber Ihre Anmeldung nicht anonymisieren. Dasselbe gilt für alle Daten, die Sie direkt senden: Ihren Namen, Ihre E-Mail-Adresse, Zahlungsdaten, Lieferadresse, Fotos oder Nachrichten.

Cookies und Browser-Fingerprinting spielen weiterhin eine Rolle. Apps können ähnliche Probleme durch Werbe-IDs, Berechtigungen, Standortzugriffe, Bluetooth-Scans, WLAN-Netzwerke in der Nähe und Scan-Tools verursachen. Malware stellt eine weitere große Hürde dar, da sie Daten abfangen kann, bevor diese überhaupt den VPN-Tunnel erreichen . Kurz gesagt: Ein VPN verbirgt und verschlüsselt zwar viele Aktivitäten, kann aber nicht jeden digitalen Fingerabdruck verschleiern.

DoH und ein VPN können gleichzeitig verwendet werden.

Ja, sie lassen sich kombinieren, aber die optimale Konfiguration hängt davon ab, wie Gerät, Browser und VPN-App DNS handhaben. In vielen Fällen ist es am einfachsten, die DNS-Verwaltung dem VPN zu überlassen . Eine gute App sollte DNS-Anfragen über den verschlüsselten Tunnel senden, sodass Ihr Internetanbieter sie nicht direkt empfängt. So erhalten Sie DNS-Datenschutz als Teil der VPN-Verbindung, ohne Ihre Browsereinstellungen separat anpassen zu müssen.

Das Problem entsteht, wenn der Browser seine eigene Domain Authority (DoH)-Konfiguration verwendet, während das VPN versucht, die DNS-Auflösung auf Systemebene zu verwalten. Es funktioniert zwar nichts, aber es kann zu Verwirrung kommen : Man könnte meinen, alle Anfragen würden über das VPN laufen, tatsächlich sendet der Browser aber einige Anfragen selbstständig an einen anderen Resolver. Hier ist ein DNS-Leak-Test hilfreich. Werden nach der VPN-Verbindung die DNS-Server des Internetanbieters angezeigt, funktioniert etwas nicht wie erwartet; werden hingegen die Server des VPNs angezeigt, ist die Konfiguration höchstwahrscheinlich korrekt.

Wann ist DoH ausreichend und wann ist ein VPN ratsam?

DoH kann ausreichend sein, wenn es Ihnen primär um die grundlegende Vertraulichkeit Ihrer DNS-Anfragen im Browser geht. In einem vertrauenswürdigen Heimnetzwerk reduziert die Aktivierung von Secure DNS die Offenlegung von Klartextdaten, ohne dass Sie Ihren Standort ändern oder Ihre Anwendungen absichern müssen . Es ist auch in Netzwerken nützlich, in denen DNS-Filterung oder -Manipulation ein Problem darstellen, da die Übertragung über HTTPS die Überprüfung oder Änderung erschwert. Das bedeutet nicht, dass alle Beschränkungen umgangen werden oder zensurresistent ist, aber es ist eine deutliche Verbesserung gegenüber unverschlüsseltem DNS. Darüber hinaus ist es ressourcenschonend: Sie müssen keinen VPN-Server auswählen oder Ihre Routing-Einstellungen wesentlich ändern, und in der Regel werden Sie keine signifikanten Geschwindigkeitseinbußen feststellen.

Ein VPN ist besonders sinnvoll, wenn Sie Ihr gesamtes Gerät schützen möchten, nicht nur DNS-Abfragen. Dies gilt beispielsweise für Flughäfen, Hotels, Schulen, Coworking-Spaces, Cafés und Ferienwohnungen . In gemeinsam genutzten Netzwerken wissen Sie nicht, wer den Router kontrolliert, wer sonst noch verbunden ist oder ob jemand versucht, Ihren Datenverkehr abzufangen. Ein VPN ist auch dann hilfreich, wenn Sie verhindern möchten, dass Ihr Internetanbieter ein Profil Ihres Surfverhaltens erstellt: Obwohl HTTPS die Seiteninhalte schützt, können Netzwerk-Metadaten dennoch nützliche Informationen preisgeben. Reisen ist ein weiteres gutes Beispiel: Ein VPN kann Ihre Verbindung stabiler gestalten, Sie in unbekannten Netzwerken schützen und dafür sorgen, dass Websites den Standort des VPN-Servers anstelle Ihrer temporären lokalen Verbindung sehen.

Technische Details der Google Public DNS DoH APIs

Google Public DNS bietet zwei separate DoH-APIs. Die eine ist für RFC 8484 ausgelegt und akzeptiert GET- und POST-Anfragen unter https://dns.google/dns-query; die andere ist eine JSON-API, die ausschließlich GET-Anfragen unter https://dns.google/resolve unterstützt . Zusätzlich gibt es eine Weboberfläche unter https://dns.google/, die JSON-Ergebnisse im Browser anzeigt, jedoch keine vollständige API implementiert. Diese Oberfläche darf nicht mit den API-URLs oder mit https://dns.google/query verwechselt werden. Der Dienst unterstützt keine ungesicherten HTTP-URLs. DoH wird auch vom öffentlichen DNS64-Dienst von Google unterstützt, allerdings nur IPv6. Die Dokumentation zu sicheren Transportprotokollen von Google enthält Beispiele für curl sowie Details zu TLS, DoT und DoH.

Verfügbare HTTP-Methoden

Die GET-Methode kann die Latenz reduzieren, da sie effizienter zwischenspeichert. RFC-8484-GET-Anfragen müssen den Parameter `?dns=` mit einer Base64Url-kodierten DNS-Nachricht enthalten und sind die einzige von der JSON-API unterstützte Methode. Die POST-Methode ist ebenfalls nur in RFC 8484 verfügbar und verwendet eine binäre DNS-Nachricht mit `application/dns-message` im Anfrage- und Antworttext. Die HEAD-Methode wird derzeit nicht unterstützt und gibt den Fehler 400 (Bad Request) zurück. Andere Methoden führen zu Fehlern 501 (Not Implemented).

Statuscodes und Fehler

Die API gibt mehrere HTTP-Codes zurück, die von Bedeutung sind. Ein 200 OK-Statuscode signalisiert, dass die HTTP-Analyse und die Kommunikation mit dem DNS-Resolver erfolgreich waren . Der Antworttext kann je nach Endpunkt, Accept-Header und GET-Parametern eine binäre DNS-Antwort oder JSON sein. Hinweis: Ein HTTP-Fehler kann auch ein DNS-Fehler sein. Daher empfiehlt es sich, den DNS-Antwortcode, beispielsweise das Feld „Status“ im JSON-Code, auf Fehler wie SERVFAIL, FORMERR, REFUSED oder NOTIMP zu überprüfen.

• 301 dauerhaft umgezogen: Der Client muss die Anfrage an die in Location angegebene URL wiederholen. War die ursprüngliche Anfrage eine POST-Anfrage, sollte er sie nur dann mit GET wiederholen, wenn die neue URL einen DNS-Parameter enthält; andernfalls muss er die Anfrage erneut mit POST senden. Es können auch die Statuscodes 302, 307 und 308 auftreten, und DoH-Clients müssen alle vier verarbeiten. Die permanenten Statuscodes 301 und 308 können unbegrenzt zwischengespeichert werden. POST-Anfragen, die den Statuscode 307 oder 308 erhalten, müssen immer mit POST wiederholt werden.
• 400 Bad Request: Probleme beim Parsen von GET-Parametern oder eine ungültige DNS-Anfrage. Die meisten ungültigen DNS-Anfragen werden mit dem Statuscode 200 OK und FORMERR beantwortet. HTTP-Fehler treten jedoch bei unlesbaren Anfragen ohne Frageabschnitt, mit einem QR-Code, der eine Antwort anzeigt, oder mit sinnlosen Codekombinationen auf.
• 413 Nutzlast zu groß: Der Inhalt einer POST-RFC-8484-Anfrage überschreitet die maximale Nachrichtengröße von 512 Bytes.
• 414 URI zu lang: Der GET-Abfrageheader war zu groß oder der DNS-Parameter überschritt 512 Bytes.
• 415 Nicht unterstützter Medientyp: Der POST-Body enthielt keinen Content-Type-Header application/dns-message.
• 429 Zu viele Anfragen: Innerhalb eines bestimmten Zeitraums wurden zu viele Anfragen gesendet. Der Client muss bis zum Ablauf der im Retry-After-Header angegebenen Zeit warten.
• Interner 500-Serverfehler: Interne Fehler im DoH-Dienst.
• 501 Nicht implementiert: Nur GET und POST sind implementiert; die übrigen Anfragen führen zu diesem Fehler.
• 502 Bad Gateway: Der DoH-Dienst konnte nicht mit den öffentlichen DNS-Resolvern von Google kommunizieren. Ein Versuch mit einer anderen Adresse könnte helfen, aber ein effektiverer Ausweichplan ist die Verwendung eines anderen DoH-Dienstes oder der Wechsel zu herkömmlichem DNS mit UDP oder TCP unter 8.8.8.8.

Bewährte Verfahren für Datenschutz und Leistung

DoH-Anwendungsentwickler sollten die Anzahl der HTTP-Header begrenzen. Header wie Cookie, User-Agent und Accept-Language können Informationen über die Client-Implementierung preisgeben und zur De-Anonymisierung beitragen . Es wird empfohlen, nur die für DoH notwendigen Header zu senden: Host, Content-Type (für POST-Anfragen) und gegebenenfalls Accept. Der User-Agent-Header sollte in Entwicklungs- oder Testversionen enthalten sein. Es ist außerdem ratsam, EDNS-Padding-Optionen zu verwenden, um Anfragen auf gängige Längen zu kürzen und die Verkehrsanalyse zu erschweren. HTTP/2-Padding ist zwar möglich, erzeugt aber im Gegensatz zu EDNS-Padding kein Padding in den DoH-Serverantworten.

Die POST-Methode gemäß RFC 8484 sollte nur in datenschutzsensiblen Anwendungen oder Browsermodi verwendet werden. Da die Verwendung von POST die Cache-Kapazität verringert und die Latenz erhöhen kann, wird sie generell nicht empfohlen . Eine Reduzierung der Cache-Größe kann jedoch für Anwendungen ratsam sein, die Synchronisierungsangriffe auf Webanwendungen verhindern möchten, welche darauf abzielen, die zuletzt besuchten Domains des Nutzers zu ermitteln. Der HTTPS-Ansatz bietet zudem praktische Vorteile: HTTPS-APIs sind weit verbreitet und werden umfassend unterstützt, was die Implementierung vereinfacht. Ein HTTPS-Dienst ermöglicht Webanwendungen den Zugriff auf alle Arten von DNS-Einträgen und umgeht so die Einschränkungen von Browser- oder Betriebssystem-APIs, die typischerweise auf Host-zu-Adresse-Abfragen beschränkt sind. Clients, die HTTPS über UDP mit QUIC implementieren, können Probleme wie die Blockierung von Zeilenköpfen, die bei TCP auftreten, vermeiden. Sollten Sie einen Fehler feststellen oder eine neue Funktion anfragen wollen, melden Sie das DoH-bezogene Problem bitte über die üblichen Kanäle.

Häufig gestellte Fragen zu DoH und VPN

Eine der häufigsten Fragen ist, ob die Verwendung von DoH sinnvoll ist, wenn man bereits ein VPN nutzt. Es ist zwar möglich, aber am praktischsten ist es in der Regel, die DNS-Auflösung dem VPN zu überlassen und mit einem Leak-Test zu überprüfen, ob die Anfragen über die korrekten Kanäle laufen. Wenn der Browser seine Anfragen anders sendet als das VPN, kann das unangenehme Folgen haben.

Eine weitere häufige Frage ist, ob DoH verhindert, dass Ihr Internetanbieter Ihre besuchten Websites einsehen kann. DoH verbirgt zwar DNS-Anfragen vor vielen Beobachtern, entfernt aber nicht alle Metadaten und verbirgt auch nicht Ihre IP-Adresse : Ihr Internetanbieter kann weiterhin sehen, mit welchen IP-Adressen Sie sich verbinden und andere Netzwerkinformationen. Für einen umfassenderen Schutz benötigen Sie ein VPN oder eine Kombination mehrerer Datenschutzebenen.

Es lohnt sich auch zu fragen, ob DomainHost (DoH) in öffentlichen WLAN-Netzen ausreichend ist. Es kann zwar verhindern, dass der Netzwerkbetreiber Ihre DNS-Anfragen einfach mitlesen kann, schützt aber weder die gesamte Verbindung noch den Datenverkehr aller Anwendungen . In Flughäfen, Hotels und Cafés ist die Nutzung eines VPNs in der Regel umfassender, insbesondere wenn Sie nicht wissen, wer den Router steuert oder ob andere Personen verbunden sind.

Domain Name System (DoH) und VPNs sind keine direkten Konkurrenten, sondern Werkzeuge mit unterschiedlichen Funktionen. DoH verschlüsselt die Domain-Auflösung und reduziert so die Sicherheit dieses Teils des Prozesses; ein VPN verschlüsselt den Weg zwischen Ihrem Gerät und einem Server und ändert die IP-Adresse, die von den Zielen gesehen wird . Keines der beiden macht Sie unsichtbar: Konten, Cookies, Browser-Fingerabdrücke, App-Berechtigungen, Malware und alle Daten, die Sie direkt teilen, können Sie weiterhin identifizieren. Das macht sie aber nicht nutzlos. Es bedeutet lediglich, dass jedes System seine Berechtigung hat. DoH schützt die Adressauflösung; ein VPN schützt einen wesentlich größeren Teil des Weges, den Ihre Daten nehmen.