DNS over HTTPS und DNS over TLS: verschlüsselte Namensauflösung

Bevor dein Browser eine Website lädt, fragt er einen Resolver nach der IP-Adresse. Diese Frage geht seit den Anfängen des DNS im Klartext übers Netz. Die IETF schrieb noch 2021, dass fast der gesamte DNS-Verkehr unverschlüsselt läuft und von jedem mitgelesen werden kann, der auf dem Weg sitzt ^[1]. DNS over TLS und DNS over HTTPS ändern das für die Strecke zwischen deinem Gerät und dem Resolver. Wie die Namensauflösung insgesamt abläuft, erklärt Was ist DNS?

Was unverschlüsseltes DNS verrät

Eine DNS-Anfrage enthält den Namen, den du aufrufen willst, und kommt von deiner IP-Adresse. Wer den Verkehr sieht, etwa im offenen WLAN eines Cafés, beim Netzbetreiber oder an einem Knoten dazwischen, kann daraus ablesen, welche Dienste du nutzt ^[1]. Unverschlüsselte Antworten lassen sich außerdem unterwegs verändern. Ein Angreifer im selben Netz kann dir so eine falsche Adresse unterschieben.

Verschlüsselung setzt an diesem Transportweg an. Sie verhindert Mitlesen und Manipulation zwischen dir und dem Resolver. Was der Resolver selbst mit deinen Anfragen macht, regelt sie nicht. Dazu weiter unten mehr.

DNS over TLS: ein eigener Port

DNS over TLS (DoT) ist seit Mai 2016 in RFC 7858 beschrieben. Die Anfragen laufen in einer TLS-Verbindung, also mit derselben Technik, die HTTPS-Seiten schützt. Ein DoT-Server muss Verbindungen auf Port 853 annehmen ^[2]. Die RFC nennt als Ziel, Mitlesen und Manipulation auf dem Weg auszuschließen ^[2].

Der eigene Port hat Vor- und Nachteile. Netzbetreiber und Firmen-Firewalls erkennen DoT leicht und können es gezielt erlauben oder sperren. Auch Router beherrschen DoT. Die FRITZ!Box etwa bietet unter den DNS-Einstellungen eine Option für verschlüsselte Namensauflösung per DNS over TLS; eingetragen wird dort der Hostname des DNS-Servers, nicht seine IP-Adresse ^[6].

DNS over HTTPS: Anfragen im Webverkehr

DNS over HTTPS (DoH) folgte im Oktober 2018 mit RFC 8484. Jede DNS-Anfrage wird als HTTPS-Anfrage verschickt, wahlweise per GET oder POST; Server müssen beide Methoden beherrschen ^[3]. Die Nachricht selbst bleibt im üblichen DNS-Format und trägt den Medientyp application/dns-message ^[3]. Als Mindestversion empfiehlt die RFC HTTP/2 ^[3].

Weil DoH den Standardport 443 nutzt, mischt sich der DNS-Verkehr unter den übrigen HTTPS-Verkehr. Die RFC nennt das ausdrücklich als Schutz gegen Eingriffe auf dem Weg ^[3]. Für ein Netz, das DNS bewusst filtert, heißt das aber auch: DoH ist schwer von normalem Surfen zu unterscheiden.

DNS over QUIC

Das jüngste Verfahren ist DNS over QUIC (DoQ), beschrieben im Mai 2022 in RFC 9250. Es nutzt das Transportprotokoll QUIC und standardmäßig UDP-Port 853 ^[4]. Port 53, den klassisches DNS verwendet, ist für DoQ ausgeschlossen. Port 443 ist nach Absprache möglich, weil er seltener gesperrt wird ^[4]. Für Endnutzer spielt DoQ bisher eine kleinere Rolle als DoH und DoT.

Die Verfahren im Vergleich

Was die Verschlüsselung nicht leistet

DoH und DoT schützen den Transport. Drei Dinge bleiben trotzdem bestehen.

• Der Resolver sieht alles. RFC 9076 hält fest, dass verschlüsselte Übertragung die Daten beim Resolver nicht verringert ^[1]. Du verlagerst das Vertrauen also vom Netz auf den Betreiber des Resolvers.
• Größe und Zeitpunkt der Nachrichten bleiben sichtbar. Daraus lassen sich nach RFC 7858 trotz Verschlüsselung Rückschlüsse ziehen; die Norm selbst schützt dagegen nicht, Auffüllen der Nachrichten kann helfen ^[2].
• Die Antwort ist nicht beglaubigt. Ob die Daten wirklich vom Inhaber der Domain stammen, prüft DNSSEC; der Beitrag DNSSEC: signierte DNS-Antworten erklärt das.

Hinzu kommt der Modus. RFC 7858 kennt ein "opportunistisches" Profil, das nur schützt, solange kein Angreifer aktiv eingreift ^[2]. Viele Geräte arbeiten im Automatikmodus: Sie verschlüsseln, wenn es geht, und fallen sonst ohne Hinweis auf Klartext zurück. Windows beschreibt das für die Einstellung "Verschlüsselt bevorzugt, unverschlüsselt zulässig" genau so: Wechselt der Client auf Klartext, bekommst du keine Meldung ^[7].

Wo DoH und DoT schon eingebaut sind

In vielen Geräten ist verschlüsseltes DNS bereits vorhanden, oft ohne dass du es eingeschaltet hast.

Chrome

In Chrome ist "Sicheres DNS verwenden" standardmäßig aktiv und steht auf "Aktuellen Anbieter verwenden". Chrome nutzt DoH dann, wenn der eingestellte Resolver es anbietet, und fragt sonst unverschlüsselt ^[5]. Die Einstellung liegt unter Einstellungen, Datenschutz und Sicherheit, Sicherheit. Auf verwalteten Geräten und bei aktiven Jugendschutzeinstellungen steht sie nicht zur Verfügung ^[5].

Android

Android hat seit Version 9 die Einstellung "Privates DNS" unter Netzwerk und Internet. Im Automatikmodus nutzt das Gerät DoT, wenn der DNS-Server des Netzes es unterstützt. Trägst du den Hostnamen eines Anbieters ein, laufen alle Anfragen verschlüsselt zu diesem Server; ist er nicht erreichbar, meldet Android das Netz als ohne Internetzugang ^[8].

Windows

Der DNS-Client von Windows Server 2022 beherrscht DoH; einstellen lässt es sich in den Netzwerkeinstellungen unter "DNS-Serverzuweisung", aber nur für Server, die auf einer Liste bekannter DoH-Server stehen. Ab Werk enthält die Liste Adressen von Cloudflare, Google und Quad9, weitere lassen sich per PowerShell ergänzen ^[7]. In Windows 11 liegt die Einstellung an derselben Stelle ^[9]. Die Wege für alle Geräte beschreibt DNS-Server am Gerät oder Router ändern.

Einen Resolver auswählen

Wer DoH oder DoT mit einem bestimmten Anbieter nutzen will, braucht dessen Hostnamen oder die Adresse seiner DoH-Schnittstelle. Öffentliche Resolver gibt es von mehreren Betreibern. Firefox hat in seinem Programm für vertrauenswürdige Resolver Cloudflare, Google und Quad9 angekündigt; alle dort angebotenen Resolver müssen eine Richtlinie von Mozilla erfüllen ^[11]. AVM nennt in seiner Anleitung für die FRITZ!Box DNS4EU, Digitalcourage und Quad9 als Beispiele für freie DNS-Server ^[6].

DNS4EU wird von der tschechischen Firma Whalebone in Brünn betrieben und war von 2023 bis 2025 von der Europäischen Union mitfinanziert. Es gibt eine ungefilterte Fassung und mehrere Fassungen mit Schutzfiltern, etwa gegen Schadseiten, für Kinder oder gegen Werbung; alle beherrschen DoH und DoT ^[12]. Ob du einen Filter willst, ist eine eigene Entscheidung, die mit der Verschlüsselung nichts zu tun hat.

Unabhängig vom Anbieter lohnt der Blick auf vier Punkte: in welchem Land der Betreiber sitzt, was seine Datenschutzerklärung über die Speicherung von Anfragen sagt, ob er filtert und welche Protokolle er anbietet. Eine Empfehlung für einen einzelnen Dienst geben wir nicht.

Prüfen, ob die Verschlüsselung greift

Unter Windows 11 erscheint in den Netzwerkeinstellungen neben dem DNS-Server der Zusatz "Verschlüsselt", wenn DoH aktiv ist ^[9]. In Chrome greift bei einem selbst gewählten Anbieter kein Rückfall auf Klartext. Ist der Anbieter nicht erreichbar, zeigt Chrome Fehlermeldungen wie die, dass die IP-Adresse des Servers nicht gefunden wurde ^[5]. Auf Android signalisiert ein Netz ohne Internetzugang dasselbe Problem im strikten Modus ^[8].

Folgen für Heim- und Firmennetze

Verschlüsseltes DNS im Browser umgeht Einstellungen, die im Netz gesetzt sind. Hat dein Router einen anderen Resolver oder einen Filter, fragt ein Browser mit eigenem DoH-Anbieter an beiden vorbei. Chrome schaltet die Funktion deshalb auf verwalteten Geräten und bei Jugendschutz ab ^[5]. Microsoft rät, DoH auf Rechnern in einer Active-Directory-Domäne nicht zu erzwingen, weil der Windows-DNS-Server DoH nicht beantwortet und die Domäne stark von DNS abhängt ^[7].

Administratoren steuern DoH unter Windows über die Gruppenrichtlinie "Configure DNS over HTTPS (DoH) name resolution". Sie kennt drei Stufen: DoH erlauben, wenn der Server es kann, DoH verbieten oder DoH verlangen. Bei der dritten Stufe schlägt die Namensauflösung fehl, sobald ein eingetragener Server kein DoH beherrscht ^[7]. Wer die Richtlinie einführt, testet sie deshalb zuerst an einzelnen Rechnern.

Für Zuhause gilt: Wer im Router einen Filter für Kinder nutzt, sollte prüfen, ob Browser und Smartphones mit eigenem DoH daran vorbeifragen.

DoH und unser DNS-Check

Unser DNS-Check nutzt kein DoH. Dein Browser schickt den Namen an unseren Server, und der fragt die Einträge über seinen eigenen Resolver ab. Ein fremder Resolver erfährt dabei nicht, welche Domain du prüfst. Das Ergebnis zeigt, was dieser Resolver gerade im Cache hat.

1. Gesetz RFC 9076: DNS Privacy Considerations. IETF. Stand Juli 2021. abgerufen am 29.10.2026
2. Gesetz RFC 7858: Specification for DNS over Transport Layer Security (TLS). IETF. Stand Mai 2016. abgerufen am 29.10.2026
3. Gesetz RFC 8484: DNS Queries over HTTPS (DoH). IETF. Stand Oktober 2018. abgerufen am 29.10.2026
4. Gesetz RFC 9250: DNS over Dedicated QUIC Connections. IETF. Stand Mai 2022. abgerufen am 29.10.2026
5. Organisation Chrome-Hilfe: Sicheres DNS verwenden. Google. Stand 2026. abgerufen am 29.10.2026
6. Organisation Configuring different DNS servers in the FRITZ!Box. AVM (FRITZ!). Stand 2026. abgerufen am 29.10.2026
7. Organisation Secure DNS Client over HTTPS (DoH) on Windows Server 2022. Microsoft. Stand 03.12.2023. abgerufen am 29.10.2026
8. Organisation DNS over TLS support in Android P Developer Preview. Google, Android Developers Blog. Stand 13.04.2018. abgerufen am 29.10.2026
9. How to enable DNS over HTTPS (DoH) on Windows 11. Pureinfotech, Mauro Huculak. Stand 07.05.2024. abgerufen am 29.10.2026
10. Organisation Trusted Recursive Resolver. Mozilla. Stand 2026. abgerufen am 29.10.2026
11. Organisation DNS4EU for Public. DNS4EU, Whalebone s.r.o.. Stand 2026. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.