Verschlüsseltes DNS: was DoH und DoT ändern
Eine verschlüsselte Abfrage verbirgt den gesuchten Namen vor allen im selben Netz. Sie verbirgt ihn nicht vor dem antwortenden Server und nicht vor dem, der das Gerät kontrolliert.
Was die DNS-Verschlüsselung verbirgt
In einem offenen Netz wie dem eines Cafés oder Hotels sieht jeder, der den Datenverkehr mitliest, die Namen, nach denen die Geräte suchen: besuchte Seiten, von Apps genutzte Dienste, heruntergeladene Updates. Mit DNS über TLS oder über HTTPS läuft die Abfrage verschlüsselt zum Resolver, und das Netz sieht nur noch eine Verbindung zu diesem Server.
Der Effekt ist auf geteilten Netzen und auf Mobilgeräten größer, wo der Netzbetreiber einen Grund hat festzuhalten, was jeder sucht. Es ist kein absoluter Schutz: Der Resolver sieht weiterhin alles, und die erste Verbindung kann von wem, der das Netz kontrolliert, immer noch mitgeschnitten werden.
Wer weiterhin sieht
Ist der Resolver der Ihres Anbieters, ändert die Verschlüsselung für ihn nichts: Er ist der Empfänger der Abfrage. Sobald Sie einen eigenen Resolver betreiben, lautet die relevante Frage nicht mehr, wer die Abfrage unterwegs sieht, sondern wer am Ende antwortet.
Dort liegt der zweite Punkt. Abfragen auf einen einzigen Server zu bündeln erhöht die Abhängigkeit von ihm: Fällt der Dienst aus, ist das Surfen vorbei; ist er kompromittiert, läuft der gesamte Namensverkehr an einer einzigen Stelle vorbei. Ein gut konfigurierter Resolver holt das über Abfrageprotokolle pro Gerät, eine kurze Aufbewahrungsfrist und die Möglichkeit, den Verlauf zu prüfen auf.
Wenn der Browser selbst entscheidet
Browser wie Chrome und Firefox bieten eine sichere DNS-Option an, die den eigenen Server des Browsers statt des im Netz konfigurierten verwendet. Das vermeidet lokales Abfangen, bedeutet aber auch: Der gewählte Server ist der des Browsers und nicht Ihrer.
In von Firmen verwalteten Umgebungen wird die Wahl meist per Geräterichtlinie festgelegt, ohne dass der Nutzer etwas merkt. Dazu kommen Anwendungen, die mit bereits aktiviertem verschlüsseltem DNS ausgeliefert werden und die Geräteeinstellung ignorieren. Zu wissen, welcher Server geantwortet hat, ist deshalb eine Information, die sich lohnt.