Ein DNS-Leak ist eine Datenschutzschwachstelle, die auftritt, wenn deine DNS-Anfragen — die Abfragen, die Domainnamen wie google.com in IP-Adressen übersetzen — deinen verschlüsselten Tunnel verlassen und die Server deines ISP statt des VPN-Servers erreichen. Auch mit einem aktiven VPN kann dein Internetanbieter jede Website sehen, die du besuchst, wenn du einen DNS-Leak hast. Du kannst deine DNS-Sicherheit sofort auf whatsmy.fyi prüfen.
Was ist DNS?
DNS (Domain Name System) ist das Telefonbuch des Internets. Jedes Mal, wenn du eine Website-Adresse in deinen Browser eingibst, schickt dein Gerät eine DNS-Anfrage mit der Frage „Was ist die IP-Adresse dieser Domain?" Ein DNS-Resolver — typischerweise von deinem ISP betrieben — sucht die Antwort und gibt die IP zurück, damit dein Browser sich verbinden kann.
Standardmäßig wird diese Abfrage im Klartext über UDP-Port 53 gesendet. Dein ISP kann jede einzelne DNS-Anfrage protokollieren und so ein detailliertes Protokoll deiner Browsing-Gewohnheiten erstellen, ohne jemals den Inhalt deines Datenverkehrs zu sehen.
Was ist ein DNS-Leak?
Wenn du ein VPN nutzt, soll dein gesamter Internetverkehr — einschließlich DNS-Anfragen — durch den verschlüsselten VPN-Tunnel fließen und über die Server des VPN-Anbieters ausgehen. Ein DNS-Leak entsteht, wenn dein Gerät diesen Tunnel für DNS-Anfragen umgeht und sie direkt an den DNS-Resolver deines ISP sendet.
Das Ergebnis: Dein VPN verbirgt deine IP-Adresse und verschlüsselt deine Browsing-Daten, aber dein ISP erhält trotzdem ein vollständiges Protokoll jedes Domainnamens, den du besuchst. Der verschlüsselte Tunnel schützt deinen Datenverkehr, aber die DNS-Anfragen lecken aus ihm heraus.
Warum entstehen DNS-Leaks?
DNS-Leaks sind nicht absichtlich — sie entstehen durch Fehlkonfigurationen und die Art, wie Betriebssysteme Netzwerkwechsel handhaben:
- Split-Tunnel-DNS: Einige VPN-Clients nutzen Split Tunneling, um nur bestimmten Datenverkehr durch das VPN zu leiten. Wenn DNS nicht explizit im Tunnel enthalten ist, gehen Anfragen über die Standard-Schnittstelle.
- DNS-Fallback auf OS-Ebene: Windows hat insbesondere eine Funktion namens „Smart Multi-Homed Name Resolution", die DNS-Anfragen gleichzeitig an alle verfügbaren Netzwerkschnittstellen sendet und die am schnellsten antwortende nutzt — oft der lokale ISP.
- IPv6-DNS-Leaks: Viele VPNs tunneln nur IPv4-Datenverkehr. Wenn dein Gerät eine IPv6-Verbindung hat, können DNS-Anfragen über die ungeschützte IPv6-Schnittstelle gehen.
- DHCP-DNS-Überschreibung: Beim Verbinden mit einem Netzwerk weist DHCP einen DNS-Server zu. Wenn dein Gerät diese Zuweisung akzeptiert statt den VPN-DNS zu nutzen, lecken Anfragen an diesen Server.
Wie teste ich auf einen DNS-Leak?
Die DNS-Sicherheitskarte auf whatsmy.fyi prüft, ob dein Netzwerk DNS über HTTPS erlaubt und ob deine Verbindung den Datenverkehr über einen bekannten VPN-Anbieter leitet. Bei VPN-Nutzung bestätigt die Karte, dass deine DNS-Anfragen verschlüsselt durch den Tunnel gehen.
Für einen definitiven DNS-Leak-Test nutzen dedizierte Tools eine Technik mit eigenen autoritativen Nameservern. Sie weisen dir eine eindeutige Subdomain zu, lösen eine DNS-Abfrage dafür aus und prüfen, welcher DNS-Server die Anfrage tatsächlich aufgelöst hat. Wenn es der Resolver deines ISP war statt deines VPN-Resolvers, hast du einen DNS-Leak.
Wie behebe ich einen DNS-Leak?
Option 1: VPN mit eingebautem DNS-Leak-Schutz nutzen
Die meisten seriösen VPN-Anbieter haben DNS-Leak-Schutz als Feature. Das erzwingt, dass alle DNS-Anfragen durch den VPN-Tunnel gehen und verhindert, dass das OS einen anderen Resolver nutzt. Suche diese Einstellung in deinem VPN-Client und stelle sicher, dass sie aktiviert ist.
Option 2: Datenschutzorientierten DNS-Resolver einrichten
Das Wechseln zu einem DNS-Anbieter, der keine Anfragen protokolliert, reduziert deine Exposition erheblich. Bekannte Optionen:
- Cloudflare 1.1.1.1 — Schnell, datenschutzorientiert, keine Protokollierung. Unterstützt DNS über HTTPS und DNS über TLS.
- Google 8.8.8.8 — Weitverbreitet, zuverlässig. Einige Anfrage-Protokollierung für Sicherheit und Missbrauchsprävention.
- Quad9 9.9.9.9 — Datenschutzorientiert mit eingebautem Malware-Schutz. Gemeinnützig betrieben.
- NextDNS — Vollständig konfigurierbar mit detaillierten Anfrage-Logs, die du selbst kontrollierst.
Option 3: DNS über HTTPS (DoH) aktivieren
DNS über HTTPS verschlüsselt DNS-Anfragen, indem es sie in HTTPS einbettet. Im Gegensatz zu traditionellem DNS, das Klartextanfragen über UDP sendet, schickt DoH Anfragen an einen Webserver über dasselbe verschlüsselte Protokoll wie Websites. Dein ISP sieht HTTPS-Datenverkehr zu einem DoH-Anbieter — nicht die einzelnen Domainnamen, die du auflöst.
Moderne Browser haben eingebaute DoH-Unterstützung:
- Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS. „Maximaler Schutz" blockiert alle Nicht-DoH-Anfragen.
- Chrome / Edge: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden. Aktivieren und Anbieter auswählen.
- OS-Ebene (Windows 11, macOS 13+): Beide unterstützen DoH auf Betriebssystemebene und schützen alle Apps — nicht nur den Browser.
DNS-Leak vs. WebRTC-Leak
DNS-Leaks und WebRTC-Leaks sind separate Probleme, aber beide können deine echte Identität bei VPN-Nutzung offenlegen. Ein WebRTC-Leak legt deine echte IP-Adresse direkt offen; ein DNS-Leak legt die von dir besuchten Websites offen. Du solltest auf beides testen. whatsmy.fyi prüft beides auf derselben Seite.
Häufig gestellte Fragen
Kann ich einen DNS-Leak ohne VPN haben?
Technisch nein — ein „Leak" impliziert Datenverkehr, der einen erwarteten sicheren Kanal umgeht. Ohne VPN gehen alle DNS-Anfragen standardmäßig an deinen ISP; das ist normaler Betrieb. Das Risiko ist, dass dein ISP diese Daten protokolliert und möglicherweise monetarisiert. Die Lösung ist, zu einem datenschutzorientierten DNS-Resolver zu wechseln oder DNS über HTTPS zu aktivieren.
Legt ein DNS-Leak meine Passwörter oder Browserinhalte offen?
Nein. DNS-Leaks legen nur die von dir besuchten Domainnamen offen (z. B. google.com), nicht den Inhalt deiner Verbindungen. Deine Passwörter, Nachrichten und Seiteninhalte sind weiterhin durch TLS-Verschlüsselung geschützt. Die Liste der besuchten Domains gilt jedoch in den meisten Datenschutzrahmen als sensible Metadaten.
Wird der Wechsel zu 1.1.1.1 mein Internet schneller machen?
Oft ja. Die DNS-Auflösungsgeschwindigkeit beeinflusst, wie schnell dein Browser nach der Eingabe einer Adresse mit dem Laden beginnen kann. Cloudflare 1.1.1.1 belegt in unabhängigen Benchmarks konsistent den ersten Platz als schnellster öffentlicher DNS-Resolver. Schnellere DNS-Auflösung reduziert die wahrgenommene Latenz.
