Was ist ein DNS-Leak? Testen, beheben und verhindern

Wenn dir deine Online-Privatsphäre wichtig ist, solltest du wissen, was ein DNS-Leak ist. Selbst wenn du ein VPN nutzt, kann ein DNS-Leak offenlegen, welche Websites du aufrufst.

Keine Sorge: Das Thema lässt sich leicht verstehen, überprüfen und beheben. In diesem Artikel erklären wir Schritt für Schritt, was ein DNS-Leak ist, wie er entsteht und welche einfachen Maßnahmen du ergreifen kannst, um ihn zu verhindern.

Was bedeutet DNS?

DNS steht für Domain Name System. Man kann es sich wie das Telefonbuch des Internets vorstellen. Statt dir lange Zahlenfolgen zu merken, also IP-Adressen, kannst du einfach einen Namen wie „example.com" eingeben. Das DNS-System findet dann automatisch die passende Adresse für dich.

Dadurch wird das Surfen im Internet deutlich einfacher. Ohne DNS müsstest du dir für jede Website eine numerische IP-Adresse merken, was das Browsen unnötig kompliziert machen würde.

Mehr erfahren: Wenn du tiefer einsteigen möchtest, kannst du mehr über DNS lesen, zum Beispiel wie DNS-Server funktionieren und wie du deinen DNS-Server findest und überprüfst.

Welche Auswirkungen hat ein DNS-Leak?

Ein DNS-Leak kann offenlegen, welche Websites du besuchst, selbst wenn dein übriger Datenverkehr verschlüsselt ist. Dadurch wird deine Privatsphäre geschwächt, da Internetanbieter, Unternehmen oder auch staatliche Stellen nachvollziehen können, welche Seiten du aufrufst. Zudem kann ein DNS-Leak Tracking erleichtern oder Angriffe wie Man-in-the-Middle-Angriffe begünstigen.

Was verursacht DNS-Leaks?

Ein DNS-Leak hat in der Regel nicht nur eine einzelne Ursache. Er kann aus verschiedenen Gründen entstehen, weshalb das Beheben mitunter etwas Ausprobieren erfordert.

DNS-Anfragen laufen am VPN vorbei

Wenn du ein VPN nutzt, soll dein Internetverkehr verschlüsselt und durch einen sicheren Tunnel geleitet werden, der deine Aktivitäten vor deinem Internetanbieter oder dem lokalen Netzwerk verbirgt. In manchen Fällen werden DNS-Anfragen, also die „Nachschlagevorgänge" für Website-Adressen, nicht durch diesen Tunnel geleitet und werden stattdessen direkt von deinem Internetanbieter verarbeitet. Das bezeichnet man als DNS-Leak.

Deshalb ist es wichtig, ein VPN zu wählen, das DNS-Leaks zuverlässig verhindert.

VPN unterstützt IPv6 nicht

Eine häufig übersehene Ursache für DNS-Leaks ist IPv6-Datenverkehr. Die meisten VPN-Dienste sind weiterhin hauptsächlich auf IPv4 ausgelegt, das ältere Adressierungssystem des Internets. IPv6 setzt sich jedoch weltweit zunehmend durch, und viele Betriebssysteme bevorzugen IPv6-Verbindungen, wenn sie verfügbar sind.

Unterstützt dein VPN IPv6 nicht oder blockiert diesen Datenverkehr nicht korrekt, kann dein Gerät DNS-Anfragen über IPv6 direkt an deinen Internetanbieter senden, selbst wenn dein IPv4-Verkehr sicher durch den VPN-Tunnel läuft. Das passiert, weil das Betriebssystem automatisch den verfügbaren IPv6-Pfad wählt und damit den VPN-Schutz umgeht.

VPN-Verbindung bricht unerwartet ab

Wenn deine VPN-Verbindung auch nur kurzzeitig abbricht, greifen die meisten Systeme sofort wieder auf die DNS-Server deines Internetanbieters zurück. Dadurch können DNS-Anfragen nach außen gelangen, selbst wenn dein VPN diese normalerweise verschlüsselt.

Das kann auch beim Wechsel der Netzwerkverbindung passieren, zum Beispiel von WLAN zu Ethernet. Manche VPNs erkennen diesen Wechsel nicht rechtzeitig, sodass DNS-Anfragen unbemerkt den verschlüsselten Tunnel umgehen.

Deshalb bieten hochwertige VPNs eine Kill-Switch-Funktion. Sie trennt deine Internetverbindung automatisch, sobald das VPN kurzzeitig ausfällt, sodass DNS-Anfragen nicht erneut über deinen Internetanbieter gesendet werden.

Falsch konfigurierte Netzwerkeinstellungen oder Firewalls

Auch benutzerdefinierte Netzwerkkonfigurationen können DNS-Leaks verursachen, etwa Smart-DNS-Dienste, Proxy-Tools oder manuell gesetzte DNS-Einträge auf dem Router. Ebenso kann eine Firewall VPN-DNS-Anfragen blockieren, während normaler DNS-Verkehr weiterhin erlaubt ist. Wenn du ein VPN nutzt, das DNS-Anfragen korrekt weiterleitet, über Leak-Schutz verfügt und einen Kill-Switch bietet, dennoch aber ein DNS-Leak auftritt, liegt die Ursache meist an einer fehlerhaften Konfiguration.

Wie testet man auf DNS-Leaks?

Ein DNS-Leak-Test ist eine einfache Möglichkeit, um sicherzugehen, dass dein VPN deinen Datenverkehr wirklich schützt. Selbst wenn dein VPN angibt, Leak-Schutz zu bieten, ist es sinnvoll, das gelegentlich zu überprüfen. So gehst du Schritt für Schritt vor:

Schritt 1: VPN trennen

Deaktiviere zuerst dein VPN, um zu sehen, wie dein normaler, ungeschützter DNS-Datenverkehr aussieht. Das dient als Vergleichswert für später. Öffne dazu deine VPN-App und trenne die Verbindung.

Schritt 2: DNS-Leak-Testseite öffnen

Rufe bei weiterhin deaktiviertem VPN die DNS-Leak-Testseite von ExpressVPN auf. Dort siehst du eine Liste der DNS-Server, die dein Gerät aktuell verwendet. In der Regel sind das die DNS-Server deines Internetanbieters inklusive Standort.

Schritt 3: VPN verbinden

Aktiviere dein VPN wieder und verbinde dich mit dem gewünschten Serverstandort, zum Beispiel London oder New York.

Schritt 4: Test erneut durchführen

Wechsle zurück zur Testseite und starte den DNS-Leak-Test erneut. Jetzt sollten ausschließlich DNS-Server deines VPN-Anbieters angezeigt werden und idealerweise zum gewählten Serverstandort passen. Ist das der Fall, ist dein Datenverkehr geschützt. Werden DNS-Server deines Internetanbieters oder unerwartete Standorte angezeigt, liegt ein DNS-Leak vor.

Für weiterführende Tests kannst du dir die Leak-Test-Tools von ExpressVPN ansehen. Dort findest du zusätzliche Ressourcen für Nutzer, die besonderen Wert auf Datenschutz legen.

DNS-Leaks beheben und verhindern

Ein offener DNS-Leak stellt ein erhebliches Risiko für deine Privatsphäre dar. So kannst du bestehende Leaks beheben und zukünftige verhindern:

VPN mit DNS-Leak-Schutz verwenden

Die einfachste Lösung ist ein vertrauenswürdiges VPN mit integriertem DNS-Leak-Schutz. Dadurch bleiben deine DNS-Anfragen innerhalb des verschlüsselten Tunnels, sodass Internetanbieter oder andere Dritte deine Online-Aktivitäten nicht einsehen können. Achte auf VPNs, die eigene verschlüsselte DNS-Server betreiben und unabhängige Leak-Tests bestanden haben.

Zusätzlich solltest du ein VPN wählen, das IPv6 unterstützt oder IPv6-Verbindungen automatisch blockiert. So wird sichergestellt, dass alle DNS-Anfragen über den geschützten VPN-Tunnel laufen.

Privates DNS konfigurieren

Alternativ kannst du verschlüsselte DNS-Protokolle manuell einrichten. Diese schützen DNS-Anfragen ähnlich wie ein VPN. Das ist unter anderem unter Windows, Android und auf vielen Routern möglich. Technisch lässt sich Privates DNS auch parallel zu einem VPN nutzen, erfordert jedoch eine sehr genaue Konfiguration. Für Einsteiger ist ein VPN meist die einfachere und sicherere Lösung.

Firewall nutzen, um externe DNS-Anfragen zu blockieren

Eine entsprechend konfigurierte Firewall kann DNS-Anfragen blockieren, die versuchen, den VPN-Tunnel zu umgehen. Dadurch wird erzwungen, dass alle DNS-Anfragen über den sicheren VPN-Kanal laufen. Manche Firewalls erlauben es sogar, ausschließlich die DNS-Server des VPNs freizugeben. Diese Methode erfordert allerdings technisches Know-how, da falsche Einstellungen schnell zu Verbindungsproblemen führen können.

Eigene DNS-Server verwenden, falls nötig

Wenn du kein VPN nutzt, kannst du deine Privatsphäre zumindest etwas verbessern, indem du manuell einen vertrauenswürdigen DNS-Anbieter wie Cloudflare (1.1.1.1) oder Google DNS (8.8.8.8) einstellst. Das verschlüsselt deine DNS-Anfragen zwar nicht, bestimmt aber, wer sie verarbeitet, statt diese Aufgabe deinem Internetanbieter zu überlassen.

Brauchst du Hilfe bei der Einrichtung? Dann wirf einen Blick auf eine Windows-Anleitung oder eine macOS-Anleitung, die dich Schritt für Schritt durch die Einrichtung führen.

Beachte dabei: Mit einem benutzerdefinierten DNS entscheidest du dich bewusst dafür, einem bestimmten Anbieter zu vertrauen. Es lohnt sich daher, dessen Datenschutzrichtlinien vorab zu prüfen. Wenn du Googles Umgang mit Daten kritisch siehst, könnte Cloudflare die bessere Alternative sein.

DNS-Leak auf dem iPhone verhindern

Auf iPhones gibt es keine so einfache, systemweite „Privates DNS"-Einstellung wie auf Android. Verschlüsseltes DNS nutzt du dort in der Praxis meist über Apps oder Konfigurationsprofile. Es gibt jedoch zwei einfache Optionen:

• Eine DNS-App aus dem App Store nutzen, die den DNS-Verkehr über einen vertrauenswürdigen Anbieter wie Cloudflare leitet
• Ein VPN mit integriertem DNS-Leak-Schutz verwenden, zum Beispiel ExpressVPN. Das ist in der Regel die einfachere und sicherere Lösung, da sämtlicher Datenverkehr inklusive DNS automatisch verschlüsselt wird.

Welches VPN verursacht keine DNS-Leaks?

ExpressVPN zeichnet sich durch einen besonders starken DNS-Schutz aus. Jeder VPN-Server betreibt eigene private, verschlüsselte DNS-Resolver, sodass DNS-Anfragen nicht an Internetanbieter, WLAN-Betreiber oder Werbenetzwerke gelangen.

Alle DNS-Anfragen werden automatisch durch den verschlüsselten Tunnel geleitet, ohne dass zusätzliche Einstellungen nötig sind. Dadurch werden DNS-Manipulation, Filterung oder Umleitungen effektiv verhindert.

ExpressVPN speichert weder Aktivitäts- noch Verbindungsprotokolle. DNS-Anfragen können somit weder aufgezeichnet noch weitergegeben werden. Gleichzeitig ist das Netzwerk auf schnelle und zuverlässige DNS-Abfragen ausgelegt. Dadurch werden DNS-Anfragen im VPN-Tunnel genauso geschützt wie der übrige Datenverkehr (z. B. durch starke Verschlüsselung).

Häufige Irrtümer rund um DNS-Leaks

Ein DNS-Leak wird oft mit anderen Sicherheitsproblemen verwechselt. Wichtig ist: Ein DNS-Leak bedeutet nicht, dass dein VPN grundsätzlich defekt ist, sondern dass DNS-Anfragen nicht vollständig durch den geschützten Tunnel laufen.

Sind DNS-Leaks und IP-Leaks dasselbe?

Nein, es handelt sich um unterschiedliche Probleme, auch wenn beide die Privatsphäre beeinträchtigen können.

• Ein IP-Leak gibt deine echte IP-Adresse preis und kann Rückschlüsse auf deinen Standort zulassen.
• Ein DNS-Leak legt zwar nicht deine IP-Adresse offen, zeigt aber, welche Websites du aufrufen möchtest, da diese DNS-Anfragen an deinen Internetanbieter gesendet werden.

Verhindert der Inkognito-Modus DNS-Leaks?

Nein. Der Inkognito-Modus wird häufig missverstanden. Er verhindert lediglich, dass dein Browser lokal Verlaufsdaten, Cookies oder Formulareingaben speichert.

Dein Internetverkehr wird dadurch weder verschlüsselt noch werden DNS-Anfragen umgeleitet. Internetanbieter, Netzwerkadministratoren oder andere Beobachter können DNS-Anfragen weiterhin sehen.