Was ist ein DNS-Leck und wie lässt es sich verhindern

Das Domain Name System (DNS) wird oft mit dem Telefonbuch des Internets verglichen. Es übersetzt benutzerfreundliche Domainnamen wie obfusgated.com in numerische IP-Adressen, die Server für die Kommunikation verwenden. Jedes Mal, wenn Sie eine Webadresse in Ihren Browser eingeben oder auf einen Link klicken, sendet Ihr Gerät eine DNS-Anfrage an einen DNS-Server (oder Resolver), um die IP-Adresse der entsprechenden Website zu erhalten.

Wenn Sie ein VPN oder einen Proxy verwenden, sollte Ihr gesamter Internetverkehr – einschließlich DNS-Anfragen – durch den sicheren Tunnel oder Proxy-Server geleitet werden. Umgeht der DNS-Verkehr jedoch diesen Tunnel, spricht man von einem DNS-Leck. In diesem Fall können Ihre wahre IP-Adresse, Ihr Standort oder die von Ihnen besuchten Domains für Dritte sichtbar werden, wodurch die Anonymität und Privatsphäre, die ein VPN oder Proxy bieten soll, aufgehoben wird.

Was ist ein DNS-Leck?

Ein DNS-Leck tritt auf, wenn Ihr Gerät DNS-Anfragen außerhalb des sicheren Tunnels Ihres VPN oder der Proxy-Kette sendet, in der Regel an die Standard-DNS-Server Ihres Internetanbieters (ISP). Dies kann aus verschiedenen Gründen geschehen, darunter:

• VPN-Fehlkonfiguration: Falsche Netzwerk- oder DNS-Einstellungen innerhalb des VPN-Clients können dazu führen, dass Ihr Betriebssystem auf einen nicht-VPN-DNS-Server zurückgreift.
• Fallback-Verhalten: Wenn der primäre DNS-Server ausfällt oder zu lange benötigt, versuchen manche Systeme, einen anderen DNS-Server zu verwenden, der unverschlüsselt oder ISP-basiert sein könnte.
• Probleme mit dem Betriebssystem: Manche Betriebssysteme besitzen eingebaute DNS-Caches oder „smarte“ Multi-Interface-Funktionen, die DNS-Anfragen versehentlich am VPN-Tunnel vorbeileiten.
• Externe DNS-Dienste: Manuell konfigurierte öffentliche DNS-Anbieter (z. B. Google Public DNS, Cloudflare oder OpenNIC) können die DNS-Leckschutzfunktion Ihres VPN umgehen, wenn sie nicht richtig eingerichtet sind.
• DNS über HTTPS (DoH) oder DNS über TLS (DoT): Ist Ihr Browser oder Gerät so eingestellt, dass DNS-Anfragen eigenständig verschlüsselt werden, kann dies die DNS-Einstellungen Ihres VPNs umgehen und zu Lecks führen.

Warum DNS-Lecks eine Bedrohung für Ihre Privatsphäre sind

Einer der Hauptgründe für die Verwendung eines VPN oder Proxys ist der Schutz der Online-Privatsphäre und Anonymität. Wenn DNS-Anfragen den sicheren Tunnel umgehen, kann Ihr Internetverhalten von Ihrem ISP, Betreibern öffentlicher WLAN-Hotspots oder Überwachungseinrichtungen eingesehen werden. Ein DNS-Leck kann Folgendes offenlegen:

• Ihre reale IP-Adresse
• Die Domains oder Websites, die Sie besuchen
• Ihren ungefähren physischen Standort

Dies untergräbt den Zweck eines VPN oder Proxy, da Sie für Tracking, Profiling oder standortbasierte Einschränkungen anfällig werden. Selbst wenn Ihre eigentliche IP-Adresse durch das VPN verborgen wird, kann die IP-Adresse Ihres tatsächlichen DNS-Servers (meist vom ISP bereitgestellt) Ihren Standort und Ihr Surfverhalten gegenüber Dritten aufdecken.

Warum DNS-Lecks auftreten

Viele VPN- und Proxy-Nutzer gehen davon aus, dass ihr gesamter Datenverkehr automatisch geschützt ist. Tatsächlich können fehlerhafte DNS-Einstellungen oder ein schlechtes VPN-Design dennoch dazu führen, dass DNS-Anfragen außerhalb des sicheren Kanals geleitet werden. Einige Anbieter verlassen sich möglicherweise auf öffentliche DNS-Server (z. B. Google DNS). Wenn jedoch die Verbindung zu diesen DNS-Servern nicht korrekt getunnelt wird, können Ihr ISP oder andere Dritte immer noch den DNS-Verkehr abfangen und einsehen.

Darüber hinaus können manche Betriebssysteme, Browsereinstellungen oder Sicherheitssoftware eigene DNS-Vorgaben durchsetzen und damit versehentlich Ihr VPN umgehen. So können beispielsweise fortschrittliche Funktionen wie DNS über HTTPS (DoH) DNS-Anfragen unabhängig vom VPN verschlüsseln, was zur Folge haben kann, dass DNS-Anfragen am VPN-Tunnel vorbeigeführt werden.

Tipps zur Vermeidung von DNS-Lecks

Die beste Strategie zur Vermeidung von DNS-Lecks ist ein mehrschichtiger Ansatz. Im Folgenden finden Sie einige wichtige Maßnahmen, die Sie zum Schutz vor DNS-Lecks ergreifen können:

• Verwenden Sie ein VPN mit DNS-Leckschutz: Viele seriöse VPN-Anbieter bieten integrierte DNS-Leckschutz-Funktionen, die DNS-Anfragen durch den VPN-Tunnel zwingen. Dienste wie Proton VPN und Mullvad nutzen eigene DNS-Server und Firewall-Regeln, um externe DNS-Anfragen zu blockieren.
• DNS-Server manuell konfigurieren (bei Bedarf): Geben Sie sichere, nicht protokollierende DNS-Resolver (z. B. Quad9, Cloudflare oder die DNS-Server Ihres VPN-Anbieters) in Ihrem Betriebssystem oder Ihren Netzwerkeinstellungen an, wenn Ihr VPN dies unterstützt. Andernfalls kann die Verwendung von DNS-Diensten Dritter die VPN-Einstellungen überschreiben und das Risiko von Lecks erhöhen.
• Deaktivieren Sie Smart Multi-Homing oder Fallback-DNS: Einige Betriebssysteme (z. B. Windows oder bestimmte Linux-Distributionen) wechseln automatisch zu alternativen DNS-Resolvern. Durch das Deaktivieren oder die richtige Konfiguration dieser Funktionen lassen sich Lecks reduzieren.
• Halten Sie Ihre VPN-Software aktuell: Ältere VPN-Clients können Fehler enthalten, die zu DNS-Lecks führen. Aktualisieren Sie Ihre VPN-Software regelmäßig, um von den neuesten Sicherheitsupdates und Verbesserungen des Leckschutzes zu profitieren.
• Kill Switch / Network Lock: Wenn Ihre VPN-Verbindung unterbrochen wird, sorgt ein Kill Switch dafür, dass Ihr Gerät keinen Datenverkehr (einschließlich DNS-Anfragen) außerhalb des VPN-Tunnels senden oder empfangen kann.
• Browsereinstellungen prüfen (DNS über HTTPS/TLS): Browser wie Firefox, Chrome, Edge und Brave verfügen oft über eine „Secure DNS“- oder „DNS über HTTPS“-Option. Ist diese aktiviert, kann sie den vom VPN bereitgestellten DNS-Server umgehen. Deaktivieren Sie Secure DNS in Ihrem Browser, wenn Sie möchten, dass das VPN Ihre DNS-Anfragen verarbeitet.
• Vermeiden Sie widersprüchliche VPNs oder Sicherheitssoftware: Mehrere gleichzeitig laufende VPN-Services, Antivirus-Programme mit eigenen DNS-Filtern oder Firewall-Tools wie Little Snitch oder Portmaster können DNS-Konflikte und mögliche Lecks verursachen.

Häufige DNS-Leck-Szenarien und wie man sie behebt

DNS-Lecks können in unterschiedlichen Umgebungen auftreten. Nachfolgend finden Sie einige gängige Szenarien mit möglichen Lösungen.

1. Manuelle DNS-Konfiguration im Betriebssystem

Wenn Sie im Betriebssystem explizit einen DNS-Dienst (z. B. Google DNS, Cloudflare) eingetragen haben, kann dies die DNS-Einstellungen Ihres VPN überschreiben.

• Windows: Unter Netzwerkverbindungen → (WLAN oder Ethernet) → Eigenschaften → TCP/IPv4 oder TCP/IPv6 → Eigenschaften sicherstellen, dass „DNS-Serveradresse automatisch beziehen“ ausgewählt ist, wenn Sie ein VPN verwenden, das die DNS-Server selbst konfiguriert. Anschließend können Sie den DNS-Cache mit folgendem Befehl leeren:

  ipconfig /flushdns

• macOS: Gehen Sie zu Systemeinstellungen → Netzwerk → (WLAN oder Ethernet) → Details … → DNS und entfernen Sie dort alle manuell hinterlegten DNS-Einträge. Dann leeren Sie den DNS-Cache im Terminal:

  sudo killall -HUP mDNSResponder

• Linux: Überprüfen Sie die Netzwerkeinstellungen Ihrer Distribution oder die Datei /etc/resolv.conf, um sicherzustellen, dass keine fest eingetragenen Nameserver verwendet werden, die Ihr VPN-DNS umgehen. Falls Ihr System systemd-resolved nutzt, prüfen Sie in /etc/systemd/resolved.conf (oder /etc/systemd/resolved.conf.d/*.conf), ob die korrekten DNS-Server eingetragen sind.

  Wenn Ihr VPN-Client nicht richtig mit systemd-resolved zusammenarbeitet, können Sie es deaktivieren:

  sudo systemctl disable systemd-resolved.service
  sudo systemctl stop systemd-resolved.service
  

  Anschließend entfernen oder aktualisieren Sie den Symlink /etc/resolv.conf und tragen manuell die DNS-Server Ihres VPN in eine Klartext-Datei /etc/resolv.conf ein. Beachten Sie, dass dies bei falscher Handhabung zu DNS-Problemen führen kann.

  Unter Distributionen, die systemd-resolved nicht verwenden, entfernen oder kommentieren Sie ggf. alle benutzerdefinierten Nameserver-Einträge in /etc/resolv.conf oder setzen diese direkt auf die DNS-Server Ihres VPN.

• Android (9+): Deaktivieren Sie „Privates DNS“, falls dort ein bestimmter Anbieter eingetragen ist. Gehen Sie dazu auf Einstellungen → Netzwerk & Internet → Privates DNS → Aus.
• iOS: iOS erlaubt normalerweise keine globale DNS-Änderung, es sei denn, Sie installieren ein Konfigurationsprofil oder verwenden eine „Dummy-VPN“-App. Stellen Sie sicher, dass alle benutzerdefinierten DNS-Profile entfernt sind, wenn Sie sich auf das DNS Ihres VPN verlassen möchten.

2. DNS über HTTPS (DoH) auf Browserebene

Moderne Browser bieten häufig DNS über HTTPS, bei dem DNS-Anfragen direkt verschlüsselt an einen Drittanbieter gehen und so die DNS-Einstellungen Ihres VPN umgehen können. So deaktivieren Sie DoH oder Secure DNS:

• Firefox: Menü → Einstellungen → Datenschutz & Sicherheit → nach unten scrollen zu DNS über HTTPS → „Aus“ wählen.
• Chrome/Brave/Opera: Einstellungen → Datenschutz und Sicherheit → Sicherheit → „Sicheren DNS verwenden“ ausschalten.
• Microsoft Edge: Einstellungen → Datenschutz, Suche und Dienste → Sicherheit → „Sicheren DNS verwenden, um die Netzwerkadresse von Websites zu ermitteln“ deaktivieren.
• Safari: Unterstützt derzeit noch kein DoH in gleichem Umfang, doch Apple könnte dies in zukünftigen Releases ändern.

3. VPN-Trennungen oder Fallback

Wenn Ihr VPN die Verbindung verliert und Sie weitersurfen, werden DNS-Anfragen möglicherweise an die DNS-Server Ihres ISPs zurückgeleitet. Um dies zu vermeiden:

• Aktivieren Sie den Kill Switch (manchmal auch „Network Lock“ genannt) in Ihrem VPN-Client, damit der gesamte Internetverkehr blockiert wird, falls die VPN-Verbindung abbricht.
• Stellen Sie sicher, dass Ihr VPN-Client sich automatisch neu verbindet, falls die Verbindung fehlschlägt, sodass Sie nicht versehentlich ohne VPN (und damit ohne DNS-Schutz) surfen.

4. Protokollspezifische VPN-Überlegungen

Verschiedene VPN-Protokolle gehen mit DNS unterschiedlich um:

• OpenVPN: Ab Version 2.3.9 können Sie (auf Windows) in der Konfigurationsdatei den Eintrag

  block-outside-dns

  hinzufügen, um DNS-Lecks zu verhindern.
• WireGuard: Stellen Sie sicher, dass Sie im Abschnitt

  [Interface]

  Ihrer WireGuard-Konfiguration eine gültige Zeile

  DNS = A.B.C.D

  haben. Dadurch werden DNS-Anfragen an die DNS-Server Ihres VPN-Anbieters oder an einen sicheren DNS-Dienst Ihrer Wahl geleitet.

So testen Sie auf DNS-Lecks

Selbst wenn Sie Vorkehrungen treffen, ist es wichtig, Ihren Schutz zu überprüfen. Sie können Online-DNS-Lecktest-Tools oder den Verbindungschecker Ihres VPN-Anbieters nutzen, um sicherzustellen, dass alle DNS-Anfragen tatsächlich durch den sicheren Tunnel laufen. Ein einfacher Test beinhaltet:

• Testen ohne VPN oder Proxy — so sehen Sie Ihre Standard-DNS-Server. Merken Sie sich, welche DNS-Server angezeigt werden, denn damit vergleichen Sie nach dem Einschalten des VPN/Proxys.
• Verbindung mit Ihrem VPN oder Proxy herstellen — am besten in einem anderen Land, um eventuelle Lecks deutlicher zu erkennen.
• Auf eine DNS-Leck-Testseite gehen — rufen Sie zum Beispiel die DNS-Leck-Test-Seite auf, um zu sehen, welche DNS-Server Ihre Anfragen bearbeiten.
• Vergleichen Sie die angezeigten DNS-Server — sie sollten zu Ihrem VPN- oder Proxy-Anbieter gehören und nicht Ihre zuvor notierten ISP-Server sein.

Fazit

DNS-Lecks stellen eine erhebliche Bedrohung für Ihre Online-Privatsphäre dar, da sie Ihre wahre IP-Adresse und Ihr Surfverhalten preisgeben können. Zwar soll ein VPN oder Proxy Ihre Internetverbindung schützen und anonymisieren, doch ist es ebenso wichtig sicherzustellen, dass DNS-Anfragen innerhalb derselben sicheren Umgebung bleiben. Durch die Wahl eines verlässlichen VPN-Anbieters mit Leckschutz und regelmäßigen DNS-Leck-Tests können Sie das Risiko erheblich verringern, dass Ihre privaten Daten offengelegt werden. Mit den richtigen Vorkehrungen bleiben Ihre DNS-Anfragen sicher im verschlüsselten Tunnel, sodass Ihre Identität und Ihre Online-Aktivitäten vor neugierigen Blicken geschützt sind.