Viele glauben, mit einer Proxy-IP seien sie vollständig anonym. Dabei kann bereits die Domainauflösung Informationen preisgeben. Dieser Beitrag erklärt, was ein DNS-Leak ist, wie es entsteht, welche Risiken es birgt und mit welchen fünf Maßnahmen du es verhindern und deine Online-Privatsphäre besser schützen kannst.
Viele Menschen glauben, dass sie im Internet "unsichtbar" sind, sobald sie einen Proxy verwenden oder ihre IP-Adresse wechseln. Bei Sicherheitstests zeigt sich jedoch immer wieder eine oft übersehene Schwachstelle: Auch wenn sich die IP geändert hat, können Informationen über besuchte Websites unbemerkt beim Internetanbieter landen. Dieses Phänomen nennt man DNS-Leak. Wer seine Online-Privatsphäre wirklich kontrollieren möchte, sollte zuerst verstehen, wie es dazu kommt.
Zuerst geklärt: Wofür ist DNS da?
DNS (Domain Name System) lässt sich als "Telefonbuch" des Internets verstehen. Wenn du im Browser eine Domain wie google.com eingibst, kennt dein Computer hinter dieser Zeichenfolge nicht automatisch die Zieladresse. Er fragt einen DNS-Server: "Welche IP-Adresse gehört zu dieser Domain?" Erst nach der Antwort kann die Website tatsächlich aufgerufen werden.
Was ist ein DNS-Leak?
Einfach gesagt entsteht ein DNS-Leak, wenn du ein verschlüsseltes Werkzeug wie einen Proxy nutzt, DNS-Anfragen, die eigentlich durch den verschlüsselten Kanal laufen sollten, aber versehentlich direkt über das lokale Netzwerk an die DNS-Server deines Internetanbieters (ISP) gesendet werden. Dadurch kann sichtbar werden, welche Websites du besuchst.
Stell dir vor, du verschickst einen verschlüsselten Brief, schreibst aber die Empfängeradresse riesengroß auf den Umschlag. Der Inhalt ist geschützt, doch der Zusteller sieht sofort, wohin der Brief geht. Nimmt eine DNS-Anfrage den falschen Weg, kann die Privatsphäre genau in diesem unsichtbaren Teil der Verbindung verloren gehen.
Wie kommt es normalerweise dazu?
Die folgenden Situationen führen besonders häufig zu DNS-Leaks:
- Fehlerhafte Systemkonfiguration: Manche Betriebssysteme senden zur Beschleunigung gleichzeitig Anfragen an mehrere DNS-Server und verwenden die schnellste Antwort. Der lokale DNS-Server des Internetanbieters reagiert oft schneller, sodass die Anfrage den verschlüsselten Kanal umgeht.
- Wechsel der Netzwerkumgebung: Beim Wechsel vom heimischen WLAN zum mobilen Hotspot oder vom Büro ins Café muss das Gerät eine neue IP-Adresse beziehen. Fehlt dem verwendeten Tool ein Netzwerkschutz, kann sich das System in der kurzen Wiederverbindungsphase zunächst mit dem DNS des Internetanbieters verbinden.
- Konflikte zwischen Softwarefunktionen: Einige Internetanbieter setzen "transparente DNS-Proxys" ein, die Datenverkehr abfangen und umleiten. Selbst wenn du DNS-Einstellungen in einer Software änderst, können Anfragen dadurch wieder zu den Servern des Anbieters geleitet werden.
- Keine IPv6-Unterstützung: Netzwerke wechseln schrittweise von IPv4 zu IPv6, während viele Tools nur IPv4 unterstützen. Beim Aufruf einer IPv6-Website können IPv6-DNS-Anfragen aus dem verschlüsselten Tunnel herausfallen und unverschlüsselt übertragen werden.
Welche Risiken hat ein Leak?
Dieser scheinbar kleine Schritt der Namensauflösung kann konkrete Folgen haben:
- Deine Aktivitäten können verfolgt werden: DNS-Protokolle zeigen, welche Websites aufgerufen wurden, und können zu einem Profil deines Online-Verhaltens zusammengefügt werden.
- Netzwerkumgebung und Standort können sichtbar werden: Aus der Zuordnung eines DNS-Servers lassen sich unter Umständen die tatsächliche Region und der Internetanbieter ableiten, sodass das Verbergen des Standorts wirkungslos wird.
- Hijacking oder Phishing wird möglich: Ist der DNS-Schutz des lokalen Internetanbieters schwach, können Auflösungsergebnisse manipuliert werden, etwa indem eine Bankdomain auf eine gefälschte Phishing-Seite umgeleitet wird, was mit bloßem Auge schwer zu erkennen sein kann.
- Sicherheitsrichtlinien können ausgehebelt werden: In Unternehmen oder besonders geschützten Umgebungen können DNS-Leaks Zugriffskontrollen und Compliance-Regeln umgehen.
So erkennst du einen DNS-Leak
Am einfachsten verwendest du ein Online-Tool zum Testen auf DNS-Leaks. Erscheint im Ergebnis der Name deines tatsächlichen Internetanbieters, verlassen DNS-Anfragen den vorgesehenen geschützten Pfad. Solche Tests sollten nach dem Verbinden mit dem Proxy durchgeführt und als regelmäßige Kontrolle eingeplant werden.
Fünf Maßnahmen gegen DNS-Leaks
- DNS-Ausgänge mit der Firewall begrenzen: Erlaube DNS-Anfragen nur an festgelegte Server und blockiere Port-53-Verkehr über die lokale Netzwerkschnittstelle. So bleibt eine zusätzliche Schutzschicht bestehen, wenn ein Tool ausfällt oder sich das Netzwerk ändert.
- Einen zuverlässigen verschlüsselten Dienst mit Verbindungsabbruch-Schutz wählen: Auf der Serverseite sollte privates verschlüsseltes DNS genutzt und die Namensauflösung konsequent durch den Tunnel geleitet werden. Auf dem Client ist ein Kill Switch sinnvoll, damit bei Verbindungsproblemen keine Daten ins öffentliche Netzwerk gelangen.
- IPv6 bei Bedarf deaktivieren: Kompatibilitätsprobleme zwischen IPv4 und IPv6 sind eine häufige Leak-Ursache. Bei Bedarf kann IPv6 im Netzwerkadapter des Systems vorübergehend deaktiviert werden, sodass der Verkehr über geschütztes IPv4 läuft.
- DNS over HTTPS (DoH) im Browser aktivieren: Gängige Browser unterstützen sicheres DNS. Mit DoH werden DNS-Anfragen in verschlüsselten HTTPS-Verkehr eingebettet, sodass der Internetanbieter unverschlüsselte DNS-Anfragen schwerer erkennen kann.
- In Multi-Account-Szenarien ein konfigurierbares Umgebungstool nutzen: Wer mehrere E-Commerce-, Social-Media- oder Werbekonten betreibt, muss häufig sowohl Leaks verhindern als auch getrennte Kontoumgebungen beibehalten. Hier kann eine zentrale Verwaltung auf Ebene der Browserumgebung helfen—PurpleMark unterstützt separate Browserumgebungen pro Konto sowie die bedarfsgerechte Konfiguration von Netzwerkparametern. Dadurch lassen sich DNS-Auflösung, Ausgangsverbindung und Fingerprint-Einstellungen möglichst konsistent und kontrollierbar halten und Risiken durch Überschneidungen zwischen Kontoumgebungen reduzieren.
Hinweis: Das Verhindern von DNS- und WebRTC-Leaks dient legitimen Betriebszwecken und dem Schutz der Privatsphäre, nicht der Umgehung von Plattformregeln oder verbotenen Aktivitäten.
Fazit
DNS-Leaks entstehen bei der leicht übersehenen Domainauflösung. Selbst wenn der Datenverkehr verschlüsselt und die IP verborgen ist, können reale Surfaktivitäten weiterhin protokolliert und genutzt werden, wenn DNS-Anfragen den falschen Weg nehmen. Wer Ursachen kennt, regelmäßig testet und Firewall-Regeln, DoH, IPv6-Verwaltung sowie geeignete Umgebungstools kombiniert, kann verschiedene Leak-Punkte gleichzeitig schließen und seine Online-Privatsphäre deutlich umfassender schützen.
