Was ist ein DNS-Leak? Warum Abfragen den Tunnel verlassen und wie Sie das verhindern

Ein DNS-Leak bedeutet, dass das VPN Ihren Traffic transportiert, die Domain-Abfragen Ihres Geräts jedoch außerhalb davon laufen, typischerweise zum Resolver des Internetanbieters. Dieser Resolver sieht die Namen jeder Website, die Sie öffnen, plus Ihre tatsächliche öffentliche IP-Adresse. Die Website selbst sieht weiterhin die Adresse des VPN-Servers, Seiten laden normal, und ein IP-Check zeigt das VPN-Land – ohne einen Leak-Test würden Sie also nichts bemerken.

Wohin eine Abfrage geht, wenn alles funktioniert und wenn sie leakt

Bevor das Gerät eine Website aufruft, fragt es beim Resolver nach der IP hinter der Domain. Ein intakter Tunnel trägt diese Frage, bereits verschlüsselt, zu einem Resolver des VPN-Anbieters. Wenn etwas leakt, nimmt die Abfrage stattdessen den physischen Adapter und landet beim Resolver des Internetanbieters, der Ihren Browserverlauf neben Ihrer tatsächlichen IP-Adresse protokollieren kann.

Warum Abfragen den Tunnel verlassen

Leak-Prüfung und Lesen des Ergebnisses

Eine Testseite lässt den Browser zufällige Einmal-Subdomains der Domain des Testers auflösen, und der Nameserver des Testers protokolliert, welche Resolver gefragt haben, samt ihrer IP-Adresse, ihres Eigentümers und ihres Landes. Nur der VPN-Anbieter oder der von ihm angegebene DNS-Dienst bedeutet: alles in Ordnung. Der Name Ihres Heim-Anbieters oder Ihr tatsächliches Land zeigt einen Leak an, während ein unbekannter großer öffentlicher Resolver meist auf sicheres DNS im Browser oder eine veraltete Adapter-Einstellung hinweist.

Führen Sie den Test verbunden aus, wiederholen Sie ihn nach einer Neuverbindung und prüfen Sie jedes von Ihnen genutzte Netzwerk, vom eigenen WLAN über mobile Daten bis zum Hotel. Ein Browser-Test deckt nur den Weg des Browsers ab. Um zu sehen, was das System selbst nutzt, versuchen Sie nslookup unter Windows oder unter Linux resolvectl status.

Was eine gut gebaute VPN-App dagegen tut

Die App stellt Ihrem Gerät einen Resolver bereit, der auf dem VPN-Server sitzt, zu dem Sie sich verbinden, nur über den Tunnel erreichbar ist, und kombiniert dies mit Firewall-Regeln, die Port 53 auf allen anderen Schnittstellen blockieren. Diese beiden Maßnahmen zusammen schließen die oben beschriebenen üblichen Fluchtwege: veraltete Adapter-DNS, die konkurrierenden DNS-Abfragen über mehrere Windows-Netzwerkschnittstellen und offenen Port-53-Traffic. OpenVPN hat einen eigenen Schalter, block-outside-dns, beschrieben im OpenVPN-2.6-Handbuch: Er wirkt unter Windows, wo er TCP- und UDP-Port 53 auf anderen Adaptern blockiert, während andere Betriebssysteme die Option als unbekannt behandeln. In einer WireGuard-Konfiguration übernimmt die DNS-Zeile im Abschnitt [Interface] die Zuweisung; löschen Sie sie, behält das System seinen gewohnten Resolver. Ein Kill Switch deckt die Sekunden einer Neuverbindung ab.

DNS-Leak-Schutz in Daten und Wertungen von VPNRadarLab

Im Hauptranking von 371 Diensten geben 115 DNS-Leak-Schutz an, 1 kennzeichnet ihn als teilweise, 10 sagen Nein, und 251 machen keine Angabe. Keine Angabe bedeutet, dass der Anbieter die Information nicht veröffentlicht; daraus folgt nicht, dass der DNS-Leak-Schutz fehlt. Mehrere der 10 Verneinungen stammen aus Bewertungen Dritter, die bei Tests Lecks festgestellt haben. Im Hauptranking geben 59 Dienste an, dass sie eigene Resolver betreiben, und 7 sagen, dass sie das nicht tun. Im gesamten Katalog von 543 Privatkunden-VPNs, der im Seitenintro gezeigt wird, geben 124 den Schutz an, 11 verneinen ihn und 408 schweigen; die Ranking-Seite listet diese 124 auf.

Das Kriterium ist eines von elf in der Teilwertung Sicherheit und zählt 1,5 von deren 14 Punkten. Die Teilwertung Sicherheit selbst wiegt 20 % der Gesamtwertung im Hauptranking und 40 % auf den Sicherheitsseiten. Ein Dienst, der zum DNS-Leak-Schutz nichts sagt, erhält für dieses Kriterium 0, ebenso wie einer, der ihn verneint; darüber hinaus gibt es keinen zusätzlichen Punktabzug.

FAQ

Ist ein DNS-Leak gefährlich, wenn mein Traffic verschlüsselt bleibt?

Ja, für die Privatsphäre. Der Seiteninhalt bleibt versiegelt, doch Ihr Internetanbieter erhält eine Chronik der Domains, die Sie abgefragt haben, verknüpft mit Ihrer tatsächlichen IP-Adresse.

Legt ein DNS-Leak meine IP-Adresse offen?

Gegenüber dem externen Resolver ja, zusammen mit den Domains. Die Website sieht weiterhin nur die Adresse des VPN-Servers.

Behebt der Wechsel zu einem öffentlichen Resolver ein Leak?

Nein. Die Abfragen laufen weiterhin außerhalb des Tunnels, und ein Anbieter mit transparentem DNS-Proxy beantwortet Port-53-Traffic unabhängig vom von Ihnen eingestellten Ziel.

Wichtiges zu DNS-Leaks

Ein DNS-Leak schickt Ihre Domain-Abfragen an einen Resolver außerhalb des Tunnels, sodass Ihr Internetanbieter erfährt, welche Websites Sie öffnen, plus Ihre tatsächliche IP-Adresse, während die Website weiterhin nur die VPN-Adresse sieht und ein IP-Check nichts verrät. Testen Sie in jedem von Ihnen genutzten Netzwerk, direkt nach dem Verbinden und nach einer Neuverbindung. Wählen Sie einen Client, der seinen eigenen, ausschließlich über den Tunnel erreichbaren Resolver zuweist, Port 53 außerhalb des Tunnels blockiert und über einen Kill Switch verfügt.