DNS4EU und souveräne Resolver: wer Ihre DNS-Anfragen mitliest

Problem

Wenn Sie eine Webseite aufrufen, tippen Sie einen Namen ein - zum Beispiel dernium.de. Ihr Computer kann mit diesem Namen aber nichts anfangen. Er braucht eine Zahlenadresse, die sogenannte IP-Adresse (Internet Protocol address, die eindeutige Nummer eines Servers im Netz, etwa 203.0.113.10). Die Übersetzung vom Namen zur Nummer erledigt das DNS (Domain Name System, das "Telefonbuch des Internets").

Das klingt harmlos. Ist es aber nicht. Denn diese Übersetzung macht nicht Ihr Computer allein, sondern ein Dienst irgendwo im Netz - ein DNS-Resolver (der Server, der die Namensanfragen für Sie beantwortet). Und bei den allermeisten Privatpersonen und Firmen landet diese Anfrage unbemerkt bei einem US-amerikanischen Anbieter: Google (8.8.8.8) oder Cloudflare (1.1.1.1).

Die unbequeme Wahrheit: Wer Ihren Resolver betreibt, sieht eine vollständige Liste jeder Domain, die Sie und Ihre Mitarbeiter besuchen. Und das auch dann, wenn die eigentliche Verbindung verschlüsselt ist.

Für wen ist das? Für IT-Verantwortliche, die kontrollieren wollen, wer ihre DNS-Anfragen sieht.

Kurze Antwort

DNS-Anfragen verraten jede einzelne Domain, die Sie ansteuern - selbst wenn der Seiteninhalt per HTTPS (HyperText Transfer Protocol Secure, die verschlüsselte Variante des Web-Protokolls) geschützt ist. Klassisches DNS ist zudem unverschlüsselt und damit auf dem Weg mitlesbar. Wer das ändern will, hat drei Hebel:

• Verschlüsseltes DNS (DoH oder DoT) verbirgt Ihre Anfragen vor Mitlesern auf dem Transportweg.
• Resolver-Wahl: Wer den Resolver betreibt, sieht das Surfverhalten. Ein europäischer oder eigener Resolver verlagert diese Einsicht weg von US-Konzernen.
• DNS4EU, eine von der EU geförderte Resolver-Initiative, bietet eine datenschutzfreundliche, nach EU-Recht betriebene Alternative mit optionalen Filtern.
• Verschlüsselung schützt den Transport, nicht das Vertrauen: Der Resolver-Betreiber sieht Ihre Anfragen immer im Klartext.

Tiefgang

Was eine DNS-Anfrage über Sie verrät

Stellen Sie sich vor, Sie rufen nacheinander bank-xy.de, krankenkasse-z.de und bewerbung-konkurrent.de auf. Der Inhalt dieser Seiten ist dank HTTPS verschlüsselt - ein Mitleser sieht also nicht, was Sie dort tun. Aber die DNS-Anfrage, die jedem Aufruf vorausgeht, nennt den Domainnamen im Klartext. Der Resolver-Betreiber kann daraus ein erstaunlich genaues Profil bauen: welche Banken, welche Ärzte, welche Lieferanten, welche Bewerbungsportale, welche politischen Seiten.

Für eine Firma ist das doppelt heikel. Aus den DNS-Anfragen eines Firmennetzes lässt sich ablesen, welche Cloud-Dienste Sie nutzen, mit welchen Partnern Sie sprechen (deren Mail-Server tauchen auf) und woran gerade gearbeitet wird. Das ist Wettbewerbsinformation, frei Haus.

Warum HTTPS dieses Loch nicht stopft

Ein verbreiteter Irrtum lautet: "Ich nutze doch überall HTTPS, da ist alles sicher." HTTPS verschlüsselt den Inhalt der Verbindung zwischen Ihrem Browser und dem Webserver. Es verbirgt aber nicht, mit wem Sie sprechen - und die DNS-Anfrage, die diese Verbindung erst ermöglicht, läuft klassischerweise völlig offen ab.

Konkret: Klassisches DNS reist als unverschlüsseltes Datenpaket durch das Netz, oft über den Resolver Ihres Internetanbieters. Jeder auf diesem Weg - der Anbieter selbst, der Betreiber eines offenen WLAN, ein Angreifer im selben Netz - kann mitlesen, welche Namen Sie auflösen. Manche können die Antwort sogar fälschen und Sie auf eine betrügerische Seite umleiten.

Verschlüsseltes DNS: DoH und DoT

Gegen das Mitlesen auf dem Transportweg gibt es zwei etablierte Verfahren:

• DoT (DNS over TLS, definiert in RFC 7858): DNS-Anfragen laufen durch einen verschlüsselten TLS-Tunnel (Transport Layer Security, dieselbe Technik, die auch HTTPS absichert) über einen eigenen Netzwerk-Port. Für Netzbetreiber gut erkennbar und damit gut steuerbar - praktisch für Firmen, die kontrollieren wollen, dass wirklich alle Geräte den richtigen Resolver nutzen.
• DoH (DNS over HTTPS, definiert in RFC 8484): DNS-Anfragen werden in normalen HTTPS-Verkehr verpackt. Vorteil: Sie sind im Datenstrom kaum von gewöhnlichem Web-Verkehr zu unterscheiden, was sie schwer blockierbar macht. Genau das ist je nach Blickwinkel Segen oder Fluch.

Wichtig zu verstehen: Verschlüsseltes DNS schützt Ihre Anfragen vor Mitlesern unterwegs. Es schützt Sie nicht vor dem Resolver-Betreiber selbst - der sieht Ihre Anfragen weiterhin im Klartext, denn er muss sie ja beantworten. Verschlüsselung löst also das Transport-Problem, nicht das Vertrauens-Problem. Deshalb bleibt die Frage zentral: Wem geben Sie diese Einsicht?

DNS4EU: eine europäische Antwort

Genau hier setzt DNS4EU an. Es ist eine von der EU-Agentur ENISA (European Union Agency for Cybersecurity, die EU-Behörde für Cybersicherheit) geförderte und von der Europäischen Kommission unterstützte Initiative, betrieben von einem Konsortium europäischer Anbieter. Ziel: ein öffentlicher DNS-Resolver, der nach EU-Recht arbeitet, statt Surfprofile in Rechtsräume außerhalb der EU abfließen zu lassen.

Die wesentlichen Punkte:

• Datenschutz nach EU-Recht: Betrieb innerhalb der EU, unter der Datenschutz-Grundverordnung (DSGVO, das EU-Datenschutzgesetz) - kein routinemäßiger Datenabfluss in Drittstaaten.
• Verschlüsselung eingebaut: DoH und DoT werden unterstützt, verschlüsseltes DNS ist also ab Werk möglich.
• Filteroptionen: Es gibt verschiedene Varianten - eine ungefilterte und solche, die etwa bekannte Schadsoftware-Domains, Phishing oder optional auch Werbung blockieren. Sie wählen, was zu Ihnen passt.

Details und Einrichtungshinweise finden Sie direkt bei joindns4.eu sowie Hintergrund zur fördernden Agentur bei ENISA.

Souveränität ist eine Betriebsentscheidung

Der Kern lautet schlicht: Wer den Resolver betreibt, sieht das Surfverhalten. Das ist keine Verschwörung, sondern Technik. Die einzige echte Stellschraube ist die Wahl, wem Sie diese Einsicht anvertrauen - einem US-Konzern, einem EU-Dienst oder sich selbst.

Für Firmen gibt es drei sinnvolle Wege, die sich auch kombinieren lassen:

1. Eigener Resolver: Sie betreiben den auflösenden Dienst selbst (gegebenenfalls mit Anbindung an einen vertrauenswürdigen Upstream). Dann verlässt kein vollständiges Surfprofil Ihr Haus. Aufwand: Sie müssen den Dienst pflegen und absichern.
2. DNS4EU oder ein anderer EU-Resolver: Geringer Aufwand, EU-Rechtsraum, Verschlüsselung und Filter inklusive. Guter Mittelweg ohne eigenen Betrieb.
3. Verschlüsselung erzwingen: Konfigurieren Sie Ihre Geräte und Ihr Netz so, dass DoH oder DoT zum gewünschten Resolver verpflichtend ist - und dass niemand heimlich am Firmen-Resolver vorbei zu 8.8.8.8 ausweicht. Auf Firmengeräten lässt sich das per zentraler Richtlinie durchsetzen.

Ein Randthema, das dazugehört: Vertrauen in DNS-Antworten. Hier hilft DNSSEC (Domain Name System Security Extensions, eine kryptografische Signatur, die DNS-Antworten fälschungssicher macht). Wie heikel der Betrieb solcher Signaturen ist, zeigt unser Beitrag dazu, wie die .de-Zone für drei Stunden ungültig wurde.

Abgelehnte Alternativen und Mythen

"HTTPS schützt doch schon alles." Nein. HTTPS verbirgt den Inhalt, nicht den Domainnamen. Die DNS-Anfrage davor verrät trotzdem jede besuchte Domain - und ist ohne DoH/DoT zusätzlich offen mitlesbar.

"Ich habe nichts zu verbergen." Es geht nicht um einzelne Geheimnisse, sondern um das Profil: die Summe aller Domains über Wochen zeichnet ein präzises Bild von Gesundheit, Finanzen, Geschäftsbeziehungen und Arbeitsschwerpunkten. Für Firmen ist das verwertbare Wettbewerbsinformation.

"Cloudflare verspricht doch, nichts zu speichern." Ein Versprechen ist kein Naturgesetz. Es geht um Rechtsraum, Aufsicht und Kontrolle. Ein US-Anbieter unterliegt US-Recht - unabhängig von guten Absichten. Souveränität bedeutet, sich nicht auf fremde Versprechen verlassen zu müssen.

"Verschlüsseltes DNS macht mich anonym." Nein. DoH und DoT verbergen Ihre Anfragen nur vor Mitlesern unterwegs. Der Resolver-Betreiber sieht weiterhin alles. Verschlüsselung ersetzt nicht die Frage der Resolver-Wahl.

"Ein eigener Resolver ist immer am besten." Nicht zwingend. Ein schlecht gepflegter eigener Resolver kann unsicherer sein als ein gut betriebener EU-Dienst. Eigenbetrieb lohnt sich, wenn Sie die Pflege wirklich leisten - sonst ist ein EU-Resolver die ehrlichere Wahl.

Was Sie jetzt tun sollten

1. Prüfen Sie, welchen Resolver Ihr Netz heute nutzt. Oft ist es unbemerkt 8.8.8.8 oder 1.1.1.1 oder der Resolver des Internetanbieters. Erst wer das weiß, kann entscheiden.
2. Wählen Sie ein Ziel: einen EU-Resolver (etwa DNS4EU) für geringen Aufwand oder einen eigenen Resolver, wenn Sie die Pflege dauerhaft leisten können.
3. Aktivieren Sie verschlüsseltes DNS (DoH oder DoT) zum gewählten Resolver, damit Anfragen unterwegs nicht mitlesbar sind.
4. Schließen Sie Ausweich-Verkehr per zentraler Richtlinie: Browser und Geräte dürfen nicht heimlich am Firmen-Resolver vorbei einen eigenen Resolver verwenden.
5. Entscheiden Sie über die Filterstufe (ungefiltert, Schadsoftware-Blockade, optional Werbung) anhand Ihres Risikoappetits und testen Sie sie vor dem Roll-out.

Wie Dernium hier hilft

Dernium folgt konsequent der Philosophie verschlüsselter, EU-naher DNS-Auflösung. Wir behandeln die Frage "Wer sieht unsere DNS-Anfragen?" als Souveränitäts-Entscheidung, nicht als Nebensächlichkeit - und richten unsere eigene Auflösung entsprechend ein: verschlüsselt und im EU-Rechtsraum.

Für Sie praktisch nutzbar sind unsere Dernium Webtools. Darunter finden Sie DNS-bezogene Prüf-Werkzeuge, mit denen Sie die DNS-Einstellungen Ihrer eigenen Domains kontrollieren können - etwa Prüfungen zu DNSSEC (siehe oben, die fälschungssichere Signatur), zu CAA-Einträgen (Certification Authority Authorization, ein DNS-Eintrag, der festlegt, welche Stellen Zertifikate für Ihre Domain ausstellen dürfen) und zu MX-Einträgen (Mail Exchange, der DNS-Eintrag, der angibt, welcher Server die E-Mails Ihrer Domain annimmt).

Das ist bewusst kein eigenes "Dernium DNS"-Produkt, sondern ehrliche Werkzeugkasten-Hilfe: Sie prüfen damit, ob Ihre Domain sauber konfiguriert ist. Wie eng DNS und Zertifikatssicherheit zusammenhängen, vertieft unser Beitrag zu Certificate Transparency als Frühwarnsystem.

Offene Punkte

• Ausweich-Verkehr unterbinden: In der Praxis ist die größte Hürde nicht die Wahl des Resolvers, sondern sicherzustellen, dass wirklich alle Geräte ihn nutzen. Moderne Browser bringen teils eigenes DoH mit und können Ihre Firmen-Einstellung umgehen. Das gehört per Richtlinie geschlossen.
• Filter sind Geschmackssache: Gefilterte Resolver blockieren Schadsoftware-Domains zuverlässig, können aber gelegentlich legitime Seiten erwischen. Welche Filterstufe passt, hängt von Ihrem Risikoappetit ab.
• Eigenbetrieb kostet Pflege: Ein eigener Resolver ist nur so sicher, wie er gewartet wird. Wer ihn aufsetzt und dann vergisst, verschlechtert seine Lage womöglich.
• Reife von DNS4EU: Die Initiative ist vergleichsweise jung. Verfügbarkeit und Funktionsumfang entwickeln sich noch - ein Blick auf joindns4.eu lohnt sich vor einer Festlegung.

Häufige Fragen

Sieht mein Internetanbieter weiterhin meine besuchten Seiten, wenn ich verschlüsseltes DNS nutze?

Den Domainnamen über die DNS-Anfrage sieht er dann nicht mehr, weil diese verschlüsselt zu Ihrem gewählten Resolver läuft. Allerdings kann der Internetanbieter aus anderen Spuren (etwa der Ziel-IP-Adresse der Verbindung) teils trotzdem grobe Rückschlüsse ziehen. Verschlüsseltes DNS schließt also die größte, aber nicht jede Lücke.

Macht es überhaupt einen Unterschied, ob ich DoH oder DoT wähle?

Inhaltlich schützen beide gleich gut vor Mitlesern unterwegs. Der Unterschied ist betrieblicher Natur: DoT läuft über einen eigenen Port und ist für Netzbetreiber gut erkennbar und steuerbar, DoH versteckt sich im normalen Web-Verkehr und ist schwer zu blockieren. Firmen, die kontrollieren wollen, dass alle Geräte den richtigen Resolver nutzen, bevorzugen oft DoT.

Kostet DNS4EU etwas, und für wen ist es gedacht?

DNS4EU ist als öffentlicher Resolver gedacht und steht grundsätzlich für Privatpersonen wie Firmen offen; aktuelle Konditionen und Varianten finden Sie auf joindns4.eu. Für Firmen ist es vor allem ein Mittelweg: EU-Rechtsraum und Verschlüsselung ohne den Aufwand eines eigenen Resolvers.

Wir haben einen Firmen-Resolver - warum landen Anfragen trotzdem bei Google oder Cloudflare?

Weil moderne Browser teils ihr eigenes verschlüsseltes DNS mitbringen und damit an Ihrer Netzeinstellung vorbei direkt zu einem voreingestellten Resolver gehen. Das lässt sich nur über eine zentrale Geräte-Richtlinie schließen, die den browser-eigenen Resolver abschaltet und alle Anfragen auf Ihren Resolver zwingt.

Brauche ich DNSSEC zusätzlich zu verschlüsseltem DNS?

Die beiden lösen verschiedene Probleme. Verschlüsseltes DNS verbirgt Ihre Anfragen vor Mitlesern, DNSSEC stellt durch eine kryptografische Signatur sicher, dass die Antwort echt und nicht gefälscht ist. Für eigene Domains lohnt sich DNSSEC, damit Dritte Ihre Einträge nicht unbemerkt verfälschen können - das ergänzt verschlüsseltes DNS, ersetzt es aber nicht.