Was ist ein DNS-Leak und wie beheben Sie ihn?

DNS in 30 Sekunden

Bevor Ihr Gerät eine Website öffnen kann, muss es einen Namen wie example.com in eine IP-Adresse übersetzen. Dazu fragt es einen DNS-Resolver, der meist von Ihrem Internetanbieter betrieben wird. Der Resolver sieht jeden Websitenamen, den Sie nachschlagen, wann Sie ihn nachschlagen, und Ihre IP-Adresse.

Was ist ein DNS-Leak?

Wenn Sie ein VPN nutzen, sollten diese Anfragen durch den verschlüsselten Tunnel zum eigenen Resolver des VPNs laufen. Ein DNS-Leak liegt vor, wenn sie stattdessen am Tunnel vorbei direkt an Ihren Anbieter oder einen anderen externen Resolver gehen.

Ihr eigentlicher Datenverkehr bleibt verschlüsselt, aber der Resolver sieht eine Liste aller Websites, die Sie besuchen, und jeder, der Ihre Verbindung beobachtet, sieht sie ebenfalls. In manchen Ländern sperren Anbieter Websites per DNS, sodass gesperrte Seiten bei einem Leak auch mit VPN nicht laden.

Ein DNS-Leak ändert nicht die IP-Adresse, die Websites sehen. Er verrät Ihrem Anbieter, welche Websites Sie besuchen. Deshalb kann eine reine IP-Prüfung ihn nicht erkennen.

So testen Sie auf einen DNS-Leak

1. Verbinden Sie sich mit Ihrem VPN.
2. Öffnen Sie den DNS-Leak-Test. Er lässt Ihren Browser mehrere zufällige Namen nachschlagen, die nur unser Testserver beantworten kann, und protokolliert, welche Resolver danach fragen.
3. Sehen Sie sich die aufgelisteten Resolver an.

Kein Leak: Jeder Resolver gehört zu Ihrem VPN-Anbieter oder steht im selben Land, aus dem Ihr VPN austritt.

Leak: Sie sehen Resolver Ihres eigenen Internetanbieters oder Resolver in Ihrem eigenen Land, obwohl Ihr VPN-Server woanders steht.

Große öffentliche Resolver wie Google (8.8.8.8) und Cloudflare (1.1.1.1) betreiben Server weltweit. Für diese zeigt der Test zusätzlich das Client-Subnetz, das der Resolver weitergegeben hat. Es kann Ihr echtes Netzwerk verraten, selbst wenn der Resolver selbst neutral wirkt.

Was verursacht DNS-Leaks?

• Das VPN setzt kein eigenes DNS. Manche VPN-Apps, manuell eingerichtete WireGuard- oder OpenVPN-Verbindungen und viele Proxy-Tools lassen den System-Resolver unverändert.
• Windows fragt alle Netzwerke gleichzeitig. Windows schickt DNS-Anfragen an alle Netzwerkadapter und nimmt die schnellste Antwort, sodass die Anfrage über Ihre normale Verbindung hinausgehen kann.
• IPv6. Wenn das VPN nur IPv4 abdeckt, gehen Anfragen über IPv6 an den IPv6-Resolver Ihres Anbieters.
• DNS über HTTPS im Browser. Chrome, Edge und Firefox können Anfragen an ihren eigenen verschlüsselten Resolver schicken. Das ist kein Leak zu Ihrem Anbieter, umgeht aber den Resolver des VPNs und kann Ihren echten Standort mitliefern.
• Proxy-Tools im Modus „Systemproxy“. Apps wie Clash, V2Ray- oder Shadowsocks-Clients leiten oft nur den Browserverkehr um, während das System Namen weiterhin lokal auflöst.
• Ihr Router oder Anbieter kapert DNS. Manche Anbieter fangen den gesamten Verkehr auf Port 53 ab und beantworten ihn selbst.

So beheben Sie einen DNS-Leak

Beginnen Sie mit der ersten Maßnahme und testen Sie nach jedem Schritt erneut.

1. Aktivieren Sie den DNS-Leak-Schutz Ihres VPNs. Die meisten guten VPN-Apps haben eine Einstellung namens DNS-Leak-Schutz, „nur VPN-DNS verwenden“ oder ähnlich. Schalten Sie außerdem den Kill Switch ein.
2. Aktivieren Sie den IPv6-Leak-Schutz oder blockieren Sie IPv6 in der VPN-App. Warum das wichtig ist, lesen Sie in IPv4 vs. IPv6.
3. Legen Sie DNS in Ihrer VPN-Konfiguration fest. Bei WireGuard fügen Sie im Abschnitt [Interface] eine Zeile DNS = hinzu. Bei OpenVPN nutzen Sie unter Windows block-outside-dns.
4. Aktivieren Sie bei Proxy-Tools den TUN-Modus (Clash, sing-box und andere nennen ihn TUN, Enhanced Mode oder VPN-Modus) und schalten Sie deren DNS-Verarbeitung ein, damit alle Anfragen über den Proxy laufen.
5. Prüfen Sie die Einstellung für sicheres DNS im Browser. In Chrome oder Edge finden Sie sie unter Einstellungen > Datenschutz und Sicherheit > Sicherheit > Sicheres DNS verwenden. Schalten Sie sie entweder aus, damit der Resolver des VPNs genutzt wird, oder stellen Sie einen Resolver ein, dem Sie vertrauen.
6. Ändern Sie das System-DNS als Notlösung auf einen öffentlichen Resolver. Das behebt kein Leak zu diesem Resolver, verhindert aber, dass Ihr Anbieter Ihre Anfragen sieht.

Führen Sie danach den DNS-Leak-Test erneut aus. Für eine vollständige Prüfung Ihres VPNs einschließlich WebRTC und IPv6 lesen Sie So prüfen Sie, ob Ihr VPN funktioniert.

Häufige Fragen

Ist ein DNS-Leak gefährlich?

Er verrät, welche Websites Sie besuchen, nicht aber Ihre Passwörter oder Seiteninhalte, die per HTTPS geschützt bleiben. Wenn Sie ein VPN für Ihre Privatsphäre nutzen, macht ein Leak dessen Nutzen trotzdem zu einem großen Teil zunichte.

Kann ein DNS-Leak meine echte IP verraten?

Indirekt. Der Resolver Ihres Anbieters sieht Ihre echte IP, und Resolver, die Ihr Client-Subnetz weitergeben, teilen dem DNS-Server der Website ungefähr mit, wo Sie sind. Die Websites selbst sehen Ihre IP nicht über DNS.

Verhindert 1.1.1.1 oder 8.8.8.8 DNS-Leaks?

Nein. Es ändert nur, wer Ihre Anfragen sieht, nämlich Cloudflare oder Google statt Ihres Anbieters, aber die Anfragen können trotzdem am VPN vorbeigehen. Nur wenn DNS durch das VPN läuft, ist das Leak gestoppt.

Warum zeigt der Test Server in einem anderen Land?

Große Resolver schicken Ihre Anfrage aus dem Rechenzentrum, das Ihnen oder Ihrem VPN-Server am nächsten liegt, und das kann in einem Nachbarland stehen. Achten Sie auf den Netzwerknamen: Ist es Ihr VPN-Anbieter oder ein großer öffentlicher Resolver in der Nähe des VPN-Servers, ist alles in Ordnung.