Verschlüsseltes DNS vs. VPN: verschiedene Werkzeuge für verschiedene Privatsphäre

Was verschlüsseltes DNS wirklich schützt

DoH und DoT verschlüsseln exakt einen Schritt: den Moment, in dem Ihr Rechner einen Domainnamen in eine IP-Adresse übersetzt. Ohne Verschlüsselung reist diese Anfrage als Klartext, und der Provider — oder jeder im selben Netz — kann jede besuchte Domain mitloggen, egal ob die Seite selbst HTTPS nutzt. Mit DoH gehen die Anfragen an einen Resolver Ihrer Wahl über eine verschlüsselte Verbindung, und das DNS-Log des Providers geht ins Leere.

Was es nicht tut: Ihren Verkehr verstecken. Der Provider sieht weiterhin, welche IP-Adressen Sie ansteuern, das SNI-Feld verrät weiterhin den Hostnamen jeder HTTPS-Seite, und Websites sehen nach wie vor Ihre echte IP und Ihren Browser-Fingerprint. Verschlüsseltes DNS schließt ein Leck in einer Leitung mit mehreren. Lohnt sich — ist aber kein VPN.

Was ein VPN kann, was DNS nie kann

Ein VPN verlegt die gesamte Leitung: jede Verbindung, DNS inklusive, läuft durch einen verschlüsselten Tunnel zum Server des Anbieters, und die besuchten Seiten sehen dessen IP statt Ihrer. Genau das macht es nützlich im öffentlichen WLAN, zum Verstecken des Standorts und in Netzwerken, denen Ihre Heim-IP nichts angeht. Der Preis ist Vertrauen: Der VPN-Anbieter sieht alles, was vorher Ihr Provider sah — Sie beseitigen den Beobachter nicht, Sie wechseln ihn. Keines der Werkzeuge ersetzt das andere:

• Mit aktivem DoH sieht Ihr Provider weiterhin Ziel-IPs und SNI-Hostnamen — nur die DNS-Anfragen nicht
• Ihr DNS-Anbieter sieht jede Domain, die Sie auflösen: Wählen Sie einen, dessen Log-Praxis Sie geprüft haben
• Websites sehen bei verschlüsseltem DNS Ihre echte IP; mit VPN die IP des VPN-Servers
• Der VPN-Anbieter sieht Ihren gesamten Verkehr und das Timing — er tritt die Nachfolge Ihres Providers an
• Im öffentlichen WLAN schützt nur ein VPN vor dem lokalen Mitschneiden der Verbindung selbst
• Beides stapelt sich: DoH im VPN-Tunnel schließt die Klartext-DNS-Schlupflücke des VPNs

Was Sie tatsächlich brauchen

Für die meisten zuhause ist verschlüsseltes DNS der kostenlose Sofortgewinn: Windows 11 setzt DoH pro Adapter unter „Einstellungen“ > „Netzwerk und Internet“, Browser können es unabhängig davon. Ein VPN verdient sein Abo in feindlichen Netzen, wenn die IP selbst verborgen bleiben soll oder das Netz DNS blockt und fälscht. Wer nur verhindern will, dass der Provider das Surfprotokoll verkauft, fängt mit DoH und ehrlichen Erwartungen an. Wer will, dass niemand im Netz erfährt, was er tut, braucht ein VPN — und oft beides zusammen.

Fragen und Antworten

Weiterlesen