DNS-Leak-Test: DNS-Leaks prüfen und beheben

Was ist ein DNS-Leak?

Jeder Websitebesuch beginnt mit einer DNS-Abfrage, die einen Namen wie example.com in eine IP-Adresse übersetzt. Normalerweise antwortet der DNS-Server deines Internetanbieters. Mit VPN sollten diese Abfragen durch den verschlüsselten Tunnel zum eigenen DNS-Server des VPN laufen.

Ein DNS-Leak liegt vor, wenn Abfragen außerhalb des Tunnels beim DNS-Server deines Providers landen. Websites sehen weiterhin die IP des VPN, aber dein Provider sieht jede Domain, die du besuchst, und seine DNS-Filter oder -Sperren greifen weiterhin.

So funktioniert ein DNS-Leak-Test

Ein Browser kann nicht melden, welchen DNS-Server er nutzt. Ein Leak-Test lässt deinen Browser daher mehrere eindeutige, zufällige Hostnamen einer Domain auflösen, deren DNS-Server der Tester betreibt. Dieser Server protokolliert, welche Resolver-IP-Adressen danach gefragt haben. Gehören diese Resolver bei verbundenem VPN zu deinem Internetanbieter, leakt dein DNS.

Der Test oben macht genau das: Er listet jeden Resolver mit Anbieter, Netzwerk und Land und vergleicht sie mit der IP, die Websites sehen. Testnamen und Resolver-IPs werden nach 10 Minuten gelöscht.

DNS-Server manuell prüfen

Führe einen dieser Befehle im Terminal (macOS, Linux) oder in der Eingabeaufforderung (Windows, nur nslookup) aus. Jeder fragt einen öffentlichen Dienst nach der IP-Adresse des DNS-Resolvers, der ihn kontaktiert hat:

nslookup -type=txt o-o.myaddr.l.google.com
dig +short TXT o-o.myaddr.l.google.com
dig +short whoami.akamai.net

So liest du das Ergebnis

Finde mit einem beliebigen WHOIS- oder IP-Abfragedienst heraus, wem die zurückgegebene Adresse gehört.
Gehört sie bei verbundenem VPN deinem Internetanbieter, leakt dein DNS.
Gehört sie deinem VPN-Anbieter oder einem selbst gewählten Resolver wie Cloudflare (1.1.1.1) oder Google (8.8.8.8), gibt es kein Leak zu deinem Provider.
Diese Befehle testen den DNS deines Betriebssystems. Hat dein Browser „Sicheres DNS“ (DNS over HTTPS) eingeschaltet, schickt er seine Abfragen stattdessen an diesen Anbieter.

So behebst du ein DNS-Leak

Schalte in deiner VPN-App den DNS-Leak-Schutz (manchmal „VPN-DNS verwenden“ genannt) und den Kill Switch ein.
Stelle sicher, dass das VPN auch IPv6 abdeckt, oder schalte IPv6 an deinem Netzwerkadapter aus. IPv6-Abfragen können reine IPv4-VPNs umgehen.
Schalte verschlüsseltes DNS ein: „Sicheres DNS“ in Chrome, Edge oder Brave oder „DNS über HTTPS“ in Firefox, mit dem Resolver deines VPN oder einem Anbieter deines Vertrauens.
Prüfe, dass dein Router oder ein manuell gesetzter DNS-Server die Einstellungen des VPN nicht überschreibt, und teste dann erneut.

Häufige Fragen

›Warum findet der Test mehrere DNS-Server?

Große DNS-Dienste wie Google, Cloudflare und die meisten Provider betreiben Serverpools, daher können verschiedene Abfragen von verschiedenen Adressen kommen. Entscheidend ist, zu welchem Netzwerk sie gehören.

›Ist ein DNS-Leak dasselbe wie ein IP-Leak?

Nein. Bei einem DNS-Leak sehen Websites weiterhin die IP deines VPN, aber dein Internetanbieter (oder wer den leakenden Resolver betreibt) sieht, welche Domains du abfragst.

›Verhindert HTTPS DNS-Leaks?

Nein. HTTPS verschlüsselt den Seiteninhalt, klassische DNS-Abfragen werden aber unverschlüsselt gesendet, bevor die Verbindung beginnt. Verschlüsseltes DNS (DNS over HTTPS oder TLS) löst diesen Teil.

›Kann ich ohne VPN ein DNS-Leak haben?

Ohne VPN sollen deine Abfragen ohnehin an den DNS-Server deines Providers oder einen selbst gewählten gehen, das ist also kein Leak. Der Begriff ist relevant, wenn du ein VPN oder einen Proxy nutzt.

›Verhindert der private oder Inkognito-Modus DNS-Leaks?

Nein. Private Fenster nutzen dieselben DNS-Einstellungen wie normale Fenster.

›Der Test hat keine DNS-Server gefunden. Warum?

Ein Werbe- oder Inhaltsblocker kann die zufälligen Testanfragen stoppen, bevor dein Browser sie auflöst. Pausiere ihn für diese Website und teste erneut.

DNS-Leak-Test