Wenn Sie ein VPN verwenden (siehe unsere VPN-Support unter WindowsWenn Sie häufig mit Netzwerkeinstellungen experimentieren, sind Ihnen wahrscheinlich Optionen wie die folgenden schon begegnet: Anbieterspezifisches DNS, integrierte Namensauflösung, öffentliches DNS von Google oder Cloudflare, Handshake oder benutzerdefiniertes DNS wie Pi-holeAuf den ersten Blick scheint es nur eine weitere Einstellung zu sein, aber die Wahl des DNS-Servers hat einen erheblichen Einfluss auf Ihre Privatsphäre, Sicherheit, Leistung und sogar darauf, welche Websites Sie besuchen können.
Im täglichen Gebrauch belassen wir die Einstellungen normalerweise so, wie sie sind: Der DNS-Server des Internetanbieters oder VPN-Anbieters ist bereits aktiv.Die Umstellung auf einen benutzerdefinierten DNS-Server (z. B. durch die Einrichtung eines Pi-hole zu Hause oder die Nutzung eines Dienstes wie Control-D) bietet Ihnen deutlich mehr Kontrolle über Ihr Surfverhalten, birgt aber auch gewisse Risiken und Verantwortlichkeiten. Es lohnt sich, die Funktionsweise von DNS sowie die Vor- und Nachteile der einzelnen Alternativen zu verstehen.
Was ist DNS und warum ist es so wichtig?
Das Domain Name System (DNS) ist das „Telefonbuch“ des Internets.Es übersetzt für Menschen lesbare Adressen (wie xataka.com oder kaspersky.com) in numerische IP-Adressen, die Computer verstehen. Ohne diese automatische Übersetzung könnten Sie nicht im Internet surfen, indem Sie Domainnamen eingeben; Sie müssten sich für jede Website lange Nummern merken.
Ihr Internetdienstanbieter (ISP) stellt Ihnen üblicherweise einen Router mit einigen Komponenten zur Verfügung. vorkonfigurierte DNS-Server, die vom Betreiber selbst kontrolliert werdenJedes Mal, wenn Sie eine Webadresse eingeben, fragt Ihr Gerät die DNS-Server ab, um die zugehörige IP-Adresse zu ermitteln. Dies ist nicht nur für das Laden der Website entscheidend, sondern bestimmt auch, wer Ihre Anfragen einsehen und wer diese blockieren oder manipulieren kann.
Der Namensauflösungsprozess involviert mehrere Servertypen: einen rekursiver Löser, der Ihre Anfrage empfängtDie Root-Server, die Top-Level-Domain-Server (TLD-Server, z. B. .com oder .net) und die autoritativen Domain-Server liefern letztendlich die korrekte IP-Adresse. In vielen Fällen werden einige dieser Informationen zwischengespeichert, um zukünftige Anfragen zu beschleunigen.
Wenn Sie eine Domain in den Browser eingeben, versucht das System zunächst, diese aufzulösen. lokale Caches (Computer, Betriebssystem, Resolver)Falls die Adresse dort nicht vorhanden ist, wird die Anfrage an den rekursiven Resolver, dann an die Root-Server, anschließend an die TLD-Server und schließlich an die autoritativen Server weitergeleitet, die die endgültige IP-Adresse zurückgeben. All dies geschieht in Millisekunden, doch jeder Zwischenschritt stellt eine potenzielle Angriffsfläche oder einen potenziellen Kontrollpunkt dar.
Ein entscheidender Punkt ist, dass standardmäßig Das traditionelle DNS beinhaltet keine Verschlüsselung.Das bedeutet, dass sowohl Ihr Internetanbieter als auch jeder Dritte, der Zugriff auf Ihren Datenverkehr hat, sehen kann, welche Domains Sie besuchen. Den genauen Inhalt der Seiten können sie jedoch nicht einsehen, wenn Sie HTTPS verwenden. Diese Architektur erleichtert Zensur, Überwachung und Angriffe, wenn das System nicht ausreichend gesichert ist.
Was weiß die Person, die das DNS kontrolliert, über Sie?
Jede DNS-Anfrage hinterlässt eine Spur. Der Besitzer des DNS-Servers kann sehen, von welcher IP-Adresse Sie die Abfrage durchführen und auf welche Domains Sie zugreifen möchten.Mit diesem einfachen Datenpaar (IP + Domain + Zeit) lässt sich bereits ein sehr präzises Profil Ihrer Surfgewohnheiten erstellen.
Dienste wie Google Public DNS geben dies offen zu: Sie speichern Ihre IP-Adresse vorübergehend (z. B. für 24–48 Stunden) und speichern andere „anonymisierte“ Nutzungsdaten dauerhaft.Damit können sie Statistiken erstellen, den Service verbessern… und im Falle von werbefinanzierten Unternehmen ihre Segmentierung verfeinern, selbst wenn sie versprechen, diese nicht direkt mit Ihnen in Verbindung zu bringen.
Drittanbieter von DNS-Diensten, die sich stärker auf Datenschutz konzentrieren, wie beispielsweise Cloudflare oder Quad9, werben mit dem Versprechen, dass Sie speichern Ihre IP-Adresse nicht dauerhaft, minimieren die Protokolle und verkaufen keine Daten an Werbetreibende.Man sollte aber nicht vergessen, dass technisch Sie haben die gleiche Befugnis wie jeder andere DNS-Server, Ihre Anfragen einzusehen: Vertrauen hängt von ihren Richtlinien, ihrer Transparenz und unabhängigen Prüfungen ab.
Darüber hinaus dient das DNS als gemeinsamer Kontrollpunkt für Regierungen und Betreiber. Viele Website-Sperren werden einfach angewendet... die Auflösung bestimmter Domains im offiziellen DNS verweigern des Landes oder des Unternehmens. Durch Ändern Ihrer DNS-Einstellungen können Sie diese grundlegende Zensur oft umgehen, obwohl in sehr restriktiven Umgebungen auch andere Blockierungstechniken kombiniert werden können.
Es ist wichtig, das zu verstehen Die Verwendung alternativer DNS-Server verbirgt weder Ihre IP-Adresse noch ersetzt sie ein VPN.Ein kostenloser öffentlicher DNS-Server funktioniert nicht wie ein virtuelles privates Netzwerk (VPN): Die besuchte Website sieht weiterhin Ihre echte IP-Adresse, und Ihr Internetanbieter kann weiterhin sehen, mit welchen IP-Adressen Sie sich verbinden, selbst wenn die Domain durch moderne Technologien nicht mehr so eindeutig erkennbar ist. DNS bietet zwar eine zusätzliche Sicherheitsebene, ist aber keine Komplettlösung.
ISP-DNS, VPN-DNS oder benutzerdefinierter DNS: typische Optionen
Viele VPN-Anbieter bieten verschiedene DNS-Konfigurationen an: Nutzen Sie Ihren eigenen DNS-Server, einen integrierten Resolver, Handshake, verwalten Sie externe DNS-Server (Google, Cloudflare usw.) oder definieren Sie einen benutzerdefinierten DNS-Server, wie beispielsweise einen Pi-hole-Server.Jede Option hat unterschiedliche Auswirkungen.
Wenn Sie die Einstellungen auf „seine eigenenIhr gesamter DNS-Verkehr wird über Server des VPN-Anbieters aufgelöst. Dies hat den Vorteil, dass Anfragen innerhalb des verschlüsselten Tunnels übertragen werden, wodurch DNS-Anfragen vor Ihrem Internetanbieter verborgen und DNS-Leaks reduziert werden. Allerdings müssen Sie sich dabei vollständig auf den VPN-Anbieter verlassen, der einsehen kann, auf welche Domains Sie zugreifen, während die VPN-Verbindung aktiv ist.
Wenn Sie sich für die Verwendung eines externen DNS-Servers entscheiden, wie zum Beispiel Google (8.8.8.8), Cloudflare (1.1.1.1) oder andereJe nach gewähltem Dienst können Sie höhere Geschwindigkeiten und zusätzlichen Schutz erhalten. Ohne VPN werden Ihre Anfragen jedoch weiterhin direkt an die Resolver gesendet, und Sie teilen Ihre Domainhistorie mit einem großen Unternehmen, dessen Interessen möglicherweise nicht mit Ihren Datenschutzrechten übereinstimmen.
Die Option "Vorhandenes DNSDie Aktivierung von „System-DNS verwenden“ im VPN behält Ihre bestehenden DNS-Einstellungen bei. Das ist zwar praktisch, kann aber zu DNS-Leaks führen, wenn der VPN-Client nicht die Verwendung eigener Resolver erzwingt oder die Anfragen verschlüsselt. Anders ausgedrückt: Sie denken vielleicht, alles läuft über das VPN, aber Ihre Domain-Anfragen werden weiterhin an Ihren Internetanbieter gesendet.
Die Benutzerdefiniertes DNS (Wenn Sie beispielsweise auf einen Pi-hole oder Ihren eigenen Cloud-Server verweisen) haben Sie maximale Kontrolle: Sie entscheiden, was protokolliert, was blockiert und wie die Daten gefiltert werden. Allerdings sind Sie dann auch für die Sicherheit, Verfügbarkeit und Wartung verantwortlich. Wenn Sie den Server unvorsichtig im Internet zugänglich machen, kann er zu einem Einfallstor für Angriffe werden.
Vorteile der Verwendung von benutzerdefinierten DNS-Servern (Pi-hole, Control-D und andere).
Richten Sie einen benutzerdefinierten DNS-Server ein, entweder mit einem Pi-hole in Ihrem lokalen Netzwerk, Ihr eigener Server mit DNSSEC oder ein verwalteter Dienst wie Control-DEs bietet eine Reihe von Vorteilen gegenüber der Verwendung des Standard-DNS-Servers des Internetanbieters oder sogar einiger generischer öffentlicher DNS-Server.
Der erste große Vorteil ist die Fähigkeit, Bedrohungen an der Quelle blockierenEin moderner DNS-Server mit aktuellen Sperrlisten kann verhindern, dass Ihr Gerät Domains auflöst, die mit Malware, Phishing, Kryptojacking oder schädlicher Werbung in Verbindung stehen. Da der schädliche Domainname nicht in eine IP-Adresse übersetzt werden kann, kommt die Verbindung gar nicht erst zustande.
Dieser „präventive“ Ansatz antizipiert das, was ein herkömmliches Antivirenprogramm tun würde, das normalerweise reagiert. wenn die Bedrohung bereits in Ihrem System aktiv istMit einem DNS-Filter kommt man gar nicht erst mit bekannten gefährlichen Domains in Kontakt, was das Risiko für Heimcomputer und vor allem für Unternehmensnetzwerke mit vielen Benutzern erheblich reduziert.
Zweitens kann die Verwendung eines gut optimierten benutzerdefinierten DNS die Leistung verbessern. Werbung, Tracker und unnötige Ressourcen blockieren (und zum Beispiel Entfernen Sie Werbung auf Ihrem Smart TVSeiten laden schneller, die Anzahl externer Anfragen wird reduziert und der Bandbreitenverbrauch sinkt. Bei schwachen Verbindungen oder Netzwerken mit vielen angeschlossenen Geräten kann der Unterschied deutlich spürbar sein.
Ein weiterer wichtiger Vorteil ist der verbesserte Datenschutz (siehe unsere Datenschutzrichtlinien). Wichtige Tipps zum Online-DatenschutzLösungen wie Pi-hole oder datenschutzorientierte Dienste können verhindern, dass Tracker und Werbeunternehmen Ihre Browseraktivitäten erfassen durch Skripte und Tracking-Domains. Das ist zwar kein Allheilmittel, reduziert aber die ständigen Hinweise an Dutzende von Werbenetzwerken beim Surfen im Internet erheblich.
Schließlich bieten viele benutzerdefinierte DNS-Server wie Control D Folgendes an: ein relativ einfaches Setup mit Filtervorlagen (z. B. Sperren von Erwachsenen, Spielen, sozialen Netzwerken usw.). Zudem bietet der Dienst Optionen zur Integration in großflächige Implementierungen mit RMM oder MDM in Unternehmen. Dadurch wird die Bereitstellung dieser Sicherheits- und Kontrollebene für Dutzende oder Hunderte von Geräten vereinfacht.
Risiken und Nachteile von benutzerdefiniertem DNS
Die andere Seite der Medaille ist, dass ein benutzerdefinierter DNS auch Folgendes mit sich bringt: neue Schwachstellen und VerantwortlichkeitenDer erste Grund liegt auf der Hand: Wenn Ihr DNS-Server ausfällt, überlastet wird oder Sie ihn falsch konfigurieren, kann es passieren, dass Ihr gesamtes Netzwerk scheinbar keinen Internetzugang mehr hat, da Webseiten nicht mehr aufgelöst werden können, obwohl Ihre Verbindung funktioniert.
Wenn Sie einem vertrauen unbekannter oder fragwürdiger DNS-ServerDas Risiko vervielfacht sich. Ein manipulierter oder kompromittierter DNS-Server kann Ihre Anfragen umleiten, um Sie auf gefälschte Webseiten (Phishing) umzuleiten, Schadsoftware zu installieren oder sensible Daten abzufangen. DNS-Cache-Poisoning oder DNS-Server-Hijacking sind Techniken, die Angreifer häufig nutzen, um den Datenverkehr auf von ihnen kontrollierte Webseiten umzuleiten.
Darüber hinaus verfügt ein benutzerdefinierter DNS möglicherweise nicht über die gleichen Schutzmaßnahmen gegen DDoS- oder Infrastrukturangriffe als die großen Anbieter. Ein Denial-of-Service-Angriff auf Ihren Resolver kann die Namensauflösung für alle Benutzer, die darauf angewiesen sind, lahmlegen. Daher empfiehlt es sich, bei der Einrichtung eines eigenen DNS-Servers für ein Unternehmen oder einen kritischen Dienst Redundanz zu gewährleisten und diesen in einem robusten Netzwerk zu betreiben.
Ein weiterer entscheidender Punkt ist, dass Ihr Server kompromittiert werden kann, wenn Sie keine Maßnahmen wie DNSSEC oder sichere Konfigurationen implementieren. anfällig für Cache-Poisoning-AngriffeIn solchen Fällen täuscht ein Krimineller den Resolver, sodass dieser annimmt, ein legitimer Domainname verweise auf die IP-Adresse eines betrügerischen Servers. Von da an erhalten alle Nutzer, die die Domain abfragen, die manipulierte Adresse, bis der Cache geleert wird.
Schließlich kann eine sehr aggressive DNS-Filterung von Werbung, Trackern oder Inhaltskategorien dazu führen, dass… Fehlalarme und die Beeinträchtigung legitimer FunktionenWebsites, die nicht korrekt geladen werden, Dienste, die nicht mehr funktionieren, oder Sicherheitsupdates, die aufgrund blockierter Domains nicht eintreffen – die korrekte Anpassung der Listen und die Überprüfung der Protokolle sind unerlässlich.
Spezifische Bedrohungen im Zusammenhang mit DNS und wie man sie abwehren kann
Da die DNS-Infrastruktur so kritisch ist, stellt sie ein Ziel für verschiedene Angriffe dar. Dies sind die häufigsten:
- DDoS-Angriffe (Distributed Denial of Service) Angriffe erfolgen auf die DNS-Server einer Website oder eines Providers. Durch das Überfluten des Servers mit schädlichem Datenverkehr werden dessen Ressourcen überlastet, sodass legitime Anfragen nicht mehr bearbeitet werden können. Dies führt dazu, dass Websites für die Dauer des Angriffs aus dem Internet verschwinden.
- TippfehlerDabei werden Domains registriert, die denen bekannter Marken zum Verwechseln ähnlich sehen, wobei Tippfehler der Nutzer ausgenutzt werden. Ein ungefilterter DNS-Server leitet Nutzer bei einer falschen Schreibweise auf diese gefälschten Domains weiter, von wo aus Phishing-Angriffe oder der Diebstahl von Zugangsdaten sehr überzeugend durchgeführt werden können.
- Domainregistrierungs-Hijacking. Wenn ein Angreifer Ihr Konto bei Ihrem Domain-Registrar kompromittiert, kann er die DNS-Einträge ändern und auf von ihm kontrollierte Server umleiten, wodurch sich unter Umständen sogar die Inhaberschaft der Domain ändert. Um dieses Risiko zu minimieren, ist es unerlässlich, sichere Passwörter, Zwei-Faktor-Authentifizierung und Registrare mit robusten Sicherheitsvorkehrungen zu verwenden.
- DNS-Cache-Poisoning Sie gehen noch einen Schritt weiter. Der Angreifer fügt falsche Daten für bestimmte Domains in den DNS-Server-Cache ein, sodass zukünftige Anfragen ahnungsloser Nutzer über die gefälschte IP-Adresse aufgelöst werden. Da der Browser auf die DNS-Antwort angewiesen ist, kann der Nutzer unwissentlich auf einer gefälschten Bankseite oder einer mit Schadsoftware infizierten Website landen.
Um diese Risiken zu mindern, Es wird empfohlen, DNSSEC (DNS-Sicherheitserweiterungen) zu verwenden.Diese Systeme fügen DNS-Antworten kryptografische Signaturen hinzu, um sicherzustellen, dass die Daten nicht manipuliert wurden. Die Ergänzung durch verschlüsselte Kommunikation (DoT, DoH, VPN) und strenge Zugriffsrichtlinien für DNS-Server verringert die Wahrscheinlichkeit von Hijacking oder Poisoning erheblich.
Die gebräuchlichsten öffentlichen und privaten DNS-Server
Zusätzlich zu den DNS-Servern Ihres Internetanbieters oder VPN-Anbieters steht Ihnen ein umfangreicher Katalog von Kostenlose und offene DNS-Server Diese können Sie manuell auf Ihrem Router, PC oder Mobilgerät konfigurieren. Einige der bekanntesten sind:
- OpenDNS (208.67.222.222 und 208.67.220.220). Einer der ältesten öffentlichen Dienste, heute im Besitz von Cisco. Er bietet kostenpflichtige und eine kostenlose Version mit guter Geschwindigkeit, hoher Verfügbarkeit, standardmäßiger Sperrung von Phishing-Websites und Kindersicherungsoptionen.
- Cloudflare (1.1.1.1 und 1.0.0.1). Fokus auf Leistung und Datenschutz. Es verspricht, Ihre Daten nicht für Werbung zu verwenden und Ihre IP-Adresse nicht auf der Festplatte zu speichern. Die Einrichtung ist in der Regel sehr schnell und einfach, ohne viel Schnickschnack.
- Google Public DNS (8.8.8.8 und 8.8.4.4). Konzipiert für weniger technikaffine Nutzer mit guter Dokumentation. Im Gegenzug für diese Benutzerfreundlichkeit und Leistung speichert es anonymisierte Browserprotokolle und Ihre IP-Adresse für eine begrenzte Zeit.
- Comodo Secure DNS (8.26.56.26 und 8.20.247.20). Ziel ist die Blockierung gefährlicher Websites, Spyware und Domains mit übermäßiger Werbung, wobei auf Comodos Erfahrung im Bereich Sicherheit zurückgegriffen wird.
- Quad9 (9.9.9.9 und 149.112.112.112). Relativ neu, aber mit dem Fokus auf die Blockierung schädlicher Domains mithilfe von Bedrohungsdaten aus verschiedenen Quellen. Bietet ein gutes Gleichgewicht zwischen Sicherheit und Leistung.
- Yandex. DNS (77.88.8.8 und 77.88.8.1). Russische Alternative mit Basisprofilen und „Sicher“-Varianten (77.88.8.88 und 77.88.8.2) zum Blockieren gefährlicher Webseiten sowie „Familie“ (77.88.8.7 und 77.88.8.3) zum Filtern von Inhalten für Erwachsene.
- Liste der öffentlichen DNS-ServerEine riesige Datenbank, in der Sie weltweit nach kostenlosen DNS-Servern suchen und nach Ländern filtern können.
Bei der Wahl zwischen der Nutzung der DNS-Einstellungen Ihres VPNs, der Verwendung öffentlicher Server oder der Einrichtung eines eigenen Pi-hole ist der entscheidende Faktor die Entscheidung. Wem Sie den Zugriff auf Ihre Domänenabfragen anvertrauen möchten und welche Kontrolle Sie über Filterung, Leistung und Datenschutz benötigen.Wenn man die Vorteile und Risiken jeder Option versteht, ist es viel einfacher, die Einstellungen an die eigenen Prioritäten anzupassen, ohne dass unerwartete Sicherheits- oder Navigationsprobleme auftreten.
