DNS Leak Test

Sehen Sie, welche DNS-Server Ihre Abfragen wirklich beantworten und ob Ihr VPN sie an Ihren Internetanbieter verrät. Dieser DNS-Leak-Check startet, sobald sich die Seite öffnet, nennt jeden Server und liefert ein klares Ergebnis.

Erfasst von unserem eigenen Test-Nameserver · DNS-Server mit ihrer IPv4-Adresse · Beobachtungen 10 Minuten im Arbeitsspeicher, dann vergessen

SieIPv4IPv6Ihre Verbindung wird ermittelt…

DNS-Server, die unseren Nameserver gefragt haben

Die DNS-Server, die unseren Nameserver fragen, erscheinen hier, jeder in einer eigenen Zeile, sobald sie eintreffen.

Über die Kommandozeile prüfen

1Das DNS Ihres Systems

Der DNS-Server, den Ihre Apps nutzen. Vergleichen Sie ihn mit den Zeilen oben.

C:\> nslookup -type=txt whoami.leak.dnsrobot.net

Die Antwort ist die Adresse des DNS-Servers, der uns gefragt hat.
Eine andere Antwort bedeutet, dass Ihr Browser und Ihre Apps verschiedene Wege nehmen, zum Beispiel über das sichere DNS des Browsers.
Betreiben Sie Ihren eigenen Resolver (Pi-hole mit Unbound)? Dann ist die Antwort Ihre Heimadresse: Posten Sie sie nicht öffentlich.

2Der Umleitungstest

Fragt Cloudflare (1.1.1.1) direkt.

C:\> nslookup -type=txt whoami.leak.dnsrobot.net 1.1.1.1

Eine Cloudflare-Adresse (AS13335): Ihre Abfrage hat Cloudflare wie gewünscht erreicht.
Die Adresse eines anderen Netzes: ein starkes Zeichen, dass etwas Ihr DNS umleitet: Ihre VPN-App (manche tun das absichtlich), Sicherheitssoftware, Ihr Router oder Ihr Anbieter.

Ausgabe des Befehls einfügen

Welcher Befehl?

Der Text bleibt auf dieser Seite; nur die Adresse wird auf unserem Server abgefragt, um ihr Netz zu benennen.

Unser Nameserver behält die Beobachtungen jedes Tests 10 Minuten im Arbeitsspeicher und vergisst sie dann. Ihr letztes Ergebnis bleibt nur in diesem Browser, für den Vorher-nachher-Vergleich.

Was bedeutet mein Ergebnis im DNS-Leak-Test?

Es hängt von zwei Dingen ab: welche DNS-Server unseren Nameserver gefragt haben und ob Sie ein VPN nutzen. Das DNS Ihres Internetanbieters ist ohne VPN normal und mit VPN ein Leak; ein öffentliches DNS wie Cloudflare oder Google ist für sich genommen nie ein Leak.

Ein DNS-Leak bedeutet, dass die DNS-Server Ihres Anbieters geantwortet haben, während Sie ein VPN nutzten, sodass Ihr Anbieter trotz Tunnel sieht, welche Websites Sie abfragen. Partner- oder Hosting-Unternehmen, die das DNS Ihres VPN betreiben, sind kein Leak: Proton VPN zieht dieselbe Grenze.

Der Test ordnet jeden Server einer Art zu (DNS Ihres VPN, öffentliches DNS, DNS Ihres Anbieters, Hosting-Netz oder eigener Resolver) und schreibt das Ergebnis aus der Mischung, mit Markennamen. Das DNS Ihres VPN plus das Ihres Anbieters ist ein teilweises Leak: Manche Abfragen entkommen ab und zu.

Nichts angekommen ist nie eine Entwarnung: Etwas hat die Abfragen des Tests aufgehalten, bevor sie das Internet erreichten. Und auch ein DNS-Server in einem anderen Land ist kein Leak.

Was hat unseren Nameserver gefragt × nutzen Sie ein VPN?die sechs Ergebnisse

Gesehene DNS-ServerOhne VPNMit VPN

DNS Ihres VPNNicht möglichOhne VPN gibt es kein VPN-DNS, das man sehen könnte.Kein LeakM247 in Frankfurt antwortet: Ihr Anbieter sieht nichts.

Öffentliches DNSCloudflare antwortetIhre Einrichtung mit 1.1.1.1 funktioniert. Kein Leak.Kein LeakSeine Abfragen kommen von der Adresse des VPN, nicht von Ihrer.

DNS Ihres AnbietersDNS Ihres AnbietersExample Broadband antwortet, wie es ohne VPN sein soll. Kein Leak.DNS-LeakIhr Anbieter sieht trotz VPN jeden Namen, den Sie abfragen.

Gemischt: VPN oder öffentlich + ISPKein LeakEine zweite DNS-Einstellung oder ein Fallback: ohne VPN normal.Teilweises LeakManche Abfragen entkommen dem Tunnel: Starten Sie den erweiterten Test.

Ein Hosting-NetzWahrscheinlich Quad9Oder der Partner eines anderen Dienstes oder der Upstream Ihres Routers: Die Seite sagt es, wenn sie es nicht unterscheiden kann.Kein LeakNicht das Netz Ihres Anbieters: wahrscheinlich der DNS-Partner Ihres VPN.

Nichts angekommenKeine EntwarnungNie „sicher“: Etwas hat die Abfragen des Tests aufgehalten.Keine EntwarnungErlauben Sie die Namen des Tests, oder starten Sie den erweiterten Test.

Die Zeilen sind die Arten von DNS-Servern, die der Test benennt, in ihren Farben aus den Ergebnissen; die Zellen sind die Ergebnisse, die die Seite schreibt. Die Regel mit VPN: Alles, was nicht das Netz Ihres Anbieters ist, ist kein Leak.

DNS Leak Test: Abfragen eines VPN-Nutzers, beantwortet vom DNS seines Internetanbieters, jeder Server benannt und verortet — Ein erfundenes Ergebnis mit VPN: Das DNS von Example Broadband antwortet weiterhin außerhalb des Tunnels, daher meldet der Test ein Leak. Wählen Sie eine Nummer, um zu sehen, was der jeweilige Teil zeigt.

Wie funktioniert ein DNS-Leak-Test?

Dieser DNS-Leak-Checker lässt Ihren Browser Namen abfragen, die es nie gab, etwa 1-k3x9q2mfp7c1vn4a.leak.dnsrobot.net. Kein DNS-Server hat sie im Cache, also muss der Server, der Ihre Abfragen bearbeitet, unseren Nameserver fragen, der seine Adresse notiert und antwortet: „Diesen Namen gibt es nicht.“

Dann fragt die Seite unseren Nameserver, welche DNS-Server nach den Namen dieses Tests gefragt haben. Das sind die Server, die Ihr Browser wirklich nutzt, egal was Ihre Einstellungen sagen; ein Heimrouter reicht Abfragen meist nur weiter, daher erscheint der Server, an den er weiterleitet. Jeder Name wird nur einmal verwendet, und unser Nameserver vergisst den Test nach 10 Minuten.

Der Standardtest macht 6 Abfragen, meist genug, um ein Leak zu erkennen. Der erweiterte Test macht 36, in Gruppen zu je 6, um einen DNS-Server zu erwischen, der nur ab und zu antwortet, etwa wenn Windows jeden Adapter durchprobiert, weil das DNS des VPN zu langsam antwortet.

Gibt ein DNS-Server einen Teil Ihrer Adresse weiter (EDNS Client Subnet), zeigt seine Zeile dieses Subnetz nur Ihnen. Es wird nie protokolliert.

Eine Abfrage, verfolgtein Testdurchlauf, Adressen ersetzt

Standard6 Abfragen · höchstens 3 Sek.

Erweitert36 Abfragen · 6 Gruppen · höchstens 18 Sek.

Oben: eine der sechs Abfragen von einem Heimanschluss, Schritt für Schritt. Jeder Name wird nur einmal verwendet, und unser Nameserver behält 10 Minuten im Arbeitsspeicher, wer gefragt hat. Unten: die zwei Testgrößen, eine Zelle pro Abfrage; jede Sechsergruppe wartet höchstens 3 Sekunden. Die Farben veranschaulichen ein VPN, das 2 von 36 Abfragen an das DNS des Anbieters schickt, was ein Durchlauf mit 6 Abfragen leicht übersieht. Der Test selbst zeigt den Anteil jedes DNS-Servers an den Anfragen.

Warum tauchen Google, Cloudflare oder ein anderes Land auf?

Weil die Adresse, die Sie einstellen, nicht die Adresse ist, die fragt. Öffentliche DNS-Dienste antworten unter 1.1.1.1 oder 8.8.8.8 von vielen Standorten gleichzeitig (Anycast), und jeder Standort fragt andere Nameserver aus seinem eigenen Adresspool, manchmal im Netz eines Partners.

Bei einem getesteten Anschluss erreichten nur Cloudflare, Google und OpenDNS unseren Nameserver aus ihren eigenen Netzen; Quad9 kam über Equinix, AdGuard über Datacamp und NextDNS über Vultr. Nichts davon ist ein Leak. Ein öffentliches DNS in Ihrem Ergebnis bedeutet, dass Ihr Browser, Gerät oder VPN Abfragen dorthin schickt, und über ein VPN kommen sie von der Adresse des VPN, nicht von Ihrer.

Deshalb vertraut der Test keiner Tabelle: Er fragt jeden öffentlichen DNS-Dienst von Ihrem Browser aus, welche Adresse er für Sie nutzt, und prüft Google anhand der Bereiche, die Google veröffentlicht. Einen Server, den er nicht bestätigen kann, zeigt er als wahrscheinlich diesen Dienst oder als Server in einem Hosting-Netz, nie als Leak.

Auch Länder täuschen: Registry-Daten nennen das Land, in dem ein Netz registriert ist, nicht wo der Server steht (1.1.1.1 selbst ist in Australien registriert). Bei einem Leak geht es darum, wer Ihre Abfragen sieht, nicht wo sie sind.

Ihre Einstellung · wer uns fragte · sein Netzein aufgezeichneter Durchlauf, Adressen ersetzt

Aufgezeichnet über einen Glasfaseranschluss in Indien, 24.10.2026

Cloudflare1.1.1.1192.0.2.10sein eigenes Netz, AS13335Registry-Land: Vereinigte StaatenKein Leak
Google8.8.8.8192.0.2.12, 192.0.2.13sein eigenes Netz, AS15169Registry-Land: Vereinigte Staatenzwei Adressen für zwei AbfragenKein Leak
Quad99.9.9.9192.0.2.11über Equinix, AS15830Registry-Land: Niederlandedas Netz eines PartnersKein Leak
AdGuard94.140.14.14192.0.2.30über Datacamp (CDN77), AS60068ein Hosting-Partner (auch für DNS4EU)Kein Leak
NextDNSIhre Konfiguration192.0.2.41über Vultr, AS20473ein Hosting-Partner (auch für CleanBrowsing)Kein Leak

Von den 12 öffentlichen DNS-Diensten, die über diesen Anschluss gefragt wurden, erreichten nur Cloudflare, Google und OpenDNS unseren Nameserver aus ihren eigenen Netzen; der Rest kam über Partner oder Hoster. Die Flagge zeigt, wo ein Netz registriert ist, nicht wo der Server steht. Die Seite fragt jeden Dienst live, welche Adresse er für Sie nutzt, statt einer Tabelle wie dieser zu vertrauen.

Was verursacht ein DNS-Leak?

Meist schickt Ihr Gerät Abfragen an einen anderen Ort als das VPN: Die VPN-App legt kein eigenes DNS fest, Windows fragt jeden Netzwerkadapter, oder IPv6 geht um einen Tunnel herum, der nur IPv4 überträgt.

Windows kann jede Abfrage gleichzeitig über WLAN und das VPN schicken, um schneller zu antworten (smart multi-homed name resolution). Viele VPNs übertragen nur IPv4, sodass IPv6-Datenverkehr und darüber gesendetes DNS außerhalb des Tunnels bleiben (RFC 7359). Auch ein eigenes DNS, das im System eingestellt ist, kann den Schutz der VPN-App aushebeln.

Jede Ursache hinterlässt ihr eigenes Muster im Ergebnis. Ein eigener Anbieter für sicheres DNS im Browser erscheint als dieses öffentliche DNS, am DNS des VPN vorbei. Der automatische Modus von Chrome behält allerdings Ihren aktuellen Anbieter, und die Standardeinstellung von Firefox tritt bei einem VPN zurück.

Etwas, das DNS auf Port 53 umleitet, etwa ein transparenter Proxy des Anbieters, zeigt Ihren Anbieter, selbst wenn Sie 1.1.1.1 eingestellt haben. Ein VPN, das ohne Kill Switch abbricht, verursacht nur kurz ein Leak, daher kann ein einzelner Test es übersehen: Testen Sie erneut, nachdem sich das VPN neu verbunden hat.

Sechs Ursachen und was dieser Test für jede zeigtdie letzte Zeile der Karte

Das VPN legt kein eigenes DNS fest
Der Datenverkehr geht durch den Tunnel, aber das System behält die DNS-Server, die es vorher hatte, meist die Ihres Anbieters.
DNS-LeakDNS Ihres Anbieters mit VPN
Eigenes sicheres DNS im Browser
Mit einem eigenen Anbieter schickt der Browser Abfragen über HTTPS an ihn, am DNS des VPN vorbei. Der automatische Modus von Chrome behält Ihren aktuellen Anbieter bei, und die Standardeinstellung von Firefox tritt zurück, wenn sie ein VPN erkennt.
Kein Leakein öffentliches DNS, nicht das Ihres VPN
Windows fragt jeden Adapter
Mit „smart multi-homed name resolution“ schickt Windows Abfragen über alle Netze gleichzeitig: VPN und WLAN gleichermaßen.
Teilweises LeakDNS Ihres VPN + DNS Ihres Anbieters
IPv6 geht um den Tunnel herum
Viele VPNs übertragen nur IPv4. IPv6-Datenverkehr und jedes darüber gesendete DNS laufen über Ihren Anbieter.
IPv6-Leakeigene Zeile unter dem Ergebnis
Etwas leitet DNS um
Ein Router, Sicherheitssoftware oder der Anbieter (oder absichtlich eine VPN-App) fängt Abfragen auf Port 53 ab und beantwortet sie, selbst solche, die für 1.1.1.1 bestimmt sind.
DNS Ihres Anbieters„Nicht Cloudflare 1.1.1.1: Ihr ISP hat geantwortet“
Das VPN bricht ab, ohne Kill Switch
Wird der Tunnel unterbrochen, können Abfragen an das Standard-DNS des Systems gehen, wahrscheinlich das Ihres Anbieters, bis er wieder steht.
Teilweises Leaknur ab und zu: Der erweiterte Test erwischt es öfter

Teredo, die alte Methode von Windows, IPv6 über IPv4 zu tunneln, ist seit Windows 10 Version 1803 deaktiviert und daher heute selten eine Ursache.

Wie behebe ich ein DNS-Leak?

Schalten Sie in Ihrer VPN-App DNS leak protection, IPv6 leak protection und den Kill Switch ein (die Namen variieren je nach App) und testen Sie erneut. Der Leak-Schutz hält DNS per Firewall-Regeln im VPN; der Kill Switch deckt die Momente ab, in denen der Tunnel abbricht.

Bleibt das Leak, korrigieren Sie das System. Unter Windows hält block-outside-dns in einem OpenVPN-Profil Abfragen von jedem anderen Adapter fern, und ein WireGuard-Tunnel, der alles routet (0.0.0.0/0) und eine DNS =-Zeile hat, lässt Port 53 nur das DNS des Tunnels erreichen. „Smart multi-homed name resolution“ abzuschalten stoppt nur die parallelen Abfragen; das ist nicht die Lösung.

Unter Linux mit systemd-resolved geben Sie dem VPN-Link die Routing-Domain ~., damit kein anderer Link gefragt wird. Lassen Sie die VPN-App IPv6 übertragen oder blockieren, statt IPv6 abzuschalten, wovon Microsoft abrät. Entfernen Sie einen eigenen Anbieter für sicheres DNS aus dem Browser und ein eigenes DNS aus dem System, solange Sie das VPN nutzen.

Unter Android stellen Sie „Privates DNS“ auf Aus, solange das VPN läuft, wie Proton VPN und Mullvad raten: Ein dort eingetragener Hostname schickt jede Abfrage an diesen Anbieter. Dann starten Sie den Test erneut: Der Vorher-nachher-Vergleich zeigt, welche DNS-Server weggefallen sind.

Die Schalter, auf die es ankommtpro System

VPN-App · Einstellungen

DNS leak protectionhält jede Abfrage im Tunnel

IPv6 leak protectionblockiert IPv6 oder überträgt es im Tunnel

Kill Switchkein Datenverkehr, solange der Tunnel unterbrochen ist

Custom DNSausgeschaltet lassen: In manchen Apps schaltet es den Leak-Schutz ab

OpenVPN-Profil (.ovpn)

block-outside-dns

# nur Windows: Port 53 erreicht keinen anderen Adapter

WireGuard (.conf)

[Interface]

DNS = 10.2.0.1

# ohne diese Zeile behält das System sein altes DNS

[Peer]

AllowedIPs = 0.0.0.0/0, ::/0

# WireGuard unter Windows: Mit einer /0-Route erreicht Port 53 nur das DNS oben

Windows 11 · Settings

SettingsNetwork & internetWi-FiManage known networks

DNS server assignmentmit VPN kann ein von Ihnen eingetragenes DNS dessen Leak-Schutz aushebelnAutomatic (DHCP)

Lassen Sie IPv6 eingeschaltet: Microsoft rät davon ab, es abzuschalten. Nutzen Sie den Schutz vor IPv6-Leaks der VPN-App.

Group Policy

Computer Configuration › Network › DNS Client

Turn off smart multi-homed name resolution = Enabled

# stoppt nur die parallelen Abfragen: Das ist nicht die Lösung

Registrierungswert

DisableSmartNameResolution

DNS des Systems prüfen

C:\> nslookup -type=txt whoami.leak.dnsrobot.net

macOS · System Settings

Apple menuSystem SettingsNetworkWi-FiDetailsDNS

DNS Serversentfernen Sie von Hand hinzugefügte Server, solange Sie ein VPN nutzen

Ein verschlüsseltes DNS-Profil oder eine App, die Sie eingeschaltet haben, gilt für das ganze System, und eine VPN-App kann es nicht umleiten.

Mit eingeschaltetem VPN tritt iCloud Private Relay zurück.

DNS des Systems prüfen

$ dns-sd -q whoami.leak.dnsrobot.net TXT

# läuft, bis Sie Ctrl-C drücken

$ dig +short TXT whoami.leak.dnsrobot.net

# dig fragt nur den primären Resolver aus /etc/resolv.conf

Linux

systemd-resolvedEine Abfrage, die zu keiner Routing-Domain passt, geht an jeden Link mit Standardroute: VPN und WLAN gleichermaßen.die Lösung: Geben Sie dem VPN-Link die Routing-Domain ~.

NetworkManagerEine negative DNS-Priorität im VPN-Profil sperrt die DNS-Server der anderen Verbindungen aus.

/etc/resolv.confOhne systemd-resolved: Entfernen Sie nach dem Verbinden übrig gebliebene nameserver-Zeilen aus /etc/resolv.conf.

# jede Abfrage an den VPN-Link schicken

$ resolvectl domain wg0 '~.'

# NetworkManager: nur das DNS des VPN-Profils

$ nmcli connection modify my-vpn ipv4.dns-priority -10

DNS des Systems prüfen

$ resolvectl query --type=TXT whoami.leak.dnsrobot.net

Android · Settings

SettingsNetwork & internetPrivate DNS

Samsung: SettingsConnectionsMore connection settingsPrivate DNS

Off
Automatic
Private DNS provider hostname

VPN-Hersteller raten, „Aus“ zu wählen, solange Sie das VPN nutzen.
Ein Hostname schickt jede Abfrage an diesen Anbieter, am DNS des VPN vorbei.

iPhone · Settings

SettingsWi-FiⓘConfigure DNS

Automatic
Manual

Ein DNS, das Sie eintragen, gilt nur für dieses WLAN-Netz und kann das des VPN überschreiben.

Ein verschlüsseltes DNS-Profil oder eine App, die Sie eingeschaltet haben, gilt systemweit, und eine VPN-App kann es nicht umleiten.
Mit eingeschaltetem VPN tritt iCloud Private Relay zurück.

Chrome · Settings

SettingsPrivacy and securitySecurityAdvanced

Use secure DNS

your current service provider
a custom service provider

Edge: dieselben Optionen, unterSettingsPrivacy, search, and services

Der automatische Modus stuft nur Ihren aktuellen Anbieter auf verschlüsseltes DNS hoch.
Ein eigener Anbieter schickt Abfragen am VPN vorbei, wo die VPN-App sie nicht umleiten kann.
VPN-Hersteller gehen weiter und raten, es auszuschalten.

Firefox · Settings

DNS over HTTPS

Default Protection
Increased Protection
Max Protection
Off

„Default Protection“ schaltet DNS over HTTPS aus, wenn es ein VPN erkennt.
„Increased“ und „Max“ behalten Ihren gewählten Anbieter bei, am DNS des VPN vorbei.
Standardmäßig nur hier aktiv: Vereinigte Staaten, Kanada, Russland und Ukraine.

Die Namen der Schalter unterscheiden sich je nach App: Das sind allgemeine Bezeichnungen. Menünamen sind die englischen Bezeichnungen der Hersteller. 10.2.0.1 ist das DNS von Proton VPN im Tunnel, als Beispiel; die Option von OpenVPN funktioniert nur unter Windows.

Funktioniert Ihr eigenes DNS? 1.1.1.1, NextDNS, AdGuard oder Pi-hole prüfen

Wählen Sie unter Was möchten Sie prüfen? aus, was Sie eingerichtet haben, und starten Sie den Test: Das Ergebnis sagt, ob dieser Dienst wirklich antwortet. Eine funktionierende Einrichtung zeigt nur diesen Dienst, oft aus dem Netz eines Partners oder Hosters statt aus seinem eigenen, wie die Tabelle zeigt. Wenn es funktioniert, misst der DNS-Geschwindigkeitstest ihn über Ihren Anschluss gegen andere Resolver.

Ein Pi-hole leitet an sein Upstream-DNS weiter, daher zeigt der Test diesen Upstream (zum Beispiel Cloudflare), nicht das Pi-hole. Mit Unbound löst es Namen selbst auf, daher erscheint Ihre eigene Heimadresse: ohne VPN normal. Cloudflare und NextDNS bestätigen ihre Dienste auch selbst, auf der Prüfseite von Cloudflare und unter test.nextdns.io.

Taucht stattdessen Ihr Anbieter auf, überschreibt ein Router, eine App oder der Browser Ihre Wahl, oder etwas leitet Port 53 um; manche Router leiten sogar 1.1.1.1 selbst falsch. Die Prüfung über die Kommandozeile grenzt ein, was davon zutrifft.

Was jeder Dienst zeigen sollteBeispiel eines Anschlusses

Dienst	Ihre Einstellung	Dieser Test sollte zeigen	Kommt oft aus
Cloudflare	1.1.1.1	Öffentliches DNS Cloudflare	sein eigenes Netz · AS13335
Google Public DNS	8.8.8.8	Öffentliches DNS Google	seine eigenen veröffentlichten Bereiche · AS15169 +3 weitere
Quad9	9.9.9.9	Öffentliches DNS Quad9	ein Partner, etwa Equinix · AS15830
NextDNS	Ihre Konfigurations-ID	Hosting NextDNS wahrscheinlich	ein Hoster, etwa Vultr · AS20473
AdGuard DNS	94.140.14.14	Hosting AdGuard wahrscheinlich	ein Hoster, etwa Datacamp (CDN77) · AS60068
Control D	76.76.2.0	Öffentliches DNS Control D	ein regionaler Hoster · AS146943
Pi-hole	die Adresse Ihres Pi-hole	Öffentliches DNS der Upstream Ihres Pi-hole, oder Ihr eigener mit Unbound	das Netz Ihres Upstreams oder Ihre eigene Adresse

„Kommt oft aus“ ist das Beispiel eines Anschlusses (Faktencheck, 24.10.2026); bei Ihnen kann es anders sein. Die Seite verlässt sich nicht darauf: Sie fragt jeden Dienst über DNS over HTTPS, welche Adresse er für Sie nutzt, und sagt „wahrscheinlich“, wenn sich ein Dienst nicht fragen lässt.

Wie prüfe ich DNS-Leaks über die Kommandozeile?

Führen Sie nslookup -type=txt whoami.leak.dnsrobot.net aus: Unser Nameserver antwortet mit der Adresse des DNS-Servers, der gefragt hat, also des Standard-DNS Ihres Systems. Auf einem Mac nutzen Sie dns-sd -q whoami.leak.dnsrobot.net TXT (beenden mit Ctrl-C), weil dig dort nur die primäre DNS-Einstellung sieht; unter Linux resolvectl query --type=TXT whoami.leak.dnsrobot.net. Das Befehlsfeld kopiert jeden davon.

Dieser Test sieht das DNS, das Ihr Browser nutzt, und Apps können einen anderen Weg nehmen: Ein eigener Anbieter für sicheres DNS in Chrome oder Firefox erhält die Abfragen des Browsers statt des System-DNS. Sind sich Browser und Befehl uneinig, liegt das Leak nur bei einem von beiden.

Hängen Sie 1.1.1.1 ans Ende an, um Cloudflare direkt zu fragen (dig @1.1.1.1 TXT whoami.leak.dnsrobot.net +short auf einem Mac oder unter Linux). Die Antwort sollte eine Adresse im Netz von Cloudflare sein. Die Adresse eines anderen Netzes ist ein starkes Zeichen, dass etwas DNS beantwortet, das für 1.1.1.1 bestimmt ist: Ihre VPN-App (manche tun das absichtlich), Sicherheitssoftware, Ihr Router oder Ihr Anbieter.

Betreiben Sie Ihren eigenen Resolver, etwa Pi-hole mit Unbound, ist die Antwort Ihre eigene Heimadresse: Denken Sie daran, bevor Sie sie irgendwo einfügen.

Zwei Prüfungen im TerminalWindows nslookup, echte Ausgabeform

1 · das DNS Ihres Systems

C:\> nslookup -type=txt whoami.leak.dnsrobot.net
Server:  cache2.broadband.example
Address:  203.0.113.53

Non-authoritative answer:
whoami.leak.dnsrobot.net        text =

        "203.0.113.53"

Das DNS von Example Broadband: derselbe Server wie im Browsertest, hier nehmen Browser und System also denselben Weg.

Betreiben Sie Ihren eigenen Resolver (Pi-hole mit Unbound)? Dann ist die Antwort Ihre eigene öffentliche Adresse.

2 · der Umleitungstest

C:\> nslookup -type=txt whoami.leak.dnsrobot.net 1.1.1.1
Server:  one.one.one.one
Address:  1.1.1.1

Non-authoritative answer:
whoami.leak.dnsrobot.net        text =

        "192.0.2.10"

Eine Cloudflare-Adresse (AS13335): Ihre Abfrage hat Cloudflare wie gewünscht erreicht. Das allein beweist nicht, dass nichts dazwischen ist: Ein Proxy kann Abfragen an 1.1.1.1 weiterreichen.

Hätte dort "203.0.113.53" gestanden: ein starkes Zeichen, dass etwas Ihr DNS umleitet: Ihre VPN-App (manche tun das absichtlich), Sicherheitssoftware, Ihr Router oder Ihr Anbieter.

Die Form der echten Ausgabe von Windows nslookup mit unserem Nameserver, mit Dokumentationsadressen. Das Panel des Tools kopiert diese Befehle für Windows, macOS und Linux sowie PowerShell.

DNS-Leak, IPv6-Leak und WebRTC-Leak: Was ist der Unterschied?

Es sind drei verschiedene Wege um ein VPN herum. Ein DNS-Leak zeigt Ihrem Anbieter die Namen, die Sie abfragen; ein IPv6-Leak schickt IPv6-Datenverkehr mit Ihrer echten Adresse hinaus; ein WebRTC-Leak lässt eine Website Ihre Adresse über die Echtzeit-Kommunikationsfunktion des Browsers auslesen. Ein vollständiger VPN-Leak-Test oder IP-Leak-Test prüft alle drei.

Diese Seite prüft die ersten beiden in einem Durchlauf: die DNS-Server, die fragen, und wo Ihre IPv6-Adresse hinausgeht, in einer eigenen Zeile unter dem Ergebnis. WebRTC berührt DNS nie und hat daher einen eigenen WebRTC-Leak-Test; die Adressen, die Websites sehen, zeigt Meine IP-Adresse, und ob Sie IPv6-Websites überhaupt erreichen, der IPv6-Test.

Er funktioniert auch als IPv6-DNS-Leak-Test, mit einer Einschränkung: Unser Nameserver ist nur über IPv4 erreichbar, daher erscheint jeder DNS-Server mit seiner IPv4-Adresse. Eine Abfrage, die Ihr Gerät über IPv6 sendet, wird trotzdem erfasst, weil der DNS-Server, den sie erreicht, uns über IPv4 fragen muss; ein seltener DNS-Server nur mit IPv6 kann uns nicht erreichen und erscheint als Nichts angekommen.

Drei Wege an einem VPN vorbeiein Anschluss, drei Prüfungen

DNS-LeakDie DNS-Server, die gefragt haben: die Zeilen dieses Tests.
WebRTC-LeakDie Adressen, die Ihr Browser mit Websites teilen kann: Der WebRTC-Leak-Test prüft sie.
IPv6-LeakWo Ihr IPv6-Verkehr hinausgeht: eine eigene Zeile unter dem Ergebnis dieses Tests.

Das IPv6-Leak-Beispiel des Tools: DNS geht durch den Tunnel zum DNS des VPN, also gibt es kein DNS-Leak, während IPv6 über Example Broadband hinausgeht, weil dieses VPN nur IPv4 überträgt. WebRTC braucht einen eigenen Test.

Was sollte ein VPN im DNS-Leak-Test zeigen?

Nur das eigene DNS des VPN: einen Server im Netz des VPN oder seines Partners, meist in der Nähe des Servers, mit dem Sie verbunden sind. Der Name Ihres Internetanbieters sollte nie auftauchen, während das VPN läuft; Mein ISP zeigt, welches Netz Websites stattdessen sehen.

Die Anbieter beschreiben es unterschiedlich. Laut Surfshark sollte ein Surfshark-DNS-Leak-Test einen DNS-Server mit derselben Adresse wie Ihr VPN zeigen; Proton VPN und Windscribe sagen, die Adresse weicht ab, liegt aber am selben Ort. Mullvad nutzt den DNS-Server auf dem VPN-Server, mit dem Sie verbunden sind, ExpressVPN betreibt auf jedem Server sein eigenes verschlüsseltes DNS, und NordVPN veröffentlicht seine zwei DNS-Adressen.

Ein DNS-Leak-Test für ExpressVPN, Mullvad oder NordVPN ist also wie jeder VPN-DNS-Leak-Test bestanden, wenn kein DNS-Server im Netz Ihres Anbieters liegt, egal unter welcher Adresse: Dieser Test vergleicht nie Adressen. Mullvads eigene Regel ist strenger: Dort zählt jeder DNS-Server, der nicht Mullvad gehört, als Leak.

Ein eigenes DNS in der VPN-App ändert das Bild: „Use Existing DNS“ von PIA und die Option für ein eigenes DNS bei Mullvad schicken Abfragen am eigenen DNS des VPN vorbei, daher erscheint dann dieser Server. Die Tabelle listet, was die Hilfeseiten der einzelnen VPNs sagen; sie ist weder eine Rangliste noch eine Empfehlung.

Was sieben VPNs als Ergebnis nennenaus ihren eigenen Hilfeseiten

VPN	Standardmäßig eigenes DNS	Was dieser Test zeigt	Veröffentlichte DNS-Adresse
Mullvad	ja	Der DNS-Server auf dem Server von Mullvad, mit dem Sie verbunden sind	nicht veröffentlicht
Proton VPN	ja	Ein DNS-Server im selben Rechenzentrum wie Ihr VPN-Server, unter einer anderen Adresse; er kann einem Partner gehören	10.2.0.1
NordVPN	ja	Die eigenen DNS-Server von NordVPN	103.86.96.100103.86.99.100
Surfshark	ja	Ein DNS-Server vom selben Standort; laut Surfshark stimmen Ihre IP- und DNS-Adresse überein	nicht veröffentlicht
ExpressVPN	ja	Das eigene verschlüsselte DNS von ExpressVPN, das auf jedem seiner Server läuft	nicht veröffentlicht
Private Internet Access	ja	Das DNS von PIA, die Voreinstellung der App	10.0.0.24210.0.0.243
Windscribe	ja	Sein eigenes DNS im selben Land, meist nicht genau Ihre VPN-Adresse	10.255.255.x

Aus den Hilfeseiten der einzelnen VPNs, gelesen am 24.10.2026. Ihre Regeln unterscheiden sich (Surfshark: dieselbe Adresse; Proton und Windscribe: eine andere Adresse am selben Ort), daher vergleicht der Test nie Adressen: Liegt kein DNS-Server im Netz Ihres Anbieters, gibt es kein Leak.

DNS Leak Test: Fragen und Antworten

Was ist ein DNS-Leak, und ist das schlimm?

Ein DNS-Leak liegt vor, wenn die DNS-Server Ihres Internetanbieters Ihre Abfragen beantworten, während Sie ein VPN nutzen. Das zählt, wenn Sie sich für Ihre Privatsphäre auf das VPN verlassen: Ihr Anbieter sieht dann jeden Website-Namen, den Sie abfragen, obwohl Ihr Datenverkehr durch den Tunnel läuft. Ohne VPN ist das DNS Ihres Anbieters der normale Weg, kein Leak. Der Test zeigt, welcher Fall vorliegt.

Kann mein Anbieter bei einem DNS-Leak sehen, was ich surfe?

Er sieht die Namen der Websites, die Sie abfragen, etwa example.com, und wann. Die Seiten selbst oder was Sie eintippen sieht er nicht, weil HTTPS das verschlüsselt. Mit einem funktionierenden VPN sieht er nur den Tunnel. Bei einem DNS-Leak sieht er die Namen wieder: Klassisches DNS ist unverschlüsselt, auch wenn die Website selbst HTTPS nutzt (RFC 9076).

Behebt ein VPN DNS-Leaks?

Eine gute VPN-App verhindert sie, indem sie jede Abfrage an ihr eigenes DNS im Tunnel schickt, solange ihr Schutz vor DNS-Leaks eingeschaltet ist und nichts auf Ihrem Gerät ihn aushebelt. Windows-Netzwerkadapter, IPv6, ein eigener Anbieter für sicheres DNS im Browser und „Privates DNS“ unter Android können Abfragen trotzdem woandershin schicken. Starten Sie den Test nach dem Verbinden, um das zu prüfen.

Warum zeigt der Test einen DNS-Server in einem anderen Land?

DNS-Dienste antworten vom nächstgelegenen ihrer vielen Standorte, und dieser Standort fragt andere Nameserver womöglich von einer Adresse, die anderswo registriert ist, oder aus dem Netz eines Partners. Auch das DNS eines VPN kann in einem nahen Rechenzentrum stehen. Ein anderes Land ist für sich genommen nie ein Leak: Entscheidend ist, wem der Server gehört, und das sagt Ihnen die Kennzeichnung in jeder Zeile.

Warum sehe ich Google oder Cloudflare, obwohl ich sie nicht eingestellt habe?

Etwas auf Ihrem Gerät oder in Ihrem Netz schickt Abfragen dorthin: ein eigenes sicheres DNS in Ihrem Browser, die Einstellungen Ihres Routers, Ihre VPN-App oder eine DNS-App. Ist das DNS Ihres Systems 1.1.1.1 oder 8.8.8.8, kann Chrome diesen Dienst über HTTPS weiter nutzen, an einem VPN vorbei, das nur Port 53 abfängt. Nichts davon ist für sich genommen ein Leak, und über ein VPN kommen diese Abfragen von der Adresse des VPN, nicht von Ihrer.

Der Test hat keine DNS-Server gefunden. Heißt das, es gibt kein Leak?

Nein. „Nichts angekommen“ bedeutet, dass kein DNS-Server unseren Nameserver gefragt hat, meist weil ein Werbeblocker, eine Pi-hole-Liste, ein filterndes DNS oder eine Netzsperre die Namen des Tests aufgehalten hat; der Test kann Ihr DNS dann gar nicht sehen. Erlauben Sie *.leak.dnsrobot.net und starten Sie den Test erneut, oder versuchen Sie den erweiterten Test. Ein leeres Ergebnis gilt nie als Entwarnung.

Ist dieser DNS-Leak-Test privat?

Der Test fragt zufällige Namen unter unserer eigenen Domain ab; unser Nameserver behält die DNS-Server, die gefragt haben, 10 Minuten im Arbeitsspeicher und vergisst sie dann. Um Ihre andere Adresse zu lesen und öffentliche DNS-Dienste zu benennen, stellt Ihr Browser außerdem ipify und einigen DNS-Diensten ein, zwei Fragen, sodass diese Ihre IP-Adresse sehen. Ein über Sie weitergegebenes Subnetz wird nur Ihnen angezeigt. Ihr letztes Ergebnis bleibt in Ihrem Browser, und Sie können es löschen.

Was ist ein IPv6-Leak, und prüft dieser Test das?

Ein IPv6-Leak liegt vor, wenn Ihr VPN IPv4-Datenverkehr überträgt, Ihr IPv6-Datenverkehr aber mit Ihrer echten IPv6-Adresse über Ihren Anbieter hinausgeht. Dieser Test prüft im selben Durchlauf, wo Ihre IPv6-Adresse hinausgeht, und zeigt es in einer eigenen Zeile. Abhilfe schafft der Schutz vor IPv6-Leaks der VPN-App oder ein VPN, das IPv6 überträgt; Microsoft rät davon ab, IPv6 abzuschalten.

Verhindert DNS over HTTPS DNS-Leaks?

Es verbirgt Ihre Abfragen vor Ihrem Netz, nicht vor dem DNS-Unternehmen, an das Sie sie schicken; ein DoH-Dienst wie Cloudflare oder NextDNS ist also kein Leak zu Ihrem Anbieter. Ein eigener DoH-Anbieter im Browser umgeht allerdings das DNS Ihres VPN. Der automatische Modus von Chrome behält Ihren aktuellen Anbieter, und Firefox schaltet DoH nur in den USA, Kanada, Russland und der Ukraine standardmäßig ein und tritt bei einem VPN zurück.

Kann ich ein DNS-Leak ohne VPN haben?

Nicht im üblichen Sinn: Ohne VPN ist das DNS Ihres Anbieters der normale Weg. Es kann aber passieren, dass ein DNS, das Sie gewählt haben, etwa 1.1.1.1, gar nicht antwortet, weil Ihr Router, eine App oder Ihr Anbieter es überschreibt oder Port 53 umleitet. Wählen Sie diesen Dienst unter „Was möchten Sie prüfen?“ aus, und das Ergebnis sagt, ob er wirklich antwortet.

Wie behebe ich ein DNS-Leak unter Android oder auf dem iPhone?

Unter Android stellen Sie „Privates DNS“ auf „Aus“, solange Sie ein VPN nutzen: Ein dort eingetragener Hostname schickt jede Abfrage an diesen Anbieter statt an das VPN. Auf einem iPhone gilt ein verschlüsseltes DNS-Profil oder eine solche App nach dem Einschalten für das ganze System; entfernen Sie also alle, die Sie nicht mehr nutzen. Mit iCloud Private Relay übernehmen Apples Relay-Partner die Abfragen von Safari, daher erscheinen deren Server; ein VPN hat Vorrang vor Private Relay.

Wie oft sollte ich auf DNS-Leaks testen?

Nach dem Installieren oder Aktualisieren einer VPN-App, nach geänderten DNS-Einstellungen und immer, wenn Sie das Netz wechseln, etwa vom WLAN zu Hause ins Café oder zu mobilen Daten. Jedes Netz verteilt sein eigenes DNS, und ein VPN, das abbricht, kann kurz darauf zurückfallen. Die Seite behält Ihr letztes Ergebnis in Ihrem Browser, sodass jeder neue Test zeigt, welche DNS-Server sich geändert haben.

Fehlt Ihnen etwas?Funktion oder neues Tool vorschlagen

Über die Kommandozeile prüfen

1Das DNS Ihres Systems

2Der Umleitungstest

Was bedeutet mein Ergebnis im DNS-Leak-Test?

Wie funktioniert ein DNS-Leak-Test?

Warum tauchen Google, Cloudflare oder ein anderes Land auf?

Was verursacht ein DNS-Leak?

Das VPN legt kein eigenes DNS fest

Eigenes sicheres DNS im Browser

Windows fragt jeden Adapter

IPv6 geht um den Tunnel herum

Etwas leitet DNS um

Das VPN bricht ab, ohne Kill Switch

Wie behebe ich ein DNS-Leak?

Funktioniert Ihr eigenes DNS? 1.1.1.1, NextDNS, AdGuard oder Pi-hole prüfen

Wie prüfe ich DNS-Leaks über die Kommandozeile?

DNS-Leak, IPv6-Leak und WebRTC-Leak: Was ist der Unterschied?

Was sollte ein VPN im DNS-Leak-Test zeigen?

DNS Leak Test: Fragen und Antworten

Was ist ein DNS-Leak, und ist das schlimm?

Kann mein Anbieter bei einem DNS-Leak sehen, was ich surfe?

Behebt ein VPN DNS-Leaks?

Warum zeigt der Test einen DNS-Server in einem anderen Land?

Warum sehe ich Google oder Cloudflare, obwohl ich sie nicht eingestellt habe?

Der Test hat keine DNS-Server gefunden. Heißt das, es gibt kein Leak?

Ist dieser DNS-Leak-Test privat?

Was ist ein IPv6-Leak, und prüft dieser Test das?

Verhindert DNS over HTTPS DNS-Leaks?

Kann ich ein DNS-Leak ohne VPN haben?

Wie behebe ich ein DNS-Leak unter Android oder auf dem iPhone?

Wie oft sollte ich auf DNS-Leaks testen?

Weitere DNS- und Netzwerk-Tools

DNS-Geschwindigkeitstest

WebRTC-Leak-Test

Meine IP-Adresse

Mein ISP

IPv6-Test

DNS-Abfrage