DNS Leak Test

Was ist ein DNS-Leak?

Jedes Mal, wenn Sie eine Website öffnen, bittet Ihr Gerät zuerst einen DNS-Server, den Namen (example.com) in eine IP-Adresse zu übersetzen. Wer diesen Server betreibt, sieht jede Domain, die Sie abfragen.

Ein VPN soll diese Anfragen durch seinen verschlüsselten Tunnel an DNS-Server schicken, die es selbst kontrolliert. Ein DNS-Leak entsteht, wenn sie woanders landen, meist direkt bei Ihrem Internetanbieter. Ihr Datenverkehr bleibt verborgen, doch Ihr ISP erhält trotzdem eine Liste aller Websites, die Sie besuchen, und das Datenschutzversprechen des VPN ist unbemerkt gebrochen.

So funktioniert dieser DNS Leak Test

Was Ihr Ergebnis bedeutet

Standard- oder erweiterter DNS Leak Test?

Der Standard-Test sendet 6 Abfragen und dauert nur wenige Sekunden. Das reicht, um zu sehen, welcher Anbieter Ihren DNS abwickelt.

Der erweiterte Test sendet 36 Abfragen in sechs Runden. Große Anbieter antworten aus Pools mit vielen Servern, und manche Leaks zeigen sich nur hin und wieder, etwa wenn Windows dieselbe Anfrage gleichzeitig an alle Netzwerkadapter schickt. Führen Sie den erweiterten Test aus, bevor Sie einem VPN etwas Sensibles anvertrauen.

Was verursacht ein DNS-Leak?

• Das VPN kümmert sich nicht um DNS. Manche VPN-Apps und viele manuell eingerichtete OpenVPN- oder WireGuard-Verbindungen bauen zwar den Tunnel auf, lassen die DNS-Einstellungen Ihres Systems aber weiter auf Ihren Router oder ISP zeigen.

• Windows fragt jeden Adapter. Seit Windows 8 schickt die intelligente Namensauflösung mit mehreren Adaptern (Smart Multi-Homed Name Resolution) jede Anfrage gleichzeitig an die DNS-Server aller Netzwerkadapter und nimmt die schnellste Antwort, und die kann von Ihrem ISP kommen.

• IPv6 außerhalb des Tunnels. Tunnelt Ihr VPN nur IPv4, können Anfragen über IPv6 direkt den Resolver Ihres ISP erreichen. Prüfen Sie das mit unserem IPv6-Test, während das VPN verbunden ist.

• Sicheres DNS im Browser. Chrome, Edge und Firefox können Anfragen per DNS over HTTPS an Cloudflare, Google oder einen anderen Anbieter schicken und dabei die DNS-Server des VPN ignorieren.

• DNS im Router oder von Hand eingestellt. Ein fest eingetragener DNS-Server im Router oder in den Netzwerkeinstellungen kann das VPN übersteuern, je nachdem, wie die VPN-App arbeitet.

• Transparente DNS-Proxys. Manche ISPs fangen jede DNS-Anfrage auf Port 53 ab und beantworten sie selbst, auch wenn Sie einen anderen DNS-Server gewählt haben.

So beheben Sie ein DNS-Leak

• Aktivieren Sie den DNS-Leak-Schutz Ihres VPN und seinen Kill Switch. Die meisten guten VPN-Apps haben beides. Stellen Sie sicher, dass die App ihre eigenen DNS-Server nutzt, und führen Sie den Test dann erneut aus.

• Windows Pro und Enterprise: Öffnen Sie gpedit.msc → Computerkonfiguration → Administrative Vorlagen → Netzwerk → DNS-Client und aktivieren Sie Intelligente Namensauflösung mit mehreren Adaptern deaktivieren. Unter Windows Home setzen Sie unter HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient den DWORD-Wert DisableSmartNameResolution auf 1.

• Deaktivieren Sie Teredo, wenn Sie es nicht brauchen: Führen Sie netsh interface teredo set state disabled in einer Eingabeaufforderung mit Administratorrechten aus.

• IPv6 absichern: Nutzen Sie ein VPN, das IPv6 tunnelt, oder schalten Sie IPv6 am Netzwerkadapter ab, solange Sie verbunden sind.

• Prüfen Sie das sichere DNS Ihres Browsers: In Chrome unter Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden, in Firefox unter Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS. Schalten Sie es aus oder tragen Sie den Resolver Ihres VPN ein, wenn das VPN den DNS übernehmen soll.

• Leeren Sie den DNS-Cache nach jeder Änderung, damit keine alten Antworten hängen bleiben. Eine Anleitung für Windows, macOS, Linux und Browser finden Sie unter DNS-Cache leeren.

DNS-Server per Kommandozeile testen

Sie können auch ohne Browser prüfen, welchen DNS-Server Ihr Computer nutzt. Unser Nameserver beantwortet den speziellen Namen whoami.leak.dnsrobot.net mit der IP-Adresse des Servers, der danach gefragt hat:

Warum sehe ich Server, die ich nicht kenne?

Wir sehen den Server, der unseren Nameserver kontaktiert hat, also den letzten in der Kette. Leitet Ihr Router oder ein lokaler Resolver die Anfragen an einen vorgelagerten Server weiter, zeigt das Ergebnis diesen Upstream-Anbieter, nicht Ihren Router.

Große öffentliche Resolver nutzen Anycast: Cloudflare, Google und Quad9 antworten aus Rechenzentren in Ihrer Nähe, und eine Anfrage kann auch von einem Rechner im Nachbarland beantwortet werden. Ein Server in einem unerwarteten Land ist für sich genommen kein Leak. Entscheidend ist, wer ihn betreibt.

DNS-Leaks, WebRTC-Leaks und IPv6-Leaks

Ein VPN kann Ihre Identität auf drei Hauptwegen preisgeben, und jeder davon braucht einen eigenen Test:

Weitere Datenschutz- und DNS-Tools

Weitere kostenlose Tools, die zeigen, was Ihre Verbindung preisgibt und wie gut Ihr DNS arbeitet: