DNS over HTTPS (DoH): Was es ist und wie man es testet

Was DoH tatsächlich tut

DoH sendet DNS-Anfragen und -Antworten innerhalb von HTTPS, demselben Protokoll, das für normales Surfen genutzt wird, statt des traditionellen Klartext-UDP oder -TCP auf Port 53. Für einen Beobachter im Netzwerk ist eine DoH-Anfrage nicht von jeder anderen HTTPS-Anfrage an diesen Server zu unterscheiden.

Warum das wichtig ist

Eine unverschlüsselte DNS-Anfrage verrät jedem auf dem Pfad — Ihrem Internetanbieter, dem Betreiber eines öffentlichen WLANs oder einem Angreifer im Pfad — jede von Ihnen abgefragte Domain, selbst wenn die Seite selbst anschließend über HTTPS geladen wird. DoH verschlüsselt die Anfrage selbst und schließt genau diese Lücke.

DoH gegenüber DNS over TLS (DoT)

DoT verschlüsselt DNS auf dieselbe Weise, aber über einen eigenen, dedizierten Port, 853. Das macht es genauso leicht zu blockieren wie gewöhnliches DNS — ein Netzwerkbetreiber muss nur einen Port sperren. DoH teilt sich absichtlich Port 443 mit gewöhnlichem HTTPS-Verkehr, sodass es weit schwieriger ist, es zu blockieren, ohne auch den Großteil des Webs zu blockieren.

Der Kompromiss

Genau diese Eigenschaft macht DoH wirklich umstritten: Es kann DNS-basierte Filterung umgehen, die auf Netzwerkebene eingerichtet wurde — von einem Arbeitgeber, einer Schule oder Kindersicherungs-Software —, da der Verkehr für alles, was Port 53 überwacht, nicht mehr wie DNS aussieht. Das ist ein echter, aktiv diskutierter Kompromiss zwischen individueller Privatsphäre und der Durchsetzung von Netzwerkrichtlinien, keine erledigte technische Randnotiz.

Prüfen, ob DoH aktiv ist

Ein direkter Test des DoH-Endpunkts eines Resolvers bestätigt, ob er über HTTPS korrekt antwortet — unabhängig davon, ob Ihr Browser oder Betriebssystem tatsächlich so konfiguriert ist, ihn für den Alltag zu nutzen.