DNS over HTTPS (DoH) verschlüsselt DNS-Abfragen, indem es sie durch HTTPS tunnelt und verhindert, dass Netzwerkbetreiber, ISPs und Lauscher sehen, welche Domains du anfragst.
Bei herkömmlichem DNS reisen Abfragen als unverschlüsselte UDP-Pakete. Jeder auf deinem Netzwerkpfad – dein ISP, dein WLAN-Router oder dein Netzwerkadministrator – kann jede Domain sehen, die du besuchst. DoH wickelt DNS-Abfragen in verschlüsselten HTTPS-Traffic ein, das gleiche Protokoll, das Websites sichert. Dein Resolver-Endpunkt sieht aus wie eine reguläre HTTPS-Verbindung, was DNS-Lookups von Web-Browsing ununterscheidbar macht.
DoH-Clients (in modernen Browsern wie Firefox, Chrome und Edge integriert) leiten DNS-Abfragen automatisch an einen DoH-Resolver weiter – typischerweise den Resolver deines ISPs, einen öffentlichen wie 1.1.1.1 oder eine datenschutzorientierte Alternative. Die Abfrage ist end-to-end verschlüsselt, bis sie den Resolver erreicht.
Wie es funktioniert:
- Browser sendet verschlüsselte DNS-Abfrage via HTTPS an einen DoH-Resolver
- Resolver entschlüsselt und führt standardmäßiges DNS-Lookup durch
- Antwort wird verschlüsselt und über HTTPS zurückgegeben
- Browser entschlüsselt und nutzt die Antwort
Beispiel: Statt einer unverschlüsselten UDP-Anfrage für example.com wird die Abfrage an https://resolver.example.com/dns-query gepostet, mit der DNS-Anfrage base64-kodiert darin.
DoH ergänzt, unterscheidet sich aber von DNSSEC, das die Authentizität von DNS-Antworten validiert, nicht die Privatsphäre. Es funktioniert auch unabhängig vom TLS Handshake, obwohl beide HTTPS-Infrastruktur nutzen.
TipDoH kann DNS vor Netzwerkadministratoren verbergen, aber nicht vor deinem DoH-Resolver-Anbieter oder deinem ISP (sie sehen HTTPS-Traffic zum Resolver). Für maximale Privatsphäre nutze einen Resolver, dem du vertraust.