Jedes Mal, wenn du eine Internetseite aufrufst, passiert im Hintergrund ein Schritt, den du nie siehst: Dein Gerät fragt zuerst nach, wo diese Seite überhaupt zu finden ist. Dieser Nachschlagevorgang heißt DNS – und traditionell läuft er offen und unverschlüsselt ab. Das bedeutet, dass jemand mitlesen kann, welche Seiten du ansteuerst, noch bevor die eigentliche Verbindung überhaupt steht.
DoH ist der Versuch, genau diese Lücke zu schließen. Dieser Artikel erklärt dir, was DNS ist, welches Problem dabei besteht, was DoH daran verbessert – und was es ausdrücklich nicht löst.
Was DNS ist – das Telefonbuch des Internets
Geräte im Internet erreichen einander nicht über Namen, sondern über Nummern, die Adressen. Menschen aber merken sich Namen. DNS ist die Übersetzung dazwischen: Es schlägt zu einem Namen die zugehörige Adresse nach, ähnlich wie ein Telefonbuch zu einem Namen die Rufnummer liefert.
Diese Übersetzung erledigt nicht dein Gerät selbst, sondern ein Dienst, den man Resolver nennt. Standardmäßig ist das der Resolver deines Netzbetreibers. Jedes Mal, wenn du irgendeinen Namen ansteuerst, fragt dein Gerät dort nach – und dieser Vorgang wiederholt sich unzählige Male am Tag, meist völlig unbemerkt.
Wichtig ist dabei: DNS betrifft nicht nur Webseiten, die du bewusst aufrufst. Auch Apps, Hintergrunddienste und automatische Updates schlagen ständig Namen nach. Selbst wenn du gar nicht aktiv surfst, plaudert dein Gerät im Hintergrund weiter darüber, mit welchen Diensten es spricht. Wer diese Abfragen sieht, bekommt also nicht nur ein Bild deiner bewussten Aktivität, sondern auch davon, welche Programme und Geräte bei dir überhaupt im Einsatz sind.
Das Problem: klassisches DNS ist offen
Der Haken am klassischen DNS ist, dass diese Anfragen unverschlüsselt durchs Netz gehen. Wer deinen Anschluss betreibt oder im selben Netzwerk mithört, kann jede einzelne Namensabfrage mitlesen. Damit entsteht eine lückenlose Liste der Seiten, die du besuchst – nicht der Inhalte, aber der Ziele.
Das ist keine Kleinigkeit. Schon die Namen der Seiten, die jemand ansteuert, verraten viel: Interessen, Gewohnheiten, Sorgen, Zugehörigkeiten. Zusätzlich lässt sich klassisches DNS auch missbrauchen, um Seiten zu blockieren oder auf falsche Ziele umzuleiten. Der offene Nachschlagevorgang ist damit eine der unauffälligsten und zugleich aufschlussreichsten Spuren, die du im Netz hinterlässt.
Was DoH ändert
DoH steht für „DNS over HTTPS", zu Deutsch etwa: Namensabfragen über eine verschlüsselte Web-Verbindung. Die Idee ist einfach: Statt die Abfragen offen zu verschicken, werden sie in dieselbe Art verschlüsselter Verbindung verpackt, die auch beim normalen Surfen zum Einsatz kommt.
Das hat zwei Folgen. Erstens kann der Betreiber deines Netzwerks nicht mehr mitlesen, welche Namen du nachschlägst – die Abfragen sind verschlüsselt. Zweitens fällt dieser Datenverkehr nicht mehr als „DNS" auf, sondern sieht aus wie gewöhnlicher Web-Verkehr, was das gezielte Blockieren einzelner Abfragen erschwert. Für den Schutz gegen Mithörer im lokalen Netz ist das ein spürbarer Gewinn.
Was DoH nicht löst
Jetzt der wichtige Teil, den die Begeisterung oft überdeckt: DoH verbirgt das Nachschlagen der Adresse – nicht den Besuch selbst.
Nachdem dein Gerät die Adresse kennt, baut es die eigentliche Verbindung zum Ziel auf. Diese Verbindung geht an eine bestimmte Adresse, und diese Adresse ist für deinen Netzbetreiber weiterhin sichtbar. Häufig lässt sich daraus ableiten, welche Seite du besuchst, selbst ohne die DNS-Abfrage. Zudem wird beim Verbindungsaufbau der Name des Ziels je nach Umständen weiterhin sichtbar übertragen. DoH schließt also eine Lücke, aber nicht die ganze Tür: Dass du eine bestimmte Seite besuchst, bleibt an anderer Stelle oft erkennbar.
Und es gibt eine zweite Kehrseite. Deine Abfragen sind jetzt zwar vor dem lokalen Netz verborgen – aber der DoH-Resolver, an den du sie richtest, sieht sie vollständig. Wie beim VPN verschiebt sich damit das Vertrauen: weg vom Netzbetreiber, hin zu demjenigen, der deinen DoH-Dienst betreibt. Wer das ist und was er mit den Abfragen macht, wird zur eigentlichen Frage.
Wem du jetzt vertraust
Mit DoH entscheidest du, welcher Resolver dein gesamtes Nachschlageverhalten zu sehen bekommt. Diese Wahl ist bedeutsam, denn diese Stelle erfährt, welche Namen du ansteuerst – ausnahmslos. Verlagerst du all deine Abfragen auf einen einzigen großen Anbieter, bündelst du dieses Wissen an einem Ort. Das kann besser sein als der bisherige Zustand oder schlechter, je nachdem, wem du eher traust. Eine automatische Verbesserung der Privatsphäre ist es nicht – es ist eine Verlagerung, über die du bewusst entscheiden solltest.
Hinzu kommt ein Punkt, der leicht untergeht: Wer die Namensauflösung vieler Menschen an wenigen großen Stellen bündelt, schafft nicht nur Einblick, sondern auch Macht. Eine zentrale Stelle, die für sehr viele Nutzer nachschlägt, kann prinzipiell auch entscheiden, welche Namen sie beantwortet und welche nicht. Verschlüsselung schützt hier den Weg der Abfrage, aber sie ändert nichts daran, dass die auflösende Stelle eine Schlüsselposition einnimmt. Privatsphäre und Zentralisierung sind bei DNS deshalb zwei Seiten derselben Entscheidung.
DoH ist kein VPN und kein Anonymisierer
Weil DoH mit Verschlüsselung und Privatsphäre wirbt, wird es leicht überschätzt. Es ist ein eng umrissenes Werkzeug: Es schützt einen einzelnen, bisher offenen Schritt – das Nachschlagen von Namen – vor dem lokalen Netz. Es verbirgt nicht, mit welchen Adressen du dich verbindest, es verschleiert nicht deine Herkunft, und es macht dich nicht anonym. Es ersetzt weder ein VPN noch sonst eine umfassendere Maßnahme, sondern ergänzt sie an einer bestimmten Stelle.
Die richtige Denkweise
Sieh DoH als das, was es ist: eine sinnvolle Schließung einer konkreten Lücke, nicht als Privatsphäre-Rundumschutz. Frage dich zwei Dinge. Erstens: Vor wem will ich meine Namensabfragen verbergen – und reicht DoH dafür? Gegen Mithörer im lokalen Netz: ja. Gegen den, der mein Ziel ohnehin an der Verbindungsadresse erkennt: nein. Zweitens: Wem gebe ich stattdessen den vollen Einblick in meine Abfragen, und ist mir dieser Tausch recht?
Wer so denkt, nutzt DoH dort, wo es hilft, und erwartet nicht, dass ein einzelner verschlüsselter Schritt die vielen anderen Spuren beseitigt.
Fazit
DNS ist das unsichtbare Telefonbuch, das dein Gerät bei jedem Seitenaufruf befragt – und klassischerweise tut es das offen, für den Netzbetreiber gut lesbar. DoH verschlüsselt diese Abfragen und nimmt dem lokalen Netz damit einen aufschlussreichen Einblick.
Aber DoH verbirgt nur das Nachschlagen, nicht den Besuch, und es verlagert das Vertrauen auf den Resolver, den du wählst. Es ist ein gutes Werkzeug für einen klar begrenzten Zweck – und wie bei VPN und E-Mail gilt: Wer seine Grenzen kennt, schützt sich damit wirksam, statt sich in einer Sicherheit zu wiegen, die es so nicht gibt.