Netzwerk & Infrastruktur2026-02-10•7 Min. Lesezeit

DNS over HTTPS (DoH) verstehen: Wie Browser-Verschlüsselung Provider-Tracking verhindert

Technischer Einblick in RFC 8484, kryptografische DNSSEC-Validierung und Latenzen globaler Resolver.

MindLucid Sicherheitsteam

Kern-Netzwerkarchitektur

Interaktive Live-Testumgebung

Direkt im Browser testen (kein Server-Upload)

Vollständiges Tool öffnen: DNS over HTTPS & Record Explorer

Beliebte Domains:

DNSSEC-Validierung anfordern (DO-Flag)

DNS over HTTPS (DoH) und Record-Typen verstehen

Datenschutz & RFC 8484

Klassisches DNS überträgt Anfragen unverschlüsselt über UDP-Port 53. DoH tunnelt und verschlüsselt jede Abfrage mittels TLS 1.3 über Standard-Port 443.

100% clientseitige Ausführung

Das Tool kommuniziert via CORS direkt mit den offiziellen DoH-Endpunkten von Cloudflare (1.1.1.1) und Google (8.8.8.8) ohne zwischengeschaltete Server.

Erklärung der DNS-Eintragstypen

A: IPv4-Adresse • AAAA: IPv6-Adresse • MX: Mailserver • TXT: SPF/DKIM/Verifikation • CNAME: Alias • NS: Autoritative Nameserver.

Ausführung: 100% im clientseitigen Speicher

Null Telemetrie

Die gravierende Schwachstelle im klassischen DNS (Port 53)

Als das Domain Name System in den 1980er Jahren (RFC 1034 / 1035) entwickelt wurde, standen Fehlertoleranz und Geschwindigkeit im Vordergrund, nicht aber Verschlüsselung. Daher wurden DNS-Abfragen standardmäßig unverschlüsselt über den UDP-Port 53 gesendet.

Jedes Mal, wenn Ihr Gerät eine Webseite anfordert, gelangt ein Klartext-Paket mit dem Domainnamen über Ihr lokales WLAN und Ihren Provider (ISP) ins Internet. Provider können diese Daten protokollieren, für Werbezwecke monetarisieren oder für Zensurmaßnahmen nutzen.

Wie RFC 8484 (DoH) die Netzwerksicherheit transformiert

Im Oktober 2018 verabschiedete die IETF den Standard RFC 8484 für DNS over HTTPS:

TLS 1.3-Verschlüsselungstunnel: Alle DNS-Anfragen und -Antworten werden in bestehende HTTPS-Verbindungen über Port 443 eingebettet.
Nicht von normalem Web-Traffic unterscheidbar: Da DoH-Pakete denselben Port und dieselben Cipher-Suites wie regulärer Webverkehr nutzen, können Firewalls und DPI-Systeme DoH-Anfragen nicht isolieren oder blockieren.
Multiplexing über HTTP/2 und HTTP/3: Moderne DoH-Clients leiten mehrere DNS-Lookups über eine einzige Verbindung weiter und eliminieren zusätzliche Verbindungsverzögerungen.

DNSSEC: Vertraulichkeit vs. Fälschungssicherheit

Während DoH Vertraulichkeit garantiert (niemand kann mitlesen, was Sie abfragen), sichert DNSSEC die Integrität (niemand hat das Ergebnis manipuliert). Kryptografische Signaturen (RRSIG und DS-Records) schaffen eine lückenlose Vertrauenskette bis zur IANA-Root-Zone.

Testen Sie es live im interaktiven Widget unten

Erleben Sie RFC 8484 in Aktion. Das interaktive Tool unten kommuniziert direkt mit Cloudflare (1.1.1.1) und Google (8.8.8.8) über CORS-fähige JSON-Payloads – ganz ohne Zwischenserver.

Häufig gestellte Fragen (FAQ)

Warum gefährdet traditionelles DNS die Privatsphäre?

Da klassische DNS-Anfragen unverschlüsselt über Port 53 UDP übertragen werden, können Router, öffentliche WLAN-Hotspots und Internetanbieter jedes aufgerufene Domainziel protokollieren.

Versteckt DoH auch die Ziel-IP-Adresse?

DoH verschlüsselt den Domain-Lookup-Prozess. In Kombination mit Encrypted Client Hello (ECH) wird das Mitschneiden von Domain und Servernamen im Netzwerk vollständig unterbunden.

Kann ich DoH direkt im Browser testen?

Ja, mit dem unten eingebetteten interaktiven Widget können Sie verschlüsselte DNS-Einträge direkt in Ihrem Browser über Cloudflare und Google abfragen.