DNS-Leck

Ein DNS-Leak (DNS-Leck) tritt auf, wenn ein Gerät, das eigentlich dazu bestimmt ist, den gesamten Netzwerkverkehr über einen datenschutzverbessernden Dienst wie ein VPN oder einen Proxy zu leiten, unbeabsichtigt DNS-Anfragen direkt über die Standard-ISP-DNS-Server an das Internet sendet und dadurch die Online-Aktivitäten des Benutzers preisgibt. Dies beeinträchtigt die Privatsphäre, da der Internetdienstanbieter (ISP) trotz der scheinbar gesicherten Hauptverbindung die aufgerufenen Websites und Dienste protokollieren kann.

DNS-Auflösung verstehen

Das Domain Name System (DNS) übersetzt menschenlesbare Domainnamen (z.B. example.com) in maschinenlesbare IP-Adressen (z.B. 192.0.2.1). Wenn ein Benutzer versucht, auf eine Website zuzugreifen, sendet das Betriebssystem (OS) eine DNS-Anfrage an einen konfigurierten DNS-Server. Ohne einen Proxy oder VPN geht diese Anfrage typischerweise an die DNS-Server des ISPs. Mit einem Proxy oder VPN ist die Absicht, dass diese Anfragen sicher über den Dienst geleitet werden, oft unter Verwendung der eigenen DNS-Resolver des Dienstes oder durch sicheres Weiterleiten der Anfrage.

Standard-DNS (UDP/TCP Port 53)

Traditionelle DNS-Anfragen werden unverschlüsselt gesendet, hauptsächlich über UDP-Port 53. Dies macht sie anfällig für Abhören und Manipulation. Selbst wenn der Hauptdatenverkehr durch einen Proxy oder VPN verschlüsselt ist, können unverschlüsselte DNS-Anfragen weiterhin Browsing-Gewohnheiten preisgeben.

Verschlüsselte DNS-Protokolle

Um die Datenschutz- und Sicherheitsrisiken von Standard-DNS zu mindern, sind mehrere verschlüsselte Protokolle entstanden:

• DNS over HTTPS (DoH): Kapselt DNS-Anfragen in HTTPS-Verkehr, typischerweise über TCP-Port 443. Dies vermischt den DNS-Verkehr mit regulärem Webverkehr, wodurch er schwerer zu unterscheiden und zu blockieren ist.
• DNS over TLS (DoT): Verschlüsselt DNS-Anfragen mithilfe von TLS, typischerweise über TCP-Port 853. DoT bietet einen dedizierten, verschlüsselten Kanal für DNS.
• DNSCrypt: Ein älteres Protokoll, das den DNS-Verkehr zwischen Client und DNS-Resolver verschlüsselt.

Diese Protokolle verbessern die Privatsphäre, indem sie Dritte daran hindern, DNS-Anfragen zu beobachten oder zu manipulieren. Ihre Verwendung verhindert jedoch nicht von Natur aus ein DNS-Leck, wenn das System in bestimmten Szenarien auf unverschlüsseltes DNS zurückgreift.

Mechanismen eines DNS-Lecks

DNS-Lecks entstehen typischerweise durch Fehlkonfigurationen oder spezifische OS-Verhaltensweisen, die den beabsichtigten sicheren Tunnel umgehen.

OS-Ebene DNS-Handhabung

Betriebssysteme können Verhaltensweisen aufweisen, die zu Lecks führen:

• Windows Smart Multi-Homed Name Resolution: Auf Windows-Systemen mit mehreren aktiven Netzwerkschnittstellen (z.B. Wi-Fi und Ethernet oder eine VPN-/Proxy-Schnittstelle und eine physische Schnittstelle) kann das OS alle verfügbaren DNS-Server gleichzeitig abfragen und die Antwort des schnellsten verwenden. Kommt die schnellste Antwort vom DNS-Server des ISPs, tritt ein Leck auf.
• IPv6 Fallback: Selbst wenn der IPv4-Verkehr korrekt über einen Proxy oder VPN geleitet wird, könnte das OS versuchen, Domainnamen über IPv6 aufzulösen. Wenn der Proxy-/VPN-Dienst IPv6 nicht vollständig unterstützt oder seine IPv6-DNS-Resolver nicht korrekt konfiguriert sind, könnten die IPv6-DNS-Anfragen den Tunnel umgehen und direkt zu den IPv6-DNS-Servern des ISPs gehen.
• DHCP-zugewiesene DNS-Server: Beim Verbinden mit einem Netzwerk empfängt das Gerät DNS-Serveradressen über DHCP. Wenn der Proxy-/VPN-Client diese Standard-DNS-Einstellungen nicht korrekt überschreibt oder blockiert, kann das OS diese weiterhin verwenden.

Fehlfunktionen des Proxy-/VPN-Clients

• Softwareabstürze oder -trennungen: Wenn die Proxy- oder VPN-Client-Software abstürzt oder unerwartet die Verbindung trennt, kann das System zu seinen Standard-Netzwerkeinstellungen zurückkehren, einschließlich der DNS-Server des ISPs, bevor der Benutzer dies bemerkt.
• Split-Tunneling-Fehlkonfiguration: Obwohl Split-Tunneling eine legitime Funktion sein kann, kann eine falsche Konfiguration dazu führen, dass DNS-Anfragen für ausgeschlossene Anwendungen oder Ziele den sicheren Tunnel umgehen.
• Mangel an DNS-Leckschutz: Einige Proxy- oder VPN-Dienste implementieren möglicherweise keine robusten DNS-Leckschutzmechanismen, wie das automatische Setzen ihrer eigenen DNS-Server oder das Blockieren externer DNS-Anfragen.

Browser-spezifische DNS-Einstellungen

Einige Webbrowser (z.B. Chrome, Firefox) bieten eigene DoH-Implementierungen an, die unabhängig von den DNS-Einstellungen des Betriebssystems konfiguriert werden können. Wenn ein Browser so konfiguriert ist, dass er einen bestimmten DoH-Anbieter verwendet und der Proxy-/VPN-Dienst dies nicht abfängt oder verwaltet, könnten die DNS-Anfragen des Browsers den sicheren Tunnel umgehen.

Folgen eines DNS-Lecks

• Kompromittierung der Privatsphäre: Die gravierendste Folge. Ihr ISP und potenziell andere Entitäten, die den ISP-Verkehr überwachen, können Ihre DNS-Anfragen sehen und so die von Ihnen aufgerufenen Websites, Streaming-Dienste und Online-Anwendungen offenbaren. Diese Daten können für Profiling, gezielte Werbung oder staatliche Überwachung verwendet werden.
• Fehler beim Umgehen von Geo-Beschränkungen: Wenn ein Benutzer einen Proxy-Dienst nutzt, um Geo-Beschränkungen zu umgehen, wird ein DNS-Leck seinen tatsächlichen geografischen Standort den Inhaltsanbietern offenbaren, was zu Zugriffsblockaden führt.
• Sicherheitsrisiken: DNS-Anfragen können sensible Informationen über interne Netzwerkressourcen preisgeben, wenn ein Benutzer mit einem Unternehmensnetzwerk verbunden ist. Darüber hinaus sind unverschlüsselte DNS-Anfragen anfällig für DNS-Spoofing, bei dem ein Angreifer Benutzer auf bösartige Websites umleiten kann.

Erkennung eines DNS-Lecks

Zur Erkennung von DNS-Lecks können verschiedene Methoden eingesetzt werden.

Online-DNS-Lecktest-Tools

Zahlreiche Websites bieten eine automatisierte DNS-Leckerkennung an. Diese Tools führen typischerweise die folgenden Schritte aus:
1. Sie weisen Ihren Browser an, eine Reihe eindeutiger Domainnamen aufzulösen.
2. Sie beobachten, welche DNS-Server die Auflösung für diese Domains durchführen.
3. Sie vergleichen die IP-Adressen der auflösenden DNS-Server mit der IP-Adresse Ihres Proxy-/VPN-Tunnel-Exit-Knotens.
4. Wenn die DNS-Server-IP-Adressen zu Ihrem ISP oder einer anderen dritten Partei gehören, die nicht mit Ihrem Proxy-/VPN-Dienst verbunden ist, wird ein Leck angezeigt.

Beispiele für solche Tools sind dnsleaktest.com und ipleak.net.

Manuelle DNS-Server-Verifizierung

Befehlszeilentools können Einblicke in die derzeit von Ihrem System verwendeten DNS-Server geben.

Windows:

ipconfig /all

Suchen Sie nach DNS Servers unter Ihrem aktiven Netzwerkadapter.
Um aktive Verbindungen zu Port 53 zu überprüfen:

netstat -an | findstr ":53"

Dies listet aktive UDP- und TCP-Verbindungen zu Port 53 auf. Wenn Sie Verbindungen zu IP-Adressen sehen, die nicht zu den DNS-Servern Ihres Proxys/VPNs oder 127.0.0.1 gehören (wenn der Proxy lokales DNS handhabt), deutet dies auf ein Leck hin.

macOS:

scutil --dns

Überprüfen Sie die Einträge nameserver[0].
Um aktive Verbindungen zu Port 53 zu überprüfen:

lsof -i :53

Linux:

cat /etc/resolv.conf

Die nameserver-Einträge geben die konfigurierten DNS-Server an. Beachten Sie, dass auf Systemen, die systemd-resolved oder ähnliche Dienste verwenden, resolv.conf auf einen lokalen Resolver (z.B. 127.0.0.53) verweisen könnte, der dann Anfragen weiterleitet. In solchen Fällen ist eine weitere Untersuchung der Konfiguration des lokalen Resolvers erforderlich.
Um aktive Verbindungen zu Port 53 zu überprüfen:

sudo netstat -tulpn | grep :53

DNS-Lecks verhindern

Eine effektive Prävention von DNS-Lecks erfordert einen mehrschichtigen Ansatz, der robuste Proxy-/VPN-Client-Funktionen mit OS-Ebene-Konfigurationen kombiniert.

1. Einen robusten Proxy-/VPN-Dienst nutzen

Ein hochwertiger Proxy- oder VPN-Dienst sollte einen integrierten DNS-Leckschutz bieten. Zu den wichtigsten Funktionen gehören:
* Proprietäre DNS-Server: Der Dienst sollte alle DNS-Anfragen über seine eigenen sicheren, verschlüsselten DNS-Server leiten.
* DNS-Rebinding-Schutz: Verhindert, dass bösartige DNS-Antworten den Verkehr auf interne Netzwerkadressen umleiten.
* Kill Switch: Blockiert automatisch den gesamten Internetverkehr, wenn die sichere Verbindung abbricht, um Daten- und DNS-Lecks zu verhindern.
* IPv6-Leckschutz: Leitet entweder IPv6-Verkehr durch einen Tunnel, deaktiviert IPv6 oder leitet IPv6-DNS-Anfragen über seine eigenen Resolver.

2. DNS-Einstellungen des Betriebssystems konfigurieren

Das manuelle Konfigurieren Ihrer OS-DNS-Einstellungen kann Standardeinstellungen überschreiben und Lecks verhindern.

DNS auf Loopback-Adresse (127.0.0.1) setzen:
Wenn Sie einen Proxy- oder VPN-Client verwenden, der als lokaler DNS-Resolver fungiert, konfigurieren Sie die DNS-Einstellungen Ihres Netzwerkadapters auf 127.0.0.1. Dies zwingt alle DNS-Anfragen, vom lokalen Client verarbeitet zu werden, der sie dann sicher durch den Tunnel weiterleitet.

Windows Smart Multi-Homed Name Resolution deaktivieren:
Diese Funktion kann über den Gruppenrichtlinien-Editor oder den Registrierungs-Editor deaktiviert werden.

• Gruppenrichtlinien-Editor (gpedit.msc) - Windows Pro/Enterprise:
  1. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Netzwerk > DNS-Client.
  2. Suchen Sie Intelligente Multi-Homed-Namensauflösung deaktivieren.
  3. Setzen Sie sie auf Aktiviert.
• Registrierungs-Editor (regedit.exe) - Alle Windows-Versionen:
  1. Navigieren Sie zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters.
  2. Erstellen Sie einen neuen DWORD-Wert (32-Bit) namens DisableSmartNameResolution.
  3. Setzen Sie dessen Wert auf 1.

IPv6 deaktivieren (falls nicht erforderlich):
Wenn Ihr Proxy-/VPN-Dienst kein vollständiges IPv6-Tunneling unterstützt, kann das Deaktivieren von IPv6 auf Ihrem Netzwerkadapter IPv6-bezogene DNS-Lecks verhindern.

• Windows:
  1. Gehen Sie zu Netzwerk- und Freigabecenter > Adaptereinstellungen ändern.
  2. Klicken Sie mit der rechten Maustaste auf Ihren aktiven Netzwerkadapter > Eigenschaften.
  3. Deaktivieren Sie Internetprotokoll Version 6 (TCP/IPv6).
• macOS/Linux:
  Konsultieren Sie die spezifische Dokumentation der Distribution/Version zum Deaktivieren von IPv6, oft über Netzwerkkonfigurationsdateien oder Kernelparameter.

3. Firewall-Regeln implementieren

Konfigurieren Sie Ihre Firewall so, dass sie den gesamten ausgehenden DNS-Verkehr (UDP/TCP Port 53, TCP Port 853 für DoT, TCP Port 443 für DoH) blockiert, der nicht von Ihrer Proxy-/VPN-Anwendung stammt oder nicht explizit von dieser zugelassen wird. Dies stellt sicher, dass jeder Versuch, den sicheren Tunnel für DNS-Anfragen zu umgehen, blockiert wird.

4. Browser-Ebene DNS-Konfiguration

Wenn Sie einen Browser mit integriertem DoH verwenden, konfigurieren Sie ihn so, dass er einen DoH-Anbieter verwendet, der Ihren Datenschutzziele entspricht, oder deaktivieren Sie DoH auf Browserebene, um sicherzustellen, dass alle DNS-Anfragen vom System-Resolver (und somit vom Proxy/VPN) verarbeitet werden.

5. Verschlüsselte DNS-Protokolle systemweit nutzen

Erwägen Sie, Ihr System so zu konfigurieren, dass es DoH-, DoT- oder DNSCrypt-Resolver direkt verwendet, insbesondere wenn Ihr Proxy-Dienst die Weiterleitung an bestimmte verschlüsselte DNS-Endpunkte unterstützt. Dies fügt Ihren DNS-Anfragen eine zusätzliche Verschlüsselungsebene hinzu, bevor sie überhaupt den DNS-Resolver des Proxy-Dienstes erreichen.

Vergleich der DNS-Auflösungsmethoden

Durch das Verständnis der Mechanismen von DNS-Lecks und die Implementierung dieser Präventionsstrategien können Benutzer ihre Online-Privatsphäre und -Sicherheit bei der Nutzung von Proxy-Diensten erheblich verbessern.