DNS-Leak vs. DNS-Poisoning: so prüfen und beheben Sie es

DNS ist so etwas wie die Wegauskunft des Internets. Sie tippen einen Domainnamen ein, das Gerät braucht aber eine IP-Adresse – und die Frage dazwischen, welche Adresse zu diesem Namen gehört, wird einem DNS-Server gestellt. Standardmäßig ist das ein Server Ihres Anbieters oder Ihres Routers, und klassische DNS-Anfragen sind unverschlüsselt: Geräte unterwegs können die Frage mitlesen und haben die Chance, schneller zu antworten als der echte Server.

Bei DNS-Poisoning wird diese Antwort durch eine falsche ersetzt: Der Name zeigt auf eine fremde oder auf eine nicht erreichbare Adresse. Für Sie als Nutzer sieht das so aus:

• Bestimmte Seiten laden endlos, laufen in einen Timeout oder melden „Verbindung zurückgesetzt“, während andere Seiten im selben Moment normal funktionieren.
• Ein öffentlicher DNS-Server hilft nicht: Die falsche Antwort wird unterwegs eingeschleust – egal, wen Sie fragen, sie kommt Ihnen immer zuvor.
• Derselbe Name liefert jedes Mal eine andere Adresse, und diese Adressen gehören Organisationen, die mit der Website nichts zu tun haben.
• Der Browser zeigt einen Zertifikatsfehler: Der Name wurde auf einen fremden Server umgeleitet, der das Zertifikat der Website nicht vorweisen kann. Brechen Sie hier ab und klicken Sie die Warnung nicht weg.
• In einem anderen Netz (etwa mobilen Daten) oder mit verbundenem VPN öffnet sich dieselbe Seite sofort.

Wenn das Muster schon lautet „mit VPN geht es, ohne nicht“, reicht das als Befund. Ob ein bestimmter Name korrekt aufgelöst wird, prüfen Sie in vier Schritten.

1. Fragen Sie bei ausgeschaltetem VPN den Namen in der Kommandozeile eines Computers ab – ersetzen Sie example.com durch die betroffene Domain – und notieren Sie die zurückgegebene Adresse: nslookup example.com
2. Verbinden Sie das VPN (eine Methode für das ganze Gerät, globaler Modus) und fragen Sie denselben Namen noch einmal ab. Unterschiedliche Ergebnisse sind normal, große Websites haben Server an vielen Orten; entscheidend ist der nächste Schritt.
3. Prüfen Sie die erste Adresse auf einer IP-Auskunftsseite wie ipinfo.io: Wem gehört sie? Gehört sie der Website selbst oder ihrem Cloud-Anbieter, ist die Auflösung in Ordnung. Gehört sie einer fremden Organisation oder ist sie gar nicht erreichbar, war die Antwort manipuliert.
4. Wiederholen Sie das ein paar Mal. Echte Ergebnisse bleiben in einem kleinen, festen Adressbereich; manipulierte wechseln oft bei jeder Abfrage.

Es gibt vier Ansätze, von teilweise bis vollständig. Die ersten beiden ändern nur, wen Sie fragen; der dritte löst Auflösung und Datenweg zusammen.

• DNS-Server wechseln: hilft, wenn das DNS des Anbieters selbst falsch ist oder eine alte Adresse zwischengespeichert hat. Gegen unterwegs eingeschleuste Antworten bewirkt es nichts.
• Verschlüsseltes DNS (DoH, DoT): Die Anfrage kann unterwegs nicht verändert werden, Sie erhalten die echte Adresse. Die echte Adresse kann aber trotzdem unerreichbar sein – das ist also nur die halbe Lösung.
• Auflösung und Datenverkehr gemeinsam über die Verbindung schicken: die vollständige Lösung. Der Name wird am anderen Ende aufgelöst, die Antwort ist echt, und auch der Aufruf selbst geht vom anderen Ende aus.
• Die hosts-Datei bearbeiten und eine Adresse von Hand festlegen: Das bricht, sobald sich die Adresse ändert, und taugt höchstens für eine Handvoll Seiten. Als Notlösung geeignet.
• LeoTun verfolgt den dritten Ansatz: Das DNS wird von der Verbindung vorgegeben und im Tunnel aufgelöst, das ursprüngliche DNS des Geräts wird nicht benutzt. Beim Web-Proxy löst der Proxy-Server die Namen für den Browser auf. Der Router erledigt das für alle Geräte im Haushalt und löst chinesische Seiten auf dem inländischen Weg auf, damit sie direkt aufgehen. Mit unseren Verbindungen müssen Sie normalerweise keine DNS-Einstellung ändern.

• DNS-Poisoning: Die Antwort ist falsch. Die Seite öffnet sich nicht oder Sie landen woanders. Das passiert, wenn Sie nicht über die Verbindung gehen oder die Auflösung nicht darüber läuft.
• DNS-Leak: Die Antwort ist echt, gefragt wurde aber Ihr lokaler Anbieter. Er erfährt, welche Domains Sie ansteuern, und eine Videoplattform kann daraus Ihren tatsächlichen Standort ableiten. Das passiert, wenn das VPN verbunden ist, die Anfragen aber außerhalb des Tunnels laufen.
• Häufige Ursachen für einen Leak: sicheres DNS im Browser oder im System eingeschaltet; ein anderes VPN oder Mesh-Netzwerk-Tool läuft gleichzeitig; IPv6 des Geräts geht nicht durch den Tunnel.
• Wer außerhalb Chinas chinesische Videos schaut, erkennt einen Leak typischerweise an „verbunden, IP stimmt, trotzdem kommt der Regionshinweis“. Die Schritte finden Sie unter Tencent Video oder iQIYI im Ausland gesperrt.

1. Exit-IP: Öffnen Sie nach dem Verbinden eine IP-Auskunftsseite wie ipinfo.io oder ip.sb. Adresse und Standort sollten zum gewählten Ausgang passen, nicht zu Ihrem Festnetzanschluss zu Hause.
2. DNS: Öffnen Sie einen DNS-Leak-Test (dnsleaktest.com oder die DNS-Seite auf browserleaks.com). Dort stehen die Server, die Ihre Namen auflösen. Im globalen Modus sollte Ihr lokaler Anbieter nicht in der Liste auftauchen.
3. IPv6: Öffnen Sie test-ipv6.com. Wird IPv6 als nicht verfügbar angezeigt oder erscheint eine Adresse, die nicht Ihre lokale ist, ist alles in Ordnung.
4. Im Split-Routing-Modus anders lesen: Chinesische Seiten sollen inländisch aufgelöst werden, ein chinesischer Server auf der Testseite ist also nicht unbedingt ein Leak. Zur Sicherheit auf global umschalten und erneut testen.
5. Trennen Sie die Verbindung, führen Sie alles noch einmal aus und vergleichen Sie. Sind beide Durchläufe identisch, geht der Verkehr nicht über die Verbindung – prüfen Sie, ob der Client wirklich verbunden ist.

Mit eingeschaltetem Split-Routing ist das normal – genau so soll Split-Routing arbeiten. Wer in China ist und eine Region im Ausland gewählt hat, erreicht eine chinesische IP-Auskunftsseite direkt, sie sieht also die Adresse Ihres Anschlusses vor Ort; eine ausländische Auskunftsseite läuft über die Verbindung und sieht die Exit-Adresse. Beide stimmen: Die eine beantwortet „wo sehen mich chinesische Seiten“, die andere „wo sehen mich ausländische Seiten“.

Dasselbe gilt für den China-Zugang: Chinesische Seiten werden von China aus aufgerufen, ausländische kommen über eine Auslandsleitung an – eine ausländische Auskunftsseite zeigt also das Auslandsende.

Eine dritte Art von Abweichung kommt aus den Datenbanken. Zu welchem Land oder welcher Stadt eine IP gehört, hängt von der Geodatenbank ab, die jede Auskunftsseite nutzt, und diese werden zu unterschiedlichen Zeiten aktualisiert. Dass eine IP auf zwei Seiten verschiedene Städte, ja sogar verschiedene Länder zeigt, ist nicht ungewöhnlich. Maßgeblich für eine Website oder App ist ihre eigene Datenbank.

Um den Ausgang zu sehen, wenn alles über die Verbindung läuft, stellen Sie den Client auf global und schauen Sie erneut. Wie Split-Routing auf dem Router in beide Richtungen funktioniert und wie Sie es prüfen, steht unter So funktioniert Split-Routing auf einem VPN-Router.

Ein IP-Sauberkeits-Score, auch IP-Reputation oder Fraud Score genannt, ist eine Risikobewertung, die manche Prüfseiten einer Adresse geben. Einen gemeinsamen Standard gibt es nicht; jede Seite rechnet nach eigener Formel, und dieselbe Adresse kann von Seite zu Seite sehr unterschiedlich abschneiden. Gemessen wird, wie sehr eine Website die Adresse als gewöhnlichen Privatanschluss einstuft. Über den Schutz Ihrer Daten sagt der Wert nichts. Vier Faktoren bestimmen ihn hauptsächlich:

• Adresstyp: privater Festnetzanschluss, Mobilfunknetz oder Rechenzentrum.
• Ob sie als Proxy oder VPN markiert ist: Manche Datenbanken sammeln genau solche Adressen.
• Vorgeschichte: ob von der Adresse Spam kam, eine API überlastet wurde oder Meldungen eingingen.
• Wie viele Menschen sie gleichzeitig nutzen: Teilen sich viele einen Ausgang, wird das Verhalten aller derselben Adresse zugerechnet.

Geteilte Ausgänge schneiden von Natur aus schlechter ab. Viele Nutzer teilen sich eine Exit-Adresse, und hat einer davon jemals eine Risikoprüfung ausgelöst, bleibt der Eintrag an dieser Adresse hängen. Außerdem liegt die Adresse in einem Rechenzentrumsbereich, was schon wegen des Typs Punkte kostet. Das gilt für VPN- und Proxy-Ausgänge ganz allgemein.

Praktisch bedeutet ein niedriger Score mehr CAPTCHAs, zusätzliche Prüfungen auf manchen Seiten und einige wenige Dienste, die Rechenzentrumsadressen ablehnen. Nehmen Sie das Ergebnis als Anhaltspunkt. Weist Sie eine bestimmte Seite ab, verbinden Sie sich über eine andere Region neu: Jede Region hat andere Exit-Adressen, und hinter jeder Region stehen mehrere Server.

Ein Router muss sehen, nach welchem Namen ein Gerät fragt, bevor er entscheiden kann, ob der Aufruf über die Verbindung oder direkt läuft. Hat ein Gerät verschlüsseltes DNS (DoH oder DoT) eingeschaltet, fragt es über einen eigenen verschlüsselten Kanal bei einem fremden Server; der Router sieht die Anfrage nie, und das Split-Routing greift für dieses Gerät nicht mehr: Was über die Verbindung sollte, tut es nicht, oder chinesische Seiten nehmen einen Umweg. Spinnt nur ein Gerät im Haushalt, prüfen Sie das zuerst.

• Android: Einstellungen → Netzwerk & Internet → Privates DNS, „Aus“ wählen. Die Menünamen unterscheiden sich je nach Hersteller; eine Suche nach „Privates DNS“ in den Einstellungen findet es.
• Chrome: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS verwenden, ausschalten. Edge und Firefox haben eine entsprechende Option in den Datenschutzeinstellungen; bei Firefox heißt sie „DNS über HTTPS“.
• iPhone und Mac: Einen zentralen Systemschalter gibt es nicht. Haben Sie eine DNS-App oder ein DNS-Profil installiert, deaktivieren Sie es unter Einstellungen → Allgemein → VPN und Geräteverwaltung, und schalten Sie iCloud Privat-Relay aus, falls es aktiv ist.
• Verbinden Sie das Gerät danach neu mit dem WLAN und prüfen Sie es mit der Methode im letzten Abschnitt von dem Ratgeber zum Split-Routing auf dem Router.