DNS einfach erklärt

Das Telefonbuch des Internets: Wie aus „privatcheck.com“ eine IP-Adresse wird, welche Record-Typen es gibt – und warum DNS ein Datenschutz-Thema ist.

Kaum jemand tippt IP-Adressen in den Browser – wir nutzen Namen wie privatcheck.com. Computer dagegen verstehen nur Zahlen wie 212.85.29.112. Das Domain Name System (DNS) übersetzt zwischen beiden Welten: Es ist das Telefonbuch des Internets, das zu jedem Namen die passende Nummer heraussucht – Milliarden Mal am Tag, meist in wenigen Millisekunden.

DNS ist unsichtbare Infrastruktur, bis es nicht funktioniert („Seite nicht erreichbar“) oder missbraucht wird. Dieser Artikel erklärt die Auflösung Schritt für Schritt, die wichtigsten Eintragstypen und warum verschlüsseltes DNS (DoH/DoT) für Ihre Privatsphäre relevant ist.

Das Telefonbuch des Internets

Die Analogie trägt erstaunlich weit: Wie ein Telefonbuch Namen zu Nummern zuordnet, ordnet DNS Domainnamen zu IP-Adressen zu. Und wie es Auskunft, Branchen- und Telefonbücher gibt, ist auch DNS hierarchisch aufgebaut – niemand muss das komplette Verzeichnis kennen, jede Ebene verweist auf die nächste.

Der entscheidende Unterschied zum Telefonbuch: DNS ist verteilt und live. Es gibt keine zentrale Datei, sondern Millionen Server weltweit, die jeweils für ihre Zone zuständig sind und sich gegenseitig befragen. Fällt einer aus, übernehmen andere – deshalb ist das System so robust.

So läuft eine DNS-Abfrage ab – in vier Schritten

Sie tippen www.beispiel.de in den Browser. Was dann in Millisekunden passiert:

1. Der Resolver fragt zuerst sich selbst: Ihr Gerät fragt den DNS-Resolver – meist den Ihres Internetanbieters oder Routers. Hat er die Antwort kürzlich schon einmal geholt, liefert er sie sofort aus dem Cache (Zwischenspeicher). Nur wenn nicht, geht es weiter.
2. Der Root-Server weist den Weg: Der Resolver fragt einen der 13 Root-Server-Verbünde: „Wer ist für .de zuständig?“ Die Antwort ist kein Ziel, sondern ein Verweis auf die zuständigen Server der DE-Zone.
3. Der TLD-Server verfeinert: Der für .de zuständige Server (betrieben von der DENIC) antwortet mit dem nächsten Verweis: „Für beispiel.de sind diese Nameserver zuständig.“
4. Der autoritative Server liefert die Antwort: Der Nameserver der Domain selbst – die einzige Stelle mit den verbindlichen Daten – antwortet schließlich mit der IP-Adresse, z. B. 93.184.216.34. Der Resolver merkt sie sich für die Gültigkeitsdauer (TTL) und gibt sie an Ihren Browser weiter.

Merken Sie sich: Der Resolver ist Ihr Auskunftsdienst (er fragt für Sie), Root und TLD sind Wegweiser (sie kennen nur die nächste Ebene), und nur der autoritative Nameserver kennt die tatsächliche Antwort. Dieses Prinzip – jede Ebene weiß nur das Nötigste – macht DNS skalierbar.

Die wichtigsten Record-Typen

DNS speichert nicht nur IP-Adressen, sondern verschiedene Eintragstypen (Records) pro Domain. Die wichtigsten:

Welche Records eine Domain tatsächlich gesetzt hat, sehen Sie mit unserem DNS-Lookup – einfach Domain eingeben, Typ wählen, Ergebnis ablesen. Für E-Mail-Sicherheit besonders interessant ist unser MX/SPF-Check: Er zeigt auf einen Blick, ob eine Domain ihre Mailserver- und Schutzeinträge (SPF, DKIM, DMARC) korrekt konfiguriert hat.

Wenn DNS missbraucht wird: Hijacking, Zensur, Überwachung

DNS ist mächtig – wer die Namensauflösung kontrolliert, kontrolliert, wohin Sie surfen. Die klassischen Probleme:

• DNS-Hijacking: Angreifer (oder unseriöse Anbieter) fälschen Antworten und leiten Sie auf betrügerische Kopien echter Seiten um – etwa eine täuschend echte Bank-Seite. Besonders tückisch, weil die Adresse in der Adresszeile stimmt.
• Zensur per DNS-Sperre: Staaten und manche Provider blockieren unerwünschte Seiten, indem sie für deren Domains falsche oder keine Antworten liefern. In Deutschland betrifft das z. B. Netzsperren gegen illegale Glücksspiel- oder Urheberrechts-Seiten.
• Cache Poisoning: Angreifer schmuggeln gefälschte Einträge in den Zwischenspeicher eines Resolvers – dann bekommen alle dessen Nutzer die falsche Antwort. Moderne Verfahren (zufällige Ports, DNSSEC) haben das deutlich erschwert.
• Überwachung: Klassische DNS-Anfragen laufen unverschlüsselt über Port 53. Ihr Internetanbieter – und jeder Mitleser im Netz – sieht im Klartext, welche Domains Sie aufrufen. Ein vollständiges Surfprofil, ganz ohne Cookies.

Der letzte Punkt ist der für die meisten relevante: Selbst mit HTTPS (das nur den Inhalt verschlüsselt) verrät die DNS-Anfrage, welche Seite Sie besuchen. Genau hier setzen DoH und DoT an.

DoH und DoT: verschlüsseltes DNS

Zwei Standards verschlüsseln die DNS-Anfrage zwischen Ihrem Gerät und dem Resolver – und schließen damit die Klartext-Lücke:

Wichtig für die Einordnung: DoH/DoT verschlüsseln nur die Anfrage an den Resolver. Der Resolver-Betreiber selbst sieht weiterhin alle Ihre Anfragen – Sie verlagern das Vertrauen vom Internetanbieter zum DNS-Anbieter. Wählen Sie deshalb einen mit klarer Datenschutz-Politik (z. B. Quad9 als Non-Profit oder Cloudflare mit Löschversprechen), nicht irgendeinen.

So aktivieren Sie es: In Firefox unter Einstellungen → Datenschutz & Sicherheit → „DNS über HTTPS“; in Chrome unter Einstellungen → Datenschutz und Sicherheit → Sicherheit → „Sicheres DNS verwenden“. Auf Android: Einstellungen → Netzwerk → Privates DNS → Hostname eines Anbieters eintragen (z. B. dns.quad9.net). Viele Router – etwa die FRITZ!Box – unterstützen DoT ebenfalls direkt für das ganze Heimnetz.

Quellen: RFC 1034/1035 (DNS-Grundlagen), RFC 8484 (DoH), RFC 7858 (DoT); DENIC, BSI. Stand: Oktober 2026. Alle Angaben ohne Gewähr.

Etwas stimmt nicht? Fehler melden