Was ist ein DNS-Lookup?

In diesem Artikel besprechen wir DNS-Lookups – was sie sind, wie sie funktionieren und wie sie sich auf die Online-Privatsphäre und Zensur auswirken.

Ein DNS-Lookup bezeichnet den Prozess des Abgleichens der URL, die du in die Adressleiste deines Browsers eingibst (der lesbare Domain-Name), mit der dazugehörigen IP-Adresse.

Alle Geräte, die sich direkt mit dem Internet verbinden, werden durch eine numerische Kennzeichnung identifiziert, die als IP-Adresse bezeichnet wird. Um es uns Menschen einfacher zu machen, kann diese Adresse auch über besser lesbare und einprägsame Domain-Namen identifiziert werden. Das Domain Name System (DNS) ordnet diese Domain-Namen den entsprechenden IP-Adressen zu.

Mehr über IP-Adressen erfahren

Die Website von Proton VPN verwendet beispielsweise den Domain-Namen protonvpn.com, der der IP-Adresse 185.159.159.140 entspricht. Wenn du www.protonvpn.com in die URL-Leiste deines Browsers eintippst, muss der Domain-Name in die entsprechende IP-Adresse umgewandelt werden, damit Computer ihn verstehen können.

Diese Umwandlung wird mithilfe von DNS durchgeführt. Wenn du also protonvpn.com eingibst, wandelt DNS den Domain-Namen in die IP-Adresse 185.159.159.140 um. Dadurch kann dein Browser die richtige Website finden und eine Verbindung zu ihr herstellen.

Domain-Namen existieren ausschließlich aus Gründen der menschlichen Bequemlichkeit und sind für das Funktionieren des Internets nicht erforderlich. Wenn du dir IP-Adressen merken könntest, könntest du diese direkt eingeben. Um das in Aktion zu sehen, gib einfach 185.159.159.140 in die URL-Leiste deines Browsers ein und du wirst zur Website von Proton VPN weitergeleitet.

• Wie ein DNS-Lookup funktioniert
• DNS, Zensur und staatliche Überwachung
• DNS-Dienste von Drittanbietern
• DNS und VPNs
• NetShield Ad-blocker
• DNS-Leaks
• Gängige DNS-Eintragstypen
• DNS-Lookup-Befehle
• DNS-Lookup-Tools

Wie ein DNS-Lookup funktioniert

DNS wird oft mit einem Telefonbuch verglichen, das Domain-Namen und die dazugehörigen IP-Adressen abgleicht. Dies ist eine nützliche Analogie, um zu verstehen, was DNS tut, aber in der Realität ist die Funktionsweise komplexer.

DNS-Resolver

Wenn du einen Domain-Namen in die URL-Leiste deines Browsers eingibst, wird eine DNS-Abfrage an einen speziellen Server gesendet, der als DNS-Resolver (auch DNS-Rekursor oder einfach DNS-Server) bezeichnet wird.

Wie der Name schon sagt, „löst“ der DNS-Resolver die DNS-Abfrage auf, indem er die entsprechende IP-Adresse der Domain abruft und sie an deinen Browser zurücksendet. Da er nun die IP-Adresse der Website kennt, die du besuchen möchtest, kann dein Browser eine Verbindung zu ihr herstellen.

So weit, so einfach. Aber wie ruft der DNS-Resolver die richtige DNS-Adresse für eine Domain ab (ein Prozess, der dadurch erschwert wird, dass ständig neue Domains erstellt werden und IP-Adressen Domains oft dynamisch zugewiesen werden und sich daher regelmäßig ändern)?

Wie eine Domain mithilfe von DNS aufgelöst wird

Ein DNS-Lookup für eine Top-Level-Domain(neues Fenster) (TLD) umfasst in der Regel die folgenden Schritte:

1. Du gibst protonvpn.com in die URL-Leiste deines Browsers ein. Dein Browser sendet diese Abfrage über das Internet an einen DNS-Resolver.

2. Der DNS-Resolver sendet eine Abfrage an einen DNS-Root-Nameserver. Dies ist ein Server, der Informationen über TLDs (wie .com oder .net oder Ländercode-TLDs wie .ch oder .uk) speichert. Da unsere Abfrage (protonvpn.com) war, würde der DNS-Root-Nameserver auf den DNS-Resolver für „.com“-TLDs verweisen.

3. Mit diesen Informationen ausgestattet, fragt der DNS-Resolver nun den .com-TLD-Nameserver ab, der eine Liste aller .com-Domains verwaltet. Der TLD-Nameserver antwortet mit der IP-Adresse des autoritativen Nameservers der Domain.

4. Der DNS-Resolver kann nun den autoritativen Nameserver der Domain abfragen. Dieser wird in der Regel von einem Domain-Name-Registrar(neues Fenster) betrieben – einem Unternehmen, das Domain-Namen vermietet und verwaltet (wie GoDaddy oder Namecheap). Der autoritative Nameserver ist die endgültige Quelle der Wahrheit über die Domain und kann deren IP-Adresse an den DNS-Resolver zurückgeben (in unserem Fall ist das 185.159.159.140).

5. Der DNS-Resolver sendet die richtige IP-Adresse an deinen Browser, der nun eine Verbindung zu 185.159.159.140 herstellen kann.

In der Realität ist die Situation noch etwas komplizierter. Viele Domains sind beispielsweise mit mehreren IP-Adressen verknüpft (sowohl mit IPv4- als auch mit IPv6-Adressen), und es sind zusätzliche Schritte erforderlich, wenn du eine Subdomain besuchst (wie blog.protonvpn.com).

Informationen werden zudem in allen Phasen des Prozesses routinemäßig zwischengespeichert (lokal gespeichert) – von deinem Browser, vom DNS-Resolver und von den verschiedenen Nameservern. Wenn die benötigten Informationen in einem Cache gefunden werden, wird keine Anfrage gesendet, was dazu führt, dass einige Schritte übersprungen werden.

Im Wesentlichen funktioniert DNS jedoch so bei einem ganz normalen Besuch einer Website.

DNS, Zensur und staatliche Überwachung

Standardmäßig sendet dein Browser deine DNS-Abfragen an einen DNS-Resolver, der von deinem Internetdienstanbieter (ISP) betrieben wird. Dein ISP kann verschiedene Methoden anwenden, um zu sehen, was du im Internet tust, aber die bei Weitem einfachste (und günstigste) Methode ist es, einfach deine DNS-Abfragen zu überwachen.

Die meisten staatlichen Massenüberwachungsprogramme basieren darauf, dass ISPs verpflichtet werden, Protokolle über den Browserverlauf ihrer Kunden zu führen. Und weil es einfach und günstig ist, kommen die meisten ISPs diesen gesetzlichen Verpflichtungen nach, indem sie lediglich DNS-Protokolle führen.

Ebenso fordern Regierungen, wenn sie Internetinhalte aus sozialen, religiösen, politischen oder „moralischen“ Gründen zensieren wollen, inländische ISPs auf, diese Sperren durchzusetzen. Und der einfachste Weg, dies zu tun, besteht darin, DNS-Abfragen für bestimmte Websites und Apps zu blockieren.

DNS-Dienste von Drittanbietern

Eine Möglichkeit, zumindest einen Teil dieser Zensur und Überwachung zu umgehen, besteht darin, einen DNS-Resolver von Drittanbietern wie Cloudflare 1.1.1.1 oder OpenNIC zu verwenden.

Einige dieser Dienste haben möglicherweise gute Datenschutzrichtlinien, aber sofern die Verbindungen zu den DNS-Resolver-Servern nicht mit DNS over TLS (DoT) oder DNS over HTTPS (DoH) verschlüsselt sind, kann dein ISP die Anfragen im Klartext einsehen, wenn er sich dazu entscheidet, hinzusehen.

Das Verschlüsseln von DNS-Abfragen macht es für einen ISP schwieriger (und damit teurer), deinen Browserverlauf zu überwachen, aber er kann immer noch relativ leicht nachverfolgen, mit welchen Websites und Apps du dich verbindest, wenn er dies möchte.

DNS und VPNs

Wenn du ein VPN (wie Proton VPN) verwendest, wird deine Verbindung zum VPN-Server verschlüsselt. Mit einigem Aufwand kann dein ISP sehen, dass du dich mit einer IP-Adresse verbunden hast, die dem VPN-Server gehört, aber das war es auch schon.

DNS-Abfragen werden durch den VPN-Tunnel gesendet und vom VPN-Anbieter aufgelöst, der möglicherweise einen eigenen DNS-Resolver betreibt oder einen VPN-Resolver eines Drittanbieters verwendet. Dies hat keine Auswirkungen auf die Privatsphäre, da die DNS-Abfragen anscheinend vom VPN-Server und nicht vom VPN-Benutzer stammen.

Erfahre, wie ein VPN funktioniert

Es ist erwähnenswert, dass bei der Verwendung eines VPN kein verschlüsseltes DNS erforderlich ist, da alle DNS-Abfragen ohnehin durch den verschlüsselten VPN-Tunnel gesendet werden.

Es wird auch nicht empfohlen, einen DNS-Resolver von Drittanbietern zusammen mit einem VPN zu verwenden. Wenn du dein System auf diese Weise konfigurierst, kann dies dazu führen, dass deine DNS-Abfragen außerhalb des VPN-Tunnels an den DNS-Resolver des Drittanbieters gesendet werden.

Erfahre mehr über DNS-Leaks

NetShield Ad-blocker

Proton VPN bietet NetShield Ad-blocker in all unseren Apps an. Dies ist eine DNS-Filterfunktion, die DNS-Abfragen an Domains blockiert, von denen bekannt ist, dass sie Werbeunternehmen, Online-Trackern und Malware gehören. Sie (und andere ähnliche DNS-Filterdienste) funktioniert auf der Ebene des DNS-Resolvers, indem sie DNS-Abfragen an auf der Blockliste stehende Domains einfach nicht auflöst.

Mehr über NetShield Ad-blocker erfahren

Technisch gesehen stellt dies ein DNS-Leak dar (siehe unten). Das ist vielleicht kein allzu großes Problem, wenn die DNS-Abfrage verschlüsselt ist und du dem DNS-Resolver vertraust, aber es bringt einen unnötigen Drittanbieter (und damit eine potenzielle Schwachstelle) ins Spiel.

DNS-Leaks

Bei der Verwendung eines VPN sollten alle DNS-Abfragen durch den VPN-Tunnel gesendet werden, um vom VPN-Anbieter aufgelöst zu werden. Wenn die DNS-Abfrage aus irgendeinem Grund außerhalb des VPN-Tunnels an einen DNS-Resolver eines Drittanbieters gesendet wird, liegt ein DNS-Leak vor. Die fehlerhafte Weiterleitung von IPv6-DNS-Anfragen durch den VPN-Tunnel ist eine häufige Ursache für DNS-Leaks.

Da es sich bei diesem Drittanbieter wahrscheinlich um deinen ISP handelt, stellen DNS-Leaks ein ernstes Problem für die Privatsphäre dar. Es versteht sich von selbst, dass alle Proton VPN-Apps über einen starken integrierten DNS-Leak-Schutz verfügen.

Häufige DNS-Eintragstypen

Hier sind einige der wichtigsten DNS-Eintragstypen, die abgefragt werden können:

• A (Address) Record: Weist einem Domainnamen eine IPv4-Adresse zu. Beispiel: example.com → 192.0.2.1
• AAAA (Quad A) Record: Weist einem Domainnamen eine IPv6-Adresse zu. Beispiel: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
• CNAME (Canonical Name) Record: Weist einen Domainnamen einem anderen Domainnamen zu, wodurch im Wesentlichen ein Alias von einem Namen auf einen anderen erstellt wird. Beispiel: www.example.com → example.com
• MX (Mail Exchange) Record: Gibt die Mailserver an, die für den Empfang von E-Mails im Namen einer Domain zuständig sind. Beispiel: example.com → mail.example.com (Priorität 10 – die Prioritätsnummer gibt die Priorität an, wobei Anfragen mit niedrigerer Priorität bevorzugt werden).
• PTR (Pointer) Record: Weist eine IP-Adresse einem Domainnamen zu und wird hauptsächlich für Reverse-DNS-Abfragen verwendet. Beispiel: 192.0.2.1 → example.com
• NS (Name Server) Record: Gibt die autoritativen Nameserver für eine Domain an. Beispiel: example.com → ns1.example.com, ns2.example.com
• SOA (Start of Authority) Record: Bietet wichtige Informationen über die Domain, einschließlich des Hauptnameservers, der E-Mail des Domain-Administrators, der Domain-Seriennummer (die bei der Verwaltung und Synchronisierung von DNS-Daten über mehrere DNS-Server hinweg hilft) sowie der Aktualisierungs-, Wiederholungs- und Ablauf-Timer (Beispiel: example.com → ns1.example.com, admin.example.com, 2024041501)
• TXT (Text) Record: Enthält beliebige Textdaten, die häufig für die E-Mail-Überprüfung (wie SPF oder DKIM) und andere Verifizierungszwecke verwendet werden. Beispiel: example.com → “v=spf1 include:example.com ~all”
• SRV (Service) Record: Gibt den Standort von Servern für bestimmte Dienste an, wie das SIP(neues Fenster)-Internet-Telefonieprotokoll, das XMPP(neues Fenster)-Messaging-Protokoll usw. Beispiel: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
• CAA (Certification Authority Authorization) Record: Gibt an, welche Zertifizierungsstellen (CAs) Zertifikate für eine Domain ausstellen dürfen. Beispiel: example.com → 0 issue “letsencrypt.org”
• NAPTR (Naming Authority Pointer) Record: Wird für die URL-Auflösung und die Definition von Rewrite-Regeln für verschiedene Dienste wie VoIP verwendet. Beispiel: example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
• DNSKEY: Enthält den öffentlichen Signaturschlüssel, der in DNSSEC verwendet wird (einer Reihe von Spezifikationen, die eine zusätzliche Sicherheitsebene für DNS bieten sollen).
• . Beispiel: example.com → 256 3 13 …
• DS (Delegation Signer) Record: Enthält den Hash eines DNSKEY-Eintrags, um Delegierungen in DNSSEC zu sichern. Beispiel: example.com → 12345 13 2 …
• SPF (Sender Policy Framework) Record: Wird verwendet, um zu definieren, welche IP-Adressen berechtigt sind, E-Mails im Namen einer Domain zu senden. Beispiel: example.com → “v=spf1 ip4:192.0.2.0/24 -all”

DNS-Lookup-Befehle

DNS-Befehle werden verwendet, um DNS-Server und -Einträge abzufragen, zu testen und Fehler zu beheben. Diese Befehle sind für Netzwerkadministratoren unerlässlich, um sicherzustellen, dass DNS-Dienste ordnungsgemäß funktionieren, da DNS für die Auflösung von Domainnamen in IP-Adressen von entscheidender Bedeutung ist.

Nachfolgend findest du einige häufig verwendete DNS-Befehle. Du kannst diese Befehle in einem Terminal-Fenster (Linux), Terminal (macOS), der Eingabeaufforderung (cmd) oder PowerShell (Windows) oder sogar einer Terminal-Emulator-App auf deinem Mobilgerät ausführen. Möglicherweise sind nicht alle dieser Befehle auf deiner Plattform direkt einsatzbereit, aber in fast allen Fällen sind sie einfach zu installieren.

nslookup

Der Befehl nslookup ist ein Tool zur Abfrage des DNS, um die Zuordnung von Domainnamen oder IP-Adressen zu erhalten. Du kannst auch einen bestimmten DNS-Server angeben, der verwendet werden soll, und eine Reverse-DNS-Abfrage durchführen.

dig

Der Befehl dig (Domain Information Groper) ist ein leistungsfähigeres und flexibleres DNS-IP-Lookup-Tool als nslookup. Netzwerkadministratoren bevorzugen ihn oft wegen seiner detaillierten Ausgabe und erweiterten Optionen.

Mit dig kannst du auch einen bestimmten DNS-Eintragstyp abfragen, einen bestimmten DNS-Server abfragen und eine Reverse-DNS-Abfrage durchführen.

host

Der Befehl host ist ein weiteres Tool zur Durchführung von DNS-Lookups. Er ist einfacher als dig, bietet aber ausreichende Informationen für grundlegende Aufgaben, einschließlich der Abfrage eines bestimmten DNS-Servers und der Durchführung von Reverse-DNS-Abfragen.

Ping

Der Befehl ping wird in erster Linie verwendet, um die Erreichbarkeit eines Hosts in einem IP-Netzwerk zu überprüfen, führt aber im Rahmen seines Betriebs auch eine DNS-Auflösung durch.

traceroute / tracert

Die Befehle traceroute (unter Linux und macOS) und tracert (unter Windows) werden verwendet, um den Pfad eines Pakets von seiner Quelle bis zu seinem Ziel zu verfolgen. Sie lösen den Domainnamen in eine IP-Adresse auf und zeigen jeden Hop auf dem Weg zum Ziel an.

ipconfig / ifconfig

Die Befehle ifconfig (unter Linux und macOS) und ipconfig (unter Windows) können verwendet werden, um die Netzwerkkonfiguration anzuzeigen, einschließlich der DNS-Server, die das System verwendet. Wenn der Befehl allein verwendet wird, zeigt er nur aktive Schnittstellen an. Um alle Schnittstellen unter Windows anzuzeigen, verwende ipconfig /all.

DNS-Lookup-Tools

Zusätzlich zu den oben beschriebenen Befehlszeilen-Tools gibt es viele Online-DNS-Lookup-Tools, die eine grafische Benutzeroberfläche (GUI) zur Abfrage von DNS bieten. Ein gutes Beispiel ist unser kostenloser sicherer IP-Scanner, mit dem du normale DNS-Lookups, MX-Lookups, NS-Lookups, CNAME-Lookups und TXT-Lookups durchführen kannst.

Es kann auch Reverse-DNS-Abfragen (IP-Lookup) durchführen.

Abschließende Gedanken

Im Grunde genommen ist DNS nur ein kompliziertes, automatisiertes Telefonbuch. Es macht das Internet für Menschen nutzbar, kann aber von Regierungen missbraucht werden (und wird es auch), um ihre Bürger auszuspionieren und das zu zensieren, was sie sehen. Der beste Weg, diesen Missbrauch von DNS zu umgehen, ist die Nutzung eines VPN-Dienstes wie Proton VPN.

Ein VPN-Dienst löst deine DNS-Abfragen anstelle deines ISP sicher auf, und die meisten seriösen VPN-Dienste haben es sich zur Aufgabe gemacht, deine Privatsphäre zu schützen.

Natürlich bietet ein VPN auch viele andere Vorteile, wie z. B. das Ausblenden deiner echten IP-Adresse vor den von dir besuchten Websites, einen verbesserten Schutz davor, dass ISPs deine Internetaktivitäten überwachen oder zensieren können, die Möglichkeit, deine Lieblingsinhalte auf Reisen zu streamen, und vieles mehr.

Erfahre mehr über die Vorteile der Nutzung eines VPN