DNS Leak test: So prüfen und beheben Sie einen DNS-Leak

Ein DNS-Leak entsteht, wenn Ihr Gerät Website-Abfragen außerhalb des verschlüsselten VPN-Tunnels schickt, meist an den Internetanbieter oder einen anderen DNS-Resolver. So können die Domainnamen sichtbar werden, die Sie aufrufen, auch wenn Ihre IP-Adresse für die Website selbst bereits vom VPN verdeckt wird.

Die gute Nachricht: Ein DNS leak test ist einfach durchzuführen, und die Ursache lässt sich oft beheben. In diesem Artikel erfahren Sie, was DNS ist, warum DNS-Anfragen sensibel sind, wodurch ein Leak entsteht und wie Sie ihn auf Desktop, Mobilgeräten und in Browsern eingrenzen.

Was DNS ist und warum es wichtig ist

DNS steht für Domain Name System. Es ist das Adressbuch des Internets. Wenn Sie einen Seitennamen in den Browser eingeben, muss Ihr Gerät die passende Serveradresse finden, bevor die Seite geladen werden kann.

Der Grund ist simpel: Menschen merken sich Domainnamen, Netzwerke arbeiten mit IP-Adressen. DNS übersetzt den Namen in die Adresse, die Ihr Browser und andere Apps für die Verbindung brauchen.

Ein normaler DNS-Abruf läuft grob so ab:

1. Sie tippen einen Domainnamen ein oder öffnen eine App.
2. Ihr Gerät fragt einen DNS-Resolver, wohin diese Domain zeigt.
3. Der Resolver antwortet mit der IP-Adresse oder passenden Einträgen.
4. Ihr Gerät verbindet sich mit dem Ziel und lädt den Dienst.

Wichtig für die Privatsphäre: DNS-Anfragen können Absichten verraten. Ein Resolver sieht oft nicht den vollständigen Seitenpfad, nicht den exakten Artikel und nicht den Inhalt einer verschlüsselten HTTPS-Sitzung. Er kann aber meist den Domainnamen sehen, den Sie angefragt haben, etwa eine Nachrichtenseite, eine Bank, ein Gesundheitsforum, ein Tool für die Arbeit oder einen Streamingdienst.

Darum gehört DNS-Behandlung zur VPN-Privatsphäre. Ein VPN soll nicht nur die sichtbare IP-Adresse ändern, sondern auch verhindern, dass normale Lookup-Anfragen aus dem geschützten Weg herausfallen. Wenn Sie die Grundlagen auffrischen möchten, lesen Sie was ist ein VPN.

Was ein DNS-Leak ist

Ein DNS-Leak ist eine Abweichung zwischen dem Weg Ihres eigentlichen Internetverkehrs und dem Weg Ihrer DNS-Anfragen. Der Webverkehr läuft vielleicht über einen VPN-Server, während DNS-Abfragen weiterhin bei Ihrem ISP, Ihrem Mobilfunkanbieter, einem auf dem Gerät konfigurierten Public Resolver oder einem vom Browser gewählten Resolver landen.

Das erzeugt eine Lücke in der Privatsphäre. Die Website sieht womöglich die IP-Adresse des VPN-Servers, der DNS-Resolver außerhalb des Tunnels kann aber trotzdem die angefragten Domains sehen. Gehört dieser Resolver dem Internetanbieter, kann er aus den DNS-Metadaten viel über Ihr Surfverhalten ableiten.

Ein DNS-Leak bedeutet nicht automatisch, dass das ganze VPN ausgefallen ist. Er kann auftreten, obwohl das VPN als verbunden angezeigt wird und Ihre öffentliche IP schon zur VPN-Location gehört. Genau deshalb entdeckt man DNS-Leaks oft nur mit einem gezielten DNS leak test.

Bei Crispy VPN werden DNS-Anfragen durch den VPN-Tunnel geleitet, sobald die App verbunden ist. So bleibt der DNS-Verkehr auf derselben Strecke wie die VPN-Verbindung und fällt nicht auf das Netzwerk zurück, das Sie gerade nutzen.

Was ein DNS-Leak preisgeben kann

• Domainnamen: die Seiten und Dienste, die Ihr Gerät auflösen will.
• Zeitpunkt: wann diese Anfragen gestellt werden.
• Netzwerkkontext: ob die Anfrage aus Ihrem Heimnetz, dem Büro, einem Hotel, dem Mobilfunknetz oder einem anderen lokalen Netzwerk kam.

DNS allein verrät in der Regel nicht den gesamten Inhalt einer sicheren HTTPS-Seite. Es macht Sie auch nicht anonym. Websites, bei denen Sie eingeloggt sind, erkennen Ihr Konto weiterhin, und Tracker können über Cookies oder Browser-Fingerprinting arbeiten. Trotzdem lohnt es sich, DNS-Leaks zu verhindern, weil sie ein nützliches Muster Ihrer Zugriffe offenlegen.

Wie ein DNS-Leak entsteht

DNS-Leaks entstehen meist durch Konfigurationskonflikte. Moderne Betriebssysteme, Browser, VPN-Apps und Netzwerkadapter können DNS-Verhalten beeinflussen. Wenn diese Ebenen unterschiedliche Vorgaben haben, können Anfragen auf einem unerwarteten Weg landen.

DNS-Einstellungen des Betriebssystems

Ihr Betriebssystem entscheidet, welche DNS-Server für welche Netzwerk-Schnittstelle genutzt werden. Wenn sich ein VPN verbindet, legt es normalerweise eine virtuelle Schnittstelle an und sollte den DNS-Verkehr darüber leiten. Ein Leak kann auftreten, wenn das System weiter den alten DNS-Server für WLAN oder Ethernet verwendet.

Das passiert eher nach häufigen Netzwechseln, nach Standby und Aufwachen, bei Captive-Portals oder nach manuellen Änderungen an den Netzwerkeinstellungen. Ein erneutes Verbinden des VPNs behebt oft ein vorübergehendes Routing-Problem, dauerhafte Leaks brauchen aber eine Prüfung der Einstellungen.

IPv6-Verhalten

IPv6 ist ein neues Adressierungssystem, das parallel zu IPv4 laufen kann. DNS kann sowohl IPv4- als auch IPv6-Einträge auflösen. Wenn ein VPN oder Gerät IPv4 korrekt tunneliert, aber IPv6-DNS oder IPv6-Verkehr über das lokale Netzwerk laufen lässt, entsteht ein Leak.

Darum sollte ein Test die gesamte Verbindung prüfen, nicht nur eine sichtbare IPv4-Adresse. Ein sauberer Befund bedeutet, dass Ihre DNS-Server und die sichtbaren IP-Informationen zum gewünschten VPN-Pfad passen.

Manuelle DNS-Server

Viele setzen auf Gerät, Router oder im Browser eigene DNS-Server, um Geschwindigkeit, Filterung oder Zuverlässigkeit zu verbessern. Solche Einstellungen können die DNS-Server einer VPN-App überschreiben. Wird der manuelle Resolver außerhalb des Tunnels erreicht, liegt ein DNS-Leak vor.

Manuelle DNS-Einträge sind nicht automatisch schlecht, sie müssen aber zu Ihrem Datenschutzziel passen. Wenn Sie ein VPN nutzen, ist die sicherste Standardlösung, die DNS-Verwaltung der VPN-App zu überlassen, sofern Sie keinen konkreten Grund für eine andere Konfiguration haben.

DNS over HTTPS im Browser

Einige Browser bieten DNS over HTTPS, oft als sicherer DNS bezeichnet. Dabei wird DNS zwischen Browser und DNS-Anbieter verschlüsselt. Das schützt vor dem lokalen Netzwerk, kann aber die DNS-Einstellungen Ihrer VPN-App umgehen.

Wenn der Browser einen Resolver außerhalb des VPN-Pfads nutzt, zeigt ein DNS leak test diesen Resolver möglicherweise an. Er ist zwar verschlüsselt, nutzt aber nicht die DNS-Behandlung, die das VPN vorgesehen hat. Auch Browser-Erweiterungen können eigene Routing-Regeln haben, deshalb können Browser-Tests und komplette Gerätetests unterschiedliche Ergebnisse liefern.

Split-Tunneling

Split-Tunneling erlaubt ausgewählten Apps oder Websites, einen anderen Weg als der Rest des Verkehrs zu nehmen. Das ist praktisch, wenn ein Teil des Traffics im VPN und ein anderer Teil außerhalb laufen soll. Es kann aber auch überraschende DNS-Ergebnisse erklären.

Wenn eine App oder Website vom VPN ausgeschlossen ist, kann auch ihr DNS ausgeschleust werden, je nach Plattform und Umsetzung. Crispy VPN unterstützt Split-Tunneling auf Android pro App, auf iPhone und iPad pro Website und in den Browser-Erweiterungen ebenfalls pro Website. Wer Split-Tunneling nutzt, sollte die Regeln prüfen, bevor er annimmt, dass wirklich jede DNS-Anfrage geschützt ist. Mehr dazu lesen Sie in was ist Split-Tunneling.

So führen Sie einen DNS leak test durch

Ein DNS leak test prüft, welche DNS-Resolver Ihre Abfragen sehen können. Der Grundgedanke ist ein Vergleich zwischen dem Zustand ohne VPN und mit aktivem VPN. Wenn bei verbundenem VPN weiterhin dieselben DNS-Server Ihres ISP oder lokalen Netzwerks auftauchen, liegt wahrscheinlich ein Leak vor.

Testen Sie unter denselben Bedingungen, unter denen Sie das VPN wirklich nutzen. Wenn Sie hauptsächlich in einem bestimmten Browser surfen, testen Sie genau dort. Wenn Sie eine Desktop-App oder Mobil-App verwenden, prüfen Sie auch die komplette Geräteverbindung. Wenn Sie oft zwischen WLAN und Mobilfunk wechseln, testen Sie beide Netzwerke.

Checkliste für den DNS leak test

1. VPN trennen. Öffnen Sie eine DNS-Leak-Testseite und notieren Sie DNS-Anbieter, Länder und IP-Adressen. Das ist Ihre Referenz.
2. VPN verbinden. Wählen Sie die VPN-Location, die Sie normalerweise nutzen, und warten Sie, bis die App verbunden meldet.
3. Testseite neu laden. Führen Sie zuerst den Standardtest aus. Wenn ein erweiterter Test verfügbar ist, machen Sie auch den.
4. Ergebnisse vergleichen. Ihr ISP, Arbeitsplatz, Ihre Schule, das Hotel oder der Mobilfunkanbieter sollten bei aktivem VPN nicht als DNS-Server erscheinen.
5. Sichtbare IP prüfen. Nutzen Sie eine IP-Abfrage, um zu sehen, ob sich Ihre öffentliche IP ebenfalls zur VPN-Location geändert hat. Dafür können Sie was ist meine IP nutzen.
6. Nach Netzwechseln erneut testen. Prüfen Sie nach einem WLAN-Wechsel, nach Mobilfunkwechsel oder nach dem Aufwachen des Geräts erneut.

Ein gutes Ergebnis wird nicht immer mit Ihrem VPN-Namen angezeigt. DNS-Infrastruktur kann unterschiedliche Providernamen, Rechenzentrumsnamen oder Relay-Adressen verwenden. Entscheidend ist, dass Ihr lokaler ISP oder ein anderer nicht beabsichtigter Resolver nicht auftaucht.

Wenn Sie Crispy VPN nutzen, verbinden Sie zuerst die App und starten Sie dann den Test. DNS sollte gemeinsam mit dem VPN-Verkehr durch den Tunnel laufen. Wenn Sie nach dem Verbinden trotzdem Ihre ISP-DNS sehen, deutet das eher auf ein Geräte- oder Browserproblem hin, das Sie mit den folgenden Schritten eingrenzen können.

So beheben Sie DNS-Leak-Probleme

Welche Lösung passt, hängt von der Ursache ab. Beginnen Sie mit den einfachsten Schritten und gehen Sie dann zu Plattform- und Browsereinstellungen über, wenn der Leak bestehen bleibt.

Erste schnelle Schritte

1. VPN trennen und neu verbinden. Damit werden Routen und DNS-Einstellungen aktualisiert.
2. VPN-Server wechseln. Eine neue Verbindung kann veraltete Netzwerkinfos entfernen.
3. App und Browser neu starten. Browser merken sich DNS-Entscheidungen oft bis zum Neustart.
4. Gerät neu starten. Das setzt Netzwerkschnittstellen und alte DNS-Zuweisungen zurück.
5. VPN-App und Betriebssystem aktualisieren. Fehler im DNS-Routing werden oft über Updates behoben.

Manuelle DNS-Einstellungen prüfen

Schauen Sie in Ihre WLAN-, Ethernet- und Mobilfunkeinstellungen. Wenn Sie manuell DNS-Server eingetragen haben, entfernen Sie diese vorübergehend und stellen Sie DNS wieder auf automatisch. Verbinden Sie danach das VPN erneut und führen Sie den DNS leak test noch einmal aus.

Verschwindet der Leak, hat die manuelle DNS-Einstellung das VPN überstimmt. Sie können dann entscheiden, ob dieser DNS-Server bleiben soll, sollten ihn aber nicht allein deshalb für privat halten, weil Sie ihn kennen oder weil er verschlüsselt ist.

Sicheren DNS im Browser prüfen

Öffnen Sie die Datenschutz- oder Sicherheitseinstellungen Ihres Browsers und suchen Sie nach sicherem DNS oder DNS over HTTPS. Wenn dort ein bestimmter Anbieter aktiviert ist, schalten Sie ihn testweise aus oder stellen Sie den Browser auf die Systemeinstellung. Verbinden Sie das VPN neu, starten Sie den Browser neu und testen Sie erneut.

Das ist besonders wichtig, wenn nur ein Browser leakt, während andere Apps sauber testen. Dann kann das VPN auf Systemebene korrekt arbeiten, während der Browser sich einen eigenen Resolver aussucht.

Split-Tunneling-Regeln prüfen

Wenn Split-Tunneling aktiv ist, prüfen Sie, ob Browser, Testseite oder App vom VPN ausgeschlossen sind. Entfernen Sie die Ausnahme und führen Sie den Test erneut aus. Wenn sich das Ergebnis nach dem Abschalten von Split-Tunneling ändert, ist das kein Rätsel, sondern genau die Wirkung der Regel.

Nutzen Sie die App statt nicht unterstützter Umwege

Nicht unterstützte Router-Setups, zufällige Konfigurationsdateien oder fremde Netzwerktools machen DNS-Routing oft schwer vorhersagbar. Crispy VPN bietet Apps für iPhone und iPad, Mac, Windows, Linux, Android, Apple TV, Android TV und Google TV sowie Browser-Erweiterungen für Chrome, Edge und Firefox. Laden Sie die passende App über die Download-Seite herunter und testen Sie direkt damit.

Auf unterstützten Geräten nutzt Crispy VPN auf jedem Server WireGuard. Das ist ein moderner VPN-Protokollstandard mit kleinem Codeumfang, guter Performance und geringer Belastung für den Akku. Hintergrund zum Protokoll finden Sie in was ist WireGuard.

DNS-Leaks auf verschiedenen Geräten verhindern

DNS-Leak-Schutz bedeutet vor allem, die VPN-App das Routing kontrollieren zu lassen und Konflikte durch andere DNS-Einstellungen zu vermeiden. Die Details unterscheiden sich je nach Gerät.

Windows, Mac und Linux

Desktop-Systeme haben oft mehrere Netzwerkschnittstellen, etwa WLAN, Ethernet, virtuelle Adapter und manchmal Arbeitsprofile. Wenn ein Leak auftritt, prüfen Sie die DNS-Einstellungen der Adapter und entfernen Sie alte manuelle Resolver. Verbinden Sie dann das VPN erneut.

Unter Windows, Mac und Linux kann auch ein Kill Switch helfen, wenn die Verbindung abbricht. Crispy VPN bietet auf diesen Desktop-Plattformen einen optionalen, standardmäßig ausgeschalteten Kill Switch. Unter Windows gibt es zusätzlich einen optionalen Lockdown-Modus. Ein Kill Switch ist nicht dasselbe wie DNS-Leak-Schutz, verhindert aber, dass Verkehr bei Verbindungsabbrüchen außerhalb des VPN weiterläuft.

iPhone, iPad und Android

Mobile Geräte wechseln zwischen WLAN, Mobilfunk, Hotelnetzwerken und Captive-Portalen. Testen Sie nach Netzwechseln erneut, wenn Sie das VPN für den Datenschutz nutzen. Prüfen Sie außerdem, ob privates DNS, Geräteprofile oder Sicherheits-Apps das DNS-Verhalten verändern.

Auf Android können die Systemeinstellungen Always-on VPN und Verbindungen ohne VPN blockieren helfen, unbeabsichtigten Verkehr außerhalb des VPN zu vermeiden. Auf iPhone und iPad sollten Sie die VPN-App aktuell halten und eventuelle Website-Split-Tunneling-Regeln prüfen, wenn sich eine bestimmte Seite seltsam verhält.

Browser und Erweiterungen

Browser sind eine häufige Ursache für verwirrende DNS-Ergebnisse, weil sie ihre eigene sichere-DNS-Einstellung verwenden können. Wenn ein Leak nur in Chrome, Edge oder Firefox auftaucht, prüfen Sie die Browser-Einstellungen, bevor Sie das gesamte Gerät ändern.

Browser-Erweiterungen decken nur den Browser-Verkehr ab, nicht jede App auf dem Gerät. Das ist praktisch, wenn Sie nur das Surfen absichern wollen, aber es ist nicht dasselbe wie eine komplette VPN-Verbindung auf dem Gerät. Mehr dazu lesen Sie in VPN-Browser-Erweiterung.

TV-Geräte

TV-Plattformen sind einfacher, bieten aber weniger Netzwerksteuerung. Crispy VPN unterstützt Apple TV sowie Android TV und Google TV, die Anmeldung erfolgt per QR-Code mit dem Smartphone. Wenn Sie DNS auf dem TV prüfen, testen Sie das gleiche Netzwerk zuerst mit Smartphone oder Laptop und verbinden Sie dann die TV-App erneut.

Was ein VPN bei DNS verbergen kann und was nicht

Ein korrekt konfiguriertes VPN sollte DNS-Anfragen im verschlüsselten Tunnel halten. So kann der lokale WLAN-Betreiber, ISP oder Mobilfunkanbieter normale DNS-Abfragen nicht im Klartext sehen. Außerdem bleibt der DNS-Pfad passend zum gewählten VPN-Server.

Crispy VPN hat außerdem eine No-Logs-Richtlinie für Aktivitäten und nutzt ein Zwei-Party-Relay-Design, das trennt, wer Sie sind und was Sie tun. Das ist wichtig, weil DNS-Privatsphäre nicht nur mit dem Tunnel zu tun hat, sondern auch damit, wie der Dienst aufgebaut ist.

Trotzdem macht ein VPN niemanden anonym. Es schützt nicht automatisch vor Malware oder Phishing und verhindert nicht, dass eine Website Sie wiedererkennt, wenn Sie eingeloggt sind. Bereits gespeicherte Tracking-Cookies löscht es ebenfalls nicht.

Denken Sie an DNS-Leak-Schutz als eine Ebene von mehreren. Er hilft dabei, Metadaten über Website-Abfragen vom lokalen Netzwerk und vom ISP fernzuhalten. Sinnvoll sind außerdem Browser-Einstellungen, vorsichtiger Kontoeinsatz, Updates und ein klares Verständnis dafür, was das VPN schützt.

Wenn Sie Ihre Einrichtung nach der Installation prüfen, sollten Sie nicht nur DNS testen. Öffentliche IP, WebRTC-Verhalten, Kill Switch und Browser-Konfiguration wirken ebenfalls auf die Privatsphäre. Ein sinnvoller nächster Schritt ist funktioniert mein VPN, dort gehen wir die wichtigsten Prüfungen durch.