DNS-over-HTTPS aktivieren: Anleitung für alle Browser

Ohne DNS-over-HTTPS sieht dein Internetanbieter jede Domain, die du aufrufst, im Klartext. Die DNS-Abfrage, die einen Namen wie checkprivacy.de in eine IP-Adresse übersetzt, läuft standardmäßig unverschlüsselt über das Netz. Jeder zwischen dir und dem DNS-Server kann mitlesen, welche Seiten du besuchst, selbst wenn die Seiten selbst per HTTPS verschlüsselt sind.

DNS-over-HTTPS, kurz DoH, verpackt diese Abfragen in eine verschlüsselte Verbindung. Dein Anbieter sieht dann nur noch, dass du mit einem DNS-Dienst sprichst, nicht mehr welche konkreten Domains. Die Einrichtung dauert in jedem großen Browser höchstens zwei Minuten, kostet nichts und lässt sich jederzeit wieder rückgängig machen.

Um zu verstehen, warum das zählt: Das Domain Name System ist das Adressbuch des Internets. Jedes Mal, wenn du eine Adresse eingibst oder einen Link anklickst, fragt dein Gerät zuerst einen DNS-Server nach der zugehörigen IP-Adresse. Diese Anfrage lief jahrzehntelang im Klartext. Selbst die strengste HTTPS-Verschlüsselung der eigentlichen Webseite hilft nicht gegen dieses Leck, weil der Name der Seite schon vorher offen über die Leitung geht. DoH schließt genau diese Lücke, indem es die Anfrage in eine verschlüsselte Verbindung verpackt.

Was DoH leistet und was nicht

DoH verschlüsselt deine DNS-Abfragen gegenüber dem Netzwerk, über das du gerade surfst, also gegenüber deinem Internetanbieter, einem offenen WLAN oder einem Netzwerkbetreiber. Das ist besonders im fremden WLAN, etwa im Café oder Hotel, ein echter Gewinn, weil dort jeder im selben Netz potenziell mitschneiden kann.

Auch gegen eine grobe Form der Inhaltsfilterung hilft DoH. Manche Netzwerke blockieren Seiten, indem sie auf der DNS-Ebene falsche oder leere Antworten zurückgeben. Wenn deine Abfragen verschlüsselt direkt zu einem unabhängigen Anbieter laufen, lässt sich diese Sperre auf DNS-Basis umgehen. Das ersetzt keine echte Anonymisierung, beseitigt aber die einfachste und häufigste Art, mit der Netzwerke den Zugriff einschränken.

Was DoH nicht tut: Es macht dich nicht anonym. Der DNS-Anbieter, den du auswählst, sieht weiterhin deine Anfragen. Du verlagerst das Vertrauen also vom Internetanbieter auf den DoH-Dienst. Deshalb ist die Wahl des Anbieters entscheidend, und kostenlose Dienste mit klaren Datenschutzversprechen sind hier die bessere Wahl als ein beliebiger Standard.

Ebenso wenig versteckt DoH die Tatsache, dass du eine bestimmte Seite besuchst, vollständig. Wenn du die IP-Adresse direkt ansteuerst, oder wenn Techniken wie die unverschlüsselte Übermittlung des Servernamens beim Verbindungsaufbau zum Einsatz kommen, kann ein Beobachter weiterhin Rückschlüsse ziehen. DoH ist ein wichtiger Baustein, aber kein Rundumschutz. Es schließt die offensichtlichste und am leichtesten auswertbare Lücke, nämlich die im Klartext sichtbaren Domain-Namen.

DoH in Firefox aktivieren

Firefox hat DoH am tiefsten integriert. Öffne die Einstellungen, gehe zu „Datenschutz & Sicherheit“ und scrolle ganz nach unten zum Abschnitt „DNS über HTTPS“. Dort wählst du eine Schutzstufe. „Erhöhter Schutz“ nutzt DoH, fällt aber auf unverschlüsseltes DNS zurück, wenn etwas nicht funktioniert. „Maximaler Schutz“ erzwingt die Verschlüsselung und bricht im Zweifel ab, was sicherer, aber strenger ist.

Im selben Bereich kannst du den Anbieter auswählen oder eine eigene Adresse eintragen. Wer einen bestimmten Dienst wie Mullvad oder Quad9 nutzen will, trägt dessen DoH-URL als benutzerdefinierten Anbieter ein. Firefox hat eine Eigenheit: In manchen Netzwerken deaktiviert der Browser DoH automatisch, wenn das Netzwerk es per Signal anfordert, etwa in Firmennetzen mit eigener Filterung. Wer das nicht möchte, wählt die Schutzstufe „Maximaler Schutz“, die diese Abschaltung ignoriert.

Nach dem Speichern ist keine weitere Aktion nötig, die Einstellung greift sofort für neue Verbindungen. Du musst Firefox nicht neu starten. Falls eine interne Firmen- oder Heimnetz-Adresse danach nicht mehr auflösbar ist, liegt das meist daran, dass solche lokalen Namen nicht über öffentliche DoH-Server bekannt sind. Firefox behandelt diese Ausnahmen normalerweise korrekt, im Zweifel hilft die Stufe „Erhöhter Schutz“ mit Rückfall-Option.

DoH in Chrome, Edge und Brave

Die Chromium-basierten Browser, also Chrome, Edge und Brave, nennen die Funktion „Sicheres DNS verwenden“. Du findest sie in den Einstellungen unter „Datenschutz und Sicherheit“ und dort unter „Sicherheit“. Aktiviere den Schalter und wähle entweder „Mit deinem aktuellen Dienstanbieter“, was nur dann verschlüsselt wenn der Anbieter es unterstützt, oder einen festen Anbieter aus der Liste.

Die Option „Mit deinem aktuellen Dienstanbieter“ klingt bequem, bringt aber wenig, wenn dein Internetanbieter gar kein verschlüsseltes DNS anbietet, denn dann bleibt die Abfrage im Klartext. Sinnvoller ist es fast immer, einen festen, datenschutzfreundlichen Anbieter aus der Liste zu wählen oder per benutzerdefinierter Adresse einzutragen. So weißt du genau, wer deine Abfragen sieht, statt es dem Zufall deines Anschlusses zu überlassen.

Browser oder ganzes System?

Wenn du DoH nur im Browser aktivierst, schützt es nur den Browser-Verkehr. Andere Apps, etwa dein Mail-Programm oder Hintergrunddienste, fragen weiterhin unverschlüsselt nach. Für umfassenderen Schutz kannst du DoH systemweit einrichten, unter Windows 11 in den Netzwerkeinstellungen, unter Android über „Privates DNS“ und unter iOS über ein Konfigurationsprofil.

Für die meisten reicht die Browser-Einstellung als sinnvoller erster Schritt, weil dort der Großteil des sensiblen Surfens stattfindet. Wer es gründlicher will, ergänzt die systemweite Variante. Beachte dabei, dass eine systemweite Einstellung die Browser-Einstellung überlagern kann und umgekehrt. Konfiguriere im Zweifel nur eine Ebene konsequent, statt zwei sich widersprechende Einstellungen zu pflegen, die schwer zu durchschauen sind.

Auf dem Router lässt sich DoH bei manchen Modellen ebenfalls einrichten, womit du alle Geräte im Heimnetz auf einen Schlag schützt, auch Smart-Home-Geräte ohne eigene Einstellungsmöglichkeit. Diese Variante ist die umfassendste, verlangt aber mehr technisches Verständnis und ist nicht auf jedem Router verfügbar. Für unterwegs bringt sie nichts, weil du dann nicht mehr im eigenen Netz bist, deshalb bleibt die Browser- oder Geräteeinstellung die mobil zuverlässigste Lösung.

DoH und DoT: der Unterschied

Neben DNS-over-HTTPS gibt es auch DNS-over-TLS, kurz DoT. Beide verschlüsseln deine DNS-Abfragen, nutzen aber unterschiedliche Wege. DoH versteckt die Abfragen im normalen Web-Verkehr über denselben Port wie verschlüsselte Webseiten, was sie für ein überwachendes Netzwerk schwer von gewöhnlichem Surfen unterscheidbar macht. DoT nutzt einen eigenen, dedizierten Port, ist dadurch leichter zu erkennen, lässt sich aber von Netzwerkadministratoren auch gezielter verwalten.

Für dich als Endnutzer im Browser ist DoH der praktischere Weg, weil alle großen Browser es direkt unterstützen und es sich kaum blockieren lässt. DoT begegnet dir eher auf Systemebene, etwa unter Android, wo die Funktion „Privates DNS“ auf DoT setzt. Inhaltlich schützen beide gleichwertig deine Abfragen vor dem Mitlesen im Netzwerk, der Unterschied liegt vor allem in der Sichtbarkeit und der Verwaltbarkeit.

Welcher Anbieter passt zu dir?

Die Wahl des DoH-Anbieters entscheidet, wem du deine DNS-Abfragen anvertraust. Cloudflare ist sehr schnell und verspricht, Abfragedaten nur kurz vorzuhalten. Quad9 hat seinen Sitz in der Schweiz, verfolgt einen klaren Datenschutzkurs und blockiert zusätzlich bekannte Schad- und Phishing-Domains, was einen Sicherheitsgewinn bedeutet. Die DNS-Server von Mullvad richten sich an Nutzer, die ohnehin auf Datensparsamkeit setzen.

Worauf du achten solltest: ein klares, nachvollziehbares Versprechen zur Protokollierung, ein Standort mit verlässlichem Datenschutzrahmen und idealerweise eine unabhängige Prüfung dieser Versprechen. Den Standard-DNS deines Internetanbieters zu behalten ist die schlechteste Option, weil genau dieser sonst sowieso schon alles mitliest. Ein bewusst gewählter Anbieter verlagert das Vertrauen wenigstens dorthin, wo es transparenter ist.

Ein Wechsel ist jederzeit reversibel. Wenn ein Anbieter dir zu langsam ist oder du seinen Datenschutzkurs neu bewertest, trägst du einfach einen anderen ein. Es lohnt sich, die Geschwindigkeit kurz zu vergleichen, denn der nächstgelegene Server ist nicht immer der schnellste. Im Zweifel ist ein etablierter, geprüfter Dienst die sicherere Wahl als ein unbekannter Anbieter mit großen Versprechen ohne Beleg.

Hat es funktioniert?

Eine aktivierte Einstellung heißt nicht automatisch, dass auch wirklich verschlüsselt aufgelöst wird. Es lohnt sich zu prüfen, ob deine echten DNS-Abfragen tatsächlich über den gewählten Anbieter laufen und nicht heimlich am DoH vorbei beim Internetanbieter landen. Genau das deckt ein DNS-Leak-Test auf.

Konkrete Schritte: Aktiviere DoH in deinem Browser, wähle einen datenschutzfreundlichen Anbieter wie Cloudflare, Quad9 oder Mullvad statt der Standardeinstellung, und prüfe danach das Ergebnis mit dem DNS-Leak-Test. Zeigt der Test weiterhin die Server deines Internetanbieters, greift die Verschlüsselung noch nicht, und du solltest die Einstellung erneut kontrollieren. Wenn du ohnehin gerade deinen Browser absicherst, ergänze die Schritte aus der Anleitung zu Brave oder den Firefox Container-Tabs.