DNS-Abfragen unter Windows 11 verschlüsseln – so geht es richtig

Geben Sie im Browser die Adresse einer Website wie www.pcwelt.de ein, fragt Windows in der Voreinstellung beim DNS-Server (fachsprachlich: DNS-Resolver) Ihres Internetanbieters nach, welche IP-Adresse sich dahinter verbirgt. Seit einigen Jahren gelten unverschlüsselte DNS-Abfragen allerdings als Risiko für Sicherheit und Datenschutz, weil ein zwischengeschalteter Angreifer nachverfolgen könnte, wer welche Websites besucht. Aus diesem Grund wurden mehrere Verschlüsselungsmethoden für DNS-Abfragen entwickelt. Damit Sie eine Verschlüsselung verwenden können, müssen Betriebssystem und DNS-Resolver diese beherrschen.

In Windows 11 integriert Microsoft das Verschlüsselungsverfahren „DNS over HTTPS“ (DoH). Es lässt sich über einen Schalter aktivieren: Rufen Sie die „Einstellungen“ von Windows auf, gehen Sie auf „Netzwerk und Internet“, klicken Sie oben auf „Eigenschaften“ und im nachfolgenden Fenster neben „DNS-Serverzuweisung“ auf „Bearbeiten“. Stellen Sie in dem nächsten Dialogfenster um auf „Manuell“ und setzen Sie den Schalter unter „IPv4“ auf „Ein“. Darunter finden Sie die Optionen für DoH, wählen Sie dort am besten „Ein (automatische Vorlage)“. Den Schalter bei „Fallback auf Klartext“ setzen Sie auf „Ein“, alle weiteren Einstellungen können Sie übernehmen.

IDG

Des Weiteren muss der DNS-Resolver Ihres Providers das Verfahren unterstützen. Falls nicht, setzt Windows die Einstellungen selbsttätig wieder zurück. Tragen Sie in einem solchen Fall unter „Bevorzugter DNS“ einen anderen Server ein, wie beispielsweise Cloudflare mit der IP-Adresse 1.1.1.1 oder Quad9 mit 9.9.9.9 oder 149.112.112.112. Das gleiche Spiel wiederholen Sie mit IPv6. Die IP-Adressen lauten hier 2606:4700:4700::1111 (Cloudflare) und 2620:fe::fe (Quad9).

Da die Konfiguration der DNS-Verschlüsselung kompliziert ist, wollen es andere Verfahren einfacher machen – etwa das von der IETF entwickelte DDR-Protokoll (Discovery of Designated Resolvers). Es löst das Problem, dass Sie vorab in der Regel nicht wissen, ob und welche Verschlüsselung der DNS-Resolver des Providers unterstützt:

• In einem ersten Schritt baut Windows eine unverschlüsselte Verbindung zu dem DNS-Resolver auf und fragt einen SVCB-Eintrag ab. SVCB steht für Service Binding und gibt an, welche Dienste bei einer Domain verfügbar sind.
• Falls der DNS-Resolver Ihnen eine Verschlüsselung anbietet, etabliert Windows eine sichere Verbindung.
• Über ein Zertifikat überprüft Windows nun die Echtheit des DNS-Resolvers.
• Erst jetzt folgt die verschlüsselte DNS-Abfrage.

Windows fragt also mithilfe des DDR-Protokolls ab, ob der DNS-Resolver eine Verschlüsselung beherrscht. Falls er das bestätigt, kommt sie zum Einsatz. Sie müssen dafür nichts tun.

Damit dies funktioniert, muss auch der Server das DDR-Protokoll verstehen. Das gilt für die bereits erwähnten DNS-Resolver von Cloudflare und Quad9. Wenn Sie nicht wissen, ob der DNS-Resolver Ihres Providers das DDR-Protokoll beherrscht, dann tragen Sie die angegebene IP-Adresse von Cloudflare oder Quad9 in die Netzwerkeinstellungen von Windows ein. Achtung: Wenn Sie DDR verwenden, setzen Sie in den „Einstellungen“ von Windows „DNS über HTTPS“ auf „Aus“.

IDG

Um das DDR-Protokoll zu aktivieren, haben Sie mehrere Möglichkeiten: Tippen Sie cmd in das Suchfeld der Taskleiste und klicken Sie auf „Als Administrator ausführen“. Geben Sie nun den Befehl netsh dns add global doh=yes ddr=yes ein und bestätigen Sie mit Enter. Damit haben Sie das DDR-Protokoll und die DoH-Verschlüsselung während dieser Windows-Session für alle angesteuerten DNS-Resolver aktiviert. Um das Protokoll auszuschalten, nutzen Sie den Befehl netsh dns set global ddr=no.

Alternativ dazu passen Sie einen Registry-Eintrag an: Tippen Sie regedit ins Suchfeld der Taskleiste und klicken Sie auf den Treffer „Registrierungs-Editor“. Suchen Sie den Ordner „HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\DNS Client“. Klicken Sie dort per rechter Maustaste in die rechte Fensterhälfte des Editors und gehen Sie auf „Neu –› DWORD-Wert (32-Bit)“. Benennen Sie den neuen Wert jetzt mit EnableDdr. Klicken Sie ihn doppelt an und stellen Sie als Wert „1“ ein. Um das DDR-Protokoll zu deaktivieren, stellen Sie um auf „0“ oder löschen den Schlüssel „EnableDdr“.

Tipp: DNS-Einstellungen im Router: Alle Sicherheitslücken schließen