Was sind DNS-Leaks und WebRTC-Leaks?

Ein DNS-Leak entsteht, wenn Ihr Gerät Anfragen zur Namensauflösung außerhalb des VPN-Tunnels sendet, meist an den Resolver Ihres Internetanbieters, sodass dieser weiterhin sehen kann, welche Websites Sie besuchen. Ein WebRTC-Leak ist ein verwandtes Browserproblem, bei dem eine Webseite Ihre echte IP-Adresse ermitteln kann, obwohl Ihr VPN oder Proxy aktiv ist.

Beide Leaks sind unauffällig: Das VPN zeigt „verbunden“ an, und Websites sehen bei normalem Datenverkehr die IP des VPN. Diese Anleitung erklärt, warum es zu den Leaks kommt, wie Sie sie testen und beheben, und behandelt auch den eng verwandten IPv6-Leak.

Was ist ein DNS-Leak?

Bevor Ihr Browser eine Verbindung zu www.example.com aufbauen kann, muss er einen DNS-Resolver nach der IP-Adresse der Website fragen. Diese Frage und ihre Antwort verraten, welche Seite Sie gleich besuchen. Wenn Ihnen der Ablauf der Namensauflösung neu ist, erklärt unsere Anleitung So funktioniert DNS ihn Schritt für Schritt.

Ein korrekt konfiguriertes VPN leitet DNS-Anfragen durch den Tunnel zu einem Resolver, den der VPN-Anbieter betreibt oder den Sie ausgewählt haben. Schlägt das fehl und gehen die Anfragen stattdessen direkt an den Resolver Ihres Internetanbieters, liegt ein DNS-Leak vor. Die Website sieht weiterhin die IP des VPN, aber Ihr Internetanbieter hat eine Liste jeder Domain, die Sie abgefragt haben, samt Zeitstempeln.

Häufige Ursachen für DNS-Leaks

• Das Betriebssystem nutzt weiter den alten Resolver. Der VPN-Client ersetzt die DNS-Einstellungen des Systems nicht, oder der DNS-Server eines anderen Netzwerkadapters hat höhere Priorität.
• Parallele Anfragen unter Windows. Windows kann eine Anfrage gleichzeitig an die DNS-Server mehrerer Netzwerkschnittstellen senden und die schnellste Antwort verwenden, sodass der Resolver des Internetanbieters die Anfrage auch dann sieht, wenn der Resolver des VPN sie ebenfalls erhält.
• IPv6-DNS. Das VPN behandelt IPv4-DNS, aber das System hat vom Router zusätzlich einen IPv6-Resolver, der außerhalb des Tunnels genutzt wird.
• Split-Tunneling. Apps, die vom VPN ausgenommen sind, lösen Namen konstruktionsbedingt mit dem normalen Resolver auf.
• Manuelle DNS-Einstellungen auf dem Gerät oder Router, die überschreiben, was das VPN festlegt.

So testen Sie auf einen DNS-Leak

Spezielle DNS-Leak-Tests funktionieren, indem Ihr Browser mehrere zufällige, eindeutige Subdomains einer Domain auflöst, deren autoritativen Server der Tester kontrolliert. Der autoritative Server protokolliert, welche Resolver-IP-Adressen nach diesen Namen gefragt haben. Gehört eine davon Ihrem Internetanbieter statt Ihrem VPN-Anbieter, haben Sie einen Leak.

Eine schnelle Variante gelingt im Terminal. Akamai betreibt einen speziellen Namen, der mit der IP-Adresse des Resolvers antwortet, der ihn angefragt hat:

dig +short whoami.akamai.net
nslookup whoami.akamai.net

Führen Sie den Befehl bei verbundenem VPN aus und geben Sie die zurückgegebene IP in unsere ASN-Abfrage ein. Gehört das Netz Ihrem Internetanbieter, liegt ein DNS-Leak vor. Prüfen Sie außerdem, welche Resolver Ihr System verwendet:

• Windows: ipconfig /all und bei jedem Adapter „DNS-Server“ ansehen.
• macOS: scutil --dns
• Linux mit systemd-resolved: resolvectl status

So beheben Sie einen DNS-Leak

1. Aktivieren Sie die Option zum DNS-Leak-Schutz im VPN-Client, falls vorhanden. Die meisten aktuellen Clients erzwingen den gesamten DNS-Verkehr durch den Tunnel und blockieren Port 53 zu anderen Servern.
2. Entfernen Sie manuell konfigurierte DNS-Server am Netzwerkadapter oder setzen Sie sie auf den Resolver des VPN.
3. Wenn das VPN IPv6 nicht unterstützt, deaktivieren Sie IPv6 am Adapter oder aktivieren Sie den IPv6-Leak-Schutz des Clients.
4. Aktivieren Sie den Kill Switch, damit nichts, auch kein DNS, das Gerät verlässt, während sich der Tunnel neu verbindet.
5. Testen Sie nach jeder Änderung erneut, und noch einmal nach dem Wechsel in ein anderes WLAN.

Was ist ein WebRTC-Leak?

WebRTC ist die Browsertechnik hinter Videoanrufen und Peer-to-Peer-Dateiübertragungen. Um zwei Browser direkt zu verbinden, muss sie alle Adressen ermitteln, unter denen jeder von ihnen erreichbar sein könnte. Das geschieht über ICE (Interactive Connectivity Establishment), das eine Liste von Kandidaten sammelt:

Jede Webseite kann diesen Vorgang mit ein paar Zeilen JavaScript starten, ohne um Erlaubnis zu fragen, und die Kandidaten auslesen. Der Leak entsteht, wenn die STUN-Anfrage Ihr Gerät außerhalb von VPN oder Proxy verlässt. Das ist bei Browser-Proxy-Erweiterungen und SOCKS-Proxys üblich, die Webanfragen, aber nicht den UDP-Verkehr von WebRTC weiterleiten, sowie bei Split-Tunneling. Der Server-Reflexive-Kandidat enthält dann Ihre echte öffentliche IP.

mDNS-Verschleierung lokaler Adressen

Host-Kandidaten legten früher private LAN-Adressen wie 192.168.1.23 offen, was beim Fingerprinting von Nutzern half. Aktuelle Versionen von Chrome, Firefox, Safari und Edge ersetzen sie durch zufällige Namen wie 3f1c2a9e-7b4d-4c1e-9a52-6d8e0f1b2c3a.local, die nur im lokalen Netzwerk über Multicast-DNS aufgelöst werden. Echte lokale Adressen geben Browser meist erst preis, nachdem einer Seite Kamera- oder Mikrofonzugriff gewährt wurde.

So testen und beheben Sie WebRTC-Leaks

Führen Sie unseren WebRTC-Leak-Test bei aktivem VPN oder Proxy aus. Er listet jeden Kandidaten auf, den Ihr Browser preisgibt. Stimmt eine öffentliche Adresse mit der überein, die Sie ohne VPN haben, liegt ein Leak vor. Zur Behebung:

• Nutzen Sie ein Full-Tunnel-VPN statt eines reinen Browser-Proxys. Läuft der gesamte UDP-Verkehr durch den Tunnel, sieht der STUN-Server die IP des VPN.
• Firefox: Öffnen Sie about:config und setzen Sie media.peerconnection.enabled auf false. Das deaktiviert WebRTC vollständig, sodass Videoanrufe im Browser nicht mehr funktionieren.
• Chromium-basierte Browser: Es gibt keine einfache Nutzereinstellung, aber die Unternehmensrichtlinie WebRtcIPHandling (zum Beispiel disable_non_proxied_udp) oder eine seriöse Erweiterung kann einschränken, welche Schnittstellen WebRTC nutzt.

IPv6-Leaks

Viele Netzwerke vergeben heute an Geräte sowohl eine IPv4- als auch eine IPv6-Adresse. Erzeugt Ihr VPN nur einen IPv4-Tunnel, hat das Betriebssystem weiterhin eine funktionierende IPv6-Route über Ihren Internetanbieter. Websites, die IPv6 unterstützen, bevorzugen es, sodass sie Ihre echte, global eindeutige IPv6-Adresse sehen, die oft aussagekräftiger ist als eine IPv4-Adresse, die hinter NAT geteilt wird.

Testen Sie bei verbundenem VPN mit unserem IPv6-Verbindungstest. Sie sollten entweder keine IPv6-Verbindung oder eine IPv6-Adresse des VPN-Anbieters sehen. Eine Adresse aus dem Bereich Ihres eigenen Internetanbieters bedeutet einen Leak; beheben Sie ihn, indem Sie die IPv6-Unterstützung oder den Leak-Schutz des Clients aktivieren oder IPv6 am Netzwerkadapter deaktivieren, solange Sie das VPN nutzen.

Häufig gestellte Fragen

Kann mein Internetanbieter mein Surfverhalten sehen, wenn ich einen DNS-Leak habe?

Er sieht die Domainnamen, die Sie abfragen, nicht aber die Seiten oder Inhalte. Der Datenverkehr selbst läuft weiterhin durch das VPN, sodass Ihr Internetanbieter nicht sehen kann, was Sie auf den einzelnen Websites tun.

Sind DNS-Leaks relevant, wenn ich kein VPN nutze?

Der Begriff gilt nur, wenn Sie erwarten, dass DNS-Anfragen woandershin gehen. Ohne VPN wird ohnehin normalerweise der Resolver Ihres Internetanbieters genutzt. Sie können zu einem verschlüsselten DNS-Dienst wechseln, um Anfragen vor Ihrem Internetanbieter zu verbergen.

Ist es sicher, WebRTC zu deaktivieren?

Ja, normales Surfen funktioniert weiterhin, aber Videoanrufe im Browser, Bildschirmfreigabe und manche Dateiaustausch-Seiten funktionieren nicht mehr, bis Sie es wieder einschalten.

Warum zeigt der WebRTC-Test eine .local-Adresse an?

Das ist der mDNS-Schutz des Browsers, der wie vorgesehen arbeitet. Der zufällige .local-Name verbirgt Ihre private LAN-IP vor der Website.