DNS-Leak-Test: Resolver erkennen und Ergebnis bewerten
Das Domain Name System übersetzt Namen wie vpntestbericht.de in IP-Adressen. Meist sendet Ihr Gerät die Anfrage nicht direkt an den zuständigen Nameserver, sondern an einen rekursiven Resolver. Dieser Resolver kann viele angefragte Domainnamen sehen. RFC 9076 beschreibt deshalb DNS-Vertraulichkeit als eigenes Datenschutzthema.
Bei einer VPN-Verbindung sollte die Namensauflösung der dokumentierten VPN-Konfiguration folgen. Das kann ein Resolver des VPN-Anbieters sein, aber auch ein bewusst eingesetzter externer Dienst. Ein Cloudflare-, Google- oder Quad9-Resolver ist daher nicht automatisch sicher und nicht automatisch ein Leak. Entscheidend ist, ob er erwartet wird und ob die Anfrage durch den Tunnel transportiert wird.
Ein Resolver des normalen Zugangsproviders während einer aktiven VPN-Verbindung ist ein deutlicher Warnhinweis. Auch diese Zuordnung ist nicht mathematisch sicher: Resolver arbeiten mit Anycast, leiten Anfragen weiter und können unter einem anderen Netzbetreiber erscheinen. Browser mit DNS over HTTPS können außerdem einen eigenen Resolver verwenden, unabhängig von der Betriebssystemeinstellung.
Testen Sie zuerst ohne VPN und notieren Sie die Resolver. Verbinden Sie danach das VPN, laden Sie die Seite neu und vergleichen Sie. Das Tool zeigt die beobachteten Resolver und ihre Netzbetreiber, vergibt aber bewusst kein automatisches Bestanden oder Durchgefallen. Ohne den Ausgangswert und die erwartete VPN-Konfiguration wäre eine solche Bewertung nicht belastbar.
Wie der Test den Resolver sichtbar macht
Der Browser ruft zehn zufällige Subdomains unter dns.myipstack.com auf. Der autoritative Testdienst meldet zurück, von welchen Resolver-Adressen die Abfragen ankamen. Anschließend ordnet unser Server diese Adressen per GeoIP und ASN einem Land und Netzbetreiber zu.
Gemessen wird die Ausgangsadresse des rekursiven Resolvers oder eines vorgeschalteten Forwarders, nicht zwingend der erste DNS-Server in Ihren Geräteeinstellungen. DNS over HTTPS nach RFC 8484 verschlüsselt den Weg zum konfigurierten DoH-Dienst, verhindert aber nicht, dass dieser Dienst die Anfrage verarbeitet.