DNS-Leak-Test
Sieh, welche DNS-Resolver für deine Verbindung antworten - und ob dein VPN sie mitträgt
Ein DNS-Leak lässt sich im Browser nicht erkennen. Dieser Test geht den umgekehrten Weg: Dein Browser schlägt einen einmaligen Hostnamen nach, für den wir der autoritative Nameserver sind, und wir halten fest, welcher Resolver uns danach fragt. Dieser Resolver ist der, den deine Verbindung wirklich benutzt.
Bereit für den DNS-Test
Es wird nichts nachgeschlagen, bis du den Test startest. Er dauert ein paar Sekunden.
Resolver, die für dich geantwortet haben
Deine Verbindung
Was dieser Test sehen kann und was nicht
- Nutzt dein Browser verschlüsseltes DNS (DoH), sehen wir dessen Resolver statt den deines Betriebssystems. Das ist für diesen Browser ein korrektes Ergebnis, beweist aber nicht, dass der Rest deines Geräts sicher ist.
- Große Resolver fragen von vielen Adressen aus an, deshalb können bei einem Test mehrere auftauchen. Alle werden aufgeführt.
- Wir sehen immer nur die Resolver, nie deine DNS-Anfragen. Der einzige hier nachgeschlagene Name ist der einmalige Hostname dieser Seite.
- Resolver-Adressen liegen wenige Minuten im Arbeitsspeicher und werden nie in unsere Logs geschrieben.
Ein VPN mit eigenem verschlüsseltem DNS verhindert dieses Leak vollständig.
Leak-sicheres VPN holen →Anzeige - wir erhalten möglicherweise eine Provision.
Was ist ein DNS-Leak?
Jeder Seitenaufruf beginnt mit einer DNS-Anfrage. Bei verbundenem VPN sollten diese Anfragen durch den Tunnel laufen und vom Resolver des VPN beantwortet werden. Ein DNS-Leak ist, wenn sie stattdessen zum Resolver deines Internetanbieters gehen - dein Datenverkehr ist verschlüsselt, aber eine Liste aller besuchten Domains erreicht trotzdem deinen Anbieter.
Wie behebe ich ein DNS-Leak?
Nimm ein VPN mit eigenen Resolvern und standardmäßig aktivem DNS-Leak-Schutz, lass diesen Schutz eingeschaltet und trage bei aktivem Tunnel keinen fremden Resolver von Hand ein. Am Rechner behebt ein Neustart des VPN-Clients nach einem Netzwechsel die meisten Leaks.
Häufige Fragen zum DNS-Leak-Test
Wie der Test funktioniert und wie das Ergebnis zu lesen ist
Was ist ein DNS-Leak?
Jeder Website-Aufruf beginnt mit einer DNS-Abfrage, die einen Namen in eine Adresse übersetzt. Verlassen diese Abfragen dein Gerät außerhalb des VPN-Tunnels, sieht dein Internetanbieter weiterhin jede Domain, die du besuchst, obwohl der Datenverkehr selbst verschlüsselt ist. Der Tunnel funktioniert - und dein Surfverhalten wird trotzdem an einer Stelle protokolliert, die du nicht gewählt hast.
Wie erkennt dieser Test so etwas?
Im Browser lässt sich ein Leak nicht feststellen, deshalb betreiben wir einen eigenen Nameserver. Die Seite fragt einen Hostnamen an, der noch nie aufgelöst wurde, dein Resolver muss dafür zu uns kommen, und wir halten fest, von welcher Adresse die Anfrage tatsächlich eintrifft. Diese Adresse ist der Resolver, den du wirklich benutzt - unabhängig davon, was deine Einstellungen behaupten.
Warum zeigt der Test mehr als einen Resolver?
Das ist normal. Anbieter und öffentliche Dienste betreiben ganze Resolver-Pools und reichen Anfragen untereinander weiter, sodass eine einzelne Abfrage oft von mehreren Adressen bei uns ankommt. Entscheidend ist nicht die Anzahl, sondern in welchen Netzen sie liegen: alle im Netz deines VPNs ist das gute Ergebnis, einer in einem dritten Netz ist der Fall, den man sich ansehen sollte.
Warum liegt mein Resolver in einem anderen Land als mein VPN?
Meist, weil die großen öffentlichen Resolver Anycast nutzen: Dieselbe Adresse wird vom jeweils nächstgelegenen Rechenzentrum beantwortet, das angezeigte Land ist also der Ort, an dem die Anfrage auftauchte, nicht dein Standort. Genau deshalb gilt eine Länderabweichung allein nicht als Leak. Entscheidend ist ein Resolver in einem Netz, das weder zu deinem VPN noch zu einem bekannten öffentlichen Dienst gehört.
Speichert ihr die Resolver-Adressen?
Nur im Arbeitsspeicher, fünf Minuten lang, gebunden an den einmaligen Hostnamen deines Tests. Sie werden nie in unsere Protokolle geschrieben, nie einem anderen Besucher gezeigt und mit Ablauf des Tokens verworfen. Wir behandeln sie als personenbezogene Daten, weil in manchen Netzen der Resolver die Besucherin oder der Besucher selbst ist.