DNS over HTTPS (DoH) ist eine Methode, um DNS-Anfragen über das HTTPS-Protokoll zu verschlüsseln, sodass niemand unterwegs mitlesen kann, welche Domainnamen du besuchst. Für Unternehmer und Website-Betreiber bedeutet dies mehr Privatsphäre für Besucher, erfordert aber auch Aufmerksamkeit bei DNS-Änderungen, Caching und Fehlerbehebung. Im Folgenden erfährst du, wie DoH funktioniert, warum es wichtig ist und was du in der Praxis überprüfen musst.
Was ist DNS over HTTPS
Normalerweise sendet ein Gerät DNS-Anfragen (‚wo ist tandata.io?‘) unverschlüsselt an einen DNS-Server. Jeder, der den Netzwerkverkehr einsehen kann – ein Internetanbieter, der Administrator eines öffentlichen WLANs oder ein Angreifer im selben Netzwerk – kann dann sehen, welche Domains angefragt werden. DNS over HTTPS verpackt diese Anfrage in eine verschlüsselte HTTPS-Verbindung, genau wie es dein Browser bereits beim Laden einer Website selbst tut.
Das Ergebnis: Der Inhalt der DNS-Anfrage ist für dazwischenliegende Parteien unsichtbar. Nur der DoH-Server, mit dem eine Verbindung hergestellt wird (zum Beispiel der eines Browsers oder Betriebssystems), sieht, welche Domain angefragt wird. Dies ist ein anderer Mechanismus als DNSSEC, das die Echtheit von DNS-Antworten gewährleistet, aber nichts verschlüsselt.
Warum DoH für Unternehmer wichtig ist
Für einen Webshop oder eine Unternehmenswebsite läuft DNS im Hintergrund, doch seine Zuverlässigkeit bestimmt direkt, ob Kunden deine Website und E-Mails erreichen können. DoH ändert nicht, wie dein Domainname und deine DNS-Einträge eingerichtet sind, aber es ändert, wie Besucher diese Einträge abfragen: über den Browser oder das Betriebssystem anstatt über den DNS-Server des Internetanbieters.
Das hat zwei praktische Folgen. Erstens kann Content-Filterung oder Monitoring auf Netzwerkebene (zum Beispiel bei Unternehmen oder Schulen) weniger gut funktionieren, da der DNS-Verkehr für den Netzwerkadministrator nicht mehr sichtbar ist. Zweitens kann die Fehlerbehebung bei DNS-Problemen etwas anders ablaufen, da nicht jedes Gerät denselben DNS-Server zum Nachschlagen einer Domain verwendet.
Für die meisten Besucher deiner Website merkst du nichts: Sie bekommen einfach die richtige Seite angezeigt, nur privater. Für dich als Administrator ist es vor allem wichtig zu wissen, dass DNS-Änderungen, wie die Anpassung eines A-Records oder MX-Records, nicht überall gleich schnell sichtbar werden, weil verschiedene DoH-Anbieter ihr eigenes Caching anwenden.
Auswirkungen auf Verwaltung und Fehlerbehebung
Bei der Verwaltung von Domainnamen und E-Mail ist es gut zu wissen, dass das ‚DNS-Flushen‘ auf deinem eigenen PC nicht immer hilft, wenn der Browser einen eigenen DoH-Resolver verwendet, der unabhängig vom Betriebssystem ist. Chrome und Firefox haben beispielsweise eigene Einstellungen für DoH, die von den Einstellungen auf Netzwerkebene abweichen.
Dies ist besonders relevant bei der Überprüfung von E-Mail-Einträgen wie SPF, DKIM und DMARC sowie bei der Kontrolle einer internet.nl-Bewertung für deine geschäftliche E-Mail. Wenn du unsicher bist, ob eine Änderung bereits aktiv ist, überprüfe es mit einem separaten DNS-Lookup-Tool, anstatt dich nur darauf zu verlassen, was dein Browser anzeigt.
Auch beim Wechsel zu einem neuen Hosting-Anbieter ist dies relevant: Während der Übergangsphase der DNS-Einträge können Besucher über verschiedene Resolver vorübergehend noch den alten oder bereits den neuen Server sehen. Ein ruhiger, geplanter Umzug mit ausreichend niedrigen TTL-Werten verhindert Verwirrung.
Überprüfe deine aktuellen DNS-Einstellungen
Schau dir deine A-, MX- und TXT-Einträge im Verwaltungspanel deines Domainnamens oder Hosting-Anbieters an, bevor du etwas änderst.
Senke die TTL vor einer Änderung
Setze den TTL-Wert vorübergehend niedrig, damit Anpassungen bei verschiedenen Resolvern, einschließlich DoH-Anbietern, schneller ankommen.
Führe die Änderung durch
Passe den Eintrag in Plesk oder deiner Domainverwaltung an und notiere den Zeitpunkt der Änderung.
Teste über mehrere Netzwerke
Überprüfe das Ergebnis von einem anderen WLAN-Netzwerk, über mobile Daten und eventuell mit einem separaten DNS-Lookup-Tool.
Setze die TTL wieder auf normal
Erhöhe die TTL wieder, sobald du sicher weißt, dass die Änderung überall sichtbar ist.
Was du konkret tun musst
Als Inhaber einer Website oder eines Webshops musst du DoH nicht selbst konfigurieren; das geschieht auf Seiten des Browsers oder Betriebssystems deiner Besucher. Was jedoch in deiner Hand liegt, ist dafür zu sorgen, dass deine eigenen DNS-Einträge korrekt und aktuell sind und dass du weißt, wie du Änderungen testen musst, sobald DoH ins Spiel kommt.
Sorge dafür, dass Domainnamen, A-Einträge und MX-Einträge übersichtlich an einem Ort verwaltet werden. In Plesk, dem Kontrollpanel, das für Webhosting verwendet wird, findest du diese Einstellungen unter der DNS-Verwaltung deiner Domain. Kombiniere dies mit einer korrekten Konfiguration deiner geschäftlichen E-Mail, einschließlich SPF, DKIM und DMARC, damit deine E-Mail bei internet.nl gut abschneidet, unabhängig davon, über welchen Resolver ein empfangender Mailserver die Einträge abfragt.
Hast du Zweifel an deiner aktuellen DNS-Konfiguration oder möchtest du zu einem Anbieter wechseln, der dies übersichtlich für dich verwaltet, dann schau dir die Möglichkeiten für den Wechsel zu Tandata an oder konsultiere die Wissensdatenbank für schrittweise Erklärungen zur DNS-Verwaltung.
Häufig gestellte Fragen
Muss ich DoH selbst auf meinem Server aktivieren?
Nein, DoH wird auf Seiten des Besuchers (Browser oder Betriebssystem) verwendet, um DNS-Anfragen zu verschlüsseln. Als Website-Betreiber musst du dafür nichts konfigurieren.
Funktioniert DoH zusammen mit DNSSEC?
Ja, es sind sich ergänzende Techniken. DNSSEC gewährleistet, dass eine DNS-Antwort echt und unverfälscht ist, während DoH die Anfrage selbst verschlüsselt, sodass niemand unterwegs mitlesen kann.
Warum sehe ich eine DNS-Änderung nicht sofort bei einem Besucher?
Dies liegt oft am Caching basierend auf dem TTL-Wert des Eintrags, kombiniert mit der Tatsache, dass ein DoH-Resolver unabhängig vom lokalen Internetanbieter cachen kann.
Hat DoH Einfluss auf meine E-Mail oder meine internet.nl-Bewertung?
Nicht direkt. Sorge jedoch dafür, dass SPF, DKIM und DMARC korrekt eingerichtet sind, damit empfangende Mailserver, unabhängig vom verwendeten Resolver, deine E-Mail gut verifizieren können.
Kann ich überprüfen, ob meine DNS-Einträge überall korrekt abgefragt werden?
Verwende ein unabhängiges DNS-Lookup-Tool und teste von verschiedenen Netzwerken und Geräten aus, um sicherzustellen, dass eine Änderung überall durchgeführt wurde.
Fazit
DNS over HTTPS verschlüsselt DNS-Anfragen und verbessert die Privatsphäre der Besucher, ohne dass du als Website-Betreiber etwas an deiner eigenen DNS-Konfiguration ändern musst. Wichtig ist jedoch, dass du weißt, wie Caching und Resolver funktionieren, damit du DNS-Änderungen für dein Webhosting, deine Domainnamen und deine geschäftliche E-Mail gründlich testest, bevor du davon ausgehst, dass sie überall sichtbar sind.