Glossar · DNS
DoH und DoT
DoH und DoT verschlüsseln DNS-Anfragen auf dem Weg zum Resolver: gegen Mitleser im Netz. Wo sie helfen und was sie nicht verbergen.
So funktioniert es
Klassisches DNS fragt im Klartext: Jeder auf dem Weg zwischen Gerät und Resolver liest mit, welche Namen gefragt werden. DoT legt TLS darunter und fragt über einen eigenen Port; DoH bettet die Frage in HTTPS ein und fragt über den Web-Port. Beide schützen denselben Abschnitt: den Weg zum Resolver.
Der Unterschied liegt im Verkehr: DoT ist als DNS erkennbar und filterbar, DoH verschwindet im Webverkehr und umgeht Filter gleich mit. Darum lieben ihn die einen als Schutz und fürchten ihn die anderen als Kontrollverlust. Technisch trennt sie wenig, politisch alles.
Warum es wichtig ist
Im Café, im Hotel, im fremden Netz liest sonst jeder mit, und manche schreiben auch: umgebogene Antworten, gesperrte Namen. Verschlüsseltes DNS nimmt dem Weg die Einsicht; was der Resolver selbst sieht und speichert, bleibt Vertrauenssache.
Es schützt den Weg, nicht die Quelle: Ob die Antwort stimmt, entscheidet weiter DNSSEC, und ob der Resolver vertraut, entscheidet seine Wahl. Verschlüsselung ohne Prüfung ist diskret, aber nicht belegt.
Bei obhut
obhut betreibt autoritative Server, keine Resolver für Endnutzer: Was Resolver bei uns abholen, stammt aus signierten Zonen. Ob die Frage unterwegs verschlüsselt war, entscheiden Gerät und Resolver, nicht die Quelle.