DNS over HTTPS (DoH) ist ein Protokoll, das DNS-Anfragen und -Antworten in verschlüsselten HTTPS-Verbindungen überträgt, sie so vor Lauschern verbirgt und Manipulationen auf dem Übertragungsweg verhindert.
Wie DNS over HTTPS funktioniert
Klassische DNS-Anfragen laufen im Klartext über Port 53 – jeder im Netz kann sehen, welche Domains ein Nutzer aufruft, und die Antworten verändern. DoH, 2018 in RFC 8484 standardisiert, verpackt DNS-Nachrichten in HTTPS-Anfragen an einen Resolver, meist über Port 443, wo sie im gewöhnlichen Webverkehr untergehen. Das verwandte Protokoll DNS over TLS (DoT, RFC 7858) verschlüsselt DNS per TLS auf dem eigenen Port 853, den Netzwerkadministratoren leichter erkennen.
Firefox aktivierte DoH 2020 standardmäßig für Nutzer in den USA; auch Chrome, Edge, Android und Windows 11 unterstützen verschlüsseltes DNS. Öffentliche Resolver wie Cloudflare, Google und Quad9 bieten DoH-Endpunkte an.
Warum DoH für die Sicherheit wichtig ist
Für Nutzer schützt DoH die Privatsphäre im öffentlichen WLAN und erschwert DNS-basierte Zensur und Spoofing. Für Organisationen ist es ein zweischneidiges Schwert:
- Verlust der Sichtbarkeit – Browser, die einen externen DoH-Resolver nutzen, umgehen DNS-Filter, Protokollierung und schützende DNS-Dienste im Unternehmen.
- Missbrauch durch Malware – die 2019 entdeckte Backdoor Godlua war eine der ersten bekannten Malware-Familien, die ihre Command-and-Control-Abfragen per DoH verbarg, und die iranische Gruppe OilRig (APT34) nutzte DoH-basiertes Tunneling zur Datenexfiltration.
- Schwierigere Erkennung – DNS-Tunneling in HTTPS lässt sich ohne TLS-Interception nicht prüfen.
Best Practices
- Im Unternehmen einen internen DoH- oder DoT-Resolver bereitstellen und per Browser- und Betriebssystemrichtlinien erzwingen.
- Bekannte öffentliche DoH-Resolver an der Firewall sperren, wo Richtlinien DNS-Transparenz verlangen.
- Firefox beachtet die Canary-Domain use-application-dns.net, mit der Netze das automatische DoH abschalten können.
- Zu Hause einen vertrauenswürdigen Resolver wählen, idealerweise einen, der bösartige Domains filtert.
