DNS vs. VPN: Was jedes wirklich tut

Vor ein paar Jahren änderte ich die DNS-Einstellungen an meinem Heimrouter, wählte einen Resolver, der Privatsphäre versprach, und war still mit mir zufrieden. Ein paar Monate später kaufte ich aus demselben Grund ein VPN-Abo. Beide Male glaubte ich, „privat geworden“ zu sein. Beide Male lag ich auf interessante Weise falsch, und es brauchte etwas Herumstochern auf Paketebene, bis ich verstand, was ich jedes Mal tatsächlich gekauft hatte.

Die Verwirrung ist verständlich, denn beide werden mit denselben Worten verkauft. Aber DNS und VPNs wirken an völlig verschiedenen Punkten Ihrer Verbindung, und sobald Sie das sehen, fügt sich der Rest — Lecks, Regionstricks, Geschwindigkeit — von selbst.

Beginnen Sie damit, was eine Anfrage überhaupt ist

Bevor Ihr Browser example.com laden kann, muss dieser Name in eine IP-Adresse übersetzt werden. Er fragt einen DNS-Resolver, der mit etwas wie 203.0.113.25 antwortet. Dieses Frage-und-Antwort ist eine Anfrage: winzig, schnell und getrennt vom eigentlichen Besuch. Erst wenn die Antwort zurück ist, öffnet Ihr Browser eine Verbindung zu dieser Adresse und holt die Seite.

Halten Sie diese zwei Stufen in Ihrem Kopf sauber getrennt, denn die ganze Frage DNS gegen VPN lebt dort. Ein DNS-Wechsel berührt nur die erste Stufe. Ein VPN übernimmt auch die zweite.

Was ein DNS-Wechsel wirklich tut

Den Resolver zu wechseln — von Hand oder über verschlüsseltes DNS im Browser — ändert, wer die Fragen beantwortet. Der Resolver Ihres Providers sieht kein Tagebuch mehr über jeden Namen, den Sie nachschlagen, und der neue Resolver sieht es stattdessen. Ein filternder Resolver kann Namen verweigern, die für Malware oder Werbung bekannt sind. Ein Resolver in einem anderen Land kann für Dienste wichtig sein, die entscheiden, was sie Ihnen zeigen, je nachdem, woher die Anfrage zu kommen scheint — der ganze Trick hinter Smart-DNS-Diensten.

Auch der Regionswinkel verdient Ehrlichkeit. Manche Dienste prüfen, wo Ihr Resolver zu sein scheint, statt wo Sie sind, weil Anfragen historisch ein recht brauchbarer Ersatz für den Standort waren. Das ist die gesamte Grundlage von Smart DNS: keine Verschlüsselung, kein Tunnel, nur Antworten, die so gewählt sind, dass sie Sie auf einen Proxy anderswo zeigen. Sobald ein Dienst stattdessen die Adresse Ihrer Verbindung prüft — wie die meisten —, hört der Trick auf zu funktionieren, weshalb Smart DNS manche Kataloge freischaltet und für andere nichts tut.

Und das ist ungefähr die ganze Liste. Der Besuch selbst bleibt unverändert. Ihre Daten verlassen Ihr Haus weiterhin über Ihre eigene Verbindung, unter Ihrer eigenen IP-Adresse, und die Websites, die Sie besuchen, sehen Sie genau wie zuvor. Ihr Provider kann die Anfragen nicht mehr lesen, wenn der Resolver-Verkehr verschlüsselt ist, aber er kann weiterhin sehen, zu welchen IP-Adressen Sie sich verbinden. Ich hatte das Telefonbuch gewechselt, nicht die Straße.

Was ein VPN wirklich tut

Ein VPN verpackt Ihren gesamten Datenverkehr — Anfragen wie Seitenabrufe — in einen verschlüsselten Tunnel zu einem Server des VPN-Anbieters. Dieser Server spricht dann in Ihrem Namen mit dem Internet. Websites sehen die Adresse des VPN-Servers statt Ihrer. Ihr Provider sieht einen verschlüsselten Strom zu einem Ziel und nicht viel mehr.

Beachten Sie aber, was still geschah: Das Vertrauen verschwand nicht, es zog um. Der VPN-Anbieter kann nun beobachten, was früher Ihr Provider beobachtete, denn alles, was Sie tun, läuft über seine Maschinen. Ein VPN ist ein Wechsel dessen, wer zuschaut, kein Ende des Zuschauens, und das Wort „anonym“ im Marketing verdient die Skepsis, die eine einfache Erklärung zu DNS-Lecks auf Lecks anwendet.

Es gibt ein Klempnerdetail, das sich zu wissen lohnt, denn es erklärt die Lecks im nächsten Abschnitt. Unter der Haube ist eine Anfrage ein winziges Paket an die Adresse des Resolvers — Port 53 für einfaches DNS —, während ein VPN alles bewegt, jedes Paket jedes Programms, in seinen Tunnel. Wenn die Regeln des Tunnels vergessen, diese kleinen Anfragepakete einzuschließen, schlüpfen sie über das normale Netz hinaus. Verschiedene Stufen, verschiedene Fehlerarten.

Seite an Seite

Die letzte Zeile ist die, die Anbieter lieber übersprungen sähen. Keines der beiden Werkzeuge löscht die Konten, bei denen Sie sich anmelden, die Cookies, die Websites setzen, oder den Fingerabdruck, den Ihr Browser vorzeigt. Melden Sie sich über ein VPN bei Ihrer E-Mail an, weiß dieser Dienst genau, wer Sie sind — er sieht nur eine andere Absenderadresse.

Ein Seitenaufruf, auf beide Arten

Machen wir es konkret. Sie tippen den Namen eines Geschäfts in Ihren Browser, im WLAN eines Cafés. Mit nur einer DNS-Änderung geht Ihre Anfrage an den Resolver, den Sie gewählt haben — verschlüsselt, wenn Sie es so eingerichtet haben — und kommt mit der Adresse des Geschäfts zurück, sagen wir 198.51.100.25. Dann verbindet sich Ihr Laptop direkt mit dieser Adresse, quer durch das Café-Netzwerk, ganz offen. Das Geschäft sieht die echte Adresse Ihres Laptops. Der Router des Cafés sieht, wohin Sie gegangen sind und wie viele Daten geflossen sind. Das Tagebuch der Namen ist umgezogen; die Reise hat sich überhaupt nicht geändert.

Dasselbe Café, VPN eingeschaltet. Die Anfrage geschieht nun innerhalb des Tunnels, beantwortet vom Resolver des VPN. Auch der Seitenabruf reist innerhalb des Tunnels, zum Server des VPN, der die Seite holt und an Sie zurückleitet. Das Café sieht einen einzigen verschlüsselten Strom zu einem einzigen Ziel. Das Geschäft sieht die Adresse des VPN-Servers, im Land des VPN-Servers. Beachten Sie jedoch den Zuschauer: Er hat das Theater nicht verlassen. Er hat den Platz gewechselt, vom Router des Cafés in den Serverraum des VPN-Anbieters.

Es gibt einen Hybriden, der einen Namen verdient, weil er verwirrende Leak-Berichte erzeugt: split tunnelling. Viele VPN-Clients erlauben Ihnen, ausgewählte Apps vom Tunnel auszunehmen, sodass die Banking-App Ihre echte Verbindung nutzt, während der Browser über das VPN fährt. Die Anfragen dieser ausgenommenen Apps reisen ebenfalls außerhalb, beantwortet von Ihrem gewöhnlichen Resolver. Das ist weder ein Fehler noch ein Verrat — es ist die Funktion bei der Arbeit —, aber es bedeutet, dass „das VPN ist an“ aufhört, eine vollständige Beschreibung Ihres Datenverkehrs zu sein. Zwei Spuren, zwei Gruppen von Zeugen, und ein Leak-Test, der nur eine Spur abtastet, wird Ihnen immer nur die halbe Geschichte erzählen.

Der unbequeme Zwischenfall: DNS-Lecks unter einem VPN

Hier prallen die beiden aufeinander. Ein VPN soll auch die Anfragen durch den Tunnel leiten, mit seinen eigenen Resolvern. Aber Betriebssysteme und Browser senden Anfragen manchmal außerhalb des Tunnels an den alten Resolver, oft den des Providers. Der Seitenverkehr ist verborgen, während das Anfragetagebuch durch die Seitentür entweicht — das ist ein DNS-Leck, und der Grund, warum eine geänderte DNS-Einstellung, wie die in dieser Anleitung zum Serverwechsel, still gegen ein VPN kämpfen kann, statt ihm zu helfen.

Weil sich die beiden Werkzeuge ein Vokabular teilen, kombinieren Menschen sie auf Weisen, die sich still gegenseitig aufheben. Die wiederkehrenden:

• Einen eigenen Resolver für Privatsphäre einzustellen und dann einen Leak-Test laufen zu lassen, der das VPN beschuldigt — während die entkommenden Anfragen Ihre eigene Einstellung sind, die genau das tut, was Sie ihr gesagt haben.
• Smart DNS für Privatsphäre zu kaufen. Es bietet keine: Die Anfragen sind sein gesamtes Produkt, und Ihr Datenverkehr bleibt genau dort, wo er war, unter Ihrer eigenen Adresse.
• Ein VPN aus Regionsgründen zu nutzen, während das verschlüsselte DNS des Browsers selbst Anfragen an einen Resolver in Ihrem echten Land schickt. Manche Dienste lesen den scheinbaren Standort der Anfrage, sodass eine Hälfte von Ihnen im Ausland zu sein scheint und die andere zu Hause.
• Beide Werkzeuge zu stapeln und die Verlangsamung dem zu geben, das zuletzt installiert wurde. Der Tunnel besteuert jedes Byte, das Sie bewegen; der Resolver hat je nur die Fragen besteuert.

Keine dieser Konfigurationen ist exotisch. Ich habe persönlich zwei davon gebaut, jedes Mal, indem ich ein sinnvolles Werkzeug zu einer Einrichtung hinzufügte, die bereits eines hatte, und nie prüfte, was die Kombination tatsächlich tat. Die Prüfung dauert fünf Minuten und braucht eine ehrliche Frage: Für eine einzige Anfrage und für einen einzigen Seitenaufruf — wessen Maschinen benutze ich eigentlich?

Welches brauchen Sie also?

Fragen Sie sich, was Sie tatsächlich beheben wollen. Anfragen, die Ihr Provider sieht, oder langsame und gefilterte Antworten? Wechseln Sie den Resolver — das dauert Minuten und kostet nichts. Verbinden Sie sich aus einem Netz, dem Sie nicht trauen, oder müssen Websites einen anderen Netzstandort sehen? Das ist der Job des VPN, Tunnel inklusive. Viele Menschen nutzen vernünftigerweise beides, so eingerichtet, dass das VPN die Anfragen übernimmt, solange es verbunden ist.

Was Ihnen keiner der beiden Käufe gibt, ist Unsichtbarkeit. Behandeln Sie jedes Werkzeug, das das verspricht, als Geschichte — und wenn Sie prüfen wollen, was Ihre eigene Einrichtung wirklich preisgibt, sind die Anfragen der erste Ort, an dem Sie nachsehen sollten.