Was ist DNS und wie funktioniert es?

Das Öffnen einer Website fühlt sich sofort an, doch zuvor findet eine schnelle Abfrage statt. Bevor eine Seite geladen werden kann, muss Dein Gerät den Server ausfindig machen, auf dem diese Website gespeichert ist. Genau hier kommt DNS ins Spiel. 

Dieser Leitfaden erklärt, was DNS bedeutet, wie der Abfrageprozess abläuft, warum er wichtig ist und welche Auswirkungen er auf Geschwindigkeit und Sicherheit hat.

Was ist DNS und warum ist es wichtig?

Das Domain Name System (DNS) ist ein System, das lesbare Namen von Websites in numerische IP-Adressen übersetzt. Mithilfe dieser können sich Computer online gegenseitig finden.

Ohne DNS müsstest Du Dir jedes Mal, wenn Du eine Website besuchen möchtest, lange Zahlenfolgen (IP-Adressen) merken, zum Beispiel 192.0.2.1 statt privateinternetaccess.com. Durch DNS wird das Surfen im Internet schnell und benutzerfreundlich.

DNS ist kein einzelner Server. Es ist ein verteiltes Netzwerk aus Resolvern und Nameservern, die zusammenarbeiten, um Suchanfragen zu beantworten und den Datenfluss aufrechtzuerhalten.

Wie funktioniert das DNS? Eine Schritt-für-Schritt-Übersicht

Das passiert, wenn Du eine Website besuchst.

1. Du gibst den Namen einer Website in Deinen Browser ein: Du gibst eine Domain wie beispiel.com ein. Um die Seite zu laden, benötigt Dein Gerät die IP-Adresse des Servers, auf dem sie gehostet wird.
2. Dein Gerät überprüft seinen lokalen DNS-Cache: Zunächst prüft Dein Browser oder Betriebssystem, ob Du die Seite schon einmal besucht hast. Wenn ja, hat es die IP-Adresse möglicherweise im Speicher und leitet Dich direkt zur Website weiter.
3. Es fragt einen rekursiven DNS-Resolver: Wenn die Antwort nicht im Cache vorhanden ist, sendet Dein Gerät die Anfrage an einen rekursiven Resolver, der normalerweise von Deinem Internetanbieter oder einem DNS-Anbieter wie Google oder Cloudflare betrieben wird. Von hier an übernimmt der Resolver die Suche für Dich.
4. Der Resolver überprüft seinen eigenen Cache: Falls er dieselbe Website kürzlich bereits abgefragt hat, hat er die Antwort möglicherweise schon parat. Falls nicht, setzt er die Suche fort.
5. Der Resolver fragt den Root-DNS-Server, wo er als Nächstes suchen soll: Dieser Server fungiert als Verzeichnis für das DNS-System des Internets und verweist den Resolver an den richtigen Top-Level-Domain-Server (TLD), den er als Nächstes befragen soll (in diesem Fall .com).
6. Der Resolver kontaktiert den TLD-Nameserver: Dieser verwaltet alle Domains mit der Endung .com oder einer anderen, wie beispielsweise .net, und antwortet mit der Adresse des autoritativen Servers für beispiel.com.
7. Der Resolver kontaktiert den autoritativen Nameserver: Dieser verfügt über die benötigten Informationen. Er kennt die IP-Adresse der Website und teilt sie dem Resolver mit. 
8. Der Resolver gibt die IP-Adresse an Deinen Browser zurück: Dein Gerät weiß nun, wohin es gehen muss. Es kann sich direkt mit dem Server der Website verbinden und mit dem Laden der Seite beginnen.
9. Es findet erneut eine Zwischenspeicherung statt: Um den Vorgang beim nächsten Mal zu beschleunigen, speichern sowohl Dein Gerät als auch der Resolver das Ergebnis für eine gewisse Zeit.

Es ist ein komplexes System, doch in Wirklichkeit dauert es nur Millisekunden, bis all diese Schritte durchlaufen sind. Aus Sicht des Nutzers sieht es so aus, als würde die Seite direkt geladen werden.

Arten von DNS-Servern

• Rekursiver DNS-Resolver: Das ist der erste Server, den Dein Gerät direkt kontaktiert. Er übernimmt im Wesentlichen die Vorarbeit bei der Suche nach der richtigen IP-Adresse, indem er unter anderem andere Server abfragt, und liefert die Antwort an Deinen Browser zurück.
• Root-Server: Der Root-Server kennt die Antwort (die benötigte IP-Adresse) nicht, weiß aber, wo der Resolver mit der Suche beginnen soll. Je nach Domain-Endung (wie .com, .net oder .org) verweist er auf den entsprechenden TLD-Server.
• TLD-Nameserver: Der TLD-Server ist für eine bestimmte Gruppe von Domains, wie z. B. .com oder .org, zuständig. Er kann dem Resolver die IP-Adresse nicht mitteilen, da er sie nicht kennt, weiß aber, wo sich der autoritative Nameserver für die Domain befindet, die Du erreichen möchtest.
• Autoritativer Nameserver: Dieser Server enthält die tatsächlichen DNS-Einträge für die Domain, einschließlich der IP-Adresse. Es gibt zwei Arten von autoritativen Nameservern: den primären, der die ursprünglichen Einträge speichert, und den sekundären, der eine Sicherungskopie erstellt und so für zusätzliche Zuverlässigkeit sorgt.

Arten von DNS-Abfragen

Nicht jede DNS-Abfrage durchläuft den oben beschriebenen vollständigen Prozess. Je nachdem, was bereits bekannt ist oder im Cache gespeichert wurde, führt Dein System möglicherweise verschiedene Arten von DNS-Abfragen durch. Diese Abfragetypen sorgen gemeinsam dafür, dass das DNS ein Gleichgewicht zwischen Geschwindigkeit und Genauigkeit herstellt, damit Du so schnell wie möglich die richtige Antwort erhältst.

Rekursive Abfrage

Eine rekursive Abfrage findet statt, wenn Dein Gerät einen DNS-Resolver auffordert, die endgültige Antwort zu. Dabei ist es egal, wie viele andere Server kontaktiert werden müssen. Es handelt sich um den vollständigen Suchvorgang von Anfang bis Ende, bei dem der Resolver die ganze Arbeit übernimmt.

Iterative Abfrage

Bei einer iterativen Abfrage fragt der Resolver jeden DNS-Server in der Kette nach der bestmöglichen Antwort, die er geben kann. Hat ein Server die endgültige Antwort nicht, verweist er den Resolver an den nächsten Server in der Kette. Dieser Vorgang wiederholt sich, bis der Resolver den autoritativen Server erreicht und die IP-Adresse erhält.

Nicht-rekursive Abfrage

Eine nicht-rekursive Abfrage ist die schnellste Art: Sie findet statt, wenn der Resolver die IP-Adresse bereits im Cache gespeichert hat. Es müssen keine anderen Server kontaktiert werden, sodass die Antwort sofort geliefert wird.

Kann DNS die Internetgeschwindigkeit beeinflussen?

Ja, und das spielt eine größere Rolle, als Dir vielleicht bewusst ist. 

Wie bereits erwähnt, muss Dein Browser jedes Mal, wenn Du eine Website aufrufst, den Domainnamen in eine IP-Adresse umwandeln. Dieser Vorgang wird DNS-Lookup genannt und sollte nicht länger als ein paar Millisekunden dauern. Wenn Dein DNS-Dienst jedoch langsam oder unzuverlässig ist, wirkt sich das auf die gesamte Geschwindigkeit aus.

Wenn der DNS-Server physisch weit entfernt ist, mit Anfragen überlastet ist oder Domains ineffizient auflöst, wirst Du eine Verlangsamung bemerken, bevor die Seite zu laden beginnt. Dabei spielt Deine Internetgeschwindigkeit keine Rolle: Egal, ob Du ein schnelles Glasfaser-Internet oder eine langsame DSL-Verbindung hast – ein träger DNS-Lookup führt trotzdem dazu, dass die Website langsam lädt.

Die Nutzung eines schnellen, gut optimierten DNS-Anbieters bedeutet hingegen, dass Deine Anfragen schnell und effizient bearbeitet werden. Websites werden schneller geladen und Dein Online-Erlebnis fühlt sich viel flüssiger an. Das macht sich besonders bemerkbar, wenn Du viel Zeit mit Surfen verbringst oder den ganzen Tag online arbeitest.

In der Regel ändert der durchschnittliche Internetnutzer die Standard-DNS-Server seines Internetanbieters nicht, da ihm oft nicht bewusst ist, dass er eine Wahl hat. Der Wechsel zu einem schnelleren oder datenschutzorientierten Resolver, wie dem PIA VPN DNS, Cloudflare (1.1.1.1), Google Public DNS (8.8.8.8) oder Quad9, kann einen spürbaren Unterschied bewirken.

Erwähnenswert ist außerdem, dass Dein Browser und das Betriebssystem Deines Geräts einen DNS-Cache verwalten. Wenn Du kürzlich eine Website besucht hast, kann Dein System die gespeicherte IP-Adresse verwenden, anstatt die Abfrage zu wiederholen, wodurch Zeit gespart und der Datenverkehr reduziert wird. Das ist einer der Gründe, warum häufig besuchte Websites schneller geladen werden.

So führst Du eine DNS-Abfrage durch

Das Überprüfen der DNS-Informationen, die mit einer beliebigen Domain verknüpft sind, wird als DNS-Abfrage bezeichnet. Windows, macOS und Linux verfügen hierfür über ein integriertes Tool namens nslookup, das alle Daten aus den DNS-Einträgen der Website überprüft und Dir anzeigt. So kannst Du ganz einfach Informationen wie IP-Adressen, Mailserver-Einträge und mehr abrufen. So geht’s:

1. Öffne die Terminal-App oder die Eingabeaufforderung auf Deinem Computer. (Unter Windows klickst Du auf Start und gibst dann Eingabeaufforderung oder cmd ein, um sie zu öffnen.)
2. Gib nslookup ein und drücke Enter. Dadurch wird der konfigurierte DNS-Server Deines Systems als Standard festgelegt.
3. Wenn Du einen bestimmten Eintragstyp wie A (IP-Adresse), MX (Mail Exchange) oder NS (Name-Server-Eintrag) überprüfen möchtest, gib set type=Eintragstyp ein (z. B. set type=A) und drücke Enter.
4. Gib den Domainnamen ein, den Du abfragen möchtest (z. B., privateinternetaccess.com) und drücke Enter.

Die zurückgegebenen Eintragsinformationen werden direkt in Deinem Terminal angezeigt.

Es ist ein nützliches Tool, um DNS-Probleme zu beheben oder zu überprüfen, ob eine Domain korrekt aufgelöst wird.

Häufige DNS-Angriffe: Worauf Du achten solltest

DNS ist kein Online-Sicherheitstool. Es ist auf Schnelligkeit und Flexibilität ausgelegt, aber nicht auf Datenschutz oder Manipulationssicherheit. Dadurch entstehen Schwachstellen, die von böswilligen Akteuren ausgenutzt werden können, um verschiedene Cyberangriffe durchzuführen.

Hier sind einige der häufigsten Arten von DNS-Angriffen:

• DNS-Hijacking: Auch als DNS-Umleitung bekannt. Dabei werden Nutzer auf bösartige Websites umgeleitet, indem die Auflösung von DNS-Anfragen manipuliert wird. Hacker können die Kontrolle über die DNS-Einstellungen mithilfe von Malware, manipulierten Routern oder abgefangenem Datenverkehr übernehmen.
• DNS-Spoofing: Hierbei ersetzen Hacker die korrekte IP-Adresse in DNS-Antworten durch eine falsche und verleiten Nutzer so dazu, gefälschte Websites zu besuchen. Diese Seiten können Passwörter stehlen, Geräte infizieren oder legitime Seiten imitieren, ohne dass der Nutzer es bemerkt.
• DNS-Cache-Poisoning: Hierbei schleusen Angreifer gefälschte Informationen in einen DNS-Cache ein. Ist der Cache erst einmal manipuliert, leitet er Nutzer auf bösartige Websites weiter, selbst wenn sie den korrekten Domainnamen eingeben. Davon können sowohl einzelne Geräte als auch DNS-Server betroffen sein.
• DNS-Reflection-(Amplification-)Angriffe: Hierbei handelt es sich um eine Art DDoS-Angriff, bei dem Angreifer gefälschte DNS-Anfragen mit einer vorgetäuschten IP-Adresse senden. Offene DNS-Server antworten auf die vorgetäuschte Adresse mit großen Datenpaketen, wodurch das Netzwerk des Opfers überflutet und Ausfälle verursacht werden.
• DNS-Tunneling: Bei dieser Technik werden schädliche Daten in DNS-Anfragen versteckt, um Sicherheitstools zu umgehen. Sie wird oft genutzt, um Daten aus dem Netzwerk des Opfers abzugreifen oder eine verdeckte Kommunikation mit einem Command-and-Control-Server herzustellen.
• DNS-Rebinding: Hierbei wird der Browser durch gefälschte DNS-Informationen dazu verleitet, eine Verbindung zu Geräten im privaten Netzwerk, wie beispielsweise dem Router oder Heimserver, herzustellen. Dadurch kann eine bösartige Website versuchen, auf interne Systeme zuzugreifen, die normalerweise nicht zugänglich wären.

So funktioniert DNS-Sicherheit und so schützt Du Deine DNS-Anfragen

Hier sind einige Tipps, um Deinen DNS-Datenverkehr zu schützen und Dein Risiko zu verringern:

Verwende DNSSEC zur Authentifizierung

DNSSEC (Domain Name System Security Extensions) hilft dabei, zu überprüfen, ob DNS-Antworten nicht manipuliert wurden. DNSSEC fungiert wie eine digitale Signatur, die bestätigt, dass die Antwort von einer legitimen Quelle stammt.

Verschlüssele Deine DNS-Anfragen

Protokolle wie DNS over HTTPS (DoH) und DNS over TLS (DoT) verschlüsseln Deinen DNS-Datenverkehr. Dadurch werden Schnüffelei und Man-in-the-Middle-Angriffe in öffentlichen oder unsicheren Netzwerken verhindert.

Richte DNS-Filterung ein

Mit DNS-Filterung kannst Du den Zugriff auf bekannte bösartige Domains blockieren, noch bevor die Verbindung überhaupt hergestellt wird. Diese Methode wird häufig von Schulen, Unternehmen und Eltern genutzt, um sicherere Regeln für das Surfen durchzusetzen. Du musst nur einen Dienst auswählen und dessen DNS-Adressen in den Einstellungen Deines Geräts oder Routers eingeben.

Verwende ein DNS-Sinkhole oder eine Whitelist

Ein DNS-Sinkhole leitet bekannte schädliche Domains auf eine harmlose IP-Adresse um, während Whitelists alles außer vorab genehmigten Seiten blockieren. Diese Ansätze sind besonders nützlich in Unternehmensumgebungen, in denen strenge Kontrollen erforderlich sind.

Überprüfe regelmäßig auf DNS-Lecks

Auch wenn Du Sicherheitstools nutzt, ist es ratsam, DNS-Lecktests durchzuführen. So stellst Du sicher, dass Deine Anfragen nicht versehentlich über unsichere oder unbeabsichtigte DNS-Server geleitet werden. Wenn Du beispielsweise Cloudflare nutzt, sollte der Test die Werte 1.1.1.1 oder one.one.one.one anzeigen, aber nicht den Namen Deines Internetanbieters oder andere IP-Adressen.

Wähle einen vertrauenswürdigen DNS-Anbieter

Dein Internetanbieter ist standardmäßig Dein DNS-Anbieter. Du kannst jedoch zu einem privaten DNS-Anbieter wechseln, um von besserer Geschwindigkeit, mehr Datenschutz und höherer Sicherheit zu profitieren. Allerdings sind nicht alle DNS-Dienste gleich. Halte Dich an Anbieter, die DNSSEC-Unterstützung bieten und über Schutzmaßnahmen gegen DDoS-Angriffe oder Ausfälle verfügen. Achte außerdem darauf, dass Deine Daten weder protokolliert noch verkauft werden.

Häufig gestellte Fragen