The Domain Name System (DNS) has long been one of the most valuable data sources for lawful interception and network intelligence. DNS queries reveal which websites a user visits, which services they access, and which applications they use, even when the rest of the traffic is encrypted. For decades, DNS traffic has been transmitted in plaintext, making it readily accessible to network-level interception. The emergence of encrypted DNS protocols — DNS over HTTPS (DoH) and DNS over TLS (DoT) — is fundamentally changing this landscape, with significant implications for Befugnisse zur Telekommunikationsüberwachung.
In diesem Artikel wird untersucht, wie DoH und DoT funktionieren, warum sie eingeführt werden, wie sie sich auf die Telekommunikationsüberwachung auswirken und was Betreiber tun können, um ihren Compliance-Verpflichtungen in einem Umfeld nachzukommen, in dem der DNS-Verkehr zunehmend verschlüsselt wird.
Die Herausforderung des verschlüsselten DNS für Betreiber
Traditional DNS resolution uses port 53 (mostly UDP, with TCP for larger responses), transmitting queries and responses in plaintext. Anyone with access to the network path between the user and the DNS resolver — including the operator, intermediate network elements, and potential eavesdroppers — can observe the DNS queries and determine which domain names the user is resolving.
DNS over TLS (DoT), defined in RFC 7858, encrypts DNS traffic by wrapping it in a TLS connection on TCP port 853. The DNS queries and responses are encrypted in transit, preventing observation by intermediaries. However, the use of a dedicated port (853) makes DoT traffic identifiable at the network level — an observer can determine that DNS resolution is occurring, even though the content of the queries is encrypted. A third protocol, DNS over QUIC (DoQ, RFC 9250), runs on UDP port 853. Oblivious DoH (RFC 9230) additionally hides the user’s IP address from the resolver.
DNS over HTTPS (DoH), defined in RFC 8484, takes encryption a step further by tunnelling DNS traffic within standard HTTPS connections on port 443 (TCP, or UDP when HTTP/3 over QUIC is used). Because DoH uses ordinary HTTPS on port 443, its content cannot be separated from web traffic, although connections to well-known public resolvers can still be recognised by their addresses. DoH effectively hides DNS resolution within the vast volume of encrypted web traffic that traverses modern networks.
Beide Protokolle dienen dem Schutz der Privatsphäre der Nutzer, indem sie verhindern, dass Netzwerkvermittler DNS-Abfragen einsehen können. Große Browser-Anbieter – darunter Mozilla Firefox und Google Chrome – haben DoH-Unterstützung implementiert, und einige Betriebssysteme unterstützen DoH und DoT mittlerweile nativ. Die Einführung von verschlüsseltem DNS schreitet immer schneller voran, angetrieben durch Datenschutzinitiativen, Standardeinstellungen der Browser und den allgemeinen Trend zur Verschlüsselung des gesamten Netzwerkverkehrs.
Die Auswirkungen auf die Telekommunikationsüberwachung
The encryption of DNS traffic has a direct and significant impact on lawful interception capabilities. Plaintext DNS queries have traditionally been visible to investigators inside the content of communication (CC): the IP copy of the target’s traffic includes every DNS packet, providing a detailed record of the target’s online activity. When a target visits a website, sends an email, or uses an application, the corresponding DNS queries reveal the domain names involved, even when the content of the communication is encrypted.
Mit DoH und DoT können Netzbetreiber DNS-Abfragen auf Netzwerkebene nicht mehr einsehen, wenn das Gerät des Zielnutzers so konfiguriert ist, dass es einen verschlüsselten DNS-Resolver verwendet, der nicht vom Netzbetreiber betrieben wird. Der DNS-Auflösungsprozess ist zwischen dem Gerät und dem Resolver durchgehend verschlüsselt, und die Netzwerkgeräte des Betreibers können die Abfragen ohne Zugriff auf die TLS-Sitzungsschlüssel nicht entschlüsseln.
This loss of DNS visibility affects real-time interception: the IP copy of the target’s traffic still contains every DNS packet, but with DoH and DoT those packets are encrypted, so the LEA loses the domain names it used to read from them. Encrypted DNS does not affect retained data: data retention rules, where they apply, cover subscriber and IP-assignment records. They do not cover DNS queries or browsing history, which in Germany are expressly excluded from data retention (§ 176(5) TKG).
Die Auswirkungen sind am gravierendsten, wenn das Ziel einen DoH-Resolver eines Drittanbieters nutzt – wie beispielsweise die von Cloudflare, Google oder anderen Anbietern betriebenen –, anstatt die eigene DNS-Infrastruktur des Betreibers. In diesem Fall werden die DNS-Abfragen vollständig außerhalb des Netzwerks des Betreibers aufgelöst, und der Betreiber hat keinerlei Zugriff darauf. Verwendet das Ziel den betreibereigenen DNS-Resolver mit DoT oder DoH, behält der Betreiber zwar Zugriff auf die Abfragedaten auf Resolver-Ebene, jedoch nicht an zwischengeschalteten Netzwerkknoten.
Maßnahmen zur Risikominderung für Betreiber
Operators cannot prevent the adoption of encrypted DNS, but they can implement strategies to mitigate its impact on lawful interception. The first strategy is to operate their own DoH and DoT resolvers and to encourage their subscribers to use these resolvers, for example by advertising them through DDR (RFC 9462) or DNR (RFC 9463) so that devices upgrade to the operator’s encrypted resolver automatically. If the operator runs the encrypted resolver, an interception point at the resolver can still see a target’s queries in plaintext once a valid order is in force. This is not a reason to log all subscribers’ DNS: keeping such data needs its own legal basis. This approach preserves DNS visibility for lawful interception while still providing subscribers with the privacy benefits of encrypted DNS against third-party observation.
The second strategy involves using alternative data sources to reconstruct the information that DNS queries previously provided. Server Name Indication (SNI) in TLS handshakes provides the domain name of the server that the client is connecting to, and this information has traditionally been transmitted in plaintext. However, Encrypted Client Hello (ECH, RFC 9849, published 2026, the successor to ESNI) now encrypts the SNI as well, wherever browser and server support it, further reducing visibility. IP address analysis can also provide some information about which services a target is accessing, but the widespread use of content delivery networks (CDNs) and shared hosting means that IP-to-domain mapping is often ambiguous.
The third strategy is to implement interception at the application layer or at the device level, rather than relying solely on network-level data. This approach is beyond the scope of traditional telecommunications interception, but some jurisdictions already permit device-level interception under strict conditions (in Germany, ‘Quellen-TKÜ’ under § 100a StPO), as a response to the increasing encryption of network traffic. For operators, this is not a practical solution, but it is part of the broader context in which encrypted DNS should be understood.
A fourth strategy involves regulatory and policy engagement. Outside the EU, some governments block third-party resolvers or encrypted handshakes. In the EU, net-neutrality rules (Regulation (EU) 2015/2120) make such blocking by operators difficult without a specific legal basis. These approaches are controversial and raise questions about network neutrality, user freedom, and technical feasibility.
Der allgemeine Trend zur Verschlüsselung
Verschlüsseltes DNS ist Teil eines umfassenderen Trends zur Verschlüsselung des gesamten Netzwerkverkehrs, der durch Datenschutzbedenken, bewährte Sicherheitsverfahren und die Standardkonfigurationen großer Softwareplattformen vorangetrieben wird. TLS 1.3, ECH, QUIC und andere Technologien verschlüsseln zunehmend mehr Metadaten und Inhalte, auf die sich die Überwachung auf Netzwerkebene traditionell stützte. Jeder Schritt in diesem Verschlüsselungstrend schränkt die Transparenz für Betreiber und damit auch für die Telekommunikationsüberwachung ein.
Die Betreiber müssen erkennen, dass die Transparenz auf Netzwerkebene, über die sie in der Vergangenheit verfügten, abnimmt und auch weiterhin abnehmen wird. Die Reaktion auf diesen Trend kann nicht rein technischer Natur sein – sie erfordert die Zusammenarbeit mit Regulierungsbehörden, Normungsgremien und Strafverfolgungsbehörden, um neue Ansätze für die Telekommunikationsüberwachung zu entwickeln, die den Realitäten einer stark verschlüsselten Netzwerkumgebung Rechnung tragen.
At the same time, operators must continue to deliver whatever interception data they are technically capable of providing. The encryption of DNS does not eliminate the operator’s legal obligation to intercept; it changes the scope of what can be intercepted. Operators must remove encryption they apply in the network or whose keys they help generate or exchange (in Germany § 8(3) TKÜV). Third-party DoH or DoT traffic is handed over as captured. Operators must be transparent with law enforcement about these limitations and must ensure that their LI systems are updated to handle the reduced visibility gracefully — delivering the complete copy of the target’s traffic, encrypted DNS included, without filtering it.
Auswirkungen auf die Einhaltung von Vorschriften und die Berichterstattung
Encrypted DNS does not reduce what an operator has to deliver: the complete copy of the target’s traffic, including the encrypted DNS packets, still meets the obligation. What changes is what law enforcement can read from it, and operators should explain this when agencies ask why domain names are missing.
Die Regulierungsbehörden in einigen Rechtsordnungen müssen möglicherweise ihre technischen Anforderungen und Erwartungen aktualisieren, um der Realität verschlüsselter DNS Rechnung zu tragen. Betreiber können in diesem Prozess eine konstruktive Rolle spielen, indem sie technisches Fachwissen und praktische Erkenntnisse bereitstellen, um die Entwicklung der Regulierung zu unterstützen. Das schlimmste Szenario für alle Beteiligten wäre eine regulatorische Erwartung, dass Betreiber Daten bereitstellen, auf die sie technisch keinen Zugriff haben – eine Situation, die Compliance-Risiken mit sich bringt, ohne einen Ermittlungsnutzen zu bieten.
Schlussfolgerung
Encrypted DNS represents a significant shift in the balance between privacy and surveillance capability in telecommunications networks. DoH and DoT protect user privacy by preventing the observation of DNS queries by network intermediaries, but they also reduce the visibility available to lawful interception systems. Operators can help by offering their own encrypted DNS resolvers, leveraging alternative data sources, engaging with regulators on evolving requirements, and ensuring that their LI systems accurately reflect the data that is actually available. The trend toward comprehensive network encryption is irreversible, and operators that adapt proactively will be better positioned to maintain compliance and to provide meaningful support to law enforcement within the constraints of the evolving technical landscape.
Die Debatte um verschlüsseltes DNS verdeutlicht zudem das Spannungsfeld zwischen den Datenschutzrechten des Einzelnen und den legitimen Erfordernissen der Strafverfolgungsbehörden. Um das richtige Gleichgewicht zu finden, ist eine Zusammenarbeit zwischen Technologen, politischen Entscheidungsträgern, der Zivilgesellschaft und den Strafverfolgungsbehörden erforderlich. Die Betreiber stehen an der Schnittstelle dieser Interessen und tragen eine besondere Verantwortung dafür, dass technische Möglichkeiten, gesetzliche Verpflichtungen und Datenschutzbestimmungen aufeinander abgestimmt sind. Durch ihre aktive Beteiligung an der Entwicklung von Standards, bei regulatorischen Konsultationen und in Branchenforen können Betreiber dazu beitragen, Lösungen zu gestalten, die den Datenschutz wahren und gleichzeitig die Fähigkeit demokratischer Gesellschaften erhalten, TKÜ-Maßnahmen im Einklang mit den Grundsätzen der Rechtsstaatlichkeit durchzuführen.
Verwandte Artikel
Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:
- Network Slicing in 5G SA: Wie es das LI-Targeting erschwert (und vereinfachen kann)
- KI-gestützte LI: Was Automatisierung für Betreiber und die Arbeitsabläufe der Strafverfolgungsbehörden bedeutet
- IRI vs. CC: Was überwachungsrelevante Informationen in der Praxis bedeuten
Externe Ressourcen
Die folgenden externen Quellen bieten zusätzlichen Kontext und offizielle Dokumentation:
