{"id":2169,"date":"2026-08-12T08:00:00","date_gmt":"2026-08-12T07:00:00","guid":{"rendered":"https:\/\/ic-services.io\/?p=2169"},"modified":"2026-09-16T15:02:13","modified_gmt":"2026-09-16T14:02:13","slug":"auswirkungen-von-verschlusseltem-dns-doh-auf-li","status":"publish","type":"post","link":"https:\/\/ic-services.io\/de\/resources\/blog\/encrypted-dns-doh-dot-li-impact\/","title":{"rendered":"Verschl\u00fcsseltes DNS (DoH\/DoT) und seine Auswirkungen auf legale Abh\u00f6rm\u00f6glichkeiten"},"content":{"rendered":"

Das Domain Name System (DNS) ist seit langem eine der wertvollsten Datenquellen f\u00fcr die rechtm\u00e4\u00dfige \u00dcberwachung und Netzwerkanalyse. DNS-Abfragen geben Aufschluss dar\u00fcber, welche Websites ein Nutzer besucht, auf welche Dienste er zugreift und welche Anwendungen er nutzt \u2013 und das alles, ohne dass Zugriff auf den Inhalt der Kommunikation selbst erforderlich ist. Seit Jahrzehnten wird der DNS-Verkehr im Klartext \u00fcbertragen, wodurch er f\u00fcr die \u00dcberwachung auf Netzwerkebene leicht zug\u00e4nglich ist. Das Aufkommen verschl\u00fcsselter DNS-Protokolle \u2013 DNS over HTTPS (DoH) und DNS over TLS (DoT) \u2013 ver\u00e4ndert diese Landschaft grundlegend, was erhebliche Auswirkungen auf Befugnisse zur rechtm\u00e4\u00dfigen \u00dcberwachung<\/a>.<\/p>\n\n\n\n

In diesem Artikel wird untersucht, wie DoH und DoT funktionieren, warum sie eingef\u00fchrt werden, wie sie sich auf die rechtm\u00e4\u00dfige \u00dcberwachung auswirken und was Betreiber tun k\u00f6nnen, um ihren Compliance-Verpflichtungen in einem Umfeld nachzukommen, in dem der DNS-Verkehr zunehmend verschl\u00fcsselt wird.<\/p>\n\n\n\n

Die Herausforderung des verschl\u00fcsselten DNS f\u00fcr Betreiber<\/h2>\n\n\n\n

Bei der herk\u00f6mmlichen DNS-Aufl\u00f6sung wird der UDP-Port 53 verwendet, wobei Anfragen und Antworten im Klartext \u00fcbertragen werden. Jeder, der Zugriff auf den Netzwerkpfad zwischen dem Nutzer und dem DNS-Resolver hat \u2013 einschlie\u00dflich des Betreibers, zwischengeschalteter Netzwerkelemente und potenzieller Lauscher \u2013 kann die DNS-Anfragen einsehen und feststellen, welche Domainnamen der Nutzer aufl\u00f6st.<\/p>\n\n\n\n

DNS over TLS (DoT), definiert in RFC 7858, verschl\u00fcsselt den DNS-Datenverkehr, indem es ihn in eine TLS-Verbindung auf TCP-Port 853 einbindet. Die DNS-Abfragen und -Antworten werden w\u00e4hrend der \u00dcbertragung verschl\u00fcsselt, wodurch eine \u00dcberwachung durch Zwischenstellen verhindert wird. Die Verwendung eines dedizierten Ports (853) macht den DoT-Verkehr jedoch auf Netzwerkebene erkennbar \u2013 ein Beobachter kann feststellen, dass eine DNS-Aufl\u00f6sung stattfindet, auch wenn der Inhalt der Abfragen verschl\u00fcsselt ist.<\/p>\n\n\n\n

DNS over HTTPS (DoH), definiert in RFC 8484, geht in Sachen Verschl\u00fcsselung noch einen Schritt weiter, indem der DNS-Datenverkehr \u00fcber Standard-HTTPS-Verbindungen auf dem TCP-Port 443 getunnelt wird. Da sich DoH-Datenverkehr nicht von normalem HTTPS-Webdatenverkehr unterscheiden l\u00e4sst, ist es \u00e4u\u00dferst schwierig, ihn auf Netzwerkebene zu identifizieren und zu blockieren. DoH verbirgt die DNS-Aufl\u00f6sung effektiv in der riesigen Menge an verschl\u00fcsseltem Webdatenverkehr, der moderne Netzwerke durchstr\u00f6mt.<\/p>\n\n\n\n

Beide Protokolle dienen dem Schutz der Privatsph\u00e4re der Nutzer, indem sie verhindern, dass Netzwerkvermittler DNS-Abfragen einsehen k\u00f6nnen. Gro\u00dfe Browser-Anbieter \u2013 darunter Mozilla Firefox und Google Chrome \u2013 haben DoH-Unterst\u00fctzung implementiert, und einige Betriebssysteme unterst\u00fctzen DoH und DoT mittlerweile nativ. Die Einf\u00fchrung von verschl\u00fcsseltem DNS schreitet immer schneller voran, angetrieben durch Datenschutzinitiativen, Standardeinstellungen der Browser und den allgemeinen Trend zur Verschl\u00fcsselung des gesamten Netzwerkverkehrs.<\/p>\n\n\n\n

Die Auswirkungen auf die rechtm\u00e4\u00dfige \u00dcberwachung<\/h2>\n\n\n\n

Die Verschl\u00fcsselung des DNS-Verkehrs hat direkte und erhebliche Auswirkungen auf die M\u00f6glichkeiten der rechtm\u00e4\u00dfigen \u00dcberwachung. DNS-Abfragedaten sind seit jeher ein wesentlicher Bestandteil der \u00dcberwachungsinformationen und liefern den Ermittlern detaillierte Aufzeichnungen \u00fcber die Online-Aktivit\u00e4ten der Zielperson. Wenn eine Zielperson eine Website besucht, eine E-Mail versendet oder eine Anwendung nutzt, geben die entsprechenden DNS-Abfragen Aufschluss \u00fcber die beteiligten Domainnamen \u2013 selbst wenn der Inhalt der Kommunikation verschl\u00fcsselt ist.<\/p>\n\n\n\n

Mit DoH und DoT k\u00f6nnen Netzbetreiber DNS-Abfragen auf Netzwerkebene nicht mehr einsehen, wenn das Ger\u00e4t des Zielnutzers so konfiguriert ist, dass es einen verschl\u00fcsselten DNS-Resolver verwendet, der nicht vom Netzbetreiber betrieben wird. Der DNS-Aufl\u00f6sungsprozess ist zwischen dem Ger\u00e4t und dem Resolver durchgehend verschl\u00fcsselt, und die Netzwerkger\u00e4te des Betreibers k\u00f6nnen die Abfragen ohne Zugriff auf die TLS-Sitzungsschl\u00fcssel nicht entschl\u00fcsseln.<\/p>\n\n\n\n

Dieser Verlust an DNS-Transparenz wirkt sich sowohl auf die Echtzeit-\u00dcberwachung als auch auf die Analyse historischer Daten aus. Bei der Echtzeit\u00fcberwachung fehlen in dem f\u00fcr die Datensitzung einer Zielperson generierten IRI die DNS-Abfrageinformationen, die zuvor Kontextinformationen \u00fcber die Online-Aktivit\u00e4ten der Zielperson lieferten. Bei der historischen Analyse schr\u00e4nkt das Fehlen von DNS-Protokollen die F\u00e4higkeit des Betreibers ein, den Browserverlauf und die Nutzungsmuster der Zielperson anhand von aufbewahrte Daten<\/a>.<\/p>\n\n\n\n

Die Auswirkungen sind am gravierendsten, wenn das Ziel einen DoH-Resolver eines Drittanbieters nutzt \u2013 wie beispielsweise die von Cloudflare, Google oder anderen Anbietern betriebenen \u2013, anstatt die eigene DNS-Infrastruktur des Betreibers. In diesem Fall werden die DNS-Abfragen vollst\u00e4ndig au\u00dferhalb des Netzwerks des Betreibers aufgel\u00f6st, und der Betreiber hat keinerlei Zugriff darauf. Verwendet das Ziel den betreibereigenen DNS-Resolver mit DoT oder DoH, beh\u00e4lt der Betreiber zwar Zugriff auf die Abfragedaten auf Resolver-Ebene, jedoch nicht an zwischengeschalteten Netzwerkknoten.<\/p>\n\n\n\n

Ma\u00dfnahmen zur Risikominderung f\u00fcr Betreiber<\/h2>\n\n\n\n

Netzbetreiber k\u00f6nnen die Einf\u00fchrung von verschl\u00fcsseltem DNS nicht verhindern, aber sie k\u00f6nnen Strategien umsetzen, um dessen Auswirkungen auf die rechtm\u00e4\u00dfige \u00dcberwachung abzumildern. Die erste Strategie besteht darin, eigene DoH- und DoT-Resolver zu betreiben und ihre Teilnehmer dazu anzuhalten oder zu verpflichten, diese Resolver zu nutzen. Wenn der Betreiber den DNS-Resolver kontrolliert, beh\u00e4lt er den Zugriff auf DNS-Abfragedaten, selbst wenn die \u00dcbertragung zwischen dem Ger\u00e4t und dem Resolver verschl\u00fcsselt ist. Dieser Ansatz bewahrt die DNS-Transparenz und bietet den Teilnehmern gleichzeitig die Datenschutzvorteile von verschl\u00fcsseltem DNS vor der Beobachtung durch Dritte.<\/p>\n\n\n\n

Die zweite Strategie besteht darin, alternative Datenquellen zu nutzen, um die Informationen zu rekonstruieren, die zuvor durch DNS-Abfragen bereitgestellt wurden. Die Server Name Indication (SNI) in TLS-Handshakes liefert den Dom\u00e4nennamen des Servers, mit dem der Client eine Verbindung herstellt, und diese Informationen wurden bisher im Klartext \u00fcbertragen. Durch die Einf\u00fchrung von Encrypted Client Hello (ECH, ehemals ESNI) wird nun jedoch auch die SNI verschl\u00fcsselt, was die Transparenz weiter einschr\u00e4nkt. Die Analyse von IP-Adressen kann ebenfalls einige Informationen dar\u00fcber liefern, auf welche Dienste ein Ziel zugreift; doch die weitverbreitete Nutzung von Content Delivery Networks (CDNs) und Shared Hosting f\u00fchrt dazu, dass die Zuordnung von IP-Adressen zu Dom\u00e4nen oft mehrdeutig ist.<\/p>\n\n\n\n

Die dritte Strategie besteht darin, die \u00dcberwachung auf der Anwendungsebene oder auf Ger\u00e4teebene durchzuf\u00fchren, anstatt sich ausschlie\u00dflich auf Daten auf Netzwerkebene zu st\u00fctzen. Dieser Ansatz geht \u00fcber den Rahmen der herk\u00f6mmlichen Telekommunikations\u00fcberwachung hinaus, wird jedoch von einigen untersucht Strafverfolgungsbeh\u00f6rden<\/a> als Reaktion auf die zunehmende Verschl\u00fcsselung des Netzwerkverkehrs. F\u00fcr Betreiber ist dies zwar keine praktikable L\u00f6sung, doch sie ist Teil des gr\u00f6\u00dferen Zusammenhangs, in dem verschl\u00fcsseltes DNS verstanden werden sollte.<\/p>\n\n\n\n

Eine vierte Strategie betrifft regulatorische und politische Ma\u00dfnahmen. Einige Regierungen haben Vorschriften in Erw\u00e4gung gezogen oder bereits umgesetzt, wonach Betreiber den Zugriff auf DNS-Resolver von Drittanbietern sperren oder die Nutzung der betreibereigenen DNS-Infrastruktur vorschreiben m\u00fcssen. Diese Ans\u00e4tze sind umstritten und werfen Fragen hinsichtlich der Netzneutralit\u00e4t, der Nutzerfreiheit und der technischen Machbarkeit auf, stellen jedoch eine politische Antwort auf die Herausforderung durch verschl\u00fcsseltes DNS dar.<\/p>\n\n\n\n

Der allgemeine Trend zur Verschl\u00fcsselung<\/h2>\n\n\n\n

Verschl\u00fcsseltes DNS ist Teil eines umfassenderen Trends zur Verschl\u00fcsselung des gesamten Netzwerkverkehrs, der durch Datenschutzbedenken, bew\u00e4hrte Sicherheitsverfahren und die Standardkonfigurationen gro\u00dfer Softwareplattformen vorangetrieben wird. TLS 1.3, ECH, QUIC und andere Technologien verschl\u00fcsseln zunehmend mehr Metadaten und Inhalte, auf die sich die \u00dcberwachung auf Netzwerkebene traditionell st\u00fctzte. Jeder Schritt in diesem Verschl\u00fcsselungstrend schr\u00e4nkt die Transparenz f\u00fcr Betreiber und damit auch f\u00fcr die rechtm\u00e4\u00dfige \u00dcberwachung ein.<\/p>\n\n\n\n

Die Betreiber m\u00fcssen erkennen, dass die Transparenz auf Netzwerkebene, \u00fcber die sie in der Vergangenheit verf\u00fcgten, abnimmt und auch weiterhin abnehmen wird. Die Reaktion auf diesen Trend kann nicht rein technischer Natur sein \u2013 sie erfordert die Zusammenarbeit mit Regulierungsbeh\u00f6rden, Normungsgremien und Strafverfolgungsbeh\u00f6rden, um neue Ans\u00e4tze f\u00fcr die rechtm\u00e4\u00dfige \u00dcberwachung zu entwickeln, die den Realit\u00e4ten einer stark verschl\u00fcsselten Netzwerkumgebung Rechnung tragen.<\/p>\n\n\n\n

Gleichzeitig m\u00fcssen die Betreiber weiterhin alle \u00dcberwachungsdaten bereitstellen, zu deren Bereitstellung sie technisch in der Lage sind. Die Verschl\u00fcsselung des DNS hebt die gesetzliche Verpflichtung der Betreiber zur \u00dcberwachung nicht auf; sie ver\u00e4ndert lediglich den Umfang dessen, was \u00fcberwacht werden kann. Die Betreiber m\u00fcssen gegen\u00fcber den Strafverfolgungsbeh\u00f6rden Transparenz hinsichtlich dieser Einschr\u00e4nkungen wahren und sicherstellen, dass ihre \u00dcberwachungssysteme so aktualisiert werden, dass sie mit der eingeschr\u00e4nkten Sichtbarkeit problemlos umgehen k\u00f6nnen \u2013 indem sie IRIs generieren, die genau widerspiegeln, was verf\u00fcgbar ist, anstatt unvollst\u00e4ndige oder irref\u00fchrende Daten zu liefern.<\/p>\n\n\n\n

Auswirkungen auf die Einhaltung von Vorschriften und die Berichterstattung<\/h2>\n\n\n\n

Der Verlust der DNS-Transparenz hat Auswirkungen darauf, wie Betreiber \u00fcber ihre \u00dcberwachungsf\u00e4higkeiten berichten und wie die Regulierungsbeh\u00f6rden die Einhaltung der Vorschriften bewerten. Betreiber sollten proaktiv mit ihrer nationalen Regulierungsbeh\u00f6rde \u00fcber die Auswirkungen von verschl\u00fcsseltem DNS auf ihre \u00dcberwachungsf\u00e4higkeiten kommunizieren und dabei die konkreten Datenelemente dokumentieren, die nicht mehr verf\u00fcgbar sind, sowie die Ma\u00dfnahmen, die sie ergreifen, um diese Auswirkungen abzumildern.<\/p>\n\n\n\n

Die Regulierungsbeh\u00f6rden in einigen Rechtsordnungen m\u00fcssen m\u00f6glicherweise ihre technischen Anforderungen und Erwartungen aktualisieren, um der Realit\u00e4t verschl\u00fcsselter DNS Rechnung zu tragen. Betreiber k\u00f6nnen in diesem Prozess eine konstruktive Rolle spielen, indem sie technisches Fachwissen und praktische Erkenntnisse bereitstellen, um die Entwicklung der Regulierung zu unterst\u00fctzen. Das schlimmste Szenario f\u00fcr alle Beteiligten w\u00e4re eine regulatorische Erwartung, dass Betreiber Daten bereitstellen, auf die sie technisch keinen Zugriff haben \u2013 eine Situation, die Compliance-Risiken mit sich bringt, ohne einen Ermittlungsnutzen zu bieten.<\/p>\n\n\n\n

Schlussfolgerung<\/h2>\n\n\n\n

Verschl\u00fcsseltes DNS stellt eine erhebliche Verschiebung im Gleichgewicht zwischen Datenschutz und \u00dcberwachungsm\u00f6glichkeiten in Telekommunikationsnetzen dar. DoH und DoT sch\u00fctzen die Privatsph\u00e4re der Nutzer, indem sie verhindern, dass Netzwerkvermittler DNS-Abfragen einsehen k\u00f6nnen, doch sie schr\u00e4nken gleichzeitig auch die Sichtbarkeit f\u00fcr rechtm\u00e4\u00dfige \u00dcberwachungssysteme ein. Betreiber m\u00fcssen sich darauf einstellen, indem sie eigene verschl\u00fcsselte DNS-Resolver implementieren, alternative Datenquellen nutzen, sich mit den Regulierungsbeh\u00f6rden \u00fcber sich weiterentwickelnde Anforderungen austauschen und sicherstellen, dass ihre \u00dcberwachungssysteme die tats\u00e4chlich verf\u00fcgbaren Daten korrekt widerspiegeln. Der Trend hin zu einer umfassenden Netzwerkverschl\u00fcsselung ist unumkehrbar, und Betreiber, die sich proaktiv darauf einstellen, werden besser in der Lage sein, die Einhaltung gesetzlicher Vorschriften zu gew\u00e4hrleisten und die Strafverfolgungsbeh\u00f6rden im Rahmen der sich wandelnden technischen Landschaft sinnvoll zu unterst\u00fctzen.<\/p>\n\n\n

Die Debatte um verschl\u00fcsseltes DNS verdeutlicht zudem das Spannungsfeld zwischen den Datenschutzrechten des Einzelnen und den legitimen Erfordernissen der Strafverfolgungsbeh\u00f6rden. Um das richtige Gleichgewicht zu finden, ist eine Zusammenarbeit zwischen Technologen, politischen Entscheidungstr\u00e4gern, der Zivilgesellschaft und den Strafverfolgungsbeh\u00f6rden erforderlich. Die Betreiber stehen an der Schnittstelle dieser Interessen und tragen eine besondere Verantwortung daf\u00fcr, dass technische M\u00f6glichkeiten, gesetzliche Verpflichtungen und Datenschutzbestimmungen aufeinander abgestimmt sind. Durch ihre aktive Beteiligung an der Entwicklung von Standards, bei regulatorischen Konsultationen und in Branchenforen k\u00f6nnen Betreiber dazu beitragen, L\u00f6sungen zu gestalten, die den Datenschutz wahren und gleichzeitig die F\u00e4higkeit demokratischer Gesellschaften erhalten, rechtm\u00e4\u00dfige \u00dcberwachungsma\u00dfnahmen im Einklang mit den Grunds\u00e4tzen der Rechtsstaatlichkeit durchzuf\u00fchren.<\/p>\n\n\n\n

Verwandte Artikel<\/h2>\n\n\n\n

Weitere Informationen zu verwandten Themen finden Sie in diesen Artikeln:<\/p>\n\n\n\n