Wie DNS funktioniert: Namen in Adressen umwandeln

Stellen Sie sich vor, Sie möchten eine Website besuchen und geben "wikipedia.org" in Ihren Browser ein. Innerhalb von Millisekunden lädt die Seite. Aber Ihr Computer versteht "wikipedia.org" nicht — er versteht nur Nummern, sogenannte IP-Adressen, wie 208.80.152.2. Irgendwo zwischen Ihrer Eingabe und dem Laden der Website findet eine Übersetzung statt. Diese Übersetzung ist DNS, und zu verstehen, wie DNS funktioniert, ist fundamental für das Verständnis des Internets, seiner Überwachung und seiner Zensur.

Was ist DNS und warum brauchen wir es?

DNS steht für Domain Name System. Es ist das Telefonbuch des Internets. Genauso wie Sie einen Namen in einem Telefonbuch nachschlagen, um eine Telefonnummer zu finden, schlägt Ihr Computer einen Domainnamen (wie example.com) nach, um die zugehörige IP-Adresse zu finden. Ohne DNS müssten Sie sich Hunderte von IP-Adressen merken. Mit DNS können Menschen lesbare Namen wie "google.com" verwenden, während Computer im Hintergrund die echten numerischen Adressen finden.

Dieses System funktioniert dezentralisiert. Es gibt nicht eine einzige "DNS-Datenbank", sondern Tausende von DNS-Servern weltweit, die zusammenarbeiten. Jeder Server ist wie ein Bibliothekar — manche kennen alle Bücher im Katalog, andere nur einen speziellen Bereich. Um ein Buch zu finden, kann der Bibliothekar Sie zu einem anderen weiterleiten.

Eine DNS-Abfrage durchlaufen: Die Reise einer Anfrage

Wenn Sie eine Website besuchen, startet eine sogenannte rekursive DNS-Abfrage. Dies ist der Weg, den Ihre Anfrage nimmt:

Erstens kontaktiert Ihr Computer (oder genauer gesagt, Ihr Browser und das Betriebssystem) einen "Stub Resolver". Das ist ein kleines DNS-Programm auf Ihrem Computer oder in Ihrem Router. Der Stub Resolver ist faul — er will die Antwort nicht selbst finden, sondern fragt einfach: "Kann mir jemand sagen, welche IP-Adresse zu wikipedia.org gehört?" Diese Frage wird an einen sogenannten Rekursor weitergeleitet.

Der Rekursor ist normalerweise ein Server Ihres Internetanbieters (ISP) oder eines DNS-Diensts wie Cloudflare. Der Rekursor ist der eigentliche Arbeiter. Er weiß nicht sofort, wo wikipedia.org ist, also fragt er einen Root Nameserver.

Der Root Nameserver kennt wikipedia.org selbst nicht, aber er kennt die Adresse des TLD Nameserver. TLD steht für Top-Level Domain — das ist der ".org"-Teil der Adresse. Der Root Nameserver antwortet: "Ich kenne wikipedia.org nicht, aber hier ist der Server, der für alle .org-Domains zuständig ist."

Der Rekursor fragt jetzt den TLD Nameserver: "Wo finde ich wikipedia.org?" Der TLD Server antwortet: "Ich kenne wikipedia.org selbst nicht, aber hier ist der autorisierte Nameserver der Wikimedia Foundation."

Endlich fragt der Rekursor den autoritativen Nameserver der Wikimedia Foundation: "Was ist die IP-Adresse von wikipedia.org?" Dieser Server antwortet mit der echten Adresse, zum Beispiel 208.80.152.2.

Der Rekursor speichert diese Antwort, gibt sie an Ihren Stub Resolver zurück, und Ihr Computer weiß jetzt, dass er sich mit 208.80.152.2 verbinden soll. Die ganze Reise dauert typischerweise wenige Millisekunden.

Warum DNS ein Datenschutzproblem ist

Hier kommt ein wichtiger Punkt: Dieser gesamte Prozess läuft standardmäßig völlig unverschlüsselt ab. Wenn Ihr Rekursor die Root-Nameserver fragt, "Wo ist wikipedia.org?", sendet er diese Frage im Klartext. Jeder, der Ihren Netzwerkverkehr beobachtet, kann jede Website-Anfrage sehen, die Sie machen. Ihr Internetanbieter kann eine komplette Liste aller Domains sehen, die Sie besuchen — nicht die Inhalte der Seiten selbst, aber die bloßen Adressen.

Stellen Sie sich vor, die Post würde jedes Adressenfeld eines Umschlags lesen und aufzeichnen, bevor sie ihn zustellt. Sie wissen jetzt, wohin alle Briefe gehen, auch wenn Sie den Inhalt nicht sehen. DNS funktioniert ähnlich.

Verschlüsselte DNS-Alternativen

Verschiedene Verschlüsselungstechniken wurden entwickelt, um DNS sicherer zu machen. DoH (DNS over HTTPS) verschlüsselt DNS-Anfragen in HTTPS-Verbindungen — das ist das gleiche Verschlüsselungsprotokoll, das Websites verwenden. DoT (DNS over TLS) nutzt ein anderes Verschlüsselungsprotokoll namens TLS. Beides bedeutet: Ihr ISP und andere Beobachter können nicht mehr sehen, welche Domains Sie nachschlagen.

Diese Techniken haben aber auch Tradeoffs. Sie können DNS-Abfragen von anderen Beobachtern verbergen, ändern aber nicht, welche Anfrage Sie stellen — der autorisierte Nameserver sieht die Anfrage trotzdem. Außerdem können DoH und DoT Probleme in Unternehmens- oder Schulnetzwerken verursachen, wo DNS-Filtering für die Netzwerkverwaltung wichtig ist.

Why DNS-Filterung die bevorzugte Zensurmethod ist

DNS-Filterung ist der Grund, warum wir über DNS sprechen sollten. Ein Regime oder ein Internetanbieter kann eine Website blockieren, indem er einfach den Rekursor kontrolliert. Wenn Sie nach "example.com" fragen und der Rekursor unter staatlicher Kontrolle steht, kann dieser Server falsche Informationen zurückgeben oder keine Antwort geben. Ihre Anfrage scheitert, bevor sie das Netzwerk überhaupt erreicht.

Why ist das so populär? DNS-Filterung ist billig und einfach. Es erfordert keine fortgeschrittene Überwachungstechnologie, keine Analyse des Datenverkehrs, kein Blockieren von IP-Adressen (was legitime Seiten treffen könnte). Ein ISP oder ein Land muss nur sagen: "Wenn jemand nach beispielgeblocker.org fragt, antwortest du nicht."

Das ist auch die Grund, warum viele Menschen in zensierte Ländern alternative DNS-Server verwenden — Server außerhalb ihrer Kontrolle, die ehrliche Antworten geben. Aber auch das ist kein perfekt: Nicht alle DNS-Server sind vertrauenswürdig, und die Nutzung eines ungewöhnlichen DNS-Servers kann selbst verdächtig erscheinen.

Zusammenfassung und nächste Schritte

DNS ist ein elegantes System, das das menschliche Internet möglich macht. Aber es ist auch ein Punkt der Kontrolle. Zu verstehen, wie DNS funktioniert, bedeutet zu verstehen, wie Überwachung und Zensur im Internet funktionieren. Die nächsten Themen, die Sie erkunden sollten, sind TLS/HTTPS (Verschlüsselung zwischen Ihrem Browser und einer Website), VPN-Tunneling (wie alles außer dem VPN-Server verborgen wird) und die Unterschied zwischen Verschlüsselung und Privatsphäre.