DNS-Leak erklärt: die 4 Ursachen und die Behebung unter Windows, macOS, Linux und iOS (2026)

DNS (Domain Name System, definiert in RFC 1034) ist das Adressbuch des Internets. Wenn Sie anonymflow.com in Ihren Browser eingeben, fragt Ihr Computer einen DNS-Server nach der zugehörigen IP-Adresse. Der Server antwortet 198.51.100.42, und die Verbindung kann aufgebaut werden. Das Problem: Umgeht diese DNS-Anfrage Ihren VPN-Tunnel, sieht Ihr Internetanbieter (Provider) die exakte Liste der Domains, die Sie besuchen, selbst wenn Ihr gesamter übriger Datenverkehr im VPN-Tunnel verschlüsselt ist. Das nennt man ein DNS-Leak, und unser internes Audit über 6 große VPNs zeigt, dass es 2026 bei nicht geprüften Konfigurationen weiterhin häufig vorkommt.

Warum entstehen DNS-Leaks? Die 4 technischen Ursachen

Ein DNS-Leak entsteht, wenn Anfragen zur Namensauflösung trotz aktivem VPN über den Resolver Ihres Providers statt über den VPN-Tunnel hinausgehen. Die vier Ursachen: (1) Windows Smart Multi-Homed DNS sendet Anfragen parallel über alle Schnittstellen; (2) Browser-DoH (Firefox, Chrome) umgeht das System-DNS vollständig; (3) VPN ohne eigene DNS-Verwaltung; (4) nicht getunneltes IPv6, bei dem IPv6-DNS-Anfragen im Klartext hinausgehen.

Ein VPN kapselt Ihren Datenverkehr in einen verschlüsselten Tunnel zwischen Ihrem Gerät und dem entfernten VPN-Server. Theoretisch laufen alle Anfragen, auch DNS, durch diesen Tunnel. In der Praxis umgehen mehrere Systemkonfigurationen den Tunnel speziell für DNS-Anfragen. Wer die vier Hauptursachen kennt, kann erkennen, welche ihn betrifft, und die passende Lösung anwenden.

Ursache Nr. 1: Windows und Smart Multi-Homed DNS. Seit Windows 8 hat Microsoft ein Verhalten namens Smart Multi-Homed Name Resolution (SMHNR) eingeführt, das DNS-Anfragen parallel an alle aktiven Netzwerkadapter sendet und die erste eingehende Antwort verwendet. Ist ein VPN verbunden, schickt Windows die Anfrage also sowohl an das DNS des VPN ALS AUCH über die darunterliegende WLAN-/Ethernet-Schnittstelle an das DNS des Providers. Kommt die Antwort des Providers zuerst an (lokal oft der Fall), wird sie verwendet, und der Provider hat die Anfrage protokolliert. Es ist ein dokumentiertes Verhalten „by design", das bei VPNs, die SMHNR nicht ausdrücklich deaktivieren, systematisch Leaks erzeugt.

Ursache Nr. 2: Browser mit separat aktiviertem DoH. Firefox aktiviert DNS-over-HTTPS standardmäßig seit 2020 in Richtung Cloudflare 1.1.1.1. Chrome bietet dieselbe Funktion. Diese DoH-Resolver im Browser umgehen das System-DNS vollständig (und damit auch das des VPN), sofern der Browser nicht eigens ein aktives VPN erkennt. Firefox erkennt es manchmal anhand der aktiven Netzwerkschnittstelle; Chrome weniger zuverlässig. Ergebnis: Ihre DNS-Anfragen aus dem Browser gehen direkt an Cloudflare, außerhalb des VPN-Tunnels.

Ursache Nr. 3: VPN ohne eigene DNS-Verwaltung. Manche günstige VPNs tragen beim Aktivieren des Tunnels keine eigenen DNS-Server in die Systemkonfiguration ein. Das Betriebssystem nutzt dann weiter die bisherigen DNS-Server, typischerweise die per DHCP verteilten Server des Providers. Das betrifft die meisten kostenlosen VPNs und mehrere kostenpflichtige Nischenanbieter. NordVPN, ExpressVPN und Surfshark handhaben dies seit ihren Versionen ab 2023 korrekt.

Ursache Nr. 4: Nicht getunneltes IPv6. Viele VPNs kapseln nur IPv4-Verkehr in ihren Tunnel. IPv6-Verkehr, der bei Free, manchen Orange-Konfigurationen und allen modernen Routern standardmäßig aktiv ist, läuft direkt am VPN vorbei. IPv6-DNS-Anfragen landen bei den IPv6-DNS-Servern des Providers, der sie protokolliert. Die Abhilfe: die Option „IPv6-Verkehr blockieren" oder „IPv6 tunneln" im VPN aktivieren. NordVPN unterstützt IPv6-Tunneling seit 2024.

Wie testet man auf ein DNS-Leak? (Methode mit 3 Tools)

30-Sekunden-Test: Führen Sie bei aktivem VPN unser DNS-Leak-Testwerkzeug aus. Er löst vier Einmal-Subdomains auf und listet die Resolver, die geantwortet haben, mit Land und Betreiber. Ein Resolver Ihres Providers (Telekom, Vodafone, Comcast, BT) bedeutet ein bestätigtes Leck. Gegenprüfung anschließend mit dnsleaktest.com (Extended Test) und browserleaks.com/dns, um zu isolieren, ob die Quelle das System oder das DoH des Browsers ist.

Die klassische Methode besteht darin, einen Dienst aufzurufen, der Ihnen anzeigt, welcher DNS-Server seine Anfrage tatsächlich aufgelöst hat. Diese Dienste erzeugen eine eindeutige zufällige Subdomain (abc123xyz.dnsleaktest.com), lassen sie von Ihrem Browser auflösen und lesen serverseitig ab, welche IP die Auflösung vorgenommen hat. Drei anerkannte Drittanbieter-Tools ermöglichen einen Abgleich der Ergebnisse.

Tool Nr. 1: DNSLeakTest.com. Der Referenztest seit 2008. Vorgehen: VPN verbinden, URL öffnen, auf „Extended Test" klicken (nicht „Standard Test", der nicht ausreicht), 10 bis 20 Sekunden warten. Das Tool listet die DNS-Server auf, die geantwortet haben, typischerweise 2 bis 6 verschiedene Resolver (moderne DNS-Server nutzen lastverteilte Architekturen). Vergleichen Sie mit den DNS-Servern Ihres Providers: Bei Übereinstimmung ist das Leck bestätigt.

Tool Nr. 2: BrowserLeaks DNS. Ergänzender Test, der Standard-DNS, DNS-over-HTTPS und über WebRTC erkannte Resolver abgleicht. Besonders nützlich, um zu erkennen, ob das Leck vom Browser (DoH aktiviert) statt vom System kommt. Nach dnsleaktest.com ausführen, um die Konsistenz der Ergebnisse zu bestätigen.

Zeigt diese Seite in Firefox eine über WebRTC offengelegte Adresse, liegt die Lösung in einer Browsereinstellung, nicht im DNS: siehe WebRTC in Firefox deaktivieren.

Tool Nr. 3: unser integriertes Tool. Gleiches Prinzip wie die beiden oben, ausgeführt auf dieser Website: Es löst vier Einmal-Subdomains auf und benennt jeden Resolver, der geantwortet hat, mit Land und Betreiber, und vergleicht sie dann mit dem Land, über das Ihre IP austritt. Keine Installation nötig, und lässt sich das Austrittsland nicht ermitteln, wird kein Urteil abgegeben statt geraten.

Um das DNS Ihres Providers für den Vergleich mit den Ergebnissen zu ermitteln: Suchen Sie bei Google nach „DNS Orange" (Resolver 80.10.246.X), „DNS Free" (212.27.40.240 und 212.27.40.241), „DNS SFR" (109.0.66.20), „DNS Bouygues" (194.158.122.10). Stimmt die von DNSLeakTest angezeigte Adresse mit einem Provider-Adressbereich oder dem Namen seines autonomen Systems (AS) überein, haben Sie ein Leck. Stimmt sie mit NordVPN („Tefincom", AS136787), ExpressVPN, Cloudflare (AS13335), Quad9 (AS19281) oder Google Public DNS (AS15169) überein, ist alles in Ordnung.

Wie testet man NordVPN auf ein DNS-Leak?

Gleiche Methode wie oben, mit einem Detail, das das Ergebnis eindeutig macht: Die Resolver von NordVPN werden unter dem Namen Tefincom betrieben, autonomes System AS136787. Sie lesen also keine IP-Adresse und raten, sondern prüfen einen Namen.

Erscheint das Leck nur auf browserleaks.com/dns und nicht auf dnsleaktest.com, löst das DNS-over-HTTPS Ihres Browsers eigenständig auf; NordVPN versagt nicht. Die Lösung liegt im Browser, nicht in der VPN-App.

Wie behebt man ein DNS-Leak?

Fall 1: VPN mit inaktiver Option „DNS Leak Protection"

Der häufigste und einfachste Fall. Bei NordVPN, Surfshark, ExpressVPN, ProtonVPN und Mullvad gibt es die Option für DNS-Leak-Schutz, sie kann bei älteren Installationen aber standardmäßig deaktiviert sein. Prüfung bei NordVPN: Einstellungen → Verbindung → Benutzerdefinierter DNS-Schutz → „Auto DNS" oder „NordVPN DNS" aktivieren. Bei Surfshark: Einstellungen → Konnektivität → Benutzerdefiniertes DNS → deaktivieren (Surfshark übernimmt die Verwaltung). Bei ExpressVPN: Einstellungen → Erweitert → DNS Network Lock → Aktivierung prüfen.

Starten Sie das VPN nach dem Aktivieren neu (trennen / neu verbinden) und führen Sie den DNSLeakTest erneut aus. In den meisten Fällen verschwindet das Leck bereits an dieser Stelle.

Fall 2: Windows Smart Multi-Homed DNS

Reicht das Aktivieren des VPN-DNS-Schutzes nicht aus und nutzen Sie Windows 10/11, ist wahrscheinlich SMHNR der Übeltäter. Manuelle Deaktivierung per PowerShell als Administrator:

Set-DnsClientGlobalSetting -SmartMultiHomedNameResolution $false

Dieser Befehl deaktiviert das SMHNR-Verhalten vollständig. Zum späteren Reaktivieren: Set-DnsClientGlobalSetting -SmartMultiHomedNameResolution $true. Starten Sie den Computer nach der Deaktivierung neu. SMHNR wird erst bei einem größeren Windows-Update wieder aktiviert (nach jedem Windows-Funktionsupdate erneut prüfen).

Weniger invasive Alternative: die Priorität der VPN-Schnittstelle erzwingen mit Get-NetAdapter | Set-NetIPInterface -InterfaceMetric 1, was allen VPN-Schnittstellen eine höhere Priorität gibt. Weniger zuverlässig als das Deaktivieren von SMHNR, greift aber nicht in die Windows-Registrierung ein.

Fall 3: Firefox mit umgehendem DoH

Zeigt der BrowserLeaks-DNS-Test Cloudflare als Resolver an, obwohl Sie Cloudflare nicht als System-DNS konfiguriert haben, ist Ihr Firefox-Browser verantwortlich. Behebung: about:preferences#general öffnen → zu „DNS über HTTPS" scrollen → „Aus" oder „Standardschutz" wählen, der DoH automatisch deaktiviert, wenn ein aktives VPN erkannt wird. Speichern, Firefox neu starten, erneut testen.

Für Chrome: chrome://settings/security → „Sicheres DNS verwenden" deaktivieren. Für Edge: edge://settings/privacy → ebenso. Für Safari: kein Browser-DoH, das System übernimmt.

Fall 4: Keine Option in Ihrem aktuellen VPN

Bietet Ihr VPN keine der obigen Optionen und leckt weiterhin, gibt es zwei Möglichkeiten. Radikale Option: manuell ein verschlüsseltes öffentliches DNS auf Systemebene konfigurieren. Unter Windows: Einstellungen → Netzwerk → Adapter → Eigenschaften → IPv4 → DNS manuell → Cloudflare 1.1.1.1 / 1.0.0.1. Unter macOS: Systemeinstellungen → Netzwerk → Weitere Optionen → DNS → 1.1.1.1 hinzufügen. Unter Linux: /etc/resolv.conf bearbeiten (oder über systemd-resolved). Nicht ideal (Ihr VPN sollte das selbst erledigen), aber es neutralisiert das Leck.

Pragmatische Option: das VPN wechseln. Ein VPN, das 2026 ohne passende Option DNS-Anfragen leckt, ist technisch überholt. Unsere vollständige NordVPN-Bewertung bestätigt das Ausbleiben von DNS-Leaks bei Standard-Abgleichstests.

Ersetzt DNS over HTTPS (DoH) ein VPN?

Eine häufige Frage: Wenn DoH DNS-Anfragen verschlüsselt, genügt das dann als Schutz anstelle eines vollständigen VPN? Die präzise technische Antwort: Nein, DoH ersetzt kein VPN.

DoH (DNS-over-HTTPS, definiert in RFC 8484) verschlüsselt Ihre DNS-Anfragen zwischen Ihrem Browser und einem Resolver (Cloudflare 1.1.1.1, Google 8.8.8.8, Quad9 9.9.9.9). Das ist eine nützliche Schutzschicht gegen einen Mitschnüffler im öffentlichen WLAN oder einen Provider, der Ihre DNS-Anfragen im Klartext auswertet. DoH ändert jedoch nichts an den drei anderen Dimensionen, die ein VPN schützt:

DoH verbirgt nicht Ihre öffentliche IP, die besuchte Websites sehen. Eine Website, die ihreOeffentlicheIP.com auf ihre Inhalte zugreifen sieht, verfolgt Sie weiterhin über die IP, egal ob Ihre DNS-Auflösung verschlüsselt ist. DoH ändert nicht den Weg Ihres Hauptdatenverkehrs: Nur die DNS-Auflösung wird verschlüsselt. Der eigentliche HTTPS-Verkehr zur Website läuft weiterhin offen von Ihrer echten IP aus. DoH tunnelt außerdem keine anderen Protokolle (BitTorrent, SSH usw.), die für Ihren Provider sichtbar bleiben.

Wenn Sie bereits ein VPN nutzen, deaktivieren Sie DoH im Browser, um keine zwei voneinander abweichenden DNS-Wege zu erzeugen (einen über Browser-DoH, einen über den VPN-Tunnel). Überlassen Sie dem VPN die vollständige Auflösung über seinen Tunnel. Ohne VPN fügt das Aktivieren von DoH eine teilweise Schutzschicht hinzu, ersetzt aber kein VPN in Fällen, in denen die öffentliche IP zählt (geoblockiertes Streaming, Umgehung von Zensur, Schutz vor IP-basiertem Profiling).

Ist ein DNS-Leak in Frankreich ein rechtliches Problem?

In Frankreich haben DNS-Leaks eine nicht zu unterschätzende rechtliche Tragweite. Die Speicherpflicht ergibt sich aus Artikel L34-1 des französischen Post- und Telekommunikationsgesetzes (CPCE), nicht aus Hadopi, das Urheberrechtsverstöße betrifft: Betreiber müssen Verbindungsdaten wie die Ihnen zugewiesene IP-Adresse ein Jahr lang aufbewahren. Ob ein Provider zusätzlich die von seinem eigenen DNS-Server aufgelösten Domains protokolliert, entscheidet er selbst, und was er speichert, kann im Rahmen von Ermittlungen auf richterliche Anordnung angefordert werden. Nutzen Sie ein VPN, um Ihren Verlauf besuchter Domains zu schützen (etwa weil Sie politisch heikle Websites, vertrauliche medizinische Seiten oder anonyme Foren aufrufen), verrät ein DNS-Leak die exakte Liste der Domains an Ihren Provider und möglicherweise an Behörden.

Ähnlich ist die Lage in Spanien (das RDL 14/2019 verpflichtet Netzbetreiber zur Vorratsdatenspeicherung) und im Vereinigten Königreich (Investigatory Powers Act 2016: aktive staatliche Überwachung britischer Provider). In den USA hat der Kongress im April 2017 die Datenschutzregeln der FCC von 2016 aufgehoben, bevor sie in Kraft traten: Keine Bundesregel verpflichtet Ihren Provider, Ihre Zustimmung einzuholen, bevor er Ihre Surfdaten nutzt oder weitergibt.

Praktische Folge: Ein VPN, dessen DNS leckt, ist für das Ziel Privatsphäre technisch nutzlos, ganz gleich, wie gut die Tunnelverschlüsselung für den übrigen Verkehr ist. Deshalb ist der DNSLeakTest zu einem Pflichtkriterium jeder seriösen VPN-Bewertung geworden: Er hat mehr Aussagekraft als Geschwindigkeits-Benchmarks.

Die 2-Minuten-Checkliste

Damit Ihnen nichts entgeht, hier die genaue DNS-Prüfreihenfolge nach einer VPN-Installation oder einem größeren Windows-/macOS-Update: (1) VPN trennen und dnsleaktest.com ausführen → angezeigte DNS-Server notieren (Provider-Referenz), (2) VPN verbinden und dnsleaktest.com erneut ausführen → neue DNS-Server notieren, (3) entsprechen die Server dem VPN, ist alles in Ordnung; entsprechen sie dem Provider, ist das Leck bestätigt, (4) Lösung je nach erkannter Ursache anwenden (Fälle 1 bis 4 oben), (5) nach jeder Änderung erneut prüfen.

Dieses Vorgehen muss nach jedem größeren Update wiederholt werden: Funktionsupdates von Windows 11 stellen SMHNR mitunter wieder her; macOS-Versionen können parallele Apple-DNS-Resolver wieder einführen; die Browser Firefox und Chrome aktivieren DoH bei manchen Installationen automatisch. Unser vollständiges VPN-Prüfprotokoll enthält diesen Test in jedem Quartalszyklus. Wer weiter gehen will, was das gegenüber dem Zugangspunkt sichtbare Netzwerkprofil angeht, findet mehr in unserem Leitfaden zu MAC-Spoofing im öffentlichen WLAN: Die MAC-Randomisierung ergänzt den DNS-Schutz sinnvoll.

Was Sie sich merken sollten

Ein DNS-Leak ist im Sinne der Cybersicherheit keine unmittelbare Katastrophe, aber ein stiller Datenschutzfehler: Ihr Provider protokolliert trotz aktivem VPN weiter den Verlauf Ihrer besuchten Domains. Wenn Sie ein VPN genau dafür nutzen, ist das paradox. Der Test dauert 2 Minuten über dnsleaktest.com oder unser integriertes Tool /werkzeuge/dns-leak-test. Als ergänzende Kontrolle bleibt das Prüfen Ihrer echten öffentlichen IP-Adresse vor und nach dem Tunnel die schnellste Konsistenzprüfung, um zu bestätigen, dass das VPN neben dem Schließen des DNS-Leaks auch die IP verbirgt.

Stellen Sie ein Leck fest, hängt die Lösung von der Ursache ab (VPN-Option aktivieren, SMHNR unter Windows deaktivieren, Browser-DoH deaktivieren, IPv6 tunneln). Unter Windows 11 ist SMHNR mit Abstand der häufigste Übeltäter, und die Lösung ist eine einzige, umkehrbare Einstellung (siehe Fall 2 oben). In den meisten Fällen löst ein aktuelles, seriöses VPN das Problem durch Aktivieren seiner entsprechenden Option. Leckt es danach weiterhin, ist das VPN technisch überholt: Wechseln Sie. NordVPN, ExpressVPN und Surfshark aktivieren ihre DNS Leak Protection seit 2023 standardmäßig und bestehen diese Tests zuverlässig.

Siehe auch. Verwandt: Was ist DNS.

Unabhängige redaktionelle Bewertung auf Grundlage dokumentierter Funktionen der Dienste, veröffentlichter unabhängiger Audits und öffentlicher Benchmarks, mit Kontrollen über Standardwerkzeuge (iperf3, dnsleaktest.com, browserleaks). Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; es kann eine Affiliate-Provision anfallen, ohne Mehrkosten für den Leser und ohne Einfluss auf die Bewertung.

Das Leck, das sich mit keiner DNS-Anfrage testen lässt

Ein DNS-Leak-Test beantwortet eine Frage: Wird Ihr Verkehr dort aufgelöst, wo Sie es erwarten? Über die andere Hälfte des Problems sagt er nichts, nämlich wie gut Ihr Browser identifizierbar ist, sobald die Verbindung sauber ist. Ein perfektes DNS-Ergebnis und ein Browser, der unter zwölftausend heraussticht, machen Sie genauso nachverfolgbar.

Messen Sie den Fingerabdruck Ihres Browsers, passiv, ohne Fragen, ohne Installation. Er zählt, wie viele unterscheidende Merkmale Ihre Konfiguration preisgibt, und sagt Ihnen klar, wenn Ihr Browser sich selbst schützt. Ein gehärtetes Firefox oder der Mullvad Browser sollte mehrere erkannte Schutzmaßnahmen aufweisen; ist das bei Ihrem nicht der Fall, ist genau diese Lücke die nützliche Erkenntnis.

Kostenlos, ohne Konto, nichts über Sie gespeichert. Das Tool gehört uns, und der Link ist absichtlich nofollow: Wir schicken Sie dorthin, weil es die Hälfte misst, die diese Seite nicht abdecken kann.