DNS-Leak-Test: welcher Resolver für Ihren Browser antwortet

Kurze Antwort: Haben Sie ein DNS-Leak?

Wenn Ihr VPN verbunden ist und Domain-Anfragen weiterhin vom Server Ihres Providers oder Ihres Routers beantwortet werden, ist das ein DNS-Leak, das Sie prüfen sollten. Entscheidend ist, wem der Resolver gehört, nicht die Länderangabe: DNS nutzt Anycast, und Geolocation-Datenbanken irren sich häufig. Diese Seite zeigt Ihnen, welcher Resolver die Anfragen dieses Browsers beantwortet und zu welchem Netz er gehört, nicht den gesamten DNS-Verkehr des Geräts.

Was ein DNS-Leak ist und warum es wichtig ist

Jedes Mal, wenn Sie eine Domain eingeben, weiß Ihr Gerät noch nicht, mit welcher IP-Adresse es sich verbinden soll. Es fragt einen DNS-Server – den Resolver – und wartet auf die Antwort, bevor es die Website öffnet. Dieser Resolver sieht nacheinander alle Namen, die Sie abrufen.

Bei verbundenem VPN sollte diese Anfrage durch den Tunnel laufen und vom Resolver des Anbieters beantwortet werden. Ein DNS-Leak liegt vor, wenn die Anfrage am Tunnel vorbeiläuft: Der Tunnel verbirgt Ihre IP-Adresse, aber Ihr Provider – oder der Router, oder das sichere DNS, das der Browser eigenmächtig aktiviert hat – sieht weiterhin die Liste der Domains, die Sie besuchen. Das ist der Teil Ihrer Aktivität, der einem Browserverlauf am ähnlichsten ist.

Deshalb bemerkt man ein DNS-Leak nicht: Die Verbindung funktioniert, die Seiten laden, und die App zeigt „Verbunden“. Erkennen lässt es sich nur, indem man prüft, wer antwortet. Wenn Sie zusätzlich sehen möchten, welche IP-Adresse Sie im selben Moment zeigen, bündelt der VPN-Leak-Test DNS, WebRTC und IPv6 in einem Durchgang, und das Tool Wie lautet meine IP zeigt die von außen sichtbare Route.

So machen Sie den DNS-Leak-Test vor und nach dem VPN

Ein einzelner Durchlauf sagt wenig. Wert hat der Vergleich: derselbe Test im selben Browser, vor und nach der Änderung genau einer Sache.

1. Führen Sie den Test bei getrenntem VPN aus und notieren Sie, was in der Zeile „DNS-Resolver“ steht – vor allem das Netz neben der Adresse – und welche Statusbezeichnung erscheint. Das ist Ihr Ausgangspunkt: meist der Resolver Ihres Providers oder das öffentliche DNS, das Sie eingestellt haben.
2. Verbinden Sie das VPN oder ändern Sie das sichere DNS des Browsers. Ändern Sie pro Versuch nur eine Einstellung; wenn Sie drei gleichzeitig ändern, sagt Ihnen das Ergebnis nicht, welche es war.
3. Führen Sie den Test im selben Tab erneut aus und vergleichen Sie mit den notierten Werten. Bei richtig eingerichtetem VPN wechselt das Netz in der Zeile „DNS-Resolver“ zum Anbieter, genau wie das in der Zeile „Ihre öffentliche IP“. Gehört die IP schon zum VPN, der Resolver aber noch zu Ihrem Provider, haben Sie das Leak gefunden.
4. Nutzen Sie „Sicheren Bericht kopieren“, wenn Sie das Ergebnis speichern müssen. Der Export fasst Kategorien zusammen und enthält weder Ihre IP noch die IP des Resolvers oder andere sensible Kennungen.
5. Wiederholen Sie den Test nach jeder Neuverbindung, jedem Netzwechsel oder Browser-Update. Ein Ergebnis von letzter Woche beschreibt nicht die Sitzung von heute.

Die Reihenfolge ist wichtiger als das Tempo. Die Methodik auf Deutsch erklärt, wie jedes Signal eingestuft wird und warum die Bezeichnungen zurückhaltend sind.

So lesen Sie das Ergebnis: eine Karte, vier Zeilen und eine Bezeichnung

Das Ergebnis ist kein Bestanden oder Durchgefallen. Das Tool zeichnet genau eine Karte mit dem Titel „DNS-Signal“, mit vier festen Zeilen, einer Statusbezeichnung und einem Hinweis darauf, was der Testdienst sieht. Beim Öffnen der Seite zeigen die Zeilen „DNS-Resolver“ und „Geprüft über“ nur „—“, bis Sie den Button drücken; die Zeile mit Ihrer IP ist bereits gefüllt. Wer weiß, was in jeder Zeile steht, liest nicht mehr in das Ergebnis hinein, als es enthält.

• DNS-Resolver: die Adresse des Resolvers, der nach den Testnamen gefragt hat, gefolgt von seinem Netz und dem Ländercode, etwa „203.0.113.7 · Beispiel Telekom (DE)“. Haben mehrere gefragt, stehen bis zu drei da und ein „+N“ für die übrigen. Vor dem Test steht dort „—“.
• Ihre öffentliche IP: die Adresse, mit der dieser Browser ins Internet geht, ebenfalls mit Netz und Land, gelesen aus dem IP-Dienst von MyIPScan selbst. Sie ist die andere Hälfte des Vergleichs: Die Bezeichnung entsteht, indem dieses Netz mit dem des Resolvers abgeglichen wird.
• Geprüft über: der Dienst, der die Beobachtung gemacht hat, derzeit immer bash.ws. Steht dort „Nicht verfügbar“, hat der Test diesen Dienst nicht erreicht, und es wird nichts gefolgert; weiter unten steht, woran das liegen kann.
• Grenze: eine Zeile mit festem Text, die den Umfang des Tests wiederholt: Sie zeigt die Resolver, die beim Testserver ankamen, und bei einer Weiterleitung nur die letzte Station. Sie steht dort, damit das Ergebnis nicht als Audit gelesen wird.

Die Bezeichnung der Karte kann nach Abschluss des Tests nur drei Werte annehmen, dazu einen vorübergehenden während der Ausführung:

• Unauffällig Der Resolver liegt im selben Netz wie Ihre öffentliche IP, oder er ist ein bekannter öffentlicher Resolver – Google Public DNS, Cloudflare, Quad9 und ähnliche –, den die Karte beim Namen nennt. Das bedeutet „die DNS-Route dieses Browsers passt zu Ihrer Verbindung“, nicht „kein Leak“.
• Prüfen empfohlen Mindestens ein Resolver gehört zu einem anderen Netz als Ihre öffentliche IP, manchmal auch in einem anderen Land. Ohne VPN kann das normal sein, etwa bei einem DNS, den Sie in einem anderen Netz eingestellt haben; bei verbundenem VPN deutet es meist darauf hin, dass die Anfragen am Tunnel vorbeilaufen. Ein bewiesenes Leak ist es nicht: Es ist der Anlass, die Einstellungen weiter unten zu prüfen.
• Nicht geprüft Das ist der Ausgangszustand und auch der, der bleibt, wenn der Test zu keinem Schluss kam: bash.ws hat nicht geantwortet oder wurde durch das Netz, eine Erweiterung oder eine Unternehmensrichtlinie blockiert, oder es wurden Resolver gesehen, aber das Netz Ihrer IP ließ sich zum Vergleich nicht laden.
• Wird geprüft Vorübergehender Zustand, solange der Test läuft; die Karte heißt dann „DNS-Ergebnis“ und wird nach Abschluss ersetzt. Bleibt sie dort stehen, führen Sie den Test erneut aus.

Im Kopf des Tools gibt es außerdem ein Feld Status mit einem Wert von 0 bis 100 und einer Stufe: „Geringe Sichtbarkeit“ bis 20, „Mittlere Sichtbarkeit“ bis 50, „Hohe Sichtbarkeit“ bis 80 und „Vorrangig prüfen“ darüber. Bevor etwas ausgeführt wurde, steht dort „Nicht geprüft“. Es ist eine Zusammenfassung der Sichtbarkeit dieser Sitzung, keine Note für Ihren Anbieter.

Die Bezeichnung fasst den Vergleich zusammen; der eigentliche Befund steht in den Zeilen, im Netz neben jeder Adresse. Die nächsten Abschnitte erklären, was diese Adressen bedeuten und wie Sie die Prüfung sinnvoll ergänzen.

Was die Zeilen „DNS-Resolver“ und „Ihre öffentliche IP“ bedeuten

Die Zeile „DNS-Resolver“ zeigt die Adresse, mit der Ihr Resolver ins Internet geht, um beim autoritativen Server nachzufragen – nicht unbedingt die, die in Ihren Einstellungen steht. Haben Sie 8.8.8.8 eingetragen, sehen Sie hier eine andere Adresse aus dem Netz von Google, weil große Resolver von vielen Adressen aus fragen. Entscheidend ist deshalb das Netz neben der Adresse, nicht die genaue Zahl.

Das ist der Kern des Tests: dieses Netz mit dem in der Zeile „Ihre öffentliche IP“ zu vergleichen. Ohne VPN zeigen meist beide das Netz Ihres Providers, oder der Resolver ist ein öffentliches DNS, das Sie selbst gewählt haben. Bei verbundenem VPN sollten beide zum Netz des Anbieters wechseln. Wechselt die IP und bleibt der Resolver bei Ihrem Provider, läuft die Adresse durch den Tunnel, die Namen aber nicht: die typische Kombination eines DNS-Leaks.

Dass die Adresse des Resolvers von Durchlauf zu Durchlauf wechselt, ist normal und deutet nicht auf einen Fehler hin: Große Resolver verteilen die Anfragen auf mehrere Ausgangsadressen, deshalb können in derselben Zeile zwei oder drei auftauchen. Solange das Netz dasselbe bleibt, ändert sich die Bezeichnung nicht.

In zwei Fällen zeigt die Zeile nicht den Resolver, den Sie eingestellt haben. Leitet Ihr Resolver die Anfragen an einen anderen weiter – ein Router, der alles an das DNS Ihres Providers durchreicht, oder ein Unternehmensfilter –, sehen Sie die letzte Station, die mit dem autoritativen Server spricht. Und hat der Browser das sichere DNS (DNS over HTTPS) aktiviert, fragt dessen Anbieter: Sie sehen dann etwa Cloudflare oder Google, auch wenn der Rest des Geräts einen anderen Resolver nutzt.

Zum Land: Der Code in Klammern stammt aus Geolocation-Datenbanken, die sich bei Infrastruktur-Adressbereichen häufig irren, und öffentliche Resolver nutzen Anycast, antworten also vom nächstgelegenen Knoten. Deshalb vergleicht der Test zuerst das Netz und berücksichtigt das Land erst, wenn die Netze ohnehin verschieden sind: Ein Resolver Ihres VPN in einem anderen Land wird nicht zur Prüfung markiert, wenn er zum selben Netz wie Ihre IP gehört.

Wozu die Zeile „Geprüft über“ dient

Die dritte Zeile sagt, wer die Beobachtung gemacht hat, und um sie zu verstehen, muss man wissen, wie der Test funktioniert. Ihr Browser kann selbst nicht herausfinden, welchen Resolver er nutzt: Er bekommt Antworten, sieht aber nie, wer gefragt hat. Deshalb holt die Seite beim Drücken des Buttons bei bash.ws eine Einmal-Kennung, lässt den Browser mehrere erfundene Namen unter dieser Kennung auflösen und fragt anschließend bei bash.ws nach, welche Resolver bei dessen autoritativem DNS-Server danach gefragt haben. Weil es diese Namen vorher nicht gab, hatte sie niemand im Cache: Wer fragt, ist zwangsläufig der Resolver, der Ihren Browser bedient.

• „bash.ws“ in dieser Zeile und mindestens ein Resolver in der ersten. Der Normalfall: Die Beobachtung hat funktioniert, und die Bezeichnung gibt den Vergleich mit Ihrer IP wieder. Deuten Sie die Adressen wie oben beschrieben.
• „bash.ws“, sichtbare Resolver und die Bezeichnung „Nicht geprüft“. Der Resolver wurde gesehen, aber das Netz Ihrer öffentlichen IP ließ sich zum Vergleich nicht laden. Die Adressen bleiben als Befund gültig; wiederholen Sie den Test, um den Vergleich zu erhalten.
• „Nicht verfügbar“ in dieser Zeile. Der Test hat bash.ws nicht erreicht oder keine Antwort erhalten: Netz ausgefallen, eine Erweiterung oder ein Filter blockiert die Domain, oder der Dienst ist offline. Die Bezeichnung bleibt bei „Nicht geprüft“, und die Karte sagt, dass nichts gefolgert wird. Das ist kein sauberes Ergebnis, sondern das Fehlen eines Ergebnisses: Versuchen Sie es in einem anderen Netz oder mit deaktivierten Erweiterungen.

Es lohnt sich zu wissen, was dieser Dienst sieht. Wenn Sie den Test ausführen, sieht bash.ws Ihre öffentliche IP und die DNS-Resolver, die für Sie fragen, und meldet sie an diese Seite zurück; MyIPScan speichert das Ergebnis nicht, und der sichere Bericht kopiert keine dieser Adressen. Deshalb startet die Prüfung nicht von selbst beim Öffnen der Seite, sondern wartet, bis Sie den Button drücken. Wenn Sie konkrete Einträge einer Domain abfragen möchten, löst die DNS-Eintragsabfrage A, AAAA, MX oder NS vom Server aus auf, ohne vom Browser abzuhängen.

So vergleichen Sie den Resolver mit Ihrer sichtbaren IP

Die Karte „DNS-Signal“ stellt beides bereits nebeneinander: den Resolver und Ihre öffentliche IP, jeweils mit ihrem Netz. Die Bezeichnung fasst den Vergleich zusammen, aber es lohnt sich, ihn selbst nachvollziehen zu können; die Schritte sind kurz.

1. Sehen Sie sich zuerst das Netz neben jeder Adresse an. Sagt Ihnen der Netzname des Resolvers nichts, kopieren Sie die Adresse in die ASN-Abfrage: Sie liefert die Netznummer und die Organisation dahinter, und Sie sehen, ob es Ihr Provider, Ihr VPN-Anbieter oder ein öffentliches DNS ist.
2. Wenn Sie mehr Kontext zu Ihrer eigenen Adresse möchten, zeigt das Tool Wie lautet meine IP sie mit ungefährem Standort und Netz: So sehen Sie, ob Ihr Browserverkehr über Ihren Provider oder über Ihren VPN-Anbieter ins Internet geht.
3. Wenn Sie lieber alle Routen auf einmal sehen möchten, führen Sie den VPN-Leak-Test aus: Er macht dieselbe DNS-Prüfung zusammen mit WebRTC und IPv6, und weil dort das VPN die erwartete Route ist, wird ein Resolver aus einem anderen Netz und einem anderen Land als mögliches Leak markiert.

Bei einem echten DNS-Leak ist die typische Kombination ein Resolver Ihres Privatkunden-Providers neben einer Ausgangs-IP des VPN-Anbieters: Die Adresse läuft durch den Tunnel, die Namen nicht. Diese Seite zeigt genau diese Kombination in ihren beiden Zeilen, und die Bezeichnung wechselt zu „Prüfen empfohlen“; beheben lässt sie sich in den DNS-Einstellungen von System, Router und VPN-App, wie weiter unten beschrieben. Achten Sie dabei auf die Organisation, nicht auf das Land.

Der Länderangabe sollten Sie aus zwei Gründen misstrauen. Erstens Anycast: Dieselbe Adresse eines öffentlichen Resolvers wird von vielen Städten gleichzeitig angekündigt, und es antwortet der nächstgelegene Knoten, der nicht dort stehen muss, wo der VPN-Server steht. Zweitens irren sich Geolocation-Datenbanken häufig, besonders bei Infrastruktur-Adressbereichen; die IP-Geolocation zeigt, wie ungefähr dieser Wert ist. Deshalb ist der nützliche Vergleich der des Besitzers.

Welchen DNS Sie bei NordVPN, ExpressVPN, Proton VPN, Mullvad und Surfshark sehen sollten

Wenn ein VPN DNS richtig leitet, gehört der Resolver, der Ihre Anfragen beantwortet, dem VPN und nicht dem Provider Ihres Anschlusses zu Hause. Die Zeile „DNS-Resolver“ zeigt nicht die tunnelinternen Adressen unten, sondern die öffentliche Adresse, mit der der Resolver des Anbieters ins Internet geht; entscheidend ist, dass sein Netz das des VPN ist. Das Folgende beschreibt das dokumentierte Verhalten einiger gängiger Dienste; es ist eine Beschreibung, keine Empfehlung und kein Anbietervergleich.

• NordVPN: eigener DNS innerhalb des Tunnels (103.86.96.100 und 103.86.99.100) oder ein Resolver von Nord. Zu prüfendes Signal: der Resolver Ihres Providers, während die App anzeigt, dass Sie verbunden sind.
• ExpressVPN: eigener, innerhalb des Tunnels verwalteter DNS, ohne separate Konfiguration. Zu prüfendes Signal: DNS des Providers oder Google und Cloudflare, wenn Sie diese nicht selbst eingestellt haben.
• Proton VPN: Resolver innerhalb des Tunnels (10.2.0.1). Zu prüfendes Signal: der DNS des Providers, vor allem unter Windows nach einem Netzwechsel.
• Mullvad: DNS von Mullvad (10.64.0.1) oder ein öffentlicher, von Mullvad betriebener Resolver. Zu prüfendes Signal: jeder andere Resolver, solange Sie verbunden sind, einschließlich dem des Routers.
• Surfshark: privater DNS innerhalb des Tunnels (162.252.172.57 und ähnliche Adressen). Zu prüfendes Signal: DNS des Providers oder des Routers zusammen mit der Ausgangs-IP von Surfshark.

Diese Adressen ändern sich, wenn die Anbieter ihre Infrastruktur aktualisieren, betrachten Sie sie also nicht als feste Liste. Das verlässliche Signal bleibt der Besitzer des Resolvers. Manche Anbieter betreiben ihr DNS in einem anderen Netz als den Ausgangsserver; dann kann die Bezeichnung eine Prüfung empfehlen, obwohl der Resolver dem Anbieter gehört – prüfen Sie den Namen der Organisation, bevor Sie Schlüsse ziehen. Und eine abweichende Länderangabe allein geht meist auf Anycast-Routing zurück, nicht auf ein Leak.

Warum IPv6 die häufigste Ursache für ein DNS-Leak ist

Viele VPNs leiten nur IPv4. Hat Ihr Heim- oder Mobilfunknetz auch IPv6 und verwaltet die App es nicht, kann das Gerät DNS-Anfragen über IPv6 direkt an Ihren Provider schicken, während der IPv4-Verkehr im Tunnel bleibt. Das Leak existiert, aber ein Test, der nur auf IPv4 schaut, sieht es nicht.

Typische Anzeichen sind: Das Ergebnis ändert sich zwischen WLAN und mobilen Daten, es ändert sich zwischen normalem Profil und privatem Fenster, oder das VPN verhält sich nach Ruhezustand und Aufwachen des Geräts anders. Wenn das passiert, deaktivieren Sie IPv6 im System oder nutzen Sie ein VPN, das es leitet, und prüfen Sie erneut.

Der IPv6-Sichtbarkeitstest bestätigt separat, ob Ihre IPv6-Adresse sichtbar ist. Der WebRTC-Leak-Test deckt den anderen Weg ab, über den der Browser Adressen preisgeben kann, ohne über DNS zu gehen, und der Browser-Fingerprint-Test zeigt, was Sie unterscheidbar macht, auch wenn DNS und IP dort sind, wo Sie sie erwartet haben.

Was Sie prüfen sollten, wenn der DNS nicht Ihren Erwartungen entspricht

Ist der Resolver nicht der, den Sie erwartet haben, prüfen Sie in dieser Reihenfolge und führen Sie den Test zwischen den Schritten erneut aus.

1. Aktivieren Sie den DNS-Leak-Schutz in der VPN-App, falls diese Option vorhanden ist.
2. Prüfen Sie das Split Tunneling. Eine ausgeschlossene Anwendung oder ein ausgeschlossener Adressbereich kann DNS aus dem Tunnel herausführen, ohne dass etwas getrennt wird.
3. Prüfen Sie das sichere DNS des Browsers, auch DNS over HTTPS genannt. Chrome, Edge und Firefox können es eigenständig aktivieren und folgen nicht immer dem DNS des Systems.
4. Sehen Sie sich den DNS des Netzwerkadapters im Betriebssystem an. Unter Windows taucht der DNS des Providers nach einem Netzwechsel am häufigsten wieder auf.
5. Prüfen Sie den DNS des Routers. Ist er dort fest eingetragen, übernehmen ihn alle Geräte im Haushalt ohne Hinweis.
6. Verbinden Sie das VPN nach jeder Änderung neu und wiederholen Sie den Test, bevor Sie die Einstellung als erledigt betrachten.

Keine Einstellung macht eine Sitzung anonym, und diese Seite verspricht das nicht. Erreichen können Sie, dass die sichtbare Route mit der übereinstimmt, die Sie nutzen wollten – und das lässt sich überprüfen.

Was diese Prüfung nicht sehen kann

Das Tool lässt diesen Browser Einmal-Namen unter bash.ws auflösen und liest bei diesem Dienst ab, welche Resolver danach gefragt haben; das Netz Ihrer IP nimmt es aus dem IP-Dienst von MyIPScan selbst. Das legt seine Reichweite genau fest und zugleich seine Grenzen.

Es sieht den Resolver, der die Anfragen dieses Browsers beantwortet, nicht die DNS-Anfragen, die Ihr Betriebssystem außerhalb des Browsers stellt, nicht die anderer Anwendungen und nicht die Protokolle Ihres Providers. Von einer Weiterleitungskette sieht es nur die letzte Station, und bei aktiviertem sicherem DNS des Browsers sieht es dessen Anbieter, nicht das DNS des Systems. Nutzen Sie ein öffentliches DNS, sieht es Google oder Cloudflare, aber nicht, ob die Anfrage durch den Tunnel oder an ihm vorbei dorthin gelangt ist. Und es kann nichts über künftige Verbindungen sagen: Es beschreibt diese Sitzung, in diesem Browser, jetzt.

Deshalb beweist ein sauberes Ergebnis nicht, dass es kein Leak gibt. Es zeigt, dass der Resolver, den der Testserver in diesem Durchlauf gesehen hat, zur Route Ihrer IP passte. Das ist nützlich, wiederholbar und begrenzt. Die Methodik auf Deutsch beschreibt, wo jedes Signal endet, und die englische Version dieses DNS-Leak-Tests wendet dieselben Regeln an.