DNS-Datenschutz und Strategien zur Verhinderung von Benutzerprofilen
Categories:
DNS-Datenschutz und Strategien zur Verhinderung von Benutzerprofilen
Leser: Ingenieure, Betreiber und Sicherheitsfachleute, die sich mit Netzwerkdatenschutz und Datenverwaltung beschäftigen Schlüsselbegriffe: lokaler Resolver, rekursiver Resolver, autoritativer Server, QNAME-Minimierung, ECS, DNSSEC, DoT/DoH/DoQ
Hintergrund und Problemübersicht
Im digitalen Zeitalter werden die Netzwerkaktivitäten der Nutzer zu einer wichtigen Datenquelle für Unternehmen, um Benutzerprofile zu erstellen. Als zentrale Komponente der Internetinfrastruktur übernimmt das Domain Name System (DNS) die entscheidende Aufgabe, menschenlesbare Domainnamen in maschinenlesbare IP-Adressen zu übersetzen. Traditionelle DNS-Abfragen werden jedoch meist im Klartext über den UDP-Port 53 übertragen, wodurch sensible Informationen wie Surfverhalten, App-Nutzungsgewohnheiten usw. leicht von Internetdienstanbietern, Providern und verschiedenen Man-in-the-Middle-Akteuren erfasst und analysiert werden können.
Benutzerprofile werden durch das Sammeln und Analysieren verschiedener Nutzeraktivitätsdaten erstellt. Unternehmen nutzen diese Modelle für gezieltes Marketing, Inhalts-Recommendationen, Risikobewertungen usw. Obwohl diese Dienste die Nutzererfahrung in gewissem Maße verbessern, entstehen dadurch auch Risiken wie Datenschutzverletzungen, Datenmissbrauch und potenzielle diskriminierende Preise. Das Verständnis, wie DNS-Ebene-Techniken die Genauigkeit von Benutzerprofilen reduzieren können, ist zu einem wichtigen Weg zum Schutz der Privatsphäre geworden.
Dieser Artikel geht von den Grundlagen der DNS-Abfrage aus, analysiert Datensammelstellen bei der Erstellung von Benutzerprofilen, erörtert DNS-basierte Datenschutzstrategien und erläutert Umsetzungsideen und Vorsichtsmaßnahmen in verschiedenen Szenarien.
Grundlagen und Begriffsdefinitionen
Um DNS-Datenschutz zu verstehen, müssen zunächst die grundlegenden Abläufe und Begriffe der DNS-Abfrage bekannt sein. DNS-Abfragen umfassen normalerweise mehrere Akteure, bei denen jede Schnittstelle zu einem möglichen Datenleck werden kann.
flowchart LR
A[Client-Gerät] e1@--> B[lokaler Resolver]
B e2@--> C[rekursiver Resolver]
C e3@--> D[Root-Server]
D e4@--> E[TLD-Server]
E e5@--> F[autoritativer Server]
F e6@--> C
C e7@--> B
B e8@--> A
C --> G[Zwischenspeicherung]
e1@{ animation: fast }
e2@{ animation: slow }
e3@{ animation: medium }
e4@{ animation: fast }
e5@{ animation: medium }
e6@{ animation: fast }
e7@{ animation: fast }
e8@{ animation: slow }
style A fill:#e1f5fe
style B fill:#f3e5f5
style C fill:#fff3e0
style D fill:#f1f8e9
style E fill:#f1f8e9
style F fill:#f1f8e9
style G fill:#fce4ecDer lokale Resolver (Stub Resolver) ist die DNS-Client-Komponente im Betriebssystem oder in der Anwendung, die DNS-Abfrageanfragen von Anwendungen entgegennimmt und an den rekursiven Resolver weiterleitet. Der rekursive Resolver, normalerweise von ISPs oder Drittanbietern bereitgestellt, führt den vollständigen Domain-Auflösungsprozess durch, einschließlich Abfragen an Root-Server, Top-Level-Domain-Server (TLD) und autoritative Server sowie Rückgabe der endgültigen Ergebnisse an den Client.
Der autoritative Server speichert DNS-Einträge für spezifische Domains und ist die endgültige Quelle für Domain-Informationen. Das Caching ist ein wesentlicher Bestandteil des DNS-Systems; rekursive Resolver speichern Abfrageergebnisse, um wiederholte Abfragen zu reduzieren und die Auflösungseffizienz zu erhöhen. Der TTL (Time To Live)-Wert bestimmt, wie lange DNS-Einträge im Cache gespeichert werden.
EDNS Client Subnet (ECS) ist ein Erweiterungsmechanismus, der es dem rekursiven Resolver ermöglicht, Subnetzinformationen des Clients an den autoritativen Server zu übermitteln, um die Genauigkeit von CDN- und Standortdiensten zu verbessern. ECS birgt jedoch auch das Risiko, Standortdaten des Benutzers offenzulegen.
Datenschutzrisiken und Motivation
Klartext-DNS-Abfragen liefern reichhaltige Datenquellen für die Erstellung von Benutzerprofilen. Durch die Analyse von DNS-Abfrageprotokollen können Angreifer oder Datensammler Surfverhalten, App-Nutzung, Standortdaten usw. erfassen und detaillierte Benutzerprofile erstellen.
flowchart TD
A[Nutzerverhalten] e1@--> B[Klartext-DNS-Abfrage]
B e2@--> C[ISP-Resolver]
B e3@--> D[öffentlicher DNS-Dienst]
C e4@--> E[Zugriffsprotokolle]
D e5@--> F[Abfrageprotokolle]
E e6@--> G[Verhaltensanalyse]
F e7@--> G
G e8@--> H[Benutzerprofil]
H e9@--> I[gezielte Werbung]
H e10@--> J[Inhalts-Recommendationen]
H e11@--> K[Preisdiskriminierung]
L[Drittanbieter-Tracker] e12@--> M[Cross-Site-Korrelation]
M e13@--> G
N[Device-Fingerprinting] e14@--> O[eindeutige Kennung]
O e15@--> G
e1@{ animation: fast }
e2@{ animation: medium }
e3@{ animation: medium }
e4@{ animation: slow }
e5@{ animation: slow }
e6@{ animation: fast }
e7@{ animation: fast }
e8@{ animation: medium }
e9@{ animation: fast }
e10@{ animation: fast }
e11@{ animation: fast }
e12@{ animation: medium }
e13@{ animation: fast }
e14@{ animation: medium }
e15@{ animation: fast }
style A fill:#e1f5fe
style B fill:#fff3e0
style C fill:#ffebee
style D fill:#ffebee
style E fill:#fce4ec
style F fill:#fce4ec
style G fill:#f3e5f5
style H fill:#e8eaf6
style I fill:#fff9c4
style J fill:#fff9c4
style K fill:#ffcdd2
style L fill:#ffebee
style M fill:#fce4ec
style N fill:#ffebee
style O fill:#fce4ecDer Wert von DNS-Abfragedaten für die Erstellung von Benutzerprofilen zeigt sich in mehreren Aspekten. Zunächst können Abfragehäufigkeit und Zeitmuster Rückschlüsse auf die täglichen Rhythmen des Nutzers zulassen, wie Unterschiede im Internetnutzungsverhalten zwischen Werktagen und Wochenende, nächtliche Aktivitätsmuster usw. Außerdem kann der Domaintyp Rückschlüsse auf die Interessen des Nutzers geben, wie Vorlieben für Nachrichten-, Social-Media-, Video- oder E-Commerce-Websites. Zusätzlich ermöglichen Subdomain-Zugriffsmuster eine feinere Verhaltensanalyse, z. B. ob der Nutzer häufig Unterseiten bestimmter Social-Media-Plattformen besucht.
Standortdaten sind ein wesentlicher Bestandteil von Benutzerprofilen. Durch ECS-Mechanismus und Analyse der Position des rekursiven Resolvers können physische Standorte oder Bewegungsprofile des Nutzers abgeleitet werden. In Kombination mit Zeitreihenanalyse lassen sich häufige Aufenthaltsorte und Aktionsbereiche identifizieren.
Die Identitätskorrelation über verschiedene Geräte ist ein weiterer Schlüssel bei der Erstellung von Benutzerprofilen. Durch die Analyse bestimmter Muster in DNS-Abfragen, wie Zeitverteilungen identischer Domains auf verschiedenen Geräten, können möglicherweise mehrere Geräte desselben Nutzers verknüpft werden, um ein umfassenderes Benutzerprofil zu erstellen.
Wirtschaftliche Motive treiben die Erstellung von Benutzerprofilen voran. Gezieltes Werbemodelling ist ein Hauptanwendungsgebiet; Unternehmen analysieren die Surfinteressen der Nutzer, um relevantere Anzeigen zu schalten und die Konversionsrate zu erhöhen. Recommendation-Systeme nutzen Benutzerprofile, um personalisierte Nachrichten, Videos und Produktempfehlungen bereitzustellen und die Nutzerbindung zu stärken. Risikobewertungen werden in Finanz-, Versicherungs- und anderen Bereichen eingesetzt, um Kreditrisiken oder Betrugsrisiken basierend auf Nutzerverhaltensmustern zu bewerten.
Schutzstrategien und Prinzipien
Im Hinblick auf DNS-Datenschutzrisiken hat die Branche verschiedene Schutzstrategien entwickelt, die sich hauptsächlich auf drei Richtungen konzentrieren: Verschlüsselung, Abfrageverwirrung und Ursprungssteuerung. Diese Strategien haben jeweils eigene Merkmale und eignen sich für verschiedene Szenarien und Anforderungen.
flowchart TD
A[DNS-Datenschutzstrategien] --> B[Verschlüsselung]
A --> C[Abfrageverwirrung]
A --> D[Ursprungssteuerung]
B --> B1[DoT - DNS over TLS]
B --> B2[DoH - DNS over HTTPS]
B --> B3[DoQ - DNS over QUIC]
C --> C1[QNAME-Minimierung]
C --> C2[Batch-Abfrage]
C --> C3[Randomisierte Timing]
C1 --> C1A[Stufenweise Sendung]
C1 --> C1B[Minimierung der Offenlegung]
D --> D1[lokale Hosts]
D --> D2[Vertrauenswürdiger rekursiver Resolver]
D --> D3[DNS-Filterung]
D2 --> D2A[Datenschutzrichtlinie]
D2 --> D2B[Keine Protokollierung]
D2 --> D2C[Drittanbieter-Audit]
style A fill:#e1f5fe
style B fill:#e8f5e8
style C fill:#fff3e0
style D fill:#f3e5f5
style B1 fill:#e8f5e8
style B2 fill:#e8f5e8
style B3 fill:#e8f5e8
style C1 fill:#fff3e0
style C2 fill:#fff3e0
style C3 fill:#fff3e0
style D1 fill:#f3e5f5
style D2 fill:#f3e5f5
style D3 fill:#f3e5f5Die Verschlüsselung ist das grundlegende Mittel des DNS-Datenschutzes und umfasst hauptsächlich drei Technologien: DNS over TLS (DoT), DNS over HTTPS (DoH) und DNS over QUIC (DoQ). DoT überträgt verschlüsselte DNS-Abfragen über den TCP-Port 853 und bietet End-to-End-Verschlüsselung durch TLS. DoH kapselt DNS-Abfragen in HTTPS-Datenverkehr ein und nutzt den Standard-Port 443, wodurch es sich besser in bestehende Netzwerke integrieren lässt und von Firewalls oder Netzwerkmanagementgeräten schwerer erkannt und blockiert werden kann. DoQ ist ein neueres, auf QUIC basierendes Verfahren, das die niedrige Latenz von UDP mit der Sicherheit von TLS kombiniert und erweiterte Funktionen wie Verbindungswechsel unterstützt.
QNAME-Minimierung (RFC7816) ist eine Technik zur Abfrageverwirrung, bei der der rekursive Resolver beim Senden von Abfragen an übergeordnete Server schrittweise Domains sendet, anstatt die vollständige Domain. Zum Beispiel wird bei einer Abfrage von „www.example.com“ zuerst „com“, dann „example.com“ und schließlich „www.example.com“ abgefragt. Dadurch werden die vollständigen Domaininformationen, die von übergeordneten Servern erfasst werden, reduziert, was jedoch die Abfrageverzögerung erhöhen kann.
Batch-Abfrage und Timing-Randomisierung sind zusätzliche Mittel zur Abfrageverwirrung. Batch-Abfrage verteilt mehrere DNS-Anfragen auf verschiedene Zeitpunkte, um das Risiko zu verringern, dass Nutzerverhalten durch Abfragemuster korreliert wird. Timing-Randomisierung führt zufällige Verzögerungen zwischen den Abfragen ein, um Zeitmusteranalysen zu verhindern.
Ursprungssteuerungsstrategien konzentrieren sich auf den Startpunkt der DNS-Abfrage. Die lokale Hosts-Datei kann DNS-Abfragen für häufig genutzte Domains umgehen und die Erzeugung von Abfrageprotokollen reduzieren. Die Auswahl eines vertrauenswürdigen rekursiven Resolvers bedeutet, einen DNS-Dienstleister mit strengen Datenschutzrichtlinien zu wählen, der z. B. keine Abfrageprotokolle aufzeichnet oder sie nicht an Dritte weitergibt. DNS-Filterung blockiert bekannte Tracker und schadhafte Domains, um unnötige Datenoffenlegungen zu reduzieren.
Umsetzungspfade und Vorsichtsmaßnahmen
Die Implementierung von DNS-Datenschutz muss technische Machbarkeit, Leistungsauswirkungen und Bereitstellungskomplexität berücksichtigen. Bei der Auswahl und Umsetzung konkreter Lösungen müssen Datenschutzwirkung und praktische Verwendbarkeit gegeneinander abgewogen werden.
Die Bereitstellung von verschlüsseltem DNS kann auf verschiedene Arten erfolgen. Betriebssystemunterstützung ist die ideale Situation, wie Android 9+, iOS 14+ und Windows 11, die DoH oder DoT integriert haben. Anwendungsebene-Implementierung eignet sich für spezifische Software wie Browser mit integriertem verschlüsseltem DNS. Netzwerkgeräteebene-Bereitstellung erfolgt auf Routern oder Firewalls und schützt das gesamte Netzwerk.
Die Implementierung von QNAME-Minimierung erfolgt hauptsächlich durch den rekursiven Resolver; Nutzer müssen einen DNS-Dienst wählen, der diese Funktion unterstützt. Es ist zu beachten, dass QNAME-Minimierung die Leistung einiger auf vollständige Domaininformationen angewiesener Optimierungen wie Prefetching und Load-Balancing beeinträchtigen kann.
Die Auswahl eines vertrauenswürdigen rekursiven Resolvers erfordert mehrere Überlegungen. Die Datenschutzrichtlinie ist die wichtigste, einschließlich Protokollierung, Aufbewahrungszeit von Protokollen und Daten-Sharing-Richtlinien. Die Serviceleistung beeinflusst die Nutzererfahrung, einschließlich Auflösungsverzögerung, Verfügbarkeit und globale Verteilung. Auch die Transparenz des Anbieters ist wichtig, z. B. ob Betriebsrichtlinien veröffentlicht werden und externe Audits akzeptiert werden.
DNS-Filterung muss Fehlalarme und verpasste Alarme berücksichtigen. Zu aggressive Filterung kann dazu führen, dass legitime Websites nicht erreichbar sind, während zu lockere Filterung keinen wirksamen Datenschutz bietet. Regelmäßige Aktualisierung von Filterregeln und die Bereitstellung benutzerdefinierter Whitelists sind notwendige Ausgleichsmaßnahmen.
Mischstrategien können einen besseren Datenschutz bieten. Zum Beispiel die Kombination von verschlüsseltem DNS und QNAME-Minimierung sowie DNS-Filterung zur Verhinderung von Trackern. Es ist jedoch zu beachten, dass zu viele Datenschutzmaßnahmen die Netzwerkleistung und Kompatibilität beeinträchtigen können und daher an die tatsächlichen Anforderungen angepasst werden müssen.
Risiken und Migration
Die Bereitstellung von DNS-Datenschutzmaßnahmen kann verschiedene Risiken und Herausforderungen mit sich bringen, die entsprechende Migrationsstrategien und Notfallpläne erfordern.
Kompatibilitätsrisiken sind ein wesentlicher Aspekt. Verschlüsseltes DNS kann in bestimmten Netzwerkumgebungen blockiert werden, insbesondere in Unternehmensnetzwerken oder stark regulierten Regionen. Rückfallmechanismen sind entscheidend; wenn verschlüsseltes DNS nicht verfügbar ist, sollte das System elegant auf traditionelles DNS zurückgreifen können und dabei das Risiko von Datenschutzverletzungen so gering wie möglich halten.
Leistungsauswirkungen müssen sorgfältig bewertet werden. Verschlüsseltes DNS kann die Abfrageverzögerung erhöhen, insbesondere bei den ersten Verbindungshandshakes. Cache-Optimierung und Verbindungswiederverwendung können einige Leistungsprobleme mildern. Bei der Auswahl eines verschlüsselten DNS-Dienstes sollten Netzwerkverzögerung und Antwortzeit berücksichtigt werden, um Server zu vermeiden, die geografisch zu weit entfernt sind.
Compliance-Anforderungen sind bei Unternehmensbereitstellungen zu berücksichtigen. In bestimmten Regionen können Vorschriften zur Datenspeicherung oder Überwachung bestehen, die mit Datenschutzmaßnahmen in Konflikt stehen können. Vor der Bereitstellung müssen lokale Rechtsvorschriften verstanden und ein Gleichgewicht zwischen Datenschutz und Compliance gefunden werden.
Ein schrittweises, mehrstufiges Deployment ist eine effektive Strategie zur Risikominderung. Zunächst sollte die Lösung in einer Testumgebung auf Machbarkeit geprüft werden, dann schrittweise auf kleinere Nutzergruppen ausgeweitet und schließlich flächendeckend bereitgestellt werden. Wichtige Kennzahlen wie Abfrageerfolgsrate, Latenzänderungen und Fehlerquote sollten überwacht und die Konfiguration rechtzeitig angepasst werden.
Auch die Schulung und Sensibilisierung der Nutzer darf nicht vernachlässigt werden. Viele Nutzer verstehen möglicherweise nicht die Bedeutung des DNS-Datenschutzes und benötigen klare Erklärungen und Konfigurationsanleitungen. Besonders im Unternehmensumfeld sollte die IT-Abteilung den Mitarbeitern die Ziele und Nutzungsmethoden von Datenschutzmaßnahmen erklären.
Szenariobasierte Empfehlungen
Unterschiedliche Nutzungsszenarien haben jeweils eigene Anforderungen und Implementierungsstrategien für DNS-Datenschutz, die gezielte Lösungen erfordern.
Im Heimnetzwerk ist die Router-Ebene-Bereitstellung eine gute Wahl. Router mit Unterstützung für verschlüsseltes DNS können das gesamte Heimnetzwerk schützen, einschließlich IoT-Geräten und Smart-Home-Produkten. Die Auswahl eines benutzerfreundlichen DNS-Dienstes mit Funktionen wie Kindersicherung und Filterung schädlicher Websites kann neben dem Datenschutz zusätzliche Sicherheit bieten.
Im mobilen Büroarbeitsumfeld sind Netzwerkwechsel und Batterieverbrauch besonders wichtig. Die Auswahl eines DoQ-Dienstes mit Unterstützung für Verbindungswechsel kann die Stabilität beim Wechsel von Mobilfunknetzen erhöhen. Außerdem sollten Batterieoptimierungsstrategien berücksichtigt werden, um einen übermäßigen Akkuverbrauch durch häufige DNS-Abfragen und Verschlüsselungsvorgänge zu vermeiden.
Im Unternehmensumfeld muss ein Gleichgewicht zwischen Datenschutz und Netzwerkmanagement gefunden werden. Eine Mischlösung kann in Betracht gezogen werden, die den Internetverkehr der Mitarbeiter schützt, während für bestimmte Geschäftsdatenverkehr die Sichtbarkeit für Management- und Compliance-Zwecke erhalten bleibt. DNS-Filterung kann mit Unternehmenssicherheitsrichtlinien kombiniert werden, um schädliche Domains und Datenlecks zu verhindern.
In Szenarien mit hohem Datenschutzbedarf, wie Journalisten, Anwälten und medizinischem Personal, können mehrschichtige Schutzmaßnahmen erforderlich sein. Die Kombination von verschlüsseltem DNS, VPN und Tor kann mehrschichtigen Datenschutz bieten. Außerdem kann die Nutzung anonymer rekursiver Resolver in Betracht gezogen werden, die keinerlei Abfrageprotokolle aufzeichnen.
Im grenzüberschreitenden Netzwerkumfeld ist besondere Vorsicht gegenüber Internetzensur und regionalen Einschränkungen geboten. In bestimmten Regionen sind verschlüsselte DNS-Dienste möglicherweise nicht verfügbar; daher sollten mehrere Backup-Lösungen bereitgestellt werden. Es ist wichtig, die lokalen Netzwerkbedingungen zu verstehen und die am besten geeignete Datenschutzstrategie für die jeweilige Region auszuwählen.
In Entwicklungs- und Testumgebungen können die neuesten Datenschutztechnologien ausprobiert werden, wie experimentelle DoQ-Implementierungen oder benutzerdefinierte Verwirrungsverfahren. Diese Umgebungen sind relativ kontrollierbar und eignen sich gut zum Testen neuer Technologien hinsichtlich Einfluss und Kompatibilität, um Erfahrungen für die Produktivbereitstellung zu sammeln.
FAQ und Referenzen
Häufige Fragen
F: Verhindert verschlüsseltes DNS vollständig die Erstellung von Benutzerprofilen? A: Verschlüsseltes DNS kann verhindern, dass Dritte auf Netzwerkebene den Inhalt von DNS-Abfragen abhören, aber der rekursive Resolver kann weiterhin die vollständigen Abfrageprotokolle sehen. Die Auswahl eines vertrauenswürdigen Anbieters, der keine Protokolle führt, ist wichtig. Zusätzlich können andere Datenschutzmaßnahmen wie Browser-Tracker-Schutz eingesetzt werden, um umfassendere Sicherheit zu bieten.
F: Beeinträchtigt QNAME-Minimierung die DNS-Auflösungsleistung? A: QNAME-Minimierung kann die Abfrageverzögerung erhöhen, da mehrfach Abfragen an übergeordnete Server gesendet werden müssen. Moderne rekursive Resolver optimieren die Leistung normalerweise durch intelligentes Caching und parallele Abfragen. Der tatsächliche Einfluss ist oft geringer als erwartet. Für die meisten Nutzer überwiegen die Datenschutzvorteile den geringen Leistungsverlust.
F: Wie kann die Wirksamkeit des DNS-Datenschutzes überprüft werden? A: Spezielle Testwerkzeuge wie dnsleaktest.com oder die von dnsprivacy.org bereitgestellten Prüfdienste können genutzt werden, um zu überprüfen, ob DNS-Abfragen über verschlüsselte Kanäle gesendet werden. Netzwerk-Paketanalysetools können ebenfalls verwendet werden, um zu prüfen, ob der DNS-Verkehr verschlüsselt ist. Es ist jedoch zu beachten, dass diese Tests nur die technische Implementierung überprüfen können, nicht jedoch die tatsächliche Einhaltung der Datenschutzrichtlinie des Anbieters.
F: Wie kann im Unternehmensnetzwerk Datenschutz mit Managementbedürfnissen ausbalanciert werden? A: Unternehmen können eine mehrschichtige Strategie einsetzen, bei der allgemeiner Internetverkehr geschützt wird, während interner Geschäftsverkehr die notwendige Überwachungsfähigkeit behält. Die Nutzung von Lösungen mit Traffic-Aufteilungsfunktionen ermöglicht die Anwendung unterschiedlicher DNS-Richtlinien je nach Domain oder Benutzergruppe. Klare Datenschutzrichtlinien und Mitarbeiterkommunikation sind ebenfalls wichtig.
F: Kann verschlüsseltes DNS von Internetanbietern blockiert werden? A: In bestimmten Netzwerkumgebungen können verschlüsselte DNS-Verbindungen, insbesondere DoT mit nicht standardmäßigen Ports, eingeschränkt oder blockiert werden. DoH, das den Standard-HTTPS-Port 443 nutzt, ist normalerweise schwerer zu erkennen und zu blockieren. In solchen Fällen können mehrere verschlüsselte DNS-Lösungen kombiniert oder andere Datenschutzwerkzeuge wie VPN eingesetzt werden.
Referenzressourcen
RFC-Dokumente:
- RFC7858: Specification for DNS over Transport Layer Security (TLS)
- RFC8484: DNS Queries over HTTPS (DoH)
- RFC7816: DNS Query Name Minimisation to Improve Privacy
- RFC9250: DNS over Dedicated QUIC Connections
Werkzeuge und Dienste:
- Cloudflare DNS: 1.1.1.1 (unterstützt DoH/DoT, verpflichtet sich zum Datenschutz)
- Quad9: 9.9.9.9 (unterstützt DoH/DoT, blockiert schädliche Domains)
- NextDNS: Anpassbarer Datenschutz-DNS-Dienst
- Stubby: Open-Source-DoT-Client
Tests und Validierung:
- dnsleaktest.com: DNS-Leck-Test
- dnsprivacy.org: DNS-Datenschutz-Testwerkzeuge
- browserleaks.com/dns: Browser-DNS-Konfigurationsprüfung
Weiterführende Literatur: