Was ist DNS und wie funktioniert es? Das Domain Name System einfach erklärt

DNS steht für Domain Name System. Man kann es sich wie ein Telefonbuch des Internets vorstellen. Statt Telefonnummern verwenden Computer jedoch numerische Adressen, sogenannte IP-Adressen, zum Beispiel 192.168.1.1.

Ohne DNS könntest du keine Webseiten, Foren oder E-Mail-Dienste aufrufen. Der Knackpunkt: Dein Browser braucht statt eines Domainnamens eine IP-Adresse. DNS-Server übernehmen diese Übersetzung: Du tippst z. B. www.expressvpn.com ein, und DNS liefert die passende IP-Adresse.

Hier erklären wir, wie das genau funktioniert und warum DNS für deine Privatsphäre eine wichtige Rolle spielt.

DNS einfach erklärt: Bedeutung und Funktionsweise

Wie oben beschrieben, sprechen du und dein Browser nicht dieselbe Sprache. Dein Browser kann mit einer normalen Webadresse allein nichts anfangen. Er benötigt das numerische Gegenstück, also die IP-Adresse.

Genau hier greift DNS ein. Es fungiert als Vermittler und übersetzt die eingegebene Webadresse in die passende IP-Adresse. Erst dadurch kann dein Browser deine Anfrage korrekt verarbeiten und die gewünschte Webseite laden. Kurz gesagt: DNS übersetzt verständliche Webadressen in IP-Adressen, damit dein Browser weiß, wohin er sich verbinden muss.

Video: Was ist DNS?

[videoURL]https://www.youtube.com/watch?v=Xi6IU7UTzeU[/videoURL]

Wie funktioniert DNS? Schritt für Schritt erklärt

DNS wird aktiv, sobald du eine Webadresse eingibst und im Browser auf Suchen/Öffnen klickst oder die Eingabetaste drückst. Dieser Vorgang läuft im Hintergrund ab und dauert meist nur wenige Millisekunden.

Im Folgenden erklären wir vereinfacht, was zwischen deiner Eingabe und dem Laden der Webseite passiert.

Von der URL zur geladenen Webseite

Sobald du eine Webadresse in deinen Browser eingibst und bestätigst, sendet dein Browser diese Anfrage an das Domain Name System. Dort beginnt die sogenannte DNS-Abfrage.
Dabei arbeiten mehrere Server zusammen (unten erklärt), um die passende IP-Adresse zu ermitteln. Dieser Vorgang wird als DNS-Lookup bezeichnet.

Dein Browser benötigt diese IP-Adresse, weil sie eindeutig angibt, wo die Inhalte im Internet gespeichert sind. Sobald DNS die richtige IP-Adresse gefunden hat, wird sie an deinen Browser zurückgesendet. Dein Browser weiß nun, wohin er die Verbindung herstellen muss. Die Webseite wird geladen oder es erscheint eine Fehlermeldung, falls der Server nicht erreichbar ist.

Theoretisch könntest du eine IP-Adresse direkt in deinen Browser eingeben und DNS umgehen. In der Praxis ist das jedoch selten sinnvoll. Hier sind die Gründe:

• DNS ist deutlich einfacher: Webseiten wie www.expressvpn.com lassen sich wesentlich leichter merken als eine Zahlenfolge.
• IP-Adressen ändern sich: Webseiten wechseln ihre IP-Adresse regelmäßig. DNS kümmert sich automatisch um diese Aktualisierungen. Wenn du eine IP speicherst, kann sie schnell veraltet sein.
• Technische Einschränkungen: Viele moderne Webseiten nutzen Shared Hosting und HTTPS. Gibst du nur die IP-Adresse ein, kann es zu Problemen mit TLS-Zertifikaten kommen. Der Server erkennt unter Umständen nicht, welche Webseite du aufrufen möchtest, was zu Fehlermeldungen oder Sicherheitswarnungen führt.

Die vier wichtigsten DNS-Server

DNS-Anfragen deines Browsers werden von vier zentralen Servertypen empfangen, verarbeitet und aufgelöst.

Rekursiver DNS-Resolver

Der rekursive DNS-Resolver, auch DNS-Recursor oder rekursiver Server genannt, nimmt die DNS-Anfrage deines Browsers entgegen und stößt die Verarbeitung an.

Man kann ihn sich wie eine zentrale Empfangsstelle vorstellen, durch die jede Anfrage zuerst läuft, bevor sie an andere zuständige Server weitergeleitet wird.

In vielen Fällen übernimmt der rekursive Resolver mehr als nur die Weiterleitung. Wenn die gesuchte Information bereits gespeichert ist, kann er die Anfrage sofort beantworten. Dieser Vorgang wird als DNS-Caching bezeichnet und wird weiter unten genauer erklärt.

Root-Nameserver

Falls der rekursive Server die Information nicht im Cache gespeichert hat, sendet er eine Anfrage an einen Root-Nameserver.

Der Root-Nameserver weiß, wo weitere Informationen zu finden sind. Er liefert eine Liste der zuständigen TLD-Server zurück, sodass die Anfrage an den passenden Server weitergeleitet werden kann.

TLD-Nameserver (Top-Level-Domain-Server)

Die Top-Level-Domain ist der letzte Teil einer Webadresse, meist nach einem Punkt. Beispiele:

Ein TLD-Nameserver enthält Informationen zu allen Domains mit derselben Endung, zum Beispiel .com oder .org. TLDs lassen sich grob in zwei Kategorien einteilen. Es gibt organisatorische Domains wie .com, .gov oder .edu. Daneben existieren geografische Domains, die bestimmten Ländern oder Regionen zugeordnet sind. Ein .com-TLD-Server enthält also Informationen zu allen Webseiten, die auf .com enden.

Autoritativer Nameserver

Der autoritative Nameserver ist die letzte Instanz in der Kette. Im Gegensatz zu den anderen Servern ist er direkt mit einer bestimmten Domain verknüpft. Er speichert alle relevanten Informationen zu dieser Domain, aktualisiert sie bei Bedarf und liefert die korrekte IP-Adresse an den rekursiven Server zurück.

Dieser sendet die IP-Adresse anschließend an deinen Browser. Erst dadurch kann dein Browser die eingegebene Webadresse dem richtigen Server im Internet zuordnen.

DNS-Anfragetypen: rekursiv, iterativ und nicht rekursiv

Der rekursive Server stellt im Auftrag deines Browsers Anfragen an die anderen DNS-Server. Diese Anfragen werden je nach Ablauf in drei Kategorien unterteilt.

• Rekursive Anfragen: Hierbei handelt es sich um die vollständige Kommunikation zwischen deinem Browser und dem rekursiven Server. Jede DNS-Anfrage endet entweder mit einer erfolgreichen Antwort, also dem Laden der gewünschten Webseite, oder mit einer Fehlermeldung, etwa wenn ein Name nicht gefunden wird oder Zertifikatsprobleme auftreten.
  
• Iterative Anfragen: Bei iterativen Anfragen kommuniziert der rekursive Server mit den anderen DNS-Servern. Dabei erhält er entweder eine Weiterleitung von Root- oder TLD-Servern oder eine endgültige Antwort vom autoritativen Server.
• Nicht rekursive Anfragen: In diesem Fall kennt der rekursive Server die Antwort bereits und muss keine weiteren Server kontaktieren. Das passiert, wenn die benötigte Information bereits im Cache gespeichert ist.

DNS-Caching: Wie Browser und Geräte DNS speichern

DNS-Caching ist ein temporärer Speichermechanismus. Dabei wird das Ergebnis einer DNS-Anfrage näher am anfragenden Gerät gespeichert, häufig beim rekursiven Server. Das bedeutet: Wenn du dieselbe Webseite erneut aufrufst, muss nicht jedes Mal die komplette Serverkette durchlaufen werden. Das spart Zeit und reduziert die Systembelastung.

Allerdings gibt es einen Haken. Durch Caching erhältst du nicht immer sofort die aktuellste Version einer Webseite. Wenn eine Seite noch im Cache liegt, werden neue Inhalte möglicherweise nicht angezeigt. In diesem Fall hilft ein Neuladen der Seite, das Leeren des Caches oder einfach das Abwarten, bis der gespeicherte Eintrag abläuft.

Doch wo werden zwischengespeicherte DNS-Daten eigentlich gespeichert?

Caching findet entlang der gesamten rekursiven Kette statt. DNS-Daten werden im Browser, auf deinem Gerät, im Router sowie beim DNS-Server gespeichert, den du gerade verwendest, wie auch in der Abbildung oben dargestellt.

DNS-Cache im Browser

Moderne Browser speichern DNS-Informationen zu kürzlich besuchten Webseiten. Dadurch müssen bei erneutem Zugriff nicht mehrere Anfragen gestellt werden.

Die gespeicherten Daten bleiben jedoch nur vorübergehend erhalten. Sobald die festgelegte Zeit abgelaufen ist, wird automatisch eine neue Anfrage gestellt.

Möchtest du den DNS-Cache in deinem Browser prüfen, gib folgende interne Adresse ein:

DNS-Cache auf Geräteebene

Die meisten modernen Betriebssysteme verfügen über einen integrierten DNS-Stub-Resolver.

Dieser Resolver kann selbst keine vollständigen DNS-Anfragen durchführen. Er nimmt jedoch die Anfrage deines Browsers entgegen und leitet sie an den rekursiven DNS-Server weiter.

Sobald der rekursive Server die IP-Adresse ermittelt hat, wird sie über den Stub-Resolver an dein Gerät zurückgegeben. Gleichzeitig kann der Stub-Resolver diese Information speichern.

Wenn du später erneut dieselbe Webseite aufrufst, kann dein Gerät die gespeicherte Information direkt verwenden, ohne den rekursiven Server erneut zu kontaktieren.

Was ist eine DNS-Adresse?

Eine DNS-Adresse ist die IP-Adresse des rekursiven DNS-Servers, den dein Gerät für DNS-Abfragen verwendet, wie oben beschrieben.

Für die meisten Nutzer ist nur dieser rekursive Server relevant. Er wird in der Regel von deinem Internetanbieter oder deinem Arbeitgeber betrieben. Grundsätzlich können die an der Auflösung einer Domain beteiligten DNS-Server jedoch von Privatpersonen, staatlichen Stellen oder Organisationen betrieben und verwaltet werden. Zu den bekanntesten öffentlichen rekursiven DNS-Servern gehören 8.8.8.8 und 1.1.1.1. Sie werden von Google beziehungsweise Cloudflare betrieben.

DNS, Privatsphäre und Sicherheit: Das solltest du wissen

Zu verstehen, was DNS ist und wie es funktioniert, ist hilfreich. Noch wichtiger ist jedoch zu wissen, welche Rolle DNS für deine Privatsphäre und Sicherheit im Internet spielt.

Welche Informationen DNS für Internetanbieter und Netzwerkbetreiber offenlegt

Standardmäßig werden deine DNS-Abfragen über deinen Internetanbieter oder den Administrator deines Netzwerks weitergeleitet. Nachdem der DNS-Server die passende IP-Adresse ermittelt hat, wird diese ebenfalls über die Server deines Anbieters an deinen Browser zurückgesendet. Dabei fallen bestimmte Metadaten an, die dein Anbieter sehen kann:

• welchen Domainnamen du angefragt hast
• den genauen Zeitpunkt der Anfrage
• deine IP-Adresse, aus der sich Standort oder Gerät ableiten lassen

Diese Informationen reichen aus, um zu erkennen, dass du eine bestimmte Webseite aufrufen wolltest. Der Inhalt deiner Kommunikation bleibt zwar verschlüsselt, wenn du HTTPS nutzt, aber die DNS-Anfrage selbst kann dennoch Rückschlüsse auf dein Surfverhalten zulassen.

Die gute Nachricht: Wenn du dich mit ExpressVPN verbindest, werden deine DNS-Anfragen über unsere Server abgewickelt, nicht über die deines Internetanbieters.

Da ExpressVPN deinen Datenverkehr verschlüsselt, kann dein Anbieter nicht einmal erkennen, ob du eine DNS-Anfrage stellst. Wir protokollieren keine DNS-Anfragen. Wenn wir eine Namensauflösung in deinem Auftrag durchführen, sehen andere DNS-Server lediglich die Adresse unseres Servers.

Da sich mehrere Nutzer einen Server teilen, stammen alle Anfragen scheinbar aus derselben Quelle. Selbst wenn jemand DNS-Daten analysieren würde, ließe sich kein einzelner Nutzer eindeutig identifizieren.

Wie DNS-Leaks deine Online-Anonymität und Sicherheit gefährden

Öffentliche DNS-Server sind zwar in der Regel sicher, aber nicht besonders privat. Zudem können Cyberkriminelle DNS-Server gezielt angreifen, um deine Sicherheit zu beeinträchtigen oder Geräte zu stören. Zu den häufigsten Angriffen gehören:

• DNS-Spoofing (Cache-Poisoning): Hierbei werden manipulierte DNS-Daten in den Cache eines Resolvers eingeschleust. Dadurch wird eine falsche IP-Adresse zurückgegeben. Nutzer können so auf Phishing-Seiten umgeleitet werden, auf denen sensible Daten wie Kreditkartennummern oder Zugangsdaten abgegriffen werden.
• DNS-Amplification-Angriffe: Eine Form von DDoS-Angriff, bei der Angreifer gefälschte DNS-Anfragen mit der IP-Adresse des Opfers als Absender senden. Die DNS-Server antworten dann mit großen Datenpaketen an diese Adresse. Das kann Server oder Systeme überlasten und zum Ausfall bringen.
• DNS-Hijacking: Ähnlich wie DNS-Spoofing, jedoch betrifft es aktive DNS-Anfragen statt zwischengespeicherter Daten. Anfragen werden gezielt umgeleitet, um Nutzer auf falsche Webseiten zu führen. Dafür müssen Angreifer häufig Router kompromittieren oder Schadsoftware auf dem Gerät installieren.
• Abhören von DNS-Anfragen: Da DNS-Abfragen häufig unverschlüsselt über UDP übertragen werden, können sie mit entsprechendem Fachwissen abgefangen und ausgewertet werden. Dadurch lässt sich nachvollziehen, welche Webseiten besucht werden.

DNS over HTTPS (DoH) und DNSSEC: Wovor sie schützen

Es gibt Mechanismen, die die Sicherheit von DNS-Abfragen erhöhen und ihre Integrität sicherstellen. Zwei wichtige Beispiele sind DNS over HTTPS und DNSSEC.

DNS over HTTPS (DoH)

Schützt vor: DNS-Hijacking, Abhören und Spoofing.

Standard-DNS-Daten werden normalerweise unverschlüsselt übertragen. Das beschleunigt die Übertragung, macht sie jedoch auch für Angreifer lesbar. Selbst wenn eine Webseite HTTPS nutzt, bleiben die DNS-Anfragen im Klartext sichtbar.

DNS over HTTPS schließt diese Lücke. Dabei werden DNS-Abfragen während der Übertragung verschlüsselt. Abgefangene Daten sind dadurch nicht mehr lesbar. Manipulation oder das Einschleusen bösartiger Weiterleitungen wird erheblich erschwert.

DNSSEC

Schützt vor: DNS-Umleitung, Hijacking, Spoofing und Man-in-the-Middle-Angriffen.

DNSSEC (Domain Name System Security Extensions) stellt sicher, dass DNS-Einträge digital signiert sind. Jeder Eintrag benötigt eine eindeutige kryptografische Signatur, bevor er akzeptiert wird. Dazu werden spezielleSchlüssel auf den Nameservern hinterlegt, meist beim autoritativen Nameserver. Bevor dein Browser eine DNS-Antwort akzeptiert, überprüft er diese Signatur.

Ist die Signatur gültig, wird die Verbindung hergestellt. Ist sie verändert oder fehlt sie, blockiert der Browser die Verbindung.

Zu jedem DNS-Eintrag gehört ein Schlüsselpaar aus privatem und öffentlichem Schlüssel. Der private Schlüssel bleibt ausschließlich in der DNS-Zone gespeichert. Der öffentliche Schlüssel kann vom rekursiven Server angefordert werden, um die Echtheit der Daten zu prüfen.

Durch diese Signaturen schützt DNSSEC insbesondere vor vertrauensbasierten Angriffen wie DNS-Hijacking und DNS-Spoofing. Der rekursive Server akzeptiert eine Antwort nicht blind, sondern überprüft sie anhand des öffentlichen Schlüssels.

Häufige DNS-Probleme und Lösungen

DNS-Server sind so konzipiert, dass sie im Hintergrund zuverlässig arbeiten. Du kannst jahrelang online sein, ohne bewusst über DNS nachzudenken. Genau das zeigt, wie stabil dieses System normalerweise funktioniert.

Trotzdem gibt es einige typische Probleme:

• DNS-Auflösungsfehler: Dieser Fehler tritt auf, wenn der DNS-Server deine Anfrage nicht in eine IP-Adresse umwandeln kann. Prüfe zuerst deine Internetverbindung. Liegt dort kein Problem vor, muss der Administrator der Webseite oder der Domain-Registrar den Fehler beheben.
  
• DNS-Cache-Probleme: Dein DNS-Server liefert möglicherweise noch eine ältere Version einer Webseite aus, obwohl bereits eine neue Version existiert. In diesem Fall hilft es, den Cache im Browser zu leeren, den Browser neu zu starten oder dein Gerät neu zu starten.
• DNS-NXDOMAIN-Fehler: Dieser Fehler bedeutet, dass die angefragte Domain nicht existiert. Wenn du zum Beispiel „ExpressVPN" falsch schreibst, kann der rekursive Server keine passenden DNS-Einträge finden. Je nach Betriebssystem oder Chrome-Version erscheint die Fehlermeldung als DNS_PROBE_FINISHED_NXDOMAIN oder DNS_PROBE_FINISHED_BAD_CONFIG. Beide weisen auf eine fehlgeschlagene DNS-Abfrage hin.
  

Wenn DNS-Probleme weiterhin auftreten, obwohl du die Internetverbindung geprüft und dein Gerät neu gestartet hast, starte zusätzlich deinen Router neu. Bleibt das Problem bestehen, wende dich an deinen Internetanbieter. Möglicherweise liegt eine Fehlkonfiguration auf dessen Seite vor.

Was bedeutet „DNS-Server antwortet nicht"?

Die Meldung „DNS-Server antwortet nicht" erscheint, wenn die Webseite, die du aufrufen möchtest, nicht erreichbar ist. Das kann an Wartungsarbeiten oder an Angriffen wie einem Distributed-Denial-of-Service-Angriff, kurz DDoS, liegen.

Diese Fehlermeldung kann auch auftreten, wenn:

• Keine aktive Internetverbindung besteht.
• Dein rekursiver DNS-Server nicht funktioniert.
• Der Browser-Cache aktualisiert werden muss.

Wenn du keine Netzwerkeinstellungen geändert hast und deine Internetverbindung stabil ist, reicht in vielen Fällen ein Neustart des Geräts aus.

So änderst du deine DNS-Einstellungen auf jedem Gerät

Du kannst die DNS-Einstellungen auf Smartphones mit iOS oder Android sowie auf Computern mit macOS oder Windows aus verschiedenen Gründen ändern:

• Um einen Backup-DNS-Server zu hinterlegen.
• Um Inhalte zu filtern oder Kindersicherungen einzurichten.
• Um einen internen oder selbst betriebenen DNS-Server zu verwenden.
• Um deine Privatsphäre und Sicherheit im Internet zu verbessern.

Wenn es dir vor allem um Datenschutz und Sicherheit geht, empfehlen wir, keine komplexen manuellen Konfigurationen vorzunehmen. Stattdessen kannst du dich mit einem VPN-Server eines Anbieters verbinden, der eigene private DNS-Server betreibt, wie etwa ExpressVPN.

DNS-Einstellungen unter Windows ändern

Hinweis: In unserem Beispiel verwenden wir Windows 11. Bei anderen Versionen können die Schritte leicht abweichen.

1. Verbinde dich mit dem Netzwerk, für das du die DNS-Einstellungen ändern möchtest. Das kann über Ethernet oder Wi-Fi erfolgen.
2. Öffne Control Panel (Systemsteuerung).
   
3. Klicke auf Network and Internet (Netzwerk und Internet).
   
4. Klicke auf Network and Sharing Center (Netzwerk- und Freigabecenter).
   
5. Wähle Change adapter settings (Adaptereinstellungen ändern).
   
6. Klicke mit der rechten Maustaste auf die Verbindung und wähle Properties (Eigenschaften).
   
7. Falls erforderlich, gib das Administratorpasswort ein.
8. Wechsle zum Tab Networking (Netzwerk). Unter This connection uses the following items (Diese Verbindung verwendet folgende Elemente) wähle Internet Protocol Version 4 (TCP/IPv4) oder Internet Protocol Version 6 (TCP/IPv6) und klicke auf Properties (Eigenschaften).
   
9. Aktiviere Use the following DNS server addresses (Folgende DNS-Serveradressen verwenden).
   
10. Trage Preferred DNS server (Bevorzugter DNS-Server) und Alternate DNS server (Alternativer DNS-Server) ein.
11. Klicke auf OK.

Teste anschließend sofort, ob die Verbindung funktioniert.

DNS-Einstellungen auf dem Mac ändern

Hinweis: In unserem Beispiel verwenden wir macOS 26.1. Andere Versionen können leicht abweichen.

1. Öffne System Settings (Systemeinstellungen).
2. Klicke auf Network (Netzwerk).
3. Wähle die Verbindung aus, für die du DNS ändern möchtest, zum Beispiel WLAN oder Ethernet.
   
4. Klicke auf Details….
   
5. Wechsle zum Bereich DNS.
   
6. Notiere oder kopiere die bestehende DNS-Adresse zur Sicherheit.
7. Klicke auf das Plus-Symbol +, um einen neuen Server hinzuzufügen.
   
8. Trage eine neue IPv4- oder IPv6-Adresse ein.
9. Bestätige mit OK.

Schließe anschließend deinen Browser vollständig und öffne ihn erneut, um die neue DNS-Konfiguration zu testen.

DNS-Einstellungen auf iOS ändern (iPhone und iPad)

Hinweis: In unserem Beispiel verwenden wir iOS 26.0.1. Andere Versionen können leicht abweichen.

1. Verbinde dich mit dem gewünschten WLAN-Netzwerk. Öffne Settings (Einstellungen) und tippe auf Wi-Fi (WLAN).
   
2. Tippe auf das Informationssymbol (i) neben dem verbundenen Netzwerk.
   
3. Scrolle nach unten und tippe auf Configure DNS (DNS konfigurieren).
   
4. Wechsle von Automatic (Automatisch) zu Manual (Manuell).
   
5. Tippe auf Add Server (Server hinzufügen) und gib die IPv4- oder IPv6-Adresse ein.
   

DNS-Einstellungen auf Android ändern

Hinweis: In unserem Beispiel verwenden wir Xiaomi 15 Ultra mit Android 15. Andere Geräte oder Versionen können leicht abweichen.

1. Öffne Settings (Einstellungen) und tippe auf More connectivity options (Weitere Verbindungseinstellungen).
   
2. Tippe auf Private DNS.
   
3. Wähle Private DNS provider hostname (Hostname des Anbieters des privaten DNS) und gib den Hostnamen deines DNS-Anbieters ein.
   
4. Tippe auf Save (Speichern).

Solltest du einen öffentlichen oder privaten DNS verwenden?

Öffentliche DNS-Server werden häufig von Internetanbietern oder großen Unternehmen wie Google oder Cloudflare betrieben. Private DNS-Server hingegen werden meist intern von Unternehmen verwaltet und genutzt. Auch Organisationen oder Einzelpersonen mit größeren Netzwerken können einen eigenen privaten DNS-Server betreiben, um Datenschutz und Sicherheit besser zu kontrollieren.

Die meisten Internetnutzer verwenden standardmäßig öffentliche DNS-Server. Wie bereits erwähnt, bringt das jedoch gewisse Datenschutzrisiken mit sich. Wenn dir Privatsphäre wichtig ist, empfehlen wir einen vertrauenswürdigen VPN-Anbieter ohne Protokollierung mit verschlüsseltem DNS-Service.