Was ist DNS über HTTPS?

DNS over HTTPS ist ein Protokoll, das DNS-Anfragen und -Antworten über verschlüsselte HTTPS-Verbindungen überträgt. Dadurch wird verhindert, dass Dritte auf dem Netzwerkpfad die Abfragen lesen oder verändern können. Es ist in RFC 8484 standardisiert.

DoH ist die gängige Abkürzung für „DNS over HTTPS“. Der Begriff beschreibt, dass ein Client DNS-Anfragen über HTTPS an einen DoH-Server sendet, anstatt über den unverschlüsselten Port 53.

Was ist DoH in einer Anwendung?

In einer Anwendung bedeutet DoH, dass die Anwendung Namen selbst auflöst, indem sie Anfragen an einen konfigurierten DoH-Server sendet, anstatt den Resolver des Betriebssystems zu nutzen. Ein gängiges Beispiel hierfür sind Browser. Auf diese Weise können die vom Netzwerkadministrator zugewiesenen DNS-Server umgangen werden.

Wie lässt sich überprüfen, ob DoH funktioniert?

Erfassen Sie den Datenverkehr vom Client und vergewissern Sie sich, dass DNS-Abfragen nicht mehr auf Port 53 erscheinen und dass der TLS-Datenverkehr an den konfigurierten DoH-Server geleitet wird. Viele Browser und DoH-Anbieter bieten zudem eine Statusseite oder Diagnoseeinstellungen an. Prüfen Sie, ob ein Fallback auf normales DNS erfolgt, da dies eine fehlgeschlagene DoH-Verbindung verbergen kann.

Ist DoH sicherer als DNS über TLS?

Keines der beiden bietet eine stärkere Verschlüsselung, da beide TLS zum Schutz der DNS-Nachrichten verwenden. Sie unterscheiden sich in der Art ihrer Bereitstellung: DoH verschmilzt mit dem Web-Datenverkehr, was den Datenschutz im lokalen Netzwerk fördert, während DoT für Administratoren leichter über den Port zu erkennen und zu kontrollieren ist.

Glossar
Was ist DoH (DNS over HTTPS)?

DNS-Glossar

Was ist DoH (DNS over HTTPS)?

DNS over HTTPS (DoH) ist ein Netzwerkprotokoll, das DNS-Anfragen und -Antworten verschlüsselt, indem es diese in HTTPS-Verbindungen einbindet. Es ist in RFC 8484 definiert und sendet DNS-Nachrichten über Port 443 an einen DoH-Server, sodass der Resolver-Datenverkehr vor Überwachung und Manipulation auf dem Übertragungsweg geschützt ist.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

DNS over HTTPS (DoH) is a network protocol defined in RFC 8484 that encrypts DNS queries and responses by wrapping them in HTTPS connections sent over port 443, protecting resolver traffic from on-path observation and tampering. While DoH enhances privacy by blending DNS traffic with ordinary HTTPS web traffic, enterprises face significant operational challenges including loss of DNS visibility, potential bypass of internal resolvers, and inability to apply DNS filtering, threat detection, and query logging to DoH clients. Managing DoH effectively requires establishing approved internal DoH-capable resolvers, implementing client and browser policies to enforce their use, and monitoring or blocking connections to unauthorized DoH servers to maintain network security and troubleshooting capabilities.

DoH uses HTTPS on port 443 to encrypt DNS messages end-to-end, making the traffic indistinguishable from standard web traffic and preventing port-based network controls that work against DNS over TLS (DoT) on port 853.
Unmanaged DoH deployment causes split-horizon DNS failures, disabled filtering policies, and security gaps where browsers or applications bypass internal resolvers and send queries directly to public DoH servers, eliminating query logging and threat detection visibility.
Organizations must implement policy-based controls such as approved internal DoH-capable resolvers, client configuration policies, and IP-address-based blocking of unauthorized DoH servers, though new or self-hosted servers require ongoing maintenance to prevent circumvention.

DoH auf einen Blick

Attribute	Value
Full name	DNS over HTTPS
Category	Encrypted DNS transport protocol
Defined in	RFC 8484
Protocol and port	HTTPS over TCP, port 443 by default
OSI layer	Application layer (layer 7)
Primary use	Encrypting DNS traffic between a client and a recursive resolver
Related terms	DNS over TLS, DNS, Recursive resolver, TLS, DNS filtering

So funktioniert DoH

Ein DoH-Client verpackt eine gewöhnliche DNS-Nachricht in eine HTTPS-Anfrage und sendet sie an einen DoH-Server. Der Server gibt die DNS-Antwort in der HTTPS-Antwort zurück.

DoH-Server ermitteln: Der Client ist mit einer URI-Vorlage für den DoH-Server konfiguriert. Er löst bei Bedarf den Hostnamen des Servers auf und öffnet eine TCP-Verbindung zu Port 443, sofern in der URI kein anderer Port angegeben ist.
TLS-Verbindung herstellen: Der Client und der Server handeln eine TLS-Sitzung aus, und der Client überprüft das Serverzertifikat. Dadurch wird der Server authentifiziert und der gesamte nachfolgende Datenverkehr verschlüsselt.
Anfrage senden: Der Client kodiert die DNS-Anfrage im Standard-Wire-Format und sendet sie in einer HTTP-Anfrage mit der GET- oder POST-Methode. Die Nachricht verwendet den Medientyp „application/dns-message“.
Antwort zurückgeben: Der Server löst den Namen auf und gibt die DNS-Antwort im Hauptteil der HTTP-Antwort zurück. Der Client verwendet sie wie jede andere DNS-Antwort. RFC 8484 nennt HTTP/2 als empfohlene Mindestversion des HTTP-Protokolls, wodurch viele Abfragen über eine einzige Verbindung abgewickelt werden können.

Da die Sitzung verschlüsselt ist, erkennen Geräte auf dem Übertragungsweg lediglich eine TLS-Verbindung zum DoH-Server und können die Abfragenamen weder lesen noch verändern. DoH schützt nur die Verbindung zwischen Client und Resolver. Der Datenverkehr vom Resolver zu den autoritativen Servern wird nicht verschlüsselt, und der Resolver-Betreiber sieht weiterhin jede Abfrage.

Warum DoH in Unternehmensnetzwerken wichtig ist

Herkömmliches DNS über UDP und TCP-Port 53 ist unverschlüsselt, sodass jeder, der sich auf dem Netzwerkpfad befindet, Abfragen lesen oder verändern kann. RFC 8484 hat DoH standardisiert, um diese Lücke zu schließen, indem DNS innerhalb von HTTPS übertragen wird. Ein separater Standard, DNS über TLS in RFC 7858, verschlüsselt DNS auf einem eigenen, dedizierten Port, nämlich 853. Dieser Unterschied bestimmt den Vergleich zwischen DoH und DNS über TLS: Beide verschlüsseln denselben Datenverkehr, doch DoH teilt sich Port 443 mit dem normalen Webdatenverkehr, während DNS über TLS anhand des Ports identifiziert und somit verwaltet oder blockiert werden kann.

Für Unternehmen besteht die wichtigste betriebliche Auswirkung in einem Verlust an Transparenz. Eine Anwendung oder ein Browser, die bzw. der einen eigenen DoH-Server nutzt, umgeht den internen Resolver, sodass DNS-Filterung, Split-Horizon-Antworten für private Zonen, die Protokollierung von Abfragen und die mit diesem Resolver verbundene Bedrohungserkennung für diesen Datenverkehr nicht mehr gelten. Interne Namen lassen sich möglicherweise nicht auflösen, und Sicherheitsteams verlieren eine reichhaltige Quelle für Telemetriedaten.

Eine gute Verwaltung von DoH bedeutet, zu entscheiden, welche Resolver Clients nutzen dürfen. Gängige Ansätze bestehen darin, einen zugelassenen internen DoH-fähigen Resolver zu betreiben, die Client- und Browser-Richtlinien auf dessen Nutzung einzustellen sowie Verbindungen zu nicht zugelassenen DoH-Servern zu blockieren oder zu überwachen. Bleibt dies ungeregelt, verteilt sich das DNS auf verschiedene Resolver, was die Fehlerbehebung, das Auditing und die Reaktion auf Vorfälle erschwert.

Wie sich DoH im Vergleich zu verwandten Begriffen darstellt

DoH vs. DNS over TLS (DoT)

DoH überträgt DNS-Nachrichten innerhalb von HTTPS auf Port 443, während DoT sie direkt innerhalb einer TLS-Sitzung auf einem dedizierten Port überträgt, sodass DoT für ein Netzwerk leichter zu identifizieren und zu kontrollieren ist. Was ist DNS über TLS?

Attribute	DoH	DNS over TLS (DoT)
Standard	RFC 8484	RFC 7858
Transport	HTTP over TLS	TLS directly over TCP
Default port	443	853
Visibility to network operators	Blends with other HTTPS traffic, so port-based control is not possible	Identifiable by its dedicated port, so it can be allowed, monitored or blocked
Message overhead	Adds HTTP framing to each DNS message	Adds no HTTP framing
Typical client	Often built into browsers and applications	Often configured at the operating system or resolver level

Häufige Probleme mit DoH

Ein Browser oder eine Anwendung mit eigener DoH-Resolver-Einstellung sendet Anfragen direkt an einen öffentlichen Server und umgeht den internen Resolver. Interne Zonen schlagen dann mit NXDOMAIN oder Timeouts fehl, und Split-Horizon-Einträge, Filterrichtlinien sowie die Protokollierung von Anfragen gelten für diesen Client nicht mehr.

Sicherheitstools, die den Datenverkehr auf Port 53 überprüfen oder protokollieren, erkennen nichts von DoH-Clients. Blocklisten, Sinkholes und Antwortrichtlinienzonen zeigen keine Wirkung, und Ermittler stellen Lücken im Abfrageverlauf dieser Hosts fest.

Da DoH auf TLS basiert, können eine falsche Systemuhr, eine nicht vertrauenswürdige Zertifikatskette oder ein TLS-überprüfender Proxy dazu führen, dass der Client keine Verbindung zum DoH-Server herstellen kann. Je nach Konfiguration greift der Client dann entweder auf unverschlüsseltes DNS zurück oder die Auflösung wird unterbrochen.

Da DoH den Port 443 mit dem Webdatenverkehr teilt, ist eine Blockierung des Ports nicht möglich, ohne dabei HTTPS zu beeinträchtigen. Teams, die bekannte DoH-Serveradressen blockieren, stellen fest, dass neue oder selbst gehostete Server dennoch durchkommen, sodass die Liste ständig gepflegt werden muss.

Einige Clients versuchen es erneut über unverschlüsseltes DNS, wenn der DoH-Server nicht erreichbar ist. Techniker, die eine Richtlinie testen, sehen möglicherweise Anfragen auf Port 53 und gehen davon aus, dass DoH deaktiviert ist, obwohl der Client lediglich seinen Fallback-Pfad nutzt.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Kontaktieren Sie uns

Das intelligente Netzwerk

Was ist DoH (DNS over HTTPS)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DoH auf einen Blick

So funktioniert DoH

Warum DoH in Unternehmensnetzwerken wichtig ist

Wie sich DoH im Vergleich zu verwandten Begriffen darstellt

DoH vs. DNS over TLS (DoT)

Häufige Probleme mit DoH

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

DoH-FAQ

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel

Was ist DoH (DNS over HTTPS)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DoH auf einen Blick

So funktioniert DoH

Warum DoH in Unternehmensnetzwerken wichtig ist

Wie sich DoH im Vergleich zu verwandten Begriffen darstellt

DoH vs. DNS over TLS (DoT)

Häufige Probleme mit DoH

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

DoH-FAQ

Was ist DNS über HTTPS?

Was ist DoH?

Was ist DoH in einer Anwendung?

Wie lässt sich überprüfen, ob DoH funktioniert?

Ist DoH sicherer als DNS über TLS?

Verwandte Begriffe

Verwandte Artikel