Was ist der Unterschied zwischen DoH und DoT?

DoT überträgt DNS über TLS auf einem eigenen Port (853), während DoH DNS innerhalb von HTTPS überträgt, in der Regel auf Port 443. Aus diesem Grund lässt sich DoT von Administratoren leichter überwachen und steuern, während DoH schwerer vom Web-Datenverkehr zu unterscheiden ist.

Ist DoT schneller als DoH?

DoT verursacht in der Regel etwas weniger Overhead, da es kein HTTP-Framing verwendet. In der Praxis ist der Unterschied gering und hängt stärker vom Standort des Resolvers, der Wiederverwendung von Verbindungen und den Netzwerkbedingungen ab als vom Protokoll selbst.

Welchen Port verwendet DNS over TLS?

DoT verwendet standardmäßig den TCP-Port 853. Administratoren können diesen unabhängig vom übrigen Datenverkehr an der Firewall zulassen oder blockieren.

Nein, DoT ersetzt DNSSEC nicht. DoT schützt die Abfrage und die Antwort während der Übertragung zwischen Client und Resolver, während DNSSEC es einem validierenden Resolver ermöglicht, die Authentizität der DNS-Daten selbst zu überprüfen.

Glossar
Was ist DoT (DNS over Transport Layer Security)?

DNS-Glossar

Was ist DoT (DNS over Transport Layer Security)?

DNS over TLS (DoT) ist ein Netzwerkprotokoll, das den DNS-Verkehr zwischen einem Client und einem DNS-Resolver mithilfe von Transport Layer Security verschlüsselt. Es überträgt Standard-DNS-Nachrichten innerhalb einer TLS-Sitzung über TCP, standardmäßig auf Port 853, wie in RFC 7858 definiert, wodurch verhindert wird, dass Beobachter auf dem Übertragungsweg Anfragen lesen oder verändern können.

Vereinfachen wir Ihre DDI

Abstract isometric UI showing network ranges, usage bars, region names (EMEA/APAC), and a purple "Deploy" button

Die wichtigsten Erkenntnisse

DNS over TLS (DoT) is a network protocol that encrypts DNS traffic between clients and resolvers using Transport Layer Security on TCP port 853, as defined in RFC 7858, protecting queries from being read or altered by on-path observers. While DoT closes the security gap on the client-to-resolver hop by wrapping standard DNS messages in encrypted TLS sessions, it introduces operational challenges including certificate validation failures, potential silent fallback to plaintext in opportunistic mode, and connection handling overhead on resolvers. Organizations must balance DoT's ease of port-based management and visibility compared to alternatives like DoH with careful policy planning to prevent resolution outages and ensure that encrypted queries are directed to approved resolvers rather than bypassing internal DNS filtering and security controls.

DoT operates on dedicated TCP port 853, enabling network administrators to identify, monitor, route, or block encrypted DNS traffic using simple firewall rules, whereas DoH on port 443 blends with ordinary web traffic and requires application-level controls.
In strict mode, DoT clients verify resolver identity through certificate validation against trusted certificate authorities, while opportunistic clients may silently fall back to unencrypted queries if the TLS handshake fails, creating a false sense of security.
DoT protects only the hop between client and resolver; the resolver itself sees queries in clear text after decryption, and the resolver’s lookups to authoritative servers remain unencrypted and outside DoT’s protection scope.

DNS über TLS auf einen Blick

Attribute	Value
Full name	DNS over Transport Layer Security
Category	Network protocol
Defined in	RFC 7858, with usage profiles in RFC 8310
Protocol and port	TCP port 853
OSI layer	Application layer, carried over TLS and TCP
Primary use	Encrypting DNS queries and responses between a client and a recursive resolver
Related terms	DNS over HTTPS, DNS over QUIC, DNS resolver, Transport Layer Security, DNSSEC

So funktioniert DNS über TLS

DoT überträgt gewöhnliche DNS-Nachrichten über eine verschlüsselte TLS-Sitzung statt im Klartext. Das Format der DNS-Nachrichten ändert sich nicht; lediglich der Transportweg ändert sich.

Eine TCP-Verbindung herstellen: Der Client verbindet sich mit dem Resolver über den TCP-Port 853, den in RFC 7858 für DoT reservierten Port.
TLS-Handshake abschließen: Der Client und der Resolver handeln TLS-Parameter aus, und der Resolver legt ein Zertifikat vor. Je nach Nutzungsprofil gemäß RFC 8310 überprüft der Client entweder die Identität des Resolvers (strikt) oder akzeptiert eine nicht authentifizierte Sitzung (opportunistisch).
Senden der Anfrage: Der Client sendet eine Standard-DNS-Nachricht über die verschlüsselte Sitzung, der wie bei DNS over TCP ein zwei Byte langes Längenfeld vorangestellt ist.
Empfang der Antwort: Der Resolver gibt die DNS-Antwort über dieselbe Sitzung zurück. Ein Beobachter auf dem Übertragungsweg sieht nur verschlüsselten Datenverkehr.
Sitzung wiederverwenden oder schließen: Der Client kann die Verbindung offen halten und weitere Abfragen darüber senden, wodurch vermieden wird, dass der Handshake bei jeder Abfrage wiederholt werden muss.

DoT schützt nur die Verbindung zwischen dem Client und dem Resolver. Die eigenen Abfragen des Resolvers an autoritative Server stellen einen separaten Pfad dar und werden von DoT nicht abgedeckt. DoT überprüft zudem keine Antworten; dies ist die Aufgabe von DNSSEC.

Warum DNS over TLS in Unternehmensnetzwerken wichtig ist

Herkömmliche DNS-Abfragen werden im Klartext übertragen, sodass jeder auf dem Netzwerkpfad sehen kann, welche Namen ein Gerät abfragt, und die Antworten manipulieren kann. DoT schließt diese Sicherheitslücke auf dem Weg vom Client zum Resolver. Für Unternehmen ist dies besonders bei Gäste-WLANs, Verbindungen zu Zweigstellen und Verbindungen von Remote-Mitarbeitern von Bedeutung, da der Pfad dort nicht unter direkter Kontrolle steht.

DoT wird oft mit DNS over HTTPS (DoH) verglichen, das in RFC 8484 definiert ist. Beide verschlüsseln denselben Datenverkehr. Der wesentliche operative Unterschied besteht darin, dass DoT einen eigenen Port (853) verwendet, während DoH den Port 443 gemeinsam mit dem normalen Webdatenverkehr nutzt. Ein dedizierter Port ermöglicht es Netzwerkteams, DoT mit einfachen Regeln zu identifizieren, zu überwachen, weiterzuleiten oder zu blockieren. DoH lässt sich schwerer vom Webdatenverkehr trennen, wodurch die DNS-Richtlinien des Unternehmens umgangen werden können, wenn Clients ihren eigenen Resolver wählen.

Eine mangelhafte Verwaltung führt in beiden Richtungen zu Problemen. Wird DoT ohne entsprechenden Plan an der Firewall blockiert, können Clients, die für den strengen Modus konfiguriert sind, keine Namen auflösen. Senden Clients verschlüsselte Abfragen an externe Resolver, funktioniert die Auflösung interner Zonen nicht mehr, und DNS-basierte Sicherheitsfilterung sowie Protokollierung werden umgangen. Resolver benötigen gültige Zertifikate, eine Überwachung der Ablaufdaten sowie klare Richtlinien darüber, welche Clients welche Resolver nutzen dürfen.

Wie sich DNS über TLS im Vergleich zu verwandten Begriffen darstellt

DNS über TLS vs. DNS über HTTPS (DoH)

DoT verpackt DNS-Nachrichten direkt in TLS auf einem dedizierten Port, während DoH sie als HTTP-Austausch innerhalb von TLS überträgt, wodurch sich der DoH-Datenverkehr in den normalen Webdatenverkehr einfügt. Was ist DNS über HTTPS?

Attribute	DNS over TLS	DNS over HTTPS (DoH)
Standard	RFC 7858	RFC 8484
Default port	TCP 853	TCP 443
Transport layer	TLS directly over TCP	HTTP inside TLS
Visibility to network teams	Easy to identify, filter or allow by port	Hard to separate from other HTTPS traffic
Typical enforcement	Allow or block port 853 at the firewall	Needs resolver address lists or application-level controls
Protocol overhead	Lower, with no HTTP framing	Higher, because of HTTP headers and framing

Häufige Probleme mit DNS-over-TLS

Viele Firewalls und Gastnetzwerke blockieren ausgehende TCP-Verbindungen auf Port 853, sodass DoT-Abfragen eine Zeitüberschreitung verursachen. Im strengen Modus kann es dann vorkommen, dass der Client Namen nicht auflösen kann, und im opportunistischen Modus kann er stillschweigend auf Klartext zurückgreifen.

Im strengen Modus muss das Resolver-Zertifikat mit dem konfigurierten Namen übereinstimmen und eine Zertifikatskette zu einer vertrauenswürdigen Zertifizierungsstelle (CA) aufweisen. Ein abgelaufenes Zertifikat, ein fehlendes Zwischenzertifikat oder eine interne Zertifizierungsstelle, der die Clients nicht vertrauen, führt zu Handshake-Fehlern und Ausfällen bei der Auflösung.

Opportunistische Clients, die keine TLS-Sitzung aufbauen können, senden Abfragen möglicherweise ohne Vorwarnung unverschlüsselt. Benutzer glauben, dass das DNS geschützt ist, während Beobachter auf dem Übertragungsweg die Daten weiterhin lesen können.

Verschlüsselte Abfragen, die an einen externen Resolver gesendet werden, umgehen interne DNS-Filterung, Protokollierung und Split-Horizon-Antworten. Interne Namen geben „NXDOMAIN“ zurück, oder Richtlinienkontrollen werden übersprungen, bis die Clients auf einen zugelassenen DoT-Resolver umgeleitet werden.

Resolver, die DoT beenden, müssen viele langlebige TCP- und TLS-Sitzungen offen halten. Zu niedrige Verbindungslimits oder Timeouts bei Inaktivität führen zu Rücksetzungen und zusätzlicher Latenz bei Abfrage-Spitzen.

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

Verwalten Sie DNS, DHCP und IP-Adressen über eine einzige Plattform mit integrierter Automatisierung, Transparenz und Kontrolle.

Kontaktieren Sie uns

Das intelligente Netzwerk

Was ist DoT (DNS over Transport Layer Security)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DNS über TLS auf einen Blick

So funktioniert DNS über TLS

Warum DNS over TLS in Unternehmensnetzwerken wichtig ist

Wie sich DNS über TLS im Vergleich zu verwandten Begriffen darstellt

DNS über TLS vs. DNS über HTTPS (DoH)

Häufige Probleme mit DNS-over-TLS

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

DNS-over-TLS-FAQ

Verwandte Begriffe

Einrichtung von geregelten, auditfähigen IPAM-Workflow- und Genehmigungsmodellen für Unternehmensnetzwerke

Das OSI-Modell verstehen: Wo DNS und IP-Adressierung in die 7 Schichten passen

Skalierung von DNS und IPAM für IPv6- und Dual-Stack-Unternehmensnetzwerke

Einbindung von DNS, DHCP und IPAM in Ansible- und Git-basierte Infrastructure-as-Code-Pipelines

Podcast: Wie KI die Entwicklung von Unternehmenssoftware verändert

Podcast: Why Open Platforms Matter in Network Operations

Erhalten Sie mit LiveAssist Antworten aus den LiveNX-Daten, über die Sie bereits verfügen

Erstellung einer Kostenanalyse für den Ersatz bestehender appliancebasierter DDI-Lösungen durch eine Overlay-Verwaltungsschicht

Verwandte Artikel

Was ist DoT (DNS over Transport Layer Security)?

Sind Sie bereit, Ihre DDI zu vereinfachen?

DNS über TLS auf einen Blick

So funktioniert DNS über TLS

Warum DNS over TLS in Unternehmensnetzwerken wichtig ist

Wie sich DNS über TLS im Vergleich zu verwandten Begriffen darstellt

DNS über TLS vs. DNS über HTTPS (DoH)

Häufige Probleme mit DNS-over-TLS

Erfahren Sie, wie ein einheitliches DDI den Netzwerkbetrieb vereinfacht

DNS-over-TLS-FAQ

Was ist der Unterschied zwischen DoH und DoT?

Ist DoT schneller als DoH?

Welchen Port verwendet DNS over TLS?

Ersetzt DoT DNSSEC?

Verbirgt DoT DNS-Abfragen vor dem Resolver?

Verwandte Begriffe

Verwandte Artikel