Welche DNS-Server deine Anfragen bearbeiten

Die Serveradressen werden auf unserer Seite aus einer lokalen Datenbank ermittelt, nie weitergegeben und nach ein paar Minuten gelöscht.

Was ein DNS-Server macht

Websites liegen unter numerischen Adressen, Menschen merken sich aber Namen. Ein DNS-Server, auch Resolver genannt, übersetzt das eine ins andere. Wenn du eine Seite öffnest, fragst du ihn zuerst unbemerkt „Welche Adresse gehört zu diesem Namen?“, und erst dann verbindet sich der Browser mit der Website.

Das hat eine unangenehme Folge: Der Resolver sieht die Liste aller Websites, die du öffnest, auch wenn die Inhalte selbst verschlüsselt sind. Das ist an sich kein Leck, aber es ist wichtig, wer diese Liste am Ende in den Händen hält.

Warum wir keinen fremden Dienst nutzen

Resolver lassen sich nicht aus dem Browser heraus untersuchen: Der Browser verrät nie, wer seine Anfrage beantwortet hat. Erfahren lässt sich das nur von der anderen Seite – indem man zum autoritativen Server einer Domainzone wird und sieht, wer anfragt.

Deshalb betreiben wir einen eigenen Server für eine solche Zone. Die Besucher eines VPN-Dienstes zu einem externen Prüfdienst zu schicken, der ihre Resolver sammelt, würde dem, was wir verkaufen, direkt widersprechen.

Was „unterschiedliche Routen“ bedeutet

Wenn du ein VPN nutzt, sollte der Tunnel nicht nur deine Verbindungen zu Websites transportieren, sondern auch die Namensauflösung. Wenn der Datenverkehr durch den Tunnel läuft, die Namen aber weiterhin beim Server deines Heimanbieters erfragt werden, ergibt sich ein seltsames Bild: Die Inhalte sind verborgen, die Liste der besuchten Websites ist aber für dasselbe Netz sichtbar wie zuvor.

Genau das wird hier verglichen: Land und Netzbetreiber deiner Resolver mit Land und Netzbetreiber deiner eigenen Adresse. Übereinstimmung bedeutet eine Route. Abweichung bedeutet, dass etwas daran vorbeigeht. Bei ausgeschaltetem VPN gibt es meist gar keine Abweichung: Der Resolver deines Anbieters an der Verbindung deines Anbieters ist normal.

Warum es mehrere Server sein können

Große Anbieter betreiben nicht einen, sondern einen ganzen Pool von Resolvern, und die Anfragen werden darauf verteilt. Deshalb fragt die Prüfung mehrere verschiedene Namen ab: Ein einzelner Name würde nur einen Rechner aus dem Pool zeigen.

Die Namen sind bewusst einmalig. Ein wiederholter Name würde aus dem Cache beantwortet und uns nie erreichen, während ein neuer den Resolver zwingt, erneut bei uns anzufragen. Aus demselben Grund kann sich das Ergebnis zwischen Durchläufen leicht unterscheiden.

Häufige Fragen