Firefox: Mozilla aktiviert DNS-über-HTTPS für US-Nutzer

Ab sofort wird bei allen neuen Firefox-Installationen in den USA standardmäßig DNS-über-HTTPS (DoH) aktiviert. Bei bereits installierten Firefox-Versionen soll die DoH-Funktion in den kommenden Wochen für alle US-Benutzer von Firefox eingeschaltet werden.

Was ist DoH

DoH steht für DNS-over-HTTPS. Es ist kein neues DNS-Protokoll, sondern eine auf den Schutz der Privatsphäre ausgerichtete Verbesserung, die auf dem derzeitigen DNS-Ökosystem aufbaut.

Wenn ein Benutzer einen Domänennamen in die Adressleiste eines Browsers eingibt, fragt der Browser einen DNS-Auflösungsserver nach der IP-Adresse ab, unter der sich diese Website befindet.

Das Problem ist, dass DNS-Abfragen nicht verschlüsselt sind und somit in der Standardeinstellung von beispielsweise einem Internet-Zugangsanbieter ausspioniert werden können. Der Anbieter kann somit Surf-Profile eines jeden Nutzers erstellen und diese Daten an die Industrie verkaufen. Mit der Verschlüsselung von DNS-Abfragen über DNS-over-HTTPS sind diese Daten vor dem Zugriff von Dritten geschützt.

Das funktioniert wie folgt: Die verschlüsselte DoH-Abfrage wird an einen speziellen DoH-Auflösungsserver gesendet. Dieser Server aggregiert die DoH-Abfragen aller Benutzer und übersetzt sie in reguläre unverschlüsselte DNS-Abfragen. Auf diese Weise kommen alle DNS-Abfragen von einem zentralen Server (dem DOH-Resolver) und nicht von jedem einzelnen Benutzer.

Mozilla bietet zwei DNS-over-HTTPS-Anbieter

Anwender außerhalb der USA können die Funktion unter Firefox -> Einstellungen -> Allgemein -> Verbindungs-Einstellungen -> Einstellungen -> DNS über HTTPS aktivieren einschalten. Zur Auswahl stehen standardmäßig DNS-Server von NextDNS und Cloudflare (Standard) für die Nutzer der DOH-Funktion bereit.

Firefox erlaubt die Nutzung eines benutzerdefinierten DNS-Servers (Screenshot: ZDNet.de).

Anders als beim Google-Browser Chrome können Firefox-Nutzer außerdem jeden beliebigen DNS-Server mit DoH-Funktion nutzen. Dadurch ist es möglich, einen DoH-Server zu wählen, der DNS-Abfragen nicht nur verschlüsselt, sondern auch zum Beispiel Werbe- und Tracking-Server blockiert. Eine Liste von geeigneten DNS-Servern findet sich etwa auf der Webseite des IT-Sicherheitsspezialisten Mike Kuketz oder beim von Datenschutz-Aktivisten betriebenen Portal Privacy-Handbuch.

Wie man unter about:networking sehen kann, kommt es nicht immer zu einem Verbindungsaufbau über Trusted Recursive Resolver (TRR) zum verschlüsselten DNS-Server. Offenbar traut der Firefox-Hersteller noch nicht zu 100 Prozent der DoH-Technik und ermöglicht verschiedene Abstufungen:

Firefox: DoH/TRR-Abstufungen (Quelle: Mozilla/ Privacy-Handbuch)

Standardmäßig steht der TRR/DoH-Modus auf 2. Damit nutzt Firefox als Backup auch den im System vorhandenen DNS-Dienst, der in den IP-Einstellungen festgelegt ist. Im about:networking-Screenshot kann man erkennen, dass manchmal der DNS-Server mit DoH-Support genutzt wird und manchmal nicht.

Erst die TRR-Einstellung 3, die man über about:config und network.trr.mode aktiviert, sorgt dafür, dass der angegebene DoH-DNS-Server immer genutzt wird. Damit das funktioniert, muss man unter network.trr-bootstrapAddress noch die IP-Adresse des gewählten DNS-Servers (im Beispiel: https://doh.dnswarden.com/adblock mit IP-Adresse 116.203.70.156) mit DoH-Support eingetragen werden.

Alternativen

Dass Firefox mit der Unterstützung von DoH die Privatsphäre seiner Anwender schützt, ist begrüßenswert. Besser wäre es allerdings, wenn der gesamte Datenverkehr und nicht nur der des Browser über eine verschlüsselte DNS-Verbindung geschützt wäre.

Unter Android steht ab Version 9 hierfür die Funktion „Privates DNS“ zur Verfügung. Damit werden DNS-Abfragen über TLS verschlüsselt.

Wer eine ältere Version von Android verwendet, kann die Privatsphäre mit der App Blokada schützen.

Für iOS und Windows stehen mit DNSCloak und Simple DNSCrypt Tools zur Verfügung, die den DNS-Verkehr auf Betriebssystemebene und damit für alle Anwendungen verschlüsseln.

Möglicherweise wird man bald auf den Einsatz von Simple DNSCrypt unter Windows verzichten können, da Microsoft angekündigt hat, DoH unter Windows direkt zu unterstützen. Allerdings ist derzeit noch unklar, wann genau das passieren wird.