Wie DNS-basiertes Filtern wirklich funktioniert — und die vier Einschränkungen, die Anbieter nicht bewerben

Die Kurzfassung: Wenn eine App auf deinem Smartphone eine Verbindung zu analytics.facebook.com herstellen möchte, muss sie zunächst die IP-Adresse dieses Hostnamens per DNS ermitteln. Ein filternder DNS-Resolver fängt diese Anfrage ab, erkennt das Ziel als Tracker und verweigert die Rückgabe einer IP-Adresse. Die Verbindung wird nie aufgebaut; die Daten verlassen niemals dein Gerät. Das ist elegant und wirkungsvoll — aber es gibt vier Einschränkungen, die in jeder ehrlichen Diskussion benannt werden müssen: Er kann verschlüsselte Inhalte nicht einsehen, er kann keine Werbung filtern, die von derselben Domain wie legitime Inhalte ausgeliefert wird, einige Apps umgehen den System-DNS vollständig, und verschlüsselte DNS-Protokolle (DoH/DoT/ECH) verändern die Netzwerktransparenz. Im Folgenden: der Mechanismus, dann jede Einschränkung, dann die Bereiche, in denen DNS-Filterung weiterhin überzeugt.

Der Mechanismus in fünf Schritten

Jede Netzwerkverbindung, die dein Smartphone aufbaut, durchläuft diese Abfolge (ob du es merkst oder nicht):

1. Eine App möchte einen Server erreichen. Instagram lädt eine Story; das Facebook SDK möchte Fingerabdruckdaten nach Hause schicken; Safari öffnet eine Webseite. Jedes dieser Ereignisse beginnt mit einem Hostnamen — graph.facebook.com, cdn-news.com, www.example.com.
2. Das Betriebssystem fragt DNS nach der IP-Adresse des Hostnamens. Computer sprechen nicht direkt mit graph.facebook.com — sie sprechen mit 157.240.22.174. DNS ist das Verzeichnis, das Hostnamen in IP-Adressen übersetzt.
3. Die DNS-Anfrage geht an einen Resolver. Ohne VPN ist das in der Regel der Resolver deines Internetanbieters oder ein von dir konfigurierter DNS-Server (typischerweise Googles 8.8.8.8 oder Cloudflares 1.1.1.1). Mit Casper oder einem anderen DNS-Filterwerkzeug geht die Anfrage stattdessen über den verschlüsselten Tunnel an unseren Resolver.
4. Der filternde Resolver bewertet das Ziel. Steht graph.facebook.com auf der Tracker-Blockliste? Auf einer ML-Klassifizierung für Phishing-Domains? Auf einer benutzerdefinierten Allowlist? Die Bewertung erfolgt in einstelligen Millisekunden.
5. Der Resolver gibt eine Antwort zurück — oder verweigert sie. Bei legitimen Domains: eine echte IP-Adresse, die App verbindet sich, alles läuft normal. Bei blockierten Domains: eine "NXDOMAIN"- oder 0.0.0.0-Antwort, der Verbindungsversuch der App schlägt fehl, und die Daten verlassen niemals dein Gerät.

Das ist der gesamte Mechanismus. Es gibt keine DPI-Tricks auf dem Gerät, keine Kernel-Hooks, keine Zertifikat-Injection. Er funktioniert, weil jede IP-Verbindung mit einem Hostnamen-Lookup beginnen muss, und dieser Lookup ist unverschlüsselter Klartext, den der Resolver kontrolliert. Lookup verweigern, Verbindung verweigern.

Warum dieser Ansatz ungewöhnlich wirkungsvoll ist

Drei strukturelle Merkmale machen DNS-basiertes Filtern überproportional effektiv:

• Es ist app-agnostisch. Browser-Erweiterungen schützen nur den Browser, in dem sie laufen. Safari-Inhaltsblocker schützen nur Safari. Caspers DNS-Filter schützt Instagram, die YouTube-App, das Wetter-Widget, die Smart-TV-Streaming-App, Mail, Slack, jedes Menüleisten-Dienstprogramm auf dem Mac — alles, was einen DNS-Lookup durchführt.
• Es ist protokoll-agnostisch. HTTP, HTTPS, WebSockets, benutzerdefinierte Binärprotokolle — alles, was mit einem DNS-Lookup beginnt, wird gefiltert. Die darüberliegende Verschlüsselungsschicht spielt keine Rolle; der Resolver greift ein, bevor die Verschlüsselungsverhandlung beginnt.
• Es ist zentral. Jedes Gerät in deinem Konto erhält mit einer einzigen Konfigurationsaktualisierung denselben Schutz. Kein Browser-Erweiterungs-Flottenmanagement.

Deshalb haben DNS-basierte Tools (Pi-hole, NextDNS, AdGuard DNS und unser eigenes Casper) in den letzten fünf Jahren das dominierende Muster im Verbraucherdatenschutz-Filtering übernommen. Aber die Wirkung hat zwei Seiten — wenn DNS-Filterung versagt, tut sie es tendenziell lautlos und im großen Maßstab.

Einschränkung 1 — Sie kann nicht sehen, was im verschlüsselten Datenverkehr steckt

DNS-Filterung arbeitet mit Hostnamen, nicht mit URLs und nicht mit Payloads. Wenn eine Domain vollständig blockiert ist, wird jede Seite und jeder Endpunkt dieser Domain gesperrt. Wenn eine Domain vollständig erlaubt ist, wird jede Seite und jeder Endpunkt dieser Domain erlaubt. Auf der DNS-Ebene gibt es keine Zwischenlösung — sobald die IP aufgelöst ist, hat der Resolver keine Sichtbarkeit mehr darüber, was die App als Nächstes tut.

Das ist für den Großteil der Tracking-Infrastruktur kein Problem, da diese dedizierte Subdomains verwendet: analytics.facebook.com, tag-manager.google.com, events.amplitude.com. Das Blockieren der Subdomain lässt die Hauptseite funktionieren und deaktiviert die Analyse. Es ist jedoch ein hartes Problem, wenn Werbung oder Tracker auf derselben Domain wie legitime Inhalte laufen — Instagram liefert sowohl Inhalte als auch gesponserte Beiträge über die eigene Infrastruktur von Meta aus; YouTube liefert Videos und Pre-Roll-Werbung von googlevideo.com; X liefert gesponserte Tweets von denselben Hostnamen wie deine Timeline. DNS-basiertes Filtern kann diese nicht unterscheiden.

Was das in der Praxis bedeutet: Casper blockiert ~80–90 % der Werbung und Tracker, die du in einer typischen Woche auf einem typischen Smartphone begegnest. Die verbleibenden 10–20 % werden von Erstanbietern gehostet und erfordern einen anderen Eingriff — in der Regel eine Browser-Erweiterung auf der DOM-Rendering-Ebene (uBlock Origin in Chrome / Firefox, die integrierten Brave Shields, AdGuards Safari-Erweiterung), die die gerenderte Seite sehen und bestimmte Elemente ausblenden kann. Wir empfehlen ausdrücklich, beide Ebenen zu nutzen, wenn du die höchste Abdeckung möchtest; Casper deckt die Netzwerkebene ab, die Browser-Erweiterungen verpassen, Browser-Erweiterungen decken die DOM-Ebene ab, die DNS verpasst.

Einschränkung 2 — Einige Apps umgehen den System-DNS vollständig

Eine wachsende Zahl von Apps verwendet nicht mehr den System-DNS-Resolver — sie bringen eigene DNS-over-HTTPS (DoH)- oder DNS-over-TLS (DoT)-Implementierungen mit, die direkt mit Cloudflare, Google oder der eigenen Infrastruktur des Entwicklers kommunizieren und dabei den vom Benutzer konfigurierten DNS umgehen.

Firefox macht das standardmäßig (Mozillas Trusted Recursive Resolver-Programm). Chrome tut es, wenn der vorhandene DNS-Resolver des Nutzers auf Googles Auto-Erkennungsliste steht. Einige beliebte Android-Apps (Brave, Discord, Signal, mehrere Streaming-Apps) liefern fest kodierte DoH-Endpunkte mit. Die Motivation ist im Allgemeinen Datenschutz — um DNS-Überwachung auf ISP-Ebene zu verhindern — aber der Nebeneffekt ist, dass der vom Benutzer konfigurierte DNS-Filter für diese Apps nicht greift.

Was das in der Praxis bedeutet: Auf iOS ist das selten, und Apples NetworkExtension-Framework gibt Casper genügend Hooks, um die meisten DoH-Umgehungsversuche auf App-Ebene abzufangen. Auf Android ist die Lage unübersichtlicher — einige Apps lösen Hostnamen außerhalb unserer Sichtbarkeit auf. Caspers Reaktion ist zweigeteilt: (a) Wir veröffentlichen eine Liste von Apps mit bekanntem DoH-Umgehungsverhalten, damit Nutzer wissen, was außerhalb des Filters liegt, und (b) auf Android verwenden wir pro-App VPN-Routing, um kritischen Datenverkehr für Apps, bei denen du explizit Filterung möchtest, zurück auf den System-DNS-Pfad zu zwingen. Dies ist eine der wenigen Stellen, an denen Androids flexiblere VPN-Architektur tatsächlich ein Vorteil gegenüber iOS ist.

Einschränkung 3 — CDNs und gemeinsam genutzte Infrastruktur machen mandantenspezifisches Blockieren unmöglich

Viele Websites und Dienste teilen sich Hostnamen auf IP-Ebene — cdn-namespace.cloudfront.net kann Inhalte für Tausende verschiedener Organisationen hinter demselben Cloudfront-Endpunkt bereitstellen. Das Blockieren des Hostnamens sperrt alle, die ihn teilen; das Erlauben erlaubt alle, die ihn teilen. Der DNS-Resolver hat keine Möglichkeit zu wissen, für welchen Mandanten eine bestimmte Anfrage bestimmt ist.

Der häufigste Fall, in dem das schadet: Googles Tracking-Endpunkte blockieren, während Googles funktionale Endpunkte erlaubt bleiben. googletagmanager.com dient ausschließlich dem Tracking und kann sicher blockiert werden. Aber googleapis.com hostet alles von Maps-Kacheln über Cloud Storage bis hin zu Firebase Auth zusammen mit Analytics-Ingestion — das Blockieren würde einen riesigen Anteil von Apps zerstören. Caspers Standard-Blockliste ist so abgestimmt, dass gemeinsam genutzte funktionale Endpunkte offen bleiben, während dedizierte Tracker-Endpunkte blockiert werden, aber es gibt eine harte Obergrenze, wie granular das werden kann, ohne Apps zu beschädigen.

Was das in der Praxis bedeutet: Einige Tracking-Signale kommen durch, weil der zugrunde liegende Hostname zu sehr mit legitimer Funktionalität verknüpft ist, um blockiert zu werden. Wir listen die wichtigsten Fälle in unserer Support-Dokumentation auf, damit du weißt, was durchschlüpft. Für Nutzer, die strengeres Blockieren wünschen und verstehen, dass einige Apps dadurch nicht mehr funktionieren, steht ein "aggressives" Voreinstellungs-Profil zur Verfügung.

Einschränkung 4 — Encrypted Client Hello (ECH) verändert die Beobachtbarkeit

Der TLS-Handshake hat historisch gesehen den Ziel-Hostnamen über das Server Name Indication (SNI)-Feld preisgegeben — selbst wenn DNS verschlüsselt war, konnte ein Beobachter im Netzwerk sehen, mit welchen Sites du dich verbunden hast. Der Encrypted Client Hello (ECH)-Standard der IETF verschlüsselt dieses letzte Puzzlestück, und er wird 2025–2026 weitreichend eingeführt (Cloudflare hat ihn Ende 2024 standardmäßig aktiviert, Firefox unterstützt ihn stabil, Chrome befindet sich im stufenweisen Rollout).

Für den Datenschutz ist das wirklich gut — dein ISP kann nicht mehr sehen, welche Sites du besuchst, selbst nicht auf TLS-Ebene. Für DNS-basiertes Filtern ändert sich dadurch direkt nichts: Wir arbeiten mit dem DNS-Lookup selbst, nicht mit der TLS-Beobachtung. Aber ECH ist Teil eines breiteren Trends hin zu mehr verschlüsseltem DNS (DoH/DoT/ODoH/Oblivious DNS), bei dem Nutzer die Resolver-Funktion an Dritte delegieren, manchmal ohne es zu merken. Diese Delegation kann an benutzerkonfigurierten Filtertools vorbeirouten.

Was das in der Praxis bedeutet: Der Consumer-Privacy-Stack fragmentiert sich. Apples iCloud Private Relay leitet verschlüsselten Datenverkehr durch Apples eigene Resolver (und umgeht damit den Benutzer-DNS). DoH als Standard in einigen Browsern tut dasselbe. ECH ist gut für den Datenschutz vor passiven Beobachtern, verringert aber die Kontrolle des Nutzers über seinen eigenen Datenverkehr. Caspers Antwort darauf ist, die Sichtbarkeit auf Netzwerkebene, die Nutzer wünschen, genau dort bereitzustellen, wo sie sie tatsächlich wollen (beim eigenen Filtering-Resolver), und die breiteren Verschlüsselungstrends zu integrieren statt gegen sie anzukämpfen.

Wo DNS-basiertes Filtern weiterhin überzeugt

Die Einschränkungen zu benennen bedeutet nicht, dass DNS-Filterung keine gute Wahl ist — es bedeutet nur eine ehrliche Diskussion. Die Fälle, in denen es der sauberste Eingriff bleibt:

• Verhaltens-Tracking durch eingebettete SDKs. Facebook SDK, Mixpanel, Amplitude, Segment, AppsFlyer — alle nutzen dedizierte Tracker-Hostnamen, die DNS-Filterung sauber blockiert. Das ist die größte Kategorie nach Volumen und die, die Nutzer am meisten stoppen wollen. Caspers Tracker-Blocking deckt das direkt ab.
• Werbenetzwerke in allen Apps. DoubleClick, AdMob, die wichtigsten Ingestion-Endpunkte der Werbenetzwerke verwenden alle dedizierte Hostnamen. Das Blockieren bringt Apps in der langen Masse mobiler Anwendungen zum Schweigen, wo Browser-Erweiterungen nicht laufen. Erfahre wie das in der Praxis wirkt.
• Phishing- und Malware-Domains. Echtzeit-Bedrohungsbewertung auf der DNS-Ebene erkennt Zero-Day-Phishing-Domains, bevor sie öffentlichen Blocklisten hinzugefügt werden. Das ist die Ebene, auf der der KI-Klassifikator in Caspers Bedrohungsschutz seinen Wert beweist — ausführlich behandelt in unserem Überblick über drei echte Phishing-Kampagnen.
• App-übergreifende Fingerabdruck-Exfiltration. Selbst wenn iOS App Tracking Transparency die IDFA stoppt, exfiltrieren Apps weiterhin Fingerabdruckdaten — aber sie müssen diese irgendwohin senden. Die DNS-Ebene erkennt die Exfiltration unabhängig davon, welchen Identifier die App verwendet hätte. Lese unsere ausführlichere Analyse darüber, was ATT nicht stoppt.
• OEM- und Betriebssystem-Telemetrie. Samsung Knox Analytics, Xiaomi Cloud, Apples Analytics-Endpunkte, Windows-Telemetrie — alle nutzen dedizierte Hostnamen, die DNS-Filterung blockiert, ohne die funktionalen Teile des Betriebssystems zu beschädigen.
• Schutz in feindlichen Netzwerken (öffentliches WLAN). Der VPN-Tunnel, der den DNS-Datenverkehr transportiert, verschlüsselt auch alles andere, was über das lokale Netzwerk fließt — selbst wenn der DNS-Filterungsvorteil gering ist, ist der Verschlüsselungsvorteil im Café-WLAN real.

Das Zwei-Ebenen-Modell, das wirklich funktioniert

Für Nutzer, die den umfassendsten Schutz möchten, ist das Muster, das am besten funktioniert, zwei sich ergänzende Ebenen:

1. Netzwerkebene (DNS-Filter): Deckt jede App auf dem Gerät ab, blockiert die ~80–90 % des Tracker-/Werbe-/Phishing-Datenverkehrs, der dedizierte Hostnamen verwendet. Casper ist hier angesiedelt.
2. DOM-Ebene (Browser-Inhaltsblocker): uBlock Origin in Chrome / Firefox, die integrierten Brave Shields oder AdGuards Safari-Erweiterung. Erfasst die von Erstanbietern gehosteten Anzeigen auf Instagram, YouTube, X und ähnlichen Seiten, die DNS nicht von legitimen Inhalten unterscheiden kann.

Jede Ebene schließt die Lücken, die die andere nicht schließen kann. Zusammen erreichst du 95 %+ Abdeckung; jede Ebene allein liegt näher an 80 %. Die meisten datenschutzbewussten Nutzer, mit denen wir gesprochen haben, verwenden genau diese Kombination.

Fazit

DNS-basiertes Filtern ist der richtige Eingriffspunkt für den größten Teil der Verbraucher-Datenschutzbedrohungen — eingebettetes SDK-Tracking, Werbenetzwerk-Exfiltration, Phishing-Domain-Auflösung, OEM-Telemetrie. Es ist keine Wunderlösung, und es deckt nicht jeden Fall ab. Die vier oben genannten Einschränkungen sind real, und jeder Anbieter, der sie verschweigt, verkauft entweder schlecht oder verkauft etwas, das er nicht sollte. Kombiniere die Netzwerkebene mit einer Browser-DOM-Ebene für die verbleibenden Fälle, betrachte die Verschlüsselung in feindlichen Netzwerken als separaten Vorteil, der inklusive dabei ist, und du hast das Gros der Bedrohungslage für Verbraucher im Jahr 2026 abgedeckt.