So hindern Sie Ihren Internetanbieter daran, Ihre besuchten Seiten zu sehen

Ihr Internetanbieter weiß, welche Websites Sie besuchen. Nicht den genauen Inhalt der Seiten (wenn die Website HTTPS verwendet), aber die Domainnamen: Er weiß, dass Sie eine bestimmte Gesundheitsseite besucht haben, ein bestimmtes Forum, einen bestimmten Streamingdienst, zu welcher Uhrzeit und wie lange. Diese Informationen laufen über seine DNS-Server und über die Metadaten Ihrer Verbindungen. In den meisten Ländern sind ISPs sogar gesetzlich verpflichtet, diese Daten für einen festgelegten Zeitraum aufzubewahren. In Deutschland regelt das Telekommunikationsgesetz die Vorratsdatenspeicherung, auch wenn deren Umsetzung seit Jahren umstritten und teilweise ausgesetzt ist.

Das ist keine Paranoia, sondern die normale Funktionsweise des Netzwerks. Wenn Sie eine Adresse in Ihren Browser eingeben, sendet Ihr Gerät eine DNS-Anfrage an den Server Ihres Anbieters, um den Domainnamen in eine IP-Adresse zu übersetzen. Diese Anfrage wird im Klartext gesendet, ohne Verschlüsselung, und Ihr Anbieter protokolliert sie. Selbst wenn der Seiteninhalt über HTTPS verschlüsselt ist, sieht der Anbieter den Namen der angeforderten Website. Das ist wie ein Brief in einem blickdichten Umschlag: Der Postbote kann den Inhalt nicht lesen, aber er sieht die Empfängeradresse.

Was Ihr Anbieter genau sieht

Um sich richtig zu schützen, muss man zunächst verstehen, was der Anbieter sehen kann und was nicht:

Was er sieht: die Domainnamen, die Sie besuchen (über DNS-Anfragen), die IP-Adressen der Server, mit denen Sie sich verbinden, die Zeitstempel jeder Verbindung, das ausgetauschte Datenvolumen, und in manchen Fällen das SNI (Server Name Indication), ein unverschlüsseltes Feld im TLS-Handshake, das den Seitennamen verrät, selbst ohne über seine DNS zu gehen.

Was er nicht sieht (wenn die Website HTTPS verwendet): den Inhalt der Seiten, die eingegebenen Zugangsdaten, die gesendeten Nachrichten, die heruntergeladenen Dateien. HTTPS verschlüsselt den Inhalt, aber nicht die Verbindungsmetadaten.

Der Unterschied ist wichtig. Zu wissen, dass Sie um 3 Uhr morgens eine medizinische Beratungsseite besucht haben, ist bereits eine sensible Information, auch wenn der Anbieter nicht weiß, welche genaue Seite Sie aufgerufen haben.

DNS-Server wechseln: der erste Schritt

Die einfachste und schnellste Methode, Ihren Anbieter daran zu hindern, Ihre DNS-Anfragen zu sehen, ist, seine DNS-Server nicht mehr zu verwenden. Standardmäßig nutzt Ihr Gerät die DNS Ihres Anbieters. Bei jedem Seitenaufruf geht die Anfrage über deren Server, und sie wird protokolliert.

Durch den Wechsel des DNS-Servers senden Sie Ihre Anfragen an einen Dritten (Cloudflare, Google, Quad9) statt an Ihren Anbieter. Aber Vorsicht: Wenn Sie den DNS-Server einfach wechseln, ohne Verschlüsselung zu aktivieren, laufen Ihre Anfragen weiterhin im Klartext über das Netzwerk. Ihr Anbieter verarbeitet sie nicht mehr, kann sie aber im Transit noch abfangen.

Damit der Wechsel wirklich wirksam ist, müssen Sie verschlüsseltes DNS verwenden. Zwei Protokolle existieren:

DNS over TLS (DoT) verschlüsselt DNS-Anfragen über das TLS-Protokoll auf Port 853. Dies ist das Protokoll, das die Funktion "Privates DNS" ab Android 9 nutzt. Sie geben einen Hostnamen wie one.one.one.one (Cloudflare) oder dns.google ein und alle Anfragen werden verschlüsselt. Ihr Anbieter sieht, dass Sie mit einem externen DNS-Server auf Port 853 kommunizieren, kann aber den Inhalt der Anfragen nicht mehr lesen.

DNS over HTTPS (DoH) verschlüsselt DNS-Anfragen über HTTPS auf Port 443, demselben Port wie normaler Webverkehr. Der Vorteil: DNS-Anfragen sind von normalem Webverkehr nicht zu unterscheiden. Der Anbieter kann nicht einmal erkennen, dass Sie separate DNS-Anfragen stellen. Firefox, Chrome, Edge und Brave unterstützen DoH in ihren Einstellungen.

Die wichtigsten verschlüsselten DNS-Server:

Das SNI-Problem: DNS allein reicht nicht immer

Selbst mit verschlüsseltem DNS kann Ihr Anbieter in manchen Fällen noch sehen, welche Websites Sie besuchen. Wenn Ihr Browser sich mit einem HTTPS-Server verbindet, sendet er den Seitennamen im Klartext in einem Feld namens SNI (Server Name Indication) während des TLS-Handshakes. Dieses Feld teilt dem Server mit, welches SSL-Zertifikat er vorlegen soll, wenn er mehrere Websites unter derselben IP-Adresse hostet.

Ein Anbieter, der die Metadaten Ihrer Verbindungen inspiziert, kann dieses SNI-Feld lesen und den Seitennamen sehen, selbst wenn Sie verschlüsseltes DNS verwenden. Dies ist eine bekannte Schwachstelle, und die Lösung heißt ECH (Encrypted Client Hello), früher bekannt als ESNI. ECH verschlüsselt das SNI-Feld, sodass es für den Anbieter unmöglich wird, den Seitennamen während des TLS-Handshakes zu sehen.

Die Einführung von ECH schreitet voran. Cloudflare aktiviert es auf seinen Servern, Firefox unterstützt es in Kombination mit DoH, und Chrome arbeitet daran. Aber ECH funktioniert nur, wenn der Server der besuchten Website es seinerseits aktiviert hat. Stand 2026 wächst die Abdeckung, ist aber noch nicht universell.

VPN verwenden: die umfassendste Lösung

Ein VPN (Virtual Private Network) erstellt einen verschlüsselten Tunnel zwischen Ihrem Gerät und einem Server des VPN-Anbieters. Ihr gesamter Internetverkehr läuft durch diesen Tunnel, einschließlich DNS-Anfragen, Verbindungsmetadaten und Inhalte. Ihr Internetanbieter sieht nur noch eines: dass Sie mit einem VPN-Server verbunden sind. Er weiß nicht, welche Websites Sie besuchen, welche Inhalte Sie abrufen oder welche Dienste Sie nutzen.

Dies ist die effektivste Lösung, um Ihre Aktivitäten vor Ihrem Anbieter zu verbergen, hat aber wichtige Auswirkungen:

Sie verlagern das Vertrauen, Sie beseitigen es nicht. Ihr Anbieter sieht Ihren Verkehr nicht mehr, aber Ihr VPN-Anbieter sieht ihn. Sie ersetzen eine überwachende Instanz durch eine andere. Die Wahl des VPN ist daher entscheidend. Bevorzugen Sie Anbieter, deren No-Logs-Richtlinien von unabhängigen Firmen geprüft wurden (Mullvad, IVPN, ProtonVPN haben alle Audits veröffentlicht). Vermeiden Sie kostenlose VPNs: Wenn sie nichts kosten, sind Sie das Produkt.

Auswirkungen auf die Leistung. Ein VPN fügt einen Vermittler zwischen Sie und die Server ein, die Sie besuchen. Die Latenz steigt (typischerweise um 10 bis 30 ms je nach Entfernung des VPN-Servers), und der Durchsatz kann sinken, besonders wenn der VPN-Server überlastet oder geografisch weit entfernt ist. Beim normalen Surfen ist das selten spürbar. Beim Online-Gaming oder bei Videokonferenzen kann es sich bemerkbar machen.

VPN-Protokolle. WireGuard ist das modernste und schnellste Protokoll mit minimaler Codebasis und hervorragender Leistung. OpenVPN ist älter, aber bewährt und weit verbreitet. Vermeiden Sie PPTP, das veraltet und unsicher ist. Die meisten modernen VPN-Anbieter nutzen standardmäßig WireGuard.

Kill Switch. Prüfen Sie, ob Ihr VPN-Client einen Kill Switch hat. Diese Funktion unterbricht automatisch Ihre Internetverbindung, wenn das VPN sich trennt, und verhindert, dass Ihr Verkehr kurzzeitig ungeschützt ist. Ohne Kill Switch kann ein kurzer VPN-Abbruch (WLAN-Wechsel, Verlust des Mobilfunksignals) Ihre Aktivitäten Ihrem Anbieter offenbaren.

Tor: maximale Anonymität, mit Kompromissen

Tor (The Onion Router) leitet Ihren Verkehr über drei aufeinanderfolgende Relais, von denen jedes eine zusätzliche Verschlüsselungsschicht hinzufügt. Das erste Relais sieht Ihre IP-Adresse, aber nicht Ihr Ziel. Das letzte Relais sieht das Ziel, aber nicht Ihre IP-Adresse. Kein einzelnes Relais sieht beide Informationen gleichzeitig. Ihr Anbieter sieht nur, dass Sie mit dem Tor-Netzwerk verbunden sind, ohne zu wissen, was Sie dort tun.

Tor bietet ein höheres Maß an Anonymität als ein VPN, aber mit erheblichen Kompromissen:

Langsamkeit. Der dreifache Sprung über ehrenamtliche Relais macht das Surfen deutlich langsamer als mit einem VPN. Video-Streaming ist praktisch nicht nutzbar, und selbst grundlegendes Surfen kann mühsam sein.

Verdacht. Allein die Verbindung mit Tor kann in bestimmten Kontexten Aufmerksamkeit erregen. Manche Anbieter oder Unternehmensnetzwerke blockieren Tor-Verbindungen, und in einigen Ländern wird die Nutzung von Tor genau überwacht. Es gibt Tor-"Bridges", um diese Sperren zu umgehen, aber ihre Konfiguration ist technisch anspruchsvoller.

Mögliche Lecks. Wenn Sie Tor zum Surfen auf normalen Websites nutzen (nicht auf .onion-Seiten), kann das Ausgangsrelais Ihren unverschlüsselten Verkehr sehen. Stellen Sie sicher, dass Sie bei der Nutzung von Tor nur HTTPS-Seiten besuchen. Der Tor-Browser enthält Standardschutzmaßnahmen, aber eine fehlerhafte Konfiguration oder die Installation von Erweiterungen kann Ihre Anonymität gefährden.

HTTPS überall: notwendig, aber nicht ausreichend

HTTPS verschlüsselt den Inhalt des Austauschs zwischen Ihrem Browser und dem Server der besuchten Website. Ohne HTTPS kann Ihr Anbieter (und jeder im Netzwerk) alles sehen, was Sie auf der Website tun: besuchte Seiten, ausgefüllte Formulare, heruntergeladene Dateien. Mit HTTPS sieht der Anbieter nur den Domainnamen (über DNS oder SNI), nicht den Inhalt.

2026 nutzen über 95 % der in Chrome geladenen Seiten HTTPS. Moderne Browser zeigen eine Warnung an, wenn eine Website kein HTTPS verwendet. Wenn Sie noch HTTP-Seiten begegnen, vermeiden Sie es, dort persönliche Daten einzugeben.

HTTPS ist eine unverzichtbare Basisschicht, verbirgt aber keine Metadaten vor Ihrem Anbieter. Es versteckt weder den Namen der besuchten Website, noch die Häufigkeit Ihrer Besuche, noch das ausgetauschte Datenvolumen. Für diese Metadaten müssen Sie HTTPS mit verschlüsseltem DNS oder einem VPN kombinieren.

Schutzmaßnahmen kombinieren

Keine einzelne Methode deckt alle Winkel ab. Hier die Kombinationen nach Schutzniveau:

Grundschutz: Verschlüsseltes DNS (DoH oder DoT) + HTTPS. Ihr Anbieter sieht Ihre DNS-Anfragen nicht mehr. Er kann noch die IP-Adressen der Server sehen, mit denen Sie sich verbinden, und potenziell das SNI, aber er kann den Inhalt nicht lesen. Dies ist die empfohlene Mindestkonfiguration für jeden, und sie kostet nichts.

Mittlerer Schutz: Vertrauenswürdiges VPN + DNS des VPN. Ihr gesamter Verkehr ist verschlüsselt und läuft über den VPN-Server. Ihr Anbieter sieht nur die Verbindung zum VPN. Der VPN-Anbieter wird zum Vertrauensglied. Dies ist die praktischste Wahl für den täglichen Gebrauch mit einer guten Balance zwischen Datenschutz und Leistung.

Maximaler Schutz: Tor + verschlüsseltes DNS + HTTPS. Das dreifache Relais von Tor verbirgt sowohl Ihre Identität als auch Ihr Ziel. Die Langsamkeit macht diese Konfiguration für den täglichen Gebrauch ungeeignet, aber sie ist relevant für sensible Recherchen oder Kontexte, in denen Anonymität entscheidend ist.

Was diese Methoden nicht schützen

Ihren Verkehr vor dem Anbieter zu verbergen, macht Sie nicht unsichtbar im Netz. Die Websites, die Sie besuchen, identifizieren Sie auf anderem Wege: Cookies, Browser-Fingerprinting, eingeloggte Konten (wenn Sie bei Google eingeloggt sind und eine Website besuchen, die Google Analytics nutzt, weiß Google, dass Sie es sind). Soziale Netzwerke und Werbenetzwerke verfolgen Sie über Websites hinweg mittels Trackern und Zählpixeln.

Um sich gegen Werbe-Tracking zu schützen, müssen Sie die Verkehrsverschlüsselung mit einem Tracker-Blocker kombinieren (uBlock Origin im Browser oder ein filtender DNS wie NextDNS oder AdGuard DNS) und gute Gewohnheiten pflegen: für sensible Suchen im privaten Modus surfen, Tab-Container verwenden (Firefox Multi-Account Containers), installierte Erweiterungen begrenzen und sich von Konten abmelden, wenn sie nicht benötigt werden.

Ihr Anbieter sieht standardmäßig jeden Domainnamen, den Sie aufrufen. Verschlüsseltes DNS (DoH oder DoT) ist der erste Schritt, kostenlos und einfach, um diese Sichtbarkeit zu unterbinden. Ein VPN geht weiter und verbirgt Ihren gesamten Verkehr. Aber welche Methode Sie auch wählen, bedenken Sie: Sie verlagern das Vertrauen, Sie beseitigen es nicht – vom Anbieter zum DNS-Provider oder vom Anbieter zum VPN-Provider. Wählen Sie Ihre Vermittler mit Bedacht.