Mit der Verschlüsselung von DNS-Abfragen bietet Firefox eine interessante Option zum Schutz der Privatsphäre. Für eine zuverlässige Nutzung von DNS over HTTPS muss man jedoch einige zusätzliche Einstellungen vornehmen.

Das Domain Name System (DNS) ist einer der wichtigsten Dienste im Internet. Es fungiert quasi als Telefonbuch, indem es Nutzeranfragen wie www.zdnet.de in eine IP-Adresse übersetzt. Nur damit kommt die Verbindung zum gewünschten Server zustande. Ohne DNS müssten Nutzer zum Verbindungsaufbau im Browser die IP-Adresse des jeweiligen Servers eingeben.

Allerdings verraten unverschlüsselte DNS-Abfragen sehr viel über die Nutzer. Es ist sehr einfach, ein Bild von einer Person zu gewinnen, wenn man weiß, welche Server im Internet sie oder er besucht. Eine unverschlüsselte Abfrage zu einem DNS-Server sorgt dafür, dass der DNS-Server als ständiger Begleiter sehr gut über unsere Online-Aktivitäten informiert ist. Zumal dann, wenn, wie in den meisten Fällen, diese Abfragen auch noch protokolliert werden. Über diese „Kraft der Metadaten“ stolperte selbst Ex-CIA-Direktor Patraeus, dessen außereheliche Affäre durch die Analyse von Metadaten öffentlich wurde. Das kostete Patreus seinen Job.

Außerdem stellen unverschlüsselte DNS-Abfragen einen Angriffsvektor für sogenannten Man-in-the-Middle-Attacken dar. Bei einem solchen Angriff täuscht der Angreifer vor, dass seine Pakete von einem Rechner kommen, dem das angegriffene Ziel vertraut. Es gibt also gute Gründe, DNS-Abfragen zu verschlüsseln.

Firefox: DNS über HTTPS (DoH)

Seit einiger Zeit bietet Firefox Unterstützung für DNS-Abfragen über das HTTPS-Protokoll. Durch DNS-over-HTTPS (DoH) werden DNS-Anfragen verschlüsselt. Das schützt vor DNS-Hijacking und Spoofing, garantiert die Vertraulichkeit von DNS-Servern und unterbindet im Wesentlichen die Möglichkeit, Informationen an Dritte weiterzugeben. Alle diese Vorteile sind möglich, da die Auflösung von Domainnamen nicht die öffentliche DNS-Infrastruktur zur Auflösung einer Domain nutzt, sonder stattdessen eine direkte Verbindung zwischen einem Endbenutzer und der Schnittstelle eines Webservers bereitstellt.

Dadurch haben Clients eine größere Kontrolle über ihre DNS-Abfragen. DoH garantiert, dass einem Client genaue IP-Adressinformationen zur Verfügung gestellt werden, wodurch Dritte keine Möglichkeit haben, zu sehen, auf welche Websites ein Benutzer zugreifen möchte.

Für die Bereitstellung eines mit DoH-DNS-Servers arbeitet Mozilla mit dem amerikanischen Unternehmen Cloudflare zusammen. Daran entzündet sich jedoch Kritik. Datenschutz-Experten sehen in der Zusammenarbeit das Potenzial, die Privatsphäre der Nutzer zu untergraben. Im Wesentlichen wird Firefox Domainnamen über die DNS-Server von Cloudflare auflösen. Dies wird es Cloudflare nicht nur ermöglichen, die DNS-Anfragen aller zu lesen, ein Sicherheitsproblem an sich, sondern auch dazu beitragen, das Internet noch zentraler zu machen, als es bereits ist.

Freie DNS-Server mit DoH-Support

Allerdings kann man mit Firefox auch freie DoH-DNS-Server nutzen. Eine Liste findet sich etwa auf der Webseite des IT-Sicherheitsspezialisten Mike Kuketz oder beim von Datenschutz-Aktivisten betriebenen Portal Privacy-Handbuch.

Will man unter Firefox nicht den voreingestellten DNS-Server nutzen, kann man sich also aus den öffentlich zur Verfügung stehenden DNS-Servern mit DoH-Support bedienen. Für den Test verwendet ZDNet.de den von dem Niederländer Rick Lahaye betriebenen DNS-Server SecureDNS.eu, der nicht nur DNS-over-HTTPS, sondern auch DNS-over-TLS und DNSCrypt unterstützt. Wer beispielsweise ein Android-9-Smartphone nutzt, kann für die Verschlüsselung von DNS-Abfragen DNS-over-TLS verwenden.

Unter Firefox – Einstellungen – Verbindunsgeinstellungen trägt man als DoH-Server https://doh.securedns.eu/dns-query oder https://ads-doh.securedns.eu/dns-query ein. Letzterer unterbindet die Verbindung zu bekannten Werbenetzwerken, sodass er auch als Adblocker funktioniert. Das reicht jedoch noch nicht.

Wie man unter about:networking sehen kann, kommt es nicht immer zu einem Verbindungsaufbau über die von Mozilla genutzte Technik Trusted Recursive Resolver (TRR) zum verschlüsselten DNS-Server. Offenbar traut der Firefox-Hersteller noch nicht zu 100 Prozent dem DoH-Technik und ermöglicht verschiedene Abstufungen:

Standardmäßig steht der TRR/DoH-Modus auf 2. Damit nutzt Firefox als Backup auch den im System vorhandenen DNS-Dienst, der in den IP-Einstellungen festgelegt ist. Im obigen about:networking-Screenshot kann man erkennen, dass manchmal der DNS-Server mit DoH-Support genutzt wird und manchmal nicht. Erst die TRR-Einstellung 3, die man über about:config und network.trr.mode eingeben kann, sorgt dafür, dass der angegebene DoH-DNS-Server immer genutzt wird. Damit das funktioniert, muss man unter network.trr-bootstrapAddress noch die IP-Adresse des DNS-Servers mit DoH-Support (146.185.167.43) eingetragen werden.

Firefox DNS over HTTPS (DoH): Fazit

Mit dem Support von DNS over HTTPS (DoH) schützt Firefox die Privatsphäre seiner Nutzer beim Surfen im Internet auch dann, wenn das Betriebssystem keinen standardmäßigen Support für eine verschlüsselte DNS-Abfrage bietet. Weder Windows, macOS oder Linux erlauben derzeit standardmäßig die Verschlüsselung von DNS-Abfragen. Nur Android 9 beherrscht dies mit Support für DNS over TLS (DoT). Egal welche der Techniken zur Verschlüsselung von DNS-Abfragen sich durchsetzen: alle sind besser als gar keine Verschlüsselung. Wünschenswert wäre allerdings eine systemweite Unterstützung für eine verschlüsselte DNS-Abfrage: Dann könnten auch alle anderen genutzten Anwendungen wie Outlook einen unverschlüsselten DNS-Dienst nutzen.

FritzOS 7.10 bietet laut AVM über 50 neue Funktionen und Verbesserungen. Sie betreffen die Bereiche Internet, WLAN, Mesh, Telefonie und Smart Home.

AVM liefert FritzOS 7.10 für die Fritzbox-Modelle 7590, 7580 und den Fritz-Repeater 1750E aus. Laut Hersteller bietet die neue Version über 50 Neuerungen und Verbesserungen in den Bereichen Internet, WLAN, Mesh, Telefonie und Smart Home.

FritzOS 7.10 erhöht die WLAN-Mesh-Performance

Zusätzlich zu den bekannten Technologien wie Band Steering kann das Mesh-System von FritzOS die WLAN-Geräte nun aktiv zwischen Fritzbox, Fritz-Repeater und Fritz-Powerline-Produkten steuern. Mit Access Point- und WLAN Mesh-Steering ist laut AVM sichergestellt, dass WLAN-Geräte wie Smartphones, die die Standards 11v/k unterstützen, überall stabil und mit hohem Datendurchsatz verbunden sind. Anwender können die Mesh-Funktionen für mehr Reichweite ganz einfach bei ihren vorhandenen Fritz-Produkten aktivieren. Per Knopfdruck werden Repeater und Powerline-Produkte in das Mesh-System von FritzOS eingebunden. Die neue Version bietet außerdem mehr Transparenz im Mesh. In der Detailübersicht jedes einzelnen Netzwerkgeräts wird die Verbindungsrate und -qualität nun grafisch dargestellt. Auf der Mesh-Übersichtsseite der FritzBox erhalten Anwender einen Hinweis darauf, welche Repeater- und Powerline-Geräte noch für das Mesh zu aktivieren sind.

Neue Mesh-Funktionen für Smart Home und Telefonie

Alle Fritzbox-Modelle im Mesh verfügen ab FritzOS 7.10 über ein gemeinsames Telefonbuch, auf das die Anwender zentral zugreifen können. Auch beim Smart-Home-Mesh bringt das Update mehr Komfort. Der Taster Fritz-Dect 400 kann mit dem Update an jeder Fritz-Box im Mesh genutzt werden, ebenso die Smart-Home-Vorlagen. So sind Schaltaktionen wie „Alles an“ im ganzen Heimnetz möglich. Zudem erlaubt der Taster nun das Auslösen einer zweiten Schaltaktion bei langem Tastendruck.

MyFritz: Informationen über das Heimnetz

Wurde beim Einrichten der Fritzbox eine E-Mail-Adresse für den MyFritz-Dienst angegeben, so sendet die Fritzbox mit der neuen Fritz-OS-Version wichtige Informationen automatisch an diese Adresse. Anwender erhalten Angaben wie beispielsweise die Verfügbarkeit neuer Versionen oder die Anmeldung an der Fritzbox-Benutzeroberfläche von außerhalb des Heimnetzes und auf Wunsch sogar Hilfe bei vergessenem Fritzbox-Kennwort.

Neues für FRITZ!Fon und den WLAN-Gastzugang

FritzOS 7.10 erleichtert Gästen die Anmeldung am Hotspot ihres Gastgebers, indem es im Display des Fritz-Fons über einen QR-Code zum schnellen Anmelden im WLAN die Zugansgdaten anzeigt oder das Auslösen von WPS ermöglicht. Am Fritz-Fon abgespielte Musiktitel aus dem Mediaplayer lassen sich ab sofort schnell vor- respektive zurückspulen und Rufnummern können mit der neuen Version direkt über das Fritz-Fon gesperrt werden. Smart-Home-Geräte wie die intelligente Steckdose Fritz-Dect 200 können auf dem Fritz-Fon nun als Favorit angelegt werden, sodass sie sich über das Telefon schnell schalten lassen.

Erweiterte VPN-Funktionen und mehr Informationen bei DSL

FritzOS 7.10 verbessert außerdem die VPN-Funktionen (Virtual Private Network). So lassen sich VPN-Verbindungen nun individuell benennen. Außerdem bietet die Funktion „Full Tunneling“ die Möglichekeit, den gesamten Netzwerkverkehr über die VPN-Verbindung der Gegenstelle laufen zu lassen. Mit FritzOS 7.10 ist nun auch am DS-Lite-Anschluss (IPv6-Adresse nach extern, IPv4 nur intern) möglich, eine VPN-Verbindung von der Fritzbox zu einer anderen Fritzbox herzustellen, die über IPv4 erreichbar ist. Anwender der Modelle für VDSL erhalten ab 7.10 die Möglichkeit, die Verbindungsstabilität zu verbessern. Zudem wird auf der DSL-Übersichtsseite nun die Leitungslänge zwischen Fritzbox und Vermittlungsstelle (DSLAM) angezeigt.

Update

FritzOS 7.19 kann über die die Benutzeroberfläche der Fritzox auf den entsprechenden Geräten aktualisiert werden. Zusätzlich empfiehlt AVM allen Nutzern, in der Mesh-Übersicht der Fritzbox (fritz.box/Heimnetz/Mesh) zu prüfen, ob Updates für weitere Fritz-Geräte wie Repeater oder Powerline-Produkte vorhanden sind. In der Mesh-Übersicht werden alle Produkte grafisch dargestellt. Ist ein Update verfügbar, wird es direkt unter dem Bild des jeweiligen Produktes angezeigt. Mit einem Klick darauf, wird das Update installiert.

Edge auf Basis von Chromium steht als Entwickler und Canary-Version für Windows zur Verfügung. Ein Beta-Variante soll in Kürze erscheinen. Microsoft ersetzt oder deaktiviert über 50 Chromium-Dienste.

Als Microsoft Ende letzten Jahres bekanntgab, dass es zukünftig seinen Edge-Browser auf Basis auf Chromium entwickeln wird, fragten sich viele, wie unterschiedlich der neue Edge im Vergleich zu Chrome und anderen Chromium-basierten Browsern sein würde.

Nun hat Microsoft seine ersten Preview-Builds des neuen Chromium-basierten Edge veröffentlicht. Oberflächlich betrachtet sieht Edge auf Basis von Chromium ähnlich wie Chrome selbst aus. Das sollte auch nicht weiter verwundern. Allerdings hat sich am Unterbau einiges geändert. Dank des von @h0x0d (The WalkingCat on Twitter) veröffentlichten Folie, die Microsoft heute bei der Entwicklerkonferenz BlinkOn präsentieren will, sind nun einige Details bekannt, wie sich Edge von Chrome unterscheidet.

Microsoft ersetzt oder deaktiviert mehr als 50 Chromium-Dienste in Edge. Einige davon sind selbstverständlich, wie die Google-spezifischen Dienste wie Google Now, Google Pay, Google Cloud Messaging, Chrome OS Gerätemanagement und Chrome Cleanup. Andere sind etwas überraschender respektive interessanter wie Anzeigenblockierung, Rechtschreibprüfung, Spracheingabe und Android App Passwortsynchronisierung.

„Unsere Benutzer erwarten, dass Edge nur mit Microsoft-Diensten kommuniziert“, erklärt Edge-Entwickler Fortini. In diesem Zusammenhang stellt Microsoft sicher, dass der neue Edge MSA (Microsoft Accounts) und Azure Active Directory Identitäten für Authentifizierung / Single Sign-In unterstützt.

Dafür integriert Microsoft zahlreiche eigene Dienste wie der Hersteller in einem Blog-Beitrag zur Veröffentlichung von Edge auf Basis von Chromium mitgeteilt hat. Unter ihnen sind Bing Search, das standardmäßig für die eingebaute Such- und Adressleiste aktiviert ist, Windows Defender SmartScreen für Phishing und Malwareschut, Microsoft Activity Feed Service für die Synchronisierung von Daten über Edge-Vorschau-Builds und über Edge auf iOS sowie Android und Microsoft News.

Auf der heute in Kanada beginnenden Entwicklerkonferenz BlinkOn wird Edge-Entwickler Fortini auf einige Schwerpunkte bei der Entwicklung von Edge hinweisen. Dazu zählen etwa Barrierefreiheit, ARM64-Unterstützung und mehr. Bislang habe Microsoft 300 Vorschläge zu Chromium beigetragen und täglich etwa 450 Änderungen von Upstream-Chromium bei der Entwicklung des neuen Edge zusammengeführt. Der Fokus liegt dabei auf den Bereichen PDF, Akkulaufzeit, reibungslosem Scrollen, Bearbeiten, Layout, Entwicklungstools und Web-Authentifizierung.

„PDF ist ein Bereich, in dem der bestehende Edge für seine Zugänglichkeit, sein reibungsloses Scrollen und einige seiner Funktionen gelobt wurde“, bemerkt Fortini in seinen Foliennotizen. „Obwohl wir beschlossen haben, unsere PDF-Unterstützung auf Chromium und PDFium aufzubauen, möchten wir bei diesen Dingen wieder auf Gleichstand mit früheren Versionen von Edge kommen.“

Auf der Liste von zukünftigen Edge-Funktionen führt Fortini PlayReady DRM-Unterstützung, Serviceintegration und Single Sign-On auf. Edge unterstützt sowohl PlayReady als auch Widewine und ist damit der einzigen Browser auf Basis von Chrome, der diese Features bietet. PlayReady ist für das 4K-Streaming von DRM-geschützten Inhalten wie Netflix, Hardware-Entschlüsselung / -Dekodierung und Software-Entschlüsselung im geschützten Prozess nötig.

Für Administratoren kann es eine echte Mammutaufgabe sein, tausende Rechner auf einen neuen Stand zu bringen. Für die Berliner Verwaltung gestaltet sich diese Aufgabe jetzt offenbar als nahezu unmöglich. Laut Beschluss sollten bis November 78.000 Rechner ein Update von Windows 7 auf Windows 10 erhalten, bisher sind 2,6 Prozent der Updates erfolgt. Schon bei der Windows-XP-Umstellung war Berlin an der fristgerechten Umsetzung gescheitert.

Auch IT-Großprojekte klappen in Berlin nicht reibungslos

Dass sich Stadtverwaltungen und sogar die Bundesregierungen mit Aufbau, Betrieb und Pflege von IT-Systemen manchmal schwertun, ist keine Neuigkeit. In Berlin scheint sich jetzt aber innerhalb von wenigen Jahren schon zum zweiten Mal ein echtes Chaos bei der Umstellung von Behördenrechnern anzubahnen. Wie der Tagesspiegel berichtet, zeigt die Antwort der zuständigen Staatssekretärin Sabine Smentek (SPD) auf Anfrage des FDP-Politikers Bernd Schlömer, dass die System-Umstellungen in den Behörden der Hauptstadt wohl auf keinen Fall noch wie geplant zu schaffen sind.

Smentek hatte bereits im Mai 2017 den 30. November 2019 als Stichtag festgelegt, ab dem keine Behördenrechner mit Windows 7 mehr betrieben werden dürfen. Laut Tagesspiegel fanden sich in einer „unvollständigen Auflistung vom März“ knapp 78.000 Rechner, die ein Update von Windows 7 auf Windows 10 benötigen. Stand heute seien in den Verwaltungsbehörden genau 2022 Rechner mit dem entsprechenden Update versorgt worden – ein Anteil von 2,6 Prozent. Wie die Tageszeitung vorrechnet: Damit müssten in acht Monaten knapp 75.000 Rechner ein Update erhalten, das entspricht 312 Rechnern pro Arbeitstag.

FDP sieht unvermeidliches Chaos

Trotz dieser scheinbar erdrückenden Sachlage zeigt sich die Staatssekretärin weiter zuversichtlich, dass die selbst gesteckten Ziele trotzdem eingehalten werden können. „Es wird derzeit nicht davon ausgegangen, dass Aufwendungen für eine Support-Verlängerung entstehen, da alle Behörden im Land Berlin an einer fristgerechten Umsetzung bis zum 30.11.2019 arbeiten“, so Smentek laut Tagesspiegel. FDP-Politiker Schlömer sieht dies klar anders: „Es ist nicht umsetzbar, diese Frist einzuhalten.“

Wie der Tagesspiegel ergänzt, war Berlin schon im Jahr 2015 an der fristgerechten Umstellung von zehntausenden Windows-XP-Rechnern gescheitert – und hatte auf Rat der damaligen Datenschutzbeauftragten viele Systeme vom Netz genommen. Aktuell sind demnach noch 26 Rechner in Berliner Behörden in Betrieb, die mit Windows XP und ohne Anschluss an das Landesnetz laufen.

Die Huawei-Tochter Honor wird in Kürze mit dem Honor 20 Lite ein neues Mittelklasse-Smartphone vorstellen, das mit überraschend viel Speicher aufwartet und beim Preis wohl ein ganzes Stück unter dem fast identischen Huawei P30 Lite liegen wird. Ein Highlight soll hier die Triple-Cam auf der Rückseite sein, für die Honor mit dem Spruch „Triple Your Style“ wirbt.

Das Honor 20 Lite ist mit einem 6,21 Zoll großen LCD ausgerüstet, das mit einem kleinen Ausschnitt für die Frontkamera daherkommt, in dem Honor eine 32-Megapixel-Kamera unterbringt, die immerhin eine f/2.0-Blende bietet. Das Panel selbst löst mit 2340 x 1080 Pixeln recht ordentlich auf und erreicht damit eine Pixeldichte von 415 ppi. Am unteren Rand gibt es noch immer ein schmales Kinn.

Unter der Haube steckt der seit dem letzten Jahr immer wieder von Huawei bzw. Honor verbaute HiSilicon Kirin 710 Octacore-SoC, der in einer Strukturbreite von 14 Nanometern gefertigt wird. Die vier High-End-Kerne arbeiten mit maximal 2,2 Gigahertz, während die anderen vier Stromsparkerne mit 1,7 GHz takten. Der Chip wird im Honor 20 Lite mit vier Gigabyte Arbeitsspeicher und 128 GB internem Flash-Speicher kombiniert – die man per MicroSD-Kartenslot erweitern kann.

Auf der Rückseite des Honor 20 Lite sitzt eine Kombination aus drei Kameras, wobei der Hauptsensor hier immerhin eine 24-Megapixel-Kamera mit f/1.8-Blende bietet. Die zweite Kamera nutzt einen 8-Megapixel-Sensor und hat eine 120-Grad-Ultraweitwinkel-Optik. Der dritte Sensor löst mit nur mageren zwei Megapixeln auf und dient ausschließlich zur Erfassung von Tiefeninformationen. Wie üblich lässt Honor auch hier wieder allerhand KI-Software die Bilder optimieren.

Darüber hinaus gehören Dual-Band-WLAN nach dem ac-Standard, Bluetooth 4.2 und ein Kopfhöreranschluss zum Lieferumfang. Netterweise verbaut Honor beim Honor 20 Lite gleich drei Kartensteckplätze, so dass man hier sowohl zwei NanoSIM- und eine zusätzliche Speicherkarte verwenden kann. Der Akku des Honor 20 Lite ist 3400mAh groß und wird leider noch über einen MicroUSB-Port geladen. Das Gerät ist 7,95 Millimeter dick und bringt 164 Gramm auf die Waage. Natürlich wird Android 9.0 „Pie“ als Betriebssystem verwendet – in Kombination mit der Huawei-eigenen EMUI-Oberfläche.

Wann und zu welchem Preis das Honor 20 Lite auf den Markt kommt, ist derzeit noch offen. Da das Gerät im Grunde dem in Russland bereits erhältlichen Honor 10i entspricht, wird der Preis wohl bei knapp 280 Euro liegen.