Das "Domain Name System" (DNS) gibt zu einem Domainnamen (z. B. "windowspage.de") die entsprechende IP-Adresse (z. B. 127.0.0.1) zurück. Zum Schutz vor Manipulationen sollten DNS-Abfragen zwischen Client und DNS-Dienst (Server) verschlüsselt erfolgen. Hierfür stehen folgende Technologien / Möglichkeiten bereit:

• DNS over TLS (DoT)
• DNS over QUIC (DoQ)
• DNS over HTTPS (DoH)

Das DDR-Protokoll (Discovery of Designated Resolvers) soll den Vorgang und die Auswahl der Verschlüsselung vereinfachen. Dabei werden folgende Schritte durchlaufen:

1. Der Client baut eine unverschlüsselte Verbindung zum DNS-Dienst auf und fragt ein speziellen Eintrag (SVCB) ab.
2. Der Client öffnet die im Eintrag angegebene sichere Verbindung zum DNS-Dienst.
3. Der Client überprüft die Echtheit des DNS-Dienstes (DNS-Server) anhand eines Zertifikats.
4. Nun wird die eigentliche Namensauflösung (IP-Adresse zum Domainnamen) durchgeführt.

Ein Benutzer mit administrativen Rechten kann DDR mit dem Befehl "netsh dns add global doh=yes ddr=yes" für alle DNS-Abfragen aktivieren. Anstelle der globalen Einstellung kann DDR auch nur für eine spezielle Verbindung (Netzwerkadapter) aktiviert werden. Eine Richtlinie in der Registrierung aktiviert für alle DNS-Abfragen das DDR-Protokoll.

Hinweis: Nicht alle DNS-Dienste unterstützen die DDR-Funktion bzw. das DDR-Protokoll. Folgende DNS-Dienste haben die DDR-Unterstützung implementiert (Stand Mitte 2023):

• Cloudflare (1.1.1.1)
• OpenDNS (146.112.41.2)
• Quad9 (149.112.112.112)

So geht's:

• Starten Sie "%windir%\regedit.exe" bzw. "%windir%\regedt32.exe".
• Klicken Sie sich durch folgende Schlüssel (Ordner) hindurch:
  HKEY_LOCAL_MACHINE
  Software
  Policies
  Microsoft
  Windows NT
  DNSClient
  Falls die letzten Schlüssel noch nicht existieren, dann müssen Sie diese erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "Schlüssel".
• Doppelklicken Sie auf den Schlüssel "EnableDdr".
  Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "EnableDdr" ein.
• Ändern Sie den Wert ggf. von "0" (Benutzereinstellungen verwenden) auf "1" (DDR-Protokoll verwenden).
• Die Änderungen werden ggf. erst nach einem Neustart aktiv.

Hinweise:

• EnableDdr:
  0 = Das DDR-Protokoll wird nur bei der Aktivierung durch den Benutzer für DNS-Abfragen verwendet. (Standard)
  1 = Das DDR-Protokoll wird immer für alle DNS-Abfragen beim entsprechenden DNS-Dienst verwendet.
• Ändern Sie bitte nichts anderes in der Registrierungsdatei. Dies kann zur Folge haben, dass Windows und/oder Anwendungsprogramme nicht mehr richtig arbeiten.

Versionshinweis:

• Dieser Einstellung gilt erst ab Windows 11 Version 22H2.