Die Warnung bedeutet, dass deine DNS-Abfragen im Klartext gesendet werden – nicht, dass etwas defekt ist
„Dieses Netzwerk blockiert verschlüsselten DNS-Datenverkehr“ ist der Hinweis von Apple, dass dein Gerät verschlüsseltes DNS angefragt hat und das WLAN im Klartext oder gar nicht geantwortet hat. Er erscheint als Datenschutzwarnung unter dem Netzwerknamen auf iPhone, iPad und Mac.
DNS ist die Abfrage, die tealvpn.com in eine Serveradresse umwandelt, bevor etwas geladen wird. Verschlüsseltes DNS, also DNS over HTTPS (DoH) oder DNS over TLS (DoT), verpackt diese Abfrage so, dass niemand zwischen dir und dem Resolver sie lesen kann. Lehnt das Netzwerk sie ab, greift das Gerät auf die alte, unverschlüsselte Variante zurück.
Nichts funktioniert plötzlich nicht mehr. Seiten laden, Apps synchronisieren. Der Unterschied ist, dass der Router und wer ihn betreibt die Domainnamen sehen kann, die du abfragst.
Meist ist es der Router und nicht eine Person, der verschlüsseltes DNS verhindert
Meistens liegt die Ursache an einem Heim-Gateway mit eingebautem DNS-Filter, der nur einfaches DNS versteht. Deshalb füllt die Warnung Forenthreads über Xfinity-Gateways und Starlink-Router: Das Gerät fängt Abfragen für seine eigene Kindersicherung oder Sicherheitsfunktion ab und weiß mit einer DoH-Anfrage nichts anzufangen.
In Büro-, Hotel- und Campus-Netzwerken ist das eine bewusste Entscheidung. IT-Teams lesen DNS-Protokolle, um Schadsoftware zu erkennen, die nach Hause funkt, um Seiten zu filtern und um interne Namen aufzulösen, die öffentliche Resolver wie Cloudflare (1.1.1.1) oder Google (8.8.8.8) nicht kennen. Verschlüsseltes DNS läuft wie normaler Webverkehr über Port 443 und entgeht diesen Werkzeugen, sofern das Netzwerk es nicht am Resolver stoppt.
Regulierte Unternehmen im Gesundheitswesen, im Kartenzahlungsverkehr und im Finanzbereich müssen oft den Netzwerkverkehr protokollieren, und dazu zählt auch DNS. Auf einem verwalteten Laptop zeigt die Warnung, dass das Netzwerk seine Aufgabe erfüllt.
Das Blockieren von verschlüsseltem DNS stellt die Einsicht wieder her, die IT-Teams brauchen, um sichere Umgebungen zu betreiben. Es ist eine Vorsichtsmaßnahme, keine Strafe.
Zertifizierter CIO zu Unternehmensnetzwerken
| Netzwerk | Häufigster Grund | Was du verlierst |
|---|---|---|
| Heimrouter mit integriertem Filter | Der Filter versteht nur unverschlüsseltes DNS | Privatsphäre deiner DNS-Abfragen gegenüber deinem Anbieter und dem Hersteller des Filters |
| Büro oder verwaltetes Gerät | Protokollierung für Sicherheitsüberwachung und Compliance | Nichts, was das Netzwerk nicht ohnehin erlaubt; nutze stattdessen dein eigenes Gerät mit deinen eigenen Daten |
| Hotel, Café, Flughafen | Captive Portal sowie Werbe- oder Inhaltsfilter arbeiten über DNS | Privatsphäre der Abfragen gegenüber dem Betreiber des Standorts und dessen Dienstleister |
| Router nutzt einen Resolver ohne DoH/DoT | Resolver lehnt den verschlüsselten Handshake ab | Verschlüsselung nur auf dem letzten Abschnitt bis zum Resolver |
Prüfe, welcher DNS-Server dir tatsächlich antwortet, bevor du etwas änderst
Der Test von Teal VPN unter https://tealvpn.com/ip-leak-test zeigt Ihre öffentliche Adresse und die DNS-Server, die Ihre Abfragen beantworten. Er braucht keine Anmeldung und funktioniert mit jedem VPN oder ganz ohne. Auf einer Seite sehen Sie, ob der Resolver zu Ihrem Anbieter, Ihrem Router oder einem VPN gehört.
Als wir den Test am 23. Oktober 2026 auf einem Laptop in Deutschland ohne VPN ausgeführt haben, lautete das Ergebnis: Deutschland, Karlsruhe (Nordweststadt), Organisation netcup GmbH und „Teal exit: no“. Auf einem der eigenen Frankfurter Server von Teal VPN lautete das Ergebnis am selben Tag: Deutschland, Frankfurt am Main, Organisation UAB Cherry Servers, „Teal exit: yes“. So sieht ein verbundenes Gerät von außen aus.
Öffnen Sie den Test bei ausgeschaltetem VPN
Rufen Sie https://tealvpn.com/ip-leak-test in dem Netzwerk auf, das die Warnung anzeigt. Notieren Sie Land, Stadt und Organisation in den DNS-Zeilen.
Lesen Sie die Zeile mit der Organisation
Steht dort Ihr Internetanbieter oder ein Filteranbieter, beantwortet der Router oder das Gateway Ihre Abfragen im Klartext. Steht dort ein öffentlicher Resolver, leitet der Router an einen weiter, der DoH oder DoT ablehnt.
Führen Sie den Test nach jeder Korrektur erneut aus
Eine Korrektur hat gewirkt, wenn sich die DNS-Organisation zu dem von Ihnen gewählten Resolver ändert oder zu einem VPN-Server mit „Teal exit: yes“.
Hol dir eine zweite Meinung ein
dnsleaktest.com und browserleaks.com führen dieselbe Art von Test von anderen Servern aus durch. Wenn alle drei übereinstimmen, können Sie dem Ergebnis vertrauen.
Auf dem iPhone sind die Lösungen Einstellungen, denn das Gerät kann das Netzwerk nicht zu einer Änderung zwingen
Auf dem iPhone lösen Sie das Problem am schnellsten, indem Sie nicht mehr den Resolver des Netzwerks nutzen, sondern einen eigenen. Wir möchten hier offen sein: Stand 23. Oktober 2026 gibt es Teal VPN als App für Android, Android TV, Windows, Mac, Linux und Chromebook, aber nicht für das iPhone. Deshalb konnten wir diese Woche keinen eigenen Test unter iOS durchführen. Die folgenden Schritte sind Einstellungen von Apple, nicht von Teal.
Es gibt zwei mögliche Ergebnisse. Bei Heimroutern mit einem ungeschickt eingestellten Filter beseitigt ein DNS-Profil die Warnung meist. In Netzwerken, die jede DoH- und DoT-Verbindung absichtlich abbrechen, kommen die Abfragen nur durch einen VPN-Tunnel durch.
Netzwerk entfernen und erneut beitreten
Öffnen Sie Einstellungen, WLAN, tippen Sie auf das Netzwerk, wählen Sie „Dieses Netzwerk ignorieren“ und verbinden Sie sich dann erneut. Manche Gateways lehnen verschlüsseltes DNS nur beim ersten Verbindungsaufbau ab, und ein neuer Beitritt beseitigt eine veraltete Warnung.
Verschlüsseltes DNS-Profil installieren
Mehrere öffentliche Resolver stellen ein Profil bereit, mit dem iOS DoH oder DoT direkt an sie sendet. Nach der Installation ignoriert das Gerät den Resolver des Routers. Führen Sie den Test erneut aus, um zu prüfen, ob sich die Zeile mit der Organisation geändert hat.
Schalten Sie für dieses Netzwerk testweise „IP-Adressen-Tracking begrenzen“ aus
Einige berichten, dass die Warnung verschwindet, wenn dieser Schalter für das jeweilige Netzwerk ausgeschaltet ist. Wir haben das nicht bestätigt, und der Schalter deaktiviert auch eine Datenschutzfunktion. Sieh das also als letzten Ausweg, nicht als Lösung.
Ein VPN in Netzwerken nutzen, die verschlüsseltes DNS komplett verwerfen
In einem VPN-Tunnel sieht das Netzwerk nur einen verschlüsselten Datenstrom und kann die DNS-Anfragen überhaupt nicht erkennen. Auf dem iPhone bedeutet das die App eines anderen Anbieters; auf deinen anderen Geräten kann es Teal sein.
Auf einem Mac oder an deinem eigenen Router behebst du den Resolver, und die Warnung verschwindet für alle Geräte
Wenn das Netzwerk dir gehört, ändere die Einstellungen am Router statt an jedem einzelnen Gerät. Melde dich am Gateway an, suche nach einer Einstellung für DNS, Kindersicherung oder „erweiterte Sicherheit“ und schalte entweder den Filter des Anbieters aus oder richte DNS auf einen Resolver aus, der DoH und DoT unterstützt. Starte den Router neu, verbinde dich dann vom Mac aus erneut und prüfe in den WLAN-Details, ob die Warnung noch erscheint.
Auf einem Mac kannst du verschlüsseltes DNS auch pro Netzwerk festlegen, unter Systemeinstellungen, Netzwerk, WLAN, Details, DNS. Apps wie Teal VPN ersetzen den System-Resolver, solange sie verbunden sind. Bei einem Kabel- oder Satelliten-Gateway, das du nicht vollständig steuern kannst, ist es am saubersten, einen eigenen Router dahinterzuschalten und diesen die DNS-Arbeit übernehmen zu lassen.
Die DNS- oder Sicherheitsseite des Gateways finden
Bei Gateways von Anbietern findest du das meist unter „Erweitert“ oder „Sicherheit“. Der Filter trägt oft einen Markennamen und heißt nicht einfach DNS. Schalte ihn aus oder ändere den Resolver.
Neu starten und erneut verbinden
Geräte speichern die erste Antwort, die sie erhalten haben. Starte den Router neu, entferne das WLAN-Netzwerk und verbinde dich erneut. Prüfe dann die Zeile „Datenschutzwarnung“ noch einmal.
Mit der Prüfung bestätigen
Öffnen Sie https://tealvpn.com/ip-leak-test. In der Zeile zur DNS-Organisation sollte jetzt der von Ihnen gewählte Resolver stehen und nicht mehr der Anbieter oder der Hersteller des Filters.
Ein VPN löst das Problem, weil das Netzwerk gar keine DNS-Anfrage zu sehen bekommt
Wenn Teal VPN verbunden ist, läuft jede Abfrage verschlüsselt durch den Tunnel zum Teal-Server und wird dort beantwortet. Das WLAN kann also nichts ablehnen und nichts mitlesen. Die Datenschutzwarnung kann auf der WLAN-Einstellungsseite trotzdem stehen bleiben, weil Apple sie zum Netzwerk selbst anzeigt. Die Prüfung unter https://tealvpn.com/ip-leak-test zeigt aber den Server von Teal und „Teal exit: yes“.
Die Verschleierung von Teal Secure ist bei jeder Verbindung und in jedem Tarif aktiv. In Netzwerken, die VPNs einschränken, sieht der Tunnel deshalb wie normaler Datenverkehr aus, und die App probiert von selbst andere Wege aus, wenn ein Netzwerk einen schließt. Teal speichert keine Browserprotokolle und zeigt keine Werbung. Betrieben wird es von Fxolio LLC, einem US-Unternehmen.
Teal Free bietet Ihnen 500 MB pro Tag auf 2 Geräten, dafür brauchen Sie nur eine E-Mail-Adresse. Teal Pro kostet 7,99 $ im Monat, 24 $ für sechs Monate oder 36 $ im Jahr (3 $ im Monat). Dazu gibt es eine 30-tägige Geld-zurück-Garantie, bis zu 10 Geräte im Jahrestarif und 5 im Monats- und Halbjahrestarif sowie Server in 14 Ländern, darunter die USA, das Vereinigte Königreich, Deutschland und Japan. Bezahlen können Sie per Karte, Apple Pay, Google Pay, PayPal oder Kryptowährung.
- $3
- im Monat im Jahrestarif36 $, einmal pro Jahr abgerechnet
- 30 Tage
- Geld-zurück-Garantiebei jedem Pro-Tarif
- 14
- ServerländerStand: 23. Oktober 2026
- 500 MB
- am Tag mit Teal Free2 Geräte, nur mit E-Mail
In einem verwalteten Firmennetzwerk ist es meist am besten, nichts daran zu ändern
Wir finden, dass sich die meisten zu Hause zu viele Sorgen wegen dieser Warnung machen und in Hotels und Cafés zu wenige. Zu Hause liest Ihr eigener Anbieter Ihre Abfragen mit, der Ihren Datenverkehr ohnehin sieht. Im Hotel sind es ein Betrieb und ein Filteranbieter, denen Sie nie zugestimmt haben.
Im Netzwerk eines Arbeitgebers ist die Einschränkung eine Vorgabe, oft aus Compliance-Gründen. Eigene Lösungen auf einem Firmengerät können gegen Regeln verstoßen, die Sie unterschrieben haben. Surfen Sie privat besser mit den mobilen Daten Ihres eigenen Handys oder mit Ihrem eigenen Gerät und einem VPN, und lassen Sie den verwalteten Laptop das tun, was die IT eingerichtet hat.
Empfohlen
- Den eigenen Router einmal einstellen statt jedes Gerät
- Nutzen Sie ein VPN in WLANs von Hotels, Cafés und Flughäfen
- Führen Sie den DNS-Check nach jeder Änderung erneut durch
- Fragen Sie die IT-Abteilung, wenn eine interne Website nach der Installation eines DNS-Profils nicht mehr aufgelöst wird
Besser vermeiden
- Installieren Sie ohne Erlaubnis keine DNS-Profile oder VPNs auf einem Gerät, das vom Unternehmen verwaltet wird
- Gehen Sie nicht automatisch davon aus, dass die Warnung bedeutet, dass das WLAN gehackt wurde
- Schalten Sie „IP-Adressen-Tracking begrenzen“ nicht nur aus, damit der Hinweis verschwindet
- Erwarten Sie nicht, dass jedes VPN in jedem Netzwerk überall funktioniert
Weiterlesen
Quellen
- Certified CIO: Warum Firmennetzwerke verschlüsseltes DNS einschränken
- TitanHQ: Was DNS-Filterung ist und wie sie eingesetzt wird
- r/techsupport: Kann mir jemand einfach erklären, was das für mich bedeutet?
Brauchen Sie Hilfe mit Teal? Support kontaktieren.
Fragen
Was bedeutet „Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr“ auf dem iPhone?
Das bedeutet, dass der DNS-Server des WLANs die verschlüsselten Abfragen (DoH oder DoT) deines iPhone abgelehnt hat. Sie werden deshalb als Klartext gesendet. Die Verbindung funktioniert weiterhin, aber der Router und der Anbieter können sehen, welche Domains du aufrufst.
Ist die Datenschutzwarnung gefährlich?
Nein. Es ist ein Hinweis zum Datenschutz und kein Zeichen für einen Hackerangriff. Der einzige Unterschied: Wer das Netzwerk betreibt, kann deine Domain-Abfragen lesen. Das ist in einem Hotel- oder Café-WLAN wichtiger als zu Hause.
Wie behebe ich das in meinem WLAN zu Hause?
Melde dich beim Router oder Gateway an, schalte den DNS-Filter des Anbieters aus oder stelle DNS auf einen Resolver um, der verschlüsseltes DNS unterstützt. Starte das Gerät neu und verbinde dich erneut mit dem WLAN. Prüfe dann unter https://tealvpn.com/ip-leak-test, ob sich die DNS-Organisation geändert hat.
Warum erscheint die Meldung in Xfinity- oder Starlink-Netzwerken so oft?
Diese Gateways werden mit einem eigenen DNS-Filter oder einer Sicherheitsfunktion geliefert, die nur unverschlüsseltes DNS versteht. Sie fangen Abfragen ab und lehnen den verschlüsselten Verbindungsaufbau ab. Meist hilft es, hinter dem Gateway einen eigenen Router zu verwenden.
Beseitigt ein VPN die Warnung?
Ein VPN führt DNS innerhalb seines Tunnels, sodass das Netzwerk nichts abweisen und nichts mitlesen kann. Der Teal-Check zeigt, dass der Server von Teal antwortet. Der Hinweis auf der WLAN-Einstellungsseite kann bestehen bleiben, weil Apple ihn über das Netzwerk schreibt, nicht über Ihren Datenverkehr.
Kann mein Arbeitgeber sehen, welche Seiten ich besuche, wenn verschlüsseltes DNS aus ist?
In einem Netzwerk, das Ihr Arbeitgeber betreibt, ja: Domain-Abfragen sind in den DNS-Protokollen sichtbar, und diese Protokollierung ist oft durch Compliance-Vorgaben vorgeschrieben. Surfen Sie privat auf Ihrem eigenen Gerät und mit Ihrer eigenen Verbindung.
Gibt es dafür eine Teal VPN App für das iPhone?
Stand 23. Oktober 2026 nicht. Teal VPN läuft auf Android, Android TV, Windows, Mac, Linux und Chromebook sowie als Erweiterung für Chrome, Edge und Firefox. Die Lösungen für das iPhone auf dieser Seite sind daher Einstellungen von Apple.