Jedes Mal, wenn ein Gerät eine Adresse aufruft, fragt es zuerst einen Namensserver, welche IP-Adresse dahintersteht. In der Voreinstellung ist das der Server des Zugangsanbieters, und in der Voreinstellung läuft diese Frage im Klartext über das Netz.
Daraus entsteht eine vollständige, zeitlich sortierte Liste dessen, was ein Anschluss abruft. RFC 9076, das IETF-Dokument zu den Datenschutzaspekten des DNS, beschreibt die Tragweite an einem Beispiel: Der Aufruf der Website der Anonymen Alkoholiker sagt etwas über eine Person aus, das sie nicht notwendigerweise preisgeben wollte. Nicht der einzelne Abruf ist das Problem, sondern die Verknüpfbarkeit vieler Abrufe über die Zeit.
Diese Seite listet Namensserver, die man statt des voreingestellten benutzen kann, und Wege, einen eigenen zu betreiben. Sie nennt zu jedem Dienst auch, was gegen ihn spricht. Ein Verzeichnis, das nur Vorteile aufzählt, ist Werbung und keine Hilfe bei einer Entscheidung.
Was verschlüsseltes DNS nicht leistet
Verschlüsseltes DNS verbirgt, welche Namen Sie nachschlagen. Es verbirgt nicht, welche Server Sie danach besuchen.
Das ist keine Relativierung, sondern die Aussage der Spezifikation selbst. RFC 9849, die Spezifikation von Encrypted Client Hello vom März 2026, formuliert es so: „ECH is not in itself sufficient to protect the identity of the server. The target domain may also be visible through other channels, such as plaintext client DNS queries or visible server IP addresses.“ Umgekehrt gilt dasselbe: Verschlüsseltes DNS allein reicht nicht, solange der Servername im TLS-Handshake als Server Name Indication im Klartext steht und die Ziel-IP-Adresse ohnehin sichtbar bleibt.
Was ein anderer DNS-Anbieter also bewirkt:
Er nimmt Ihrem Zugangsanbieter den bequemsten Beobachtungsposten. Statt einer sauber lesbaren Liste von Domainnamen sieht er verschlüsselten Verkehr zu einer IP-Adresse. Er nimmt ihm außerdem die Möglichkeit, Antworten stillschweigend zu verändern. Und er nimmt ihm die Rolle des Adressaten von DNS-Sperren, soweit der neue Anbieter denselben Anordnungen nicht unterliegt.
Was er nicht bewirkt:
Er macht Sie nicht anonym. Der neue Resolver sieht nun das, was vorher der Zugangsanbieter sah. Sie tauschen einen Mitwisser gegen einen anderen und sollten deshalb einen wählen, dessen Interessen Ihren eigenen nicht widersprechen. Er ersetzt kein VPN und kein Tor. Und er ist kein Virenschutz: Ein DNS-Filter greift nur, solange ein Name aufgelöst wird, und lässt sich durch eine direkte IP-Verbindung umgehen.
Die Bundesnetzagentur schreibt dazu in eigener Sache: „Ein kritischer Punkt bei der DNS-Sperre ist, dass eine solche Sperre leicht umgangen werden kann.“ Das gilt für Sperren, die man ablehnt, genauso wie für Schutzfilter, die man möchte.
Die Protokolle, kurz und richtig
Klassisches DNS im Klartext Do53RFC 1035, STD 13
UDP und TCP 53
Der Standardfall seit 1987. RFC 1035 legt fest, dass DNS über UDP und TCP auf Port 53 läuft, und sieht keinerlei Vertraulichkeit vor. Wer im selben Netz sitzt oder das Netz betreibt, liest jede Anfrage mit.
RFC 9076, das aktuelle IETF-Dokument zu den Datenschutzaspekten des DNS, benennt den lohnendsten Abhörpunkt ausdrücklich: „The best place to tap, from an eavesdropper's point of view, is clearly between the stub resolvers and the recursive resolvers, because traffic is not limited by DNS caching.“ Genau diese Strecke verschlüsseln DoT, DoH und DoQ.
DNS over TLS DoTRFC 7858
TCP 853
DNS in einem TLS-Tunnel auf einem eigenen Port. RFC 7858 legt fest: „By default, a DNS server that supports DNS over TLS MUST listen for and accept TCP connections on port 853, unless it has mutual agreement with its clients to use a port other than 853 for DNS over TLS.“
Der eigene Port ist Vorteil und Nachteil zugleich. Vorteil: Das Betriebssystem kann DoT systemweit für alle Programme setzen, was Android seit Jahren unter „Privates DNS“ tut. Nachteil: Port 853 ist sichtbar und in restriktiven Netzen leicht zu sperren.
DNS over HTTPS DoHRFC 8484
TCP 443
DNS in gewöhnlichen HTTPS-Anfragen. RFC 8484 beschreibt es so: „Each DNS query-response pair is mapped into an HTTP exchange.“
Weil der Verkehr auf Port 443 läuft, ist er von normalem Web-Verkehr kaum zu unterscheiden und entsprechend schwer zu sperren. Der Preis: DoH wird meist pro Anwendung eingestellt, nicht systemweit. Ein Browser mit eigenem DoH nutzt einen anderen Resolver als der Rest des Systems, was in der Praxis regelmäßig zu Verwirrung führt.
DNS over QUIC DoQRFC 9250
UDP 853
Der jüngste der drei verschlüsselten Transporte, standardisiert im Mai 2022. RFC 9250 beschreibt den Vorteil so: „The encryption provided by QUIC has similar properties to those provided by TLS, while QUIC transport eliminates the head-of-line blocking issues inherent with TCP and provides more efficient packet-loss recovery than UDP.“
In der Praxis heißt das: gleiche Vertraulichkeit wie DoT, aber schnellerer Verbindungsaufbau und weniger Verzögerung bei Paketverlust. Quad9 beantwortete DoQ-Abfragen im Test zuverlässig. UncensoredDNS, dnsforge.de und Freifunk München kündigen DoQ ebenfalls an; bei UncensoredDNS blieb eine echte Abfrage im Test allerdings unbeantwortet.
Signaturen, keine Verschlüsselung DNSSECRFC 4033, 4034, 4035
unabhängig vom Transport
Die häufigste Verwechslung auf diesem Themenfeld. DNSSEC verschlüsselt nichts. RFC 4033 sagt in einem Satz, was es leistet: „The Domain Name System Security Extensions (DNSSEC) add data origin authentication and data integrity to the Domain Name System.“ Und es sagt ebenso deutlich, was es nicht leistet: „These extensions do not provide confidentiality.“
DNSSEC schützt also davor, dass jemand die Antwort fälscht. Es schützt nicht davor, dass jemand die Frage mitliest. Beides zusammen bekommt man erst, wenn ein validierender Resolver über einen verschlüsselten Transport erreicht wird.
Eine Nebenwirkung sollte man kennen: RFC 4033 warnt, dass DNSSEC in der NSEC-Variante das Aufzählen aller Namen einer Zone ermöglicht. Für die Privatsphäre von Zoneninhalten ist DNSSEC also kein Gewinn.
QNAME-Minimierung QNAMERFC 9156
Verhalten des Resolvers
Ohne Minimierung fragt ein rekursiver Resolver den Root-Server nach dem vollen Namen, obwohl der Root-Server nur die Zuständigkeit für die Endung kennt. Mit Minimierung erfährt jede Ebene nur so viel, wie sie zur Weiterleitung braucht.
Wichtig für die Genauigkeit: Der gültige Standard ist RFC 9156 aus dem November 2021, Standards Track. Der oft zitierte RFC 7816 war experimentell und ist ausdrücklich als überholt gekennzeichnet.
EDNS Client Subnet ECSRFC 7871
Erweiterung, informational
Der Resolver reicht einen gekürzten Teil der Client-Adresse an autoritative Server weiter, damit ein Content-Netz eine geografisch nahe Antwort geben kann. Der Preis ist Privatsphäre.
Der RFC rät selbst zur Zurückhaltung: „We recommend that the feature be turned off by default in all nameserver software, and that operators only enable it explicitly in those circumstances where it provides a clear benefit for their clients.“ RFC 7871 ist informational, kein Standards Track.
Praktische Folge: Wer Privatsphäre über Geschwindigkeit stellt, wählt einen Endpunkt ohne ECS. Bei Quad9 sind das 9.9.9.9 und 9.9.9.10, während 9.9.9.11 und 9.9.9.12 ECS ausdrücklich einsetzen.
EDNS(0) Padding PaddingRFC 7830
Erweiterung
Verschlüsselung verbirgt den Inhalt, nicht die Größe. RFC 9076 weist darauf hin, dass sich aus Größe und zeitlichem Muster verschlüsselter Nachrichten Rückschlüsse ziehen lassen. Als Gegenmittel definiert RFC 7830 eine Auffüllung auf einheitliche Längen. Wer einen Resolver selbst betreibt, sollte Padding aktivieren.
Woran man einen guten Anbieter erkennt
Wer haftet?
Ein eingetragener Verein, eine Stiftung oder eine Gesellschaft mit ladungsfähiger Anschrift ist überprüfbar. Ein anonymes Projekt ist es nicht. Das sagt nichts über die Redlichkeit, aber alles über die Durchsetzbarkeit von Zusagen.
Wovon lebt der Dienst?
Kostenloses DNS kostet den Betreiber Geld. Wenn nicht erkennbar ist, wer dafür aufkommt, ist die Frage offen, womit der Dienst bezahlt wird. Spenden, Mitgliedsbeiträge und ein tragendes Hauptgeschäft sind nachvollziehbare Antworten.
Was steht wörtlich in der Datenschutzerklärung?
„Wir respektieren Ihre Privatsphäre“ ist keine Zusage. „We do not log DNS queries“ mit benannten Ausnahmen und einer Speicherfrist ist eine. Eine Erklärung, die ihre eigenen Ausnahmen benennt, ist glaubwürdiger als eine ohne.
Wird gefiltert, und ist das abwählbar?
Ein Malware-Filter ist für die meisten Menschen ein Gewinn. Entscheidend ist, dass es eine ungefilterte Adresse desselben Betreibers gibt, damit die Entscheidung bei Ihnen bleibt.
Welche Jurisdiktion?
Der Sitz des Betreibers und der Standort der Server entscheiden darüber, welche Behörden welche Anordnungen treffen können. Beides kann auseinanderfallen und sollte getrennt betrachtet werden.
Gibt es einen zweiten Server?
Ein einzelner Resolver ist ein einzelner Ausfallpunkt. Tragen Sie immer einen zweiten, unabhängigen Server ein, am besten von einem anderen Betreiber.
„Mit Vorbehalt“ heißt: Es gibt eine Adresse ohne Inhaltsfilter, aber der Betreiber setzt gerichtlich oder gesetzlich angeordnete Sperren auch dort um. Die Einzelheiten stehen in der jeweiligen Karte. „Klartext-DNS“ meint, ob der Dienst auf Port 53 unverschlüsselt antwortet; wo nicht, ist er nur über DoT oder DoH nutzbar.
Quad9 CH
Betreiber
Quad9, Stiftung nach schweizerischem Recht, Zürich (UID CHE-435.091.407)
Trägerschaft
Gemeinnützige Stiftung
DNSSEC
Validierend. Seit dem 15. Juni 2026 validiert Quad9 nach eigener Ankündigung auf allen Endpunkten, also auch auf den zuvor nicht validierenden Adressen.
DNS over QUIC
Ja. DNS over QUIC und DNS over HTTP/3 sind seit dem 31. März 2026 aktiv. Quad9 dazu wörtlich: „Quad9 has enabled DNS over HTTP/3 (DoH3) and DNS over QUIC (DoQ) across its global resolver network.“ DoQ läuft über den jeweiligen Diensthostnamen auf UDP-Port 853.
Filterung
Wählbar über die Adresse. 9.9.9.9 und 9.9.9.11 blockieren Domains, die von Partnern als Malware, Phishing oder Botnetz gemeldet werden. 9.9.9.10 und 9.9.9.12 blockieren diese nicht. Werbung und Tracker filtert Quad9 nicht.
Protokollierung
Die Datenschutzerklärung (Version 1.1, veröffentlicht am 24. Juni 2026) sagt in Abschnitt 2.1 wörtlich: „Quad9 does not collect or record user IP addresses, nor does it collect or hold any proxy for or representation of user IP addresses, nor does it collect or hold any other unique identifier of individuals in lieu of IP addresses.“
Endpunkte
Gefiltert
IPv4
9.9.9.9 · 149.112.112.112
IPv6
2620:fe::fe · 2620:fe::9
DoH
https://dns.quad9.net/dns-query
DoT
dns.quad9.net
Ungefiltert
IPv4
9.9.9.10 · 149.112.112.10
IPv6
2620:fe::10 · 2620:fe::fe:10
DoH
https://dns10.quad9.net/dns-query
DoT
dns10.quad9.net
Gefiltert, mit EDNS Client Subnet
IPv4
9.9.9.11 · 149.112.112.11
IPv6
2620:fe::11 · 2620:fe::fe:11
DoH
https://dns11.quad9.net/dns-query
DoT
dns11.quad9.net
Ungefiltert, mit EDNS Client Subnet
IPv4
9.9.9.12 · 149.112.112.12
IPv6
2620:fe::12 · 2620:fe::fe:12
DoH
https://dns12.quad9.net/dns-query
DoT
dns12.quad9.net
Wofür er spricht
Gemeinnützige Stiftung nach schweizerischem Recht, kein Unternehmen mit Werbe- oder Datengeschäft.
Die Datenschutzerklärung ist ausdrücklich an RFC 8932 ausgerichtet, dem IETF-Dokument für Datenschutzrichtlinien von DNS-Betreibern. Das ist eine Selbstauskunft, kein geprüftes Testat, aber es macht die Zusagen vergleichbar.
Sehr großes Anycast-Netz und vollständige Protokollpalette: Do53, DoT, DoH, DoH3 und DoQ.
Sowohl gefilterte als auch ungefilterte Adressen unter demselben Betreiber und derselben Datenschutzerklärung.
Was dagegen spricht
Gerichtlich erzwungene Urheberrechtssperren wirken weltweit. Nach dem Pariser Urteil im Verfahren von Canal+ sperrt Quad9 die beanstandeten Domains für alle Nutzerinnen und Nutzer, weil der Dienst nicht nach Regionen unterscheidet. Quad9 selbst schreibt dazu: „we have to block these sites for all users, in all areas. This amounts to French law being applied globally.“
Diese Sperren greifen auch auf den ungefilterten Adressen. „Ungefiltert“ bezieht sich bei Quad9 auf die Malware-Liste, nicht auf gerichtliche Anordnungen.
Die Zusage, keine Client-IP-Adressen zu speichern, ist eine Selbstverpflichtung. Ein unabhängiges technisches Audit, das diese Praxis bestätigt, liegt nicht vor.
Privatwirtschaftliches Unternehmen, hervorgegangen aus einem EU-kofinanzierten Projekt
DNSSEC
Validierend.
DNS over QUIC
Nicht dokumentiert. Auf den geprüften Endpunkten wurde am 6. September 2026 weder die QUIC-Kennung „doq“ noch HTTP/3 angeboten.
Filterung
Fünf Profile mit je eigenen Adressen. Das Kinderschutzprofil filtert laut Betreiber die Kategorien Gambling, Sexual content, Weapons, Child abuse, Drugs, Racism, Terrorism und Violence. Zusätzlich setzt DNS4EU gesetzlich angeordnete Sperren um, und diese greifen in allen Profilen.
Protokollierung
Anders als bei den übrigen Diensten dieser Liste ist DNS4EU kein No-Log-Resolver. Die DNS4EU Public Resolvers Policy nennt als erhobene Daten unter anderem die gestellte Anfrage, die Antwort, den Anfragetyp und den Zeitpunkt. Die Client-IP-Adresse wird nach Angabe des Betreibers anonymisiert, die Abfragedaten werden bis zu sechs Monate gespeichert.
Endpunkte
Protective (Schutz vor Malware und Phishing)
IPv4
86.54.11.1 · 86.54.11.201
IPv6
2a13:1001::86:54:11:1 · 2a13:1001::86:54:11:201
DoH
https://protective.joindns4.eu/dns-query
DoT
protective.joindns4.eu
Protective und Kinderschutz
IPv4
86.54.11.12 · 86.54.11.212
IPv6
2a13:1001::86:54:11:12 · 2a13:1001::86:54:11:212
DoH
https://child.joindns4.eu/dns-query
DoT
child.joindns4.eu
Protective und Werbefilter
IPv4
86.54.11.13 · 86.54.11.213
IPv6
2a13:1001::86:54:11:13 · 2a13:1001::86:54:11:213
DoH
https://noads.joindns4.eu/dns-query
DoT
noads.joindns4.eu
Protective, Kinderschutz und Werbefilter
IPv4
86.54.11.11 · 86.54.11.211
IPv6
2a13:1001::86:54:11:11 · 2a13:1001::86:54:11:211
DoH
https://child-noads.joindns4.eu/dns-query
DoT
child-noads.joindns4.eu
Unfiltered (ohne Inhaltsfilter)
IPv4
86.54.11.100 · 86.54.11.200
IPv6
2a13:1001::86:54:11:100 · 2a13:1001::86:54:11:200
DoH
https://unfiltered.joindns4.eu/dns-query
DoT
unfiltered.joindns4.eu
Wofür er spricht
Resolver ausschließlich innerhalb der EU. Die Policy nennt 14 rekursive Resolver in 14 EU-Mitgliedstaaten.
Fünf klar getrennte Filterprofile mit eigenen Adressen, darunter ein Profil ganz ohne Inhaltsfilter.
Aufsicht durch eine benannte europäische Datenschutzbehörde, das tschechische Úřad pro ochranu osobních údajů. Ein benannter Datenschutzbeauftragter ist erreichbar.
Der Betreiber hat einen Transparenzbericht nach dem Digital Services Act und eine Liste der Sperranordnungen veröffentlicht.
Was dagegen spricht
Der Name legt einen Betrieb durch die EU nahe, den es so nicht gibt. Die EU-kofinanzierte Projektphase lief von 2023 bis 2025. Die offizielle Seite formuliert sie in der Vergangenheitsform und schreibt für heute: „Now fully commercialized and operated by Whalebone […] without ongoing EU operational funding.“ Wer DNS4EU heute wählt, wählt einen kostenlosen Dienst eines tschechischen Privatunternehmens mit EU-Projektherkunft, keinen von der EU betriebenen Resolver.
Abfragedaten werden bis zu sechs Monate gespeichert. Das ist die längste dokumentierte Speicherfrist aller hier empfohlenen Dienste.
Gesetzlich angeordnete Sperren wirken auch im Profil „Unfiltered“. Am 6. September 2026 wurden dort unter anderem rt.com und Domains von Sputnik nicht aufgelöst. „Unfiltered“ bezieht sich bei DNS4EU auf die Inhaltsfilter, nicht auf Sperranordnungen.
Die Nutzungsbedingungen schließen Unternehmen und Zugangsanbieter aus. Der Dienst ist für Privatpersonen gedacht; es gilt ein Limit von 1.000 Anfragen pro Sekunde je IP-Adresse.
Keine. Der Betreiber schreibt: „No, we do not implement any content filtering or blocking. DNS.SB provides neutral, unfiltered DNS resolution.“
Protokollierung
Die Datenschutzerklärung, wirksam seit dem 17. Januar 2026, beginnt mit: „TL;DR: We don't collect or store your DNS queries. Period.“ Im Detail nennt sie, dass weder abgefragte Domains noch IP-Adressen noch Zeitstempel in Verbindung mit Anfragen aufgezeichnet werden.
Endpunkte
Ungefiltert
IPv4
185.222.222.222 · 45.11.45.11
IPv6
2a09:: · 2a11::
DoH
https://doh.dns.sb/dns-query
DoT
dot.sb
Wofür er spricht
Sehr kurze, unmissverständliche Datenschutzerklärung mit ausgewiesenem Wirksamkeitsdatum.
Der Betreiber veröffentlicht seit 2019 jährliche Transparenzberichte über Behördenanfragen, einschließlich Anfragen von Behörden außerhalb Deutschlands.
Weltweit verteiltes Netz. Der Betreiber nennt 19 Standorte.
Betreiber mit deutschem Handelsregistereintrag und ladungsfähiger Anschrift, also mit greifbarer Verantwortlichkeit.
Was dagegen spricht
Die weit verbreitete Angabe, hinter DNS.SB stehe eine Firma namens „Xing Tech“, ließ sich in keiner Primärquelle bestätigen. Betreiber ist die xTom GmbH.
Die xTom GmbH ist ein gewinnorientiertes Hosting-Unternehmen, kein gemeinnütziger Träger. Den Dienst finanziert sie unter anderem über bepreiste Sponsorenstufen.
Die No-Log-Zusage ist Selbstauskunft. Ein unabhängiges Audit gibt es nicht.
Thomas Steen Rasmussen, Dänemark. Privatperson, keine Rechtsform.
Trägerschaft
Privatperson, unentgeltlich betrieben
DNSSEC
Validierend.
DNS over QUIC
Angekündigt, im Test aber ohne Antwort. Der Betreiber schrieb am 23. Oktober 2025: „Starting today UncensoredDNS fully supports QUIC based DNS lookups.“ Die QUIC-Kennung „doq“ wird tatsächlich ausgehandelt. Eine echte DoQ-Abfrage mit kdig blieb am 7. September 2026 von einem deutschen Anschluss aus jedoch dreimal unbeantwortet, während dieselbe Abfrage gegen Quad9 und AdGuard DNS funktionierte. Das ist ein Momentbefund von einem einzigen Anschluss, kein Beweis, dass der Dienst kein DoQ kann. DoT desselben Servers arbeitete einwandfrei.
Filterung
Keine. Der Dienst existiert ausdrücklich als Gegenentwurf zur Filterung. Der Betreiber schreibt: „I am strongly against using DNS as a tool to filter content on the internet.“
Protokollierung
Die FAQ sagt: „Absolutely nothing is being logged, neither about the users nor the usage of this service. I do keep graphs of the total number of queries, but no personally identifiable information is saved.“
Endpunkte
Anycast-Knoten
IPv4
91.239.100.100
IPv6
2001:67c:28a4::
DoH
https://anycast.uncensoreddns.org/dns-query
DoT
anycast.uncensoreddns.org
Unicast-Knoten
IPv4
89.233.43.71
IPv6
2a01:3a0:53:53::
DoH
https://unicast.uncensoreddns.org/dns-query
DoT
unicast.uncensoreddns.org
Wofür er spricht
Der Dienst läuft seit 2009 und ist damit einer der ältesten unabhängigen offenen Resolver Europas.
Vollständige Protokollpalette einschließlich DNS over QUIC und DNS over HTTP/3.
Klare, unzweideutige Haltung gegen Filterung, ohne kommerzielles Interesse dahinter.
Zwei getrennte Zugänge, ein Anycast- und ein Unicast-Knoten, die sich als primärer und sekundärer Server eintragen lassen.
Was dagegen spricht
Der Dienst hängt vollständig an einer einzelnen Privatperson. Es gibt keinen Verein, kein Team und keine veröffentlichte Nachfolgeregelung.
Die Logging-Zusage steht in zwei Sätzen einer FAQ. Es gibt keine förmliche Datenschutzerklärung, kein Audit und keinen Transparenzbericht.
Das Anycast-Netz ist klein. Die offizielle Tabelle nennt drei Knoten, zwei davon in Dänemark. Außerhalb Nordeuropas ist der Latenzvorteil entsprechend gering.
Digitalcourage e. V., Marktstraße 18, 33602 Bielefeld
Trägerschaft
Gemeinnütziger eingetragener Verein
DNSSEC
Eine eigene Messung am 6. September 2026 zeigte DNSSEC-Validierung. Der Verein selbst sagt dazu auf der Dienstseite nichts, es gibt also keine zugesicherte Eigenschaft.
DNS over QUIC
Nein.
Filterung
Keine. Der Dienst ist ausdrücklich ein zensurfreier Resolver und kein Werbe- oder Trackerblocker.
Protokollierung
Auf der offiziellen Seite zu dns3.digitalcourage.de steht: „kein Logging, nur im Fehlerfall (ohne Client-IP)“.
Endpunkte
Zensurfreier Resolver
IPv4
5.9.164.112
IPv6
2a01:4f8:251:554::2
DoT
dns3.digitalcourage.de
Wofür er spricht
Gemeinnütziger Verein mit langer, öffentlich nachvollziehbarer Arbeit zu Grundrechten und Datenschutz.
Deutscher Serverstandort und deutsche Jurisdiktion. Trägerschaft und Finanzierung sind über einen veröffentlichten Transparenzbericht nachvollziehbar.
Ausdrücklich zensurfrei, ohne kommerzielles Interesse an den Anfragedaten.
Was dagegen spricht
Die vielerorts noch genannte Adresse dns.digitalcourage.de ist dauerhaft abgeschaltet. Der Verein schreibt: „Dieser Server ist abgeschaltet. Bitte die IP aus vorhandenen Konfigurationen entfernen: 85.214.20.141 (dauerhaft abgeschaltet)“. Wer diese IP noch eingetragen hat, hat keinen funktionierenden Resolver. Aktiv ist ausschließlich dns3.digitalcourage.de.
Kein DoH. Der Verein sagt dazu ausdrücklich: „Außerdem kann dieser Server nicht im Browser als DNS-Server eingestellt werden, denn das würde DNS over HTTP (DoH) erfordern, was wir ebenfalls nicht unterstützen.“ In den DoH-Einstellungen von Firefox oder Chrome ist der Dienst damit nicht nutzbar.
Es gibt genau einen Server. Kein Anycast, kein zweiter Knoten, also ein einzelner Ausfallpunkt. Ein zweiter, unabhängiger Resolver als Ersatzeintrag ist sinnvoll.
Digitale Gesellschaft, Verein nach Art. 60 ff. ZGB, Sitz Basel. Server in Zürich.
Trägerschaft
Gemeinnütziger Verein
DNSSEC
Validierend, ausdrücklich zugesichert: „DNSSEC wird validiert.“
DNS over QUIC
Nicht dokumentiert.
Filterung
Keine. Der Verein sagt: „Es findet kein Logging statt und es werden keine Sperrlisten verwendet.“ Vorbehalten bleibt eine zeitweise Sperre bei Missbrauch.
Protokollierung
Offizielle Aussage: „Es findet kein Logging statt und es werden keine Sperrlisten verwendet. DNSSEC wird validiert.“
Endpunkte
Nur verschlüsselt, kein Klartext-DNS
IPv4
185.95.218.42 · 185.95.218.43
IPv6
2a05:fc84::42 · 2a05:fc84::43
DoH
https://dns.digitale-gesellschaft.ch/dns-query
DoT
dns.digitale-gesellschaft.ch
Wofür er spricht
Gemeinnütziger Verein mit veröffentlichten Statuten und offengelegter Serverkonfiguration in einem öffentlichen Repository.
Schweizer Serverstandort und Schweizer Recht, außerhalb der EU-Jurisdiktion.
Klare, knappe Zusage ohne Marketingaufwand: kein Logging, keine Sperrlisten, DNSSEC-Validierung.
Der Betrieb kostet laut FAQ 1.000 Franken im Jahr. Die Finanzierung ist damit nachvollziehbar unabhängig.
Was dagegen spricht
Kein Klartext-DNS auf Port 53. Der Verein betreibt es bewusst nicht. Router, Smart-TVs und viele IoT-Geräte, die nur klassisches DNS können, lassen sich damit nicht versorgen.
Die genannten IP-Adressen sind die Adressen der verschlüsselten Endpunkte. Sie gehören in ein DoT- oder DoH-Feld, nicht in ein gewöhnliches DNS-Server-Feld.
Der Betreiber behält sich vor, bei Missbrauch einzelne Client-IP-Adressen und einzelne Domainnamen zeitweise zu sperren. „Keine Sperrlisten“ heißt also nicht „unter allen Umständen unverändert“.
Artikel10 e. V., Hamburg (VR 24066, Amtsgericht Hamburg). Infrastruktur bei Individual Network Berlin e. V.
Trägerschaft
Eingetragener Verein
DNSSEC
Eine eigene Messung am 6. September 2026 zeigte DNSSEC-Validierung. Eine ausdrückliche Zusage des Betreibers dazu gibt es nicht.
DNS over QUIC
Nicht dokumentiert.
Filterung
Der Betreiber äußert sich nicht ausdrücklich dazu. Eine eigene Messung am 6. September 2026 zeigte keine Filterung.
Protokollierung
Die Dienstseite sagt: „Der Server speichert keine Informationen über einzelne DNS-Anfragen.“
Endpunkte
Nur verschlüsselt, kein Klartext-DNS
IPv4
217.197.91.153
IPv6
2001:67c:1401:2120::1
DoH
https://dns.artikel10.org/dns-query
DoT
dns.artikel10.org
Wofür er spricht
Eingetragener Verein mit Satzung und Registereintrag, der sich seit Jahren dem Schutz des Fernmeldegeheimnisses widmet und daneben Tor-Infrastruktur betreibt.
Deutscher Standort und deutsche Jurisdiktion.
Knappe, klare Logging-Aussage ohne Einschränkungen im Kleingedruckten.
Was dagegen spricht
Kein Klartext-DNS auf Port 53. Die genannten Adressen antworten ausschließlich über DoT auf Port 853 und DoH auf Port 443. Wer sie als gewöhnliche DNS-Server einträgt, bekommt keine Auflösung.
Der Verein kommuniziert öffentlich seit dem 27. November 2023 nicht mehr. Der Dienst läuft nachweislich, aber es gibt keine aktuelle Kommunikation über seinen Zustand.
Der Verein dokumentiert den Dienst knapp: keine förmliche Datenschutzerklärung für den Resolver, kein Audit, kein Transparenzbericht.
adminForge, betrieben von Stefan Giebel, Köln. Server in Deutschland.
Trägerschaft
Privates Projekt, spendenfinanziert
DNSSEC
Validierend.
DNS over QUIC
Der Betreiber listet für alle vier Varianten DoQ-Endpunkte. Eigene Messungen dazu liegen nicht vor.
Filterung
Vier abgestufte Varianten mit je eigenen Adressen, von „Normal“ mit Werbe- und Trackerfilter bis „Blank“ ganz ohne Filter. Geblockte Namen werden mit 0.0.0.0 beziehungsweise :: beantwortet, nicht mit NXDOMAIN.
Protokollierung
Die FAQ sagt: „Nein. dnsforge.de protokolliert keine DNS-Anfragen und arbeitet vollständig ohne Logging.“ Der Datenschutzhinweis von adminForge enthält dazu einen eigenen Abschnitt.
Clean, zusätzlich Erwachsenen- und Glücksspielinhalte
IPv4
49.12.223.2 · 49.12.43.208
IPv6
2a01:4f8:c17:4fbc::2 · 2a01:4f8:c012:ed89::208
DoH
https://clean.dnsforge.de/dns-query
DoT
clean.dnsforge.de
Hard, strengster Filter
IPv4
49.12.222.213 · 88.198.122.154
IPv6
2a01:4f8:c17:2c61::213 · 2a01:4f8:c013:5ec0::154
DoH
https://hard.dnsforge.de/dns-query
DoT
hard.dnsforge.de
Blank, ohne jeden Filter
IPv4
138.199.149.249 · 78.47.71.194
IPv6
2a01:4f8:c17:7aa5::249 · 2a01:4f8:c013:aae9::194
DoH
https://blank.dnsforge.de/dns-query
DoT
blank.dnsforge.de
Wofür er spricht
Vier klar getrennte Filterstufen, darunter eine völlig ungefilterte. Die Wahl bleibt bei der Nutzerin und nicht beim Betreiber.
Die verwendeten Blocklisten werden offen benannt, nicht bloß behauptet.
Server ausschließlich in Deutschland, Betreiber mit Impressum und ladungsfähiger Anschrift.
Die Blocklisten-Zählerstände werden tagesaktuell auf der Startseite veröffentlicht.
Was dagegen spricht
Träger ist kein Verein und keine Gesellschaft, sondern ein privates Projekt. Für den Einsatz in Organisationen mit Verfügbarkeitsanforderungen ist das ein ernst zu nehmender Punkt.
Der Dienst finanziert sich über Spenden. Die Spendenseite weist die Monatsziele aus, die Finanzierung ist damit sichtbar, aber nicht institutionell abgesichert.
Die No-Log-Zusage ist Selbstauskunft ohne unabhängiges Audit.
Freie Netze München e. V., Parkstraße 28, 82131 Gauting (VR 206402, Amtsgericht München). Server in München und Wien.
Trägerschaft
Eingetragener Verein
DNSSEC
Validierend.
DNS over QUIC
Der Betreiber nennt den Hostnamen doq.ffmuc.net. DoH über HTTP/3 wird angeboten.
Filterung
Keine. Die Datenschutzrichtlinie des Dienstes sagt: „The resolver operates as a general-purpose recursive DNS service and does not perform content filtering or censorship by default.“
Protokollierung
Die Datenschutzrichtlinie sagt: „The service does not retain identifiable per-user DNS query logs.“ Ausdrücklich genannt werden temporäre Zähler je IP-Adresse für die Begrenzung der Anfragerate.
Endpunkte
Ungefiltert
IPv4
5.1.66.255 · 185.150.99.255
IPv6
2001:678:e68:f000:: · 2001:678:ed0:f000::
DoH
https://doh.ffmuc.net/dns-query
DoT
dot.ffmuc.net
Wofür er spricht
Eingetragener Verein aus der Freifunk-Bewegung mit langjähriger Praxis im Betrieb offener Netze.
Server ausschließlich in der EU, konkret in München und Wien.
Der Betreiber benennt die Ausnahme selbst: temporäre Zähler je IP für Ratenbegrenzung.
Klartext-DNS und verschlüsselte Protokolle stehen beide zur Verfügung.
Was dagegen spricht
Der Gemeinnützigkeitsstatus ist unklar. Die Einrichtungsseite bezeichnet den Verein als gemeinnützig, während die eigene Wiki-FAQ sagt, man sei „wegen fehlender rechtlicher Voraussetzungen nicht gemeinnützig“ und könne keine Spendenquittung ausstellen. Ein Freistellungsbescheid ließ sich nicht auffinden. „e. V.“ allein bedeutet keine Gemeinnützigkeit.
Zwei Standorte, beide im deutschsprachigen Raum. Außerhalb Mitteleuropas ist der Dienst entsprechend langsamer.
Fondation Restena, 2 place de l'Université, L-4365 Esch-sur-Alzette, Luxemburg
Trägerschaft
Stiftung, nationales Forschungs- und Bildungsnetz Luxemburgs
DNSSEC
Validierend.
DNS over QUIC
Nicht dokumentiert.
Filterung
Für den öffentlichen Resolver ist keine Filterung dokumentiert. Die Dienstseite nennt als Eigenschaft die „Guaranteed neutrality, as the resolver does not deliberately modify the collected information before transmitting it“. Die separat angebotene DNS-Firewall ist laut Betreiber nur für angeschlossene Einrichtungen verfügbar.
Protokollierung
Es gibt keine eigene Logging-Richtlinie für den Resolver. Die Dienstseite sagt, die für die Auflösung erhobenen Informationen seien „limited to the minimum necessary for the technical functioning of the service“. Das ist weniger konkret als bei den übrigen Diensten dieser Liste.
Endpunkte
Öffentlicher Resolver
IPv4
158.64.1.29
IPv6
2001:a18:1::29
DoH
https://dnspub.restena.lu/dns-query
DoT
dnspub.restena.lu
Wofür er spricht
Träger ist eine Stiftung mit staatlichem Auftrag, das nationale Forschungs- und Bildungsnetz Luxemburgs. Das ist eine institutionelle Stabilität, die private Projekte nicht bieten können.
Standort und Jurisdiktion Luxemburg, innerhalb der EU.
Ausdrücklich zugesagte Neutralität der Antworten.
Was dagegen spricht
Die Nutzungsbedingungen der Stiftung beschränken die Nutzung ihrer Ressourcen allgemein auf „the community of education, research, culture, health and administration“, während die Seite des öffentlichen Resolvers ausdrücklich die Allgemeinheit anspricht. Dieser Widerspruch ist in den Primärquellen nicht aufgelöst.
Es gibt genau einen öffentlichen Resolver-Host, eine IPv4- und eine IPv6-Adresse. Kein dokumentiertes Anycast, kein Ersatzziel. Die Stiftung empfiehlt selbst, einen zweiten Server einzutragen.
Die Logging-Aussage ist allgemein gehalten. Es gibt keine bezifferte Speicherfrist.
Foundation for Applied Privacy, Verein zur Förderung der digitalen Privatsphäre, ZVR 1254016365, Floragasse 7, 1040 Wien
Trägerschaft
Gemeinnütziger Verein
DNSSEC
Validierend.
DNS over QUIC
Nicht dokumentiert.
Filterung
Keine. Der Betreiber sagt: „We do not provide DNS filter services, our resolvers provide the information they get from the authoritative DNS servers.“
Protokollierung
Die Datenschutzerklärung sagt: „We do NOT log your IP address. We do NOT log your DNS query. We do NOT share query data with third parties.“
Endpunkte
Nur verschlüsselt, kein Klartext-DNS
IPv4
146.255.56.98
IPv6
2a02:1b8:10:234::2
DoH
https://doh.applied-privacy.net/query
DoT
dot1.applied-privacy.net
Wofür er spricht
Gemeinnütziger Verein mit österreichischer Vereinsregisternummer und ausdrücklichem Zweck der Förderung digitaler Privatsphäre.
Sehr klare, dreifach negierte Logging-Zusage ohne Einschränkungen.
DoT wird zusätzlich auf Port 443 angeboten. Das hilft in Netzen, die Port 853 sperren.
Der Betreiber setzt nach eigener Angabe kein EDNS Client Subnet.
Was dagegen spricht
Der Betreiber stuft den Dienst selbst als experimentell ein: „This is an experimental service which is operated on a best effort basis.“ Für produktive oder geschäftskritische Nutzung ist er damit nicht gedacht.
Ein einziger dokumentierter Standort, Wien, und faktisch ein einziges Serverpaar. DoH- und DoT-Endpunkt lösen auf dieselben Adressen auf. Kein Anycast, keine geografische Redundanz.
LibreOps, ein Kollektiv namentlich benannter Freiwilliger aus Griechenland. Server bei Hetzner in Nürnberg.
Trägerschaft
Freiwilligenkollektiv ohne eigene Rechtsform
DNSSEC
Nein, und das ist der wichtigste Punkt bei diesem Dienst. LibreDNS validiert nicht. Die eigene Dokumentation vermerkt bei allen DNS-Stamps „DNSSEC: no“, die veröffentlichte Konfiguration setzt „dnssec=process-no-validate“, und eine Messung am 7. September 2026 bestätigte es: Die absichtlich fehlerhaft signierten Testdomains wurden normal beantwortet, während ein validierender Resolver sie ablehnte.
DNS over QUIC
Nicht dokumentiert.
Filterung
Zwei getrennte Rekursoren. Der Standardendpunkt filtert nicht. Der zweite Endpunkt blockt Werbung und Tracker anhand der öffentlichen Liste von StevenBlack.
Protokollierung
Die Website sagt: „We keep no logs. Logs are disabled for our DNS daemon.“ Anders als bei allen anderen Diensten dieser Liste lässt sich das gegenprüfen: Die vollständige Konfiguration liegt öffentlich, und dort ist die Zugriffsprotokollierung des Webservers abgeschaltet und der Resolver auf „quiet“ gesetzt.
Endpunkte
Nur verschlüsselt, ohne Filter
IPv4
116.202.176.26
IPv6
2a01:4f8:1c0c:8274::1
DoH
https://doh.libredns.gr/dns-query
DoT
dot.libredns.gr
Nur verschlüsselt, mit Werbefilter
DoH
https://doh.libredns.gr/noads
DoT
noads.libredns.gr
Wofür er spricht
Die vollständige Betriebskonfiguration liegt offen. Die No-Log-Zusage lässt sich dadurch technisch nachvollziehen, statt sie nur zu glauben. Das bietet sonst kein Dienst auf dieser Seite.
Die Betreiber sind namentlich benannt, nicht anonym und nicht hinter einer Briefkastenfirma.
Finanzierung ausschließlich über Spenden, mit öffentlich einsehbarem Kassenbuch bei Open Collective. Keine Tarife, keine Werbung, kein Datengeschäft.
Server in Deutschland und damit im EU-Rechtsraum, obwohl das Kollektiv aus Griechenland kommt.
Was dagegen spricht
Keine DNSSEC-Validierung. Wer LibreDNS benutzt, ist gegen gefälschte DNS-Antworten oberhalb des Resolvers nicht geschützt. Für eine Seite über sichere Namensauflösung ist das der schwerste Einwand gegen diesen Dienst, und er wiegt schwerer als die vorbildliche Transparenz.
Ein einziger Server an einem einzigen Standort. Kein Anycast, keine geografische Redundanz, kein Ersatzziel.
Kein Klartext-DNS auf Port 53. Der Dienst ist nur über DoH und DoT erreichbar.
Kein Rechtsträger. Das Kollektiv nutzt Open Collective Europe als Zahlstelle für Spenden; das macht die Stiftung aber nicht zur Betreiberin und begründet keine Haftung für den Dienst.
Nur zwei DoH-Endpunkte und zwei DoT-Namen stehen auf der Website selbst. Weitere Varianten kursieren im Projektwiki und in Apple-Konfigurationsprofilen.
Mullvad Encrypted DNS Abschaltung am 2. November 2026
Mullvad hat am 3. September 2026 angekündigt, den öffentlichen verschlüsselten DNS-Dienst einzustellen und stattdessen Quad9 finanziell zu unterstützen. Der Blogbeitrag trägt den Titel „Shutting down our public encrypted DNS servers and sponsoring Quad9 instead“ und nennt als Datum der Abschaltung den 2. November 2026.
Wer die Adressen 194.242.2.2 bis 194.242.2.9 oder die Hostnamen unter dns.mullvad.net eingetragen hat, sollte jetzt wechseln, nicht erst im November. Der Dienst wird hier nicht mehr empfohlen, sondern nur noch dokumentiert, damit niemand eine Adresse konfiguriert, die in wenigen Wochen nicht mehr antwortet.
Zwei Einschränkungen zur Genauigkeit. Erstens spricht der Blogbeitrag ausdrücklich von den öffentlichen DoH-Servern. Ob die standortfesten Einzelserver und die in das VPN eingebauten Resolver denselben Zeitplan haben, sagt er nicht. Zweitens hatte Quad9 das angekündigte Sponsoring am 6. September 2026 auf keiner eigenen Seite bestätigt. Die Ankündigung ist bislang einseitig.
dns0.eu wird in vielen Empfehlungslisten weiterhin geführt. Der Dienst existiert nicht mehr.
Der Betreiber, ein in Paris eingetragener französischer Verein, kündigte die Einstellung zwischen dem 14. und dem 18. Oktober 2025 an, mit dem Hinweis: „The dns0.eu service has been discontinued. We would have liked to keep it running, but it was not sustainable for us in terms of time and resources.“ Die Domain zeigt inzwischen nur noch eine Parkseite.
Am 6. September 2026 antwortete keine der ehemaligen Adressen mehr, weder 193.110.81.0 noch 185.253.5.0 und auch keine der Varianten ZERO, KIDS oder OPEN. Wer diese Adressen noch eingetragen hat, sollte sie entfernen. Nicht nur, weil sie ausgefallen sind, sondern weil IP-Bereiche später neu vergeben werden können.
AhaDNS wird in vielen Listen weiterhin als datenschutzfreundliche Alternative geführt. Am 7. September 2026 antwortete kein einziger der zehn auf der eigenen Website dokumentierten Standorte mehr.
Von den zehn angegebenen Endpunkten existieren acht nicht einmal mehr als Namenseintrag; die autoritative Abfrage liefert für sie NXDOMAIN. Die verbleibenden zwei, die Standorte Niederlande und Los Angeles, lösen zwar noch auf, nehmen aber keine Verbindung mehr an: Der eine antwortet auf keinem Port, der andere weist die Ports 53, 443 und 853 aktiv zurück.
Die Website nennt die Adressen unverändert weiter. Eine Abschaltungsmeldung gibt es nicht. Wer die Adressen eingetragen hat, sollte sie entfernen.
Ein Verzeichnis, das nur zeigt, was es empfiehlt, verschweigt die Hälfte der Arbeit. Dieser Abschnitt nennt Dienste, die geprüft und aus einem benennbaren Grund nicht aufgenommen wurden.
CIRA Canadian Shield Vertraglich auf Kanada beschränkt
Fachlich wäre dieser Dienst ein Vorbild. Betreiberin ist die Canadian Internet Registration Authority, eine gemeinnützige Körperschaft nach kanadischem Bundesrecht, die zugleich die Landesdomain .ca führt. Der Dienst finanziert sich quer aus den Registrierungsgebühren, nennt eine ausdrückliche Aufbewahrungsgrenze von 24 Stunden, validiert DNSSEC nachweislich und bietet eine wirklich ungefilterte Variante.
Er steht trotzdem nicht in der Liste. Die Nutzungsbedingungen verlangen eine Zusicherung: „You represent and warrant that a) you are an individual resident of Canada“. Wer den Dienst von Deutschland aus einträgt, gibt damit eine Erklärung ab, die nicht stimmt. Technisch erreichbar ist er, das ändert an der Rechtslage nichts. Dazu kommt: Es gibt keinen europäischen Standort, die Antwortzeit lag im Test bei rund 100 Millisekunden.
Für Leserinnen und Leser mit Wohnsitz in Kanada ist er eine sehr gute Wahl. Für alle anderen wäre eine Empfehlung eine Aufforderung zum Vertragsbruch.
Diese drei sind die meistgenutzten öffentlichen Resolver. Sie stehen hier zur Einordnung, nicht als Empfehlung. Alle drei gehören Unternehmen, die ihr Geld an anderer Stelle verdienen, und in allen drei Fällen ist die Zusage zum Umgang mit den Daten eine Selbstauskunft des Unternehmens. Das macht sie nicht schlecht; es macht sie nur zu einer anderen Art von Entscheidung.
Cloudflare
Adressen
1.1.1.1 und 1.0.0.1, gefilterte Varianten 1.1.1.2 und 1.1.1.3
Cloudflare, Inc. ist eine US-Gesellschaft. Die Datenschutzzusage ist ungewöhnlich konkret: Quell-IP-Adressen werden nach eigener Angabe nicht dauerhaft gespeichert, gekürzte Adressen und Protokolldaten innerhalb von 25 Stunden gelöscht. Es gibt eine Ausnahme für höchstens 0,05 Prozent zufällig gesampelter Netzwerkpakete, für die keine Frist genannt wird. Aggregierte Auswertungen dürfen unbegrenzt gespeichert werden. Cloudflare gibt Abfragedaten ohne Client-IP an APNIC Labs weiter. Ein externes Audit ist zugesagt.
Google LLC, US-Gesellschaft. Google Public DNS ist kein Malware-Blocker, behält sich aber sicherheitsbedingte Sperren sowie die Umsetzung gerichtlicher Anordnungen vor. Google sendet EDNS Client Subnet an autoritative Server, die es unterstützen, was die Auflösung geografisch näher macht und zugleich einen gekürzten Teil der Client-Adresse an Dritte weitergibt.
AdGuard Software Limited mit Sitz in Limassol, Zypern. Der Dienst bietet gefilterte und ungefilterte Adressen sowie DoH, DoT, DoQ und DNSCrypt. Die verwendete Filterliste liegt als öffentliches Repository mit offenem Fehlerregister vor, Fehlklassifikationen sind also nachvollziehbar meldbar.
208.67.222.222 und 208.67.220.220, FamilyShield 208.67.222.123 und 208.67.220.123
Cisco Systems, Inc., börsennotierter US-Konzern. Der freie Dienst ist der Einstieg in das kostenpflichtige Cisco Umbrella. Bemerkenswert ist, was fehlt: Eine eigene Datenschutzerklärung für den DNS-Dienst gibt es nicht mehr, die frühere Adresse zeigt nur noch die allgemeine Cisco-Erklärung. Damit fehlen eine No-Log-Zusage und jede veröffentlichte Aufbewahrungsfrist für Abfragedaten. DNSSEC wird validiert. In Frankreich und Portugal hat Cisco den Dienst nach Gerichtsentscheidungen nicht gefiltert, sondern landesweit ganz abgeschaltet.
Konto erforderlich; die Adressen hängen an der eigenen Konfigurations-ID
NextDNS Inc., Delaware, USA. Der Dienst ist kein fertiger Resolver, sondern ein Baukasten: Filterlisten, Sperrzeiten und Protokollierung stellt man selbst ein. Die Datenschutzerklärung sagt wörtlich: „If not specifically requested by the user, no data is logged.“ Wer Auswertungen möchte, schaltet die Protokollierung selbst ein und wählt Aufbewahrungsdauer und Region. Gegen den Dienst spricht die Trägerschaft: eine gewinnorientierte US-Gesellschaft ohne Transparenzbericht, ohne unabhängiges Audit und mit einer Datenschutzerklärung ohne Datum und ohne Versionsverlauf. Auch bei europäischer Log-Region bleibt der Betreiber ein US-Unternehmen.
Kostenlose Profile: 76.76.2.0 ungefiltert, 76.76.2.1 Malware, 76.76.2.2 Werbung und Tracker
Control D bietet ohne Konto mehrere feste Profile mit eigenen Adressen und DoH-Pfaden, darunter ein ungefiltertes. Das Unternehmen unterhält ein öffentliches Compliance-Portal mit herunterladbaren Prüfberichten nach SOC 2 und ISO 27001, was unter den hier genannten Diensten ungewöhnlich ist. Die Kehrseite steht im selben Portal: „If Analytics is enabled, we log DNS queries and metadata (e.g. source IP, hostname, MAC address).“ Ob die Auswertung im Auslieferungszustand aus ist, sagt die Dokumentation nicht.
Wer den Resolver selbst betreibt, tauscht einen fremden Betreiber gegen die eigene Verantwortung. Das ist ein echter Gewinn, aber ein begrenzter, und die Projekte selbst sagen das am deutlichsten.
Bei echter Rekursion, also wenn die eigene Software ab den Root-Servern auflöst, gibt es keinen zentralen Dienst mehr, der die gesamte Abfragehistorie sieht. Dafür laufen die einzelnen Anfragen nun an Root-, TLD- und autoritative Server, und je kleiner das eigene Netz ist, desto weniger verschwinden sie in der Menge. Der Gewinn liegt in der Verteilung, nicht in der Unsichtbarkeit.
Wichtig ist die Unterscheidung, die Werbetexte gern verwischen: Pi-hole, AdGuard Home und blocky sind Filter, keine Resolver. Sie geben die Anfrage weiter. Nur Unbound, Knot Resolver und Technitium lösen selbst auf.
Unbound BSD 3-Clause
Was es ist
Vollwertiger validierender rekursiver Resolver
Herausgeber
NLnet Labs, Niederlande
Unbound löst selbst ab den Root-Servern auf, statt eine Anfrage an einen fremden Resolver weiterzureichen. Damit verschwindet der zentrale Mitleser: Kein einzelner Betreiber sieht mehr die vollständige Abfragehistorie. DNSSEC-Validierung ist eingebaut und in der Standardkonfiguration aktiv, sie braucht allerdings einen gesetzten Vertrauensanker. Die Handbuchseite sagt dazu ausdrücklich: „You must also set trust-anchors for validation to be useful.“ Unbound kann auch als Forwarder über DoT laufen, wenn man die Rekursion nicht selbst machen will.
Träger ist NLnet Labs, eine niederländische Non-Profit-Organisation, die von den niederländischen Steuerbehörden als gemeinnützig anerkannt ist. Sie sagt zur Kontinuität zu, eine Einstellung der Softwarepflege mindestens zwei Jahre im Voraus anzukündigen.
Knot Resolver stammt von CZ.NIC, der Betreiberin der tschechischen Landesdomain .cz. DNSSEC-Validierung ist seit Version 4.0 standardmäßig aktiv. Bemerkenswert ist die Ehrlichkeit der eigenen Dokumentation. Sie warnt ausdrücklich davor, verschlüsseltes DNS mit Privatsphäre gleichzusetzen: „Latest research has proven that encrypting DNS traffic is not sufficient to protect the users' privacy. Therefore, we recommend all users to use a full VPN instead of encrypting just DNS queries.“ Ein Projekt, das die Grenzen des eigenen Produkts benennt, verdient mehr Vertrauen als eines, das sie verschweigt.
Wegen der GPL ist Knot Resolver anders als Unbound nicht ohne Weiteres in geschlossene Geräte einbettbar. Für den Eigenbetrieb spielt das keine Rolle.
Pi-hole ist ein DNS-Sinkhole, kein rekursiver Resolver. Es prüft Anfragen gegen Blocklisten und reicht alles Übrige an einen konfigurierten Upstream weiter. Die technische Basis ist ein dnsmasq-Abkömmling namens FTL.
Zwei Punkte, die oft falsch dargestellt werden. Erstens ist Google 8.8.8.8 als Upstream voreingestellt. Wer Pi-hole installiert und nichts ändert, schickt weiterhin jede nicht geblockte Anfrage an Google, nur gebündelt über eine einzige IP. Zweitens ist DNSSEC-Validierung zwar eingebaut, aber standardmäßig ausgeschaltet.
Verschlüsselten Transport bringt Pi-hole von Haus aus weder zu den Clients noch zum Upstream mit. Wer echte Rekursion will, installiert zusätzlich Unbound und trägt es als lokalen Upstream ein. Die Rekursion leistet dann Unbound, nicht Pi-hole.
Eigener DNS-Server mit Filterung, arbeitet als Forwarder
Herausgeber
AdGuard Software Limited, Zypern
AdGuard Home ist anders als Pi-hole kein Aufsatz auf dnsmasq, sondern ein eigenständiger, in Go geschriebener DNS-Server. Es kann DoH, DoT und DoQ ohne Zusatzsoftware für die eigenen Clients anbieten. Das ist der praktische Vorteil gegenüber Pi-hole: Mobilgeräte können den heimischen Filter auch von unterwegs verschlüsselt erreichen.
Die Option „Enable DNSSEC“ bedeutet nicht, dass AdGuard Home selbst validiert. Es setzt das DO-Bit und verlässt sich auf den Upstream. Wer echte lokale Validierung will, braucht einen validierenden Resolver davor oder dahinter.
Rekursiv arbeitet AdGuard Home nicht. Ein gewählter Upstream sieht weiterhin alle nicht geblockten Anfragen.
Autoritativer Server und rekursiver Resolver in einem
Herausgeber
Technitium
Technitium deckt beides ab: eigene Rekursion ab den Root-Servern einschließlich QNAME-Minimierung nach RFC 9156 oder Forwarder-Betrieb über DoT, DoH und DoQ zu einem öffentlichen Resolver. Es bringt eine Weboberfläche, Blocklisten, einen DHCP-Server und eine HTTP-Schnittstelle mit und kann DoT, DoH und DoQ auch selbst für die eigenen Clients anbieten, DoH dabei über HTTP/1.1, HTTP/2 und HTTP/3.
Für ein Heimnetz oder ein kleines Büro ist das die vollständigste Einzellösung dieser Liste.
dnscrypt-proxy nimmt unverschlüsseltes DNS auf einem lokalen Socket entgegen und schickt es verschlüsselt an einen öffentlichen Resolver. Es unterstützt DNSCrypt, DoH und, was es von den meisten anderen unterscheidet, Anonymized DNSCrypt und Oblivious DoH nach RFC 9230. Diese beiden trennen die Frage „wer fragt“ von der Frage „was wird gefragt“, indem ein Relais dazwischentritt, das den Inhalt nicht sieht, während der Resolver die Client-Adresse nicht sieht.
Der sachliche Unterschied zwischen DNSCrypt und DoH liegt nicht in der Stärke der Verschlüsselung, sondern im Vertrauensanker. DNSCrypt nutzt einen fest hinterlegten öffentlichen Schlüssel des Anbieters ohne Zertifizierungsstelle. DoH nutzt die übliche Zertifikatskette und einen Hostnamen, der ohne Encrypted Client Hello im Klartext übertragen wird. Ein Beobachter sieht bei DoH also üblicherweise, welchen Anbieter man nutzt.
Das Projekt benennt die Grenze selbst: „one still has to trust non-logging DNS servers for actually doing what they pretend to do.“
Die Menüpfade unterscheiden sich zwischen Versionen. Entscheidend ist, welches Protokoll das jeweilige System spricht.
Android
Einstellungen, Netzwerk und Internet, Privates DNS. Dort wird ein DoT-Hostname eingetragen, zum Beispiel dns.quad9.net. Android nutzt ausschließlich DNS over TLS; eine DoH-Adresse oder eine reine IP-Adresse funktioniert an dieser Stelle nicht. Die Einstellung gilt systemweit und auch im Mobilfunknetz.
iOS, iPadOS und macOS
Apple bietet keine Eingabemaske für DoH oder DoT. Verschlüsseltes DNS wird über ein DNS-Konfigurationsprofil gesetzt, das ein Anbieter bereitstellt, oder über eine App, die ein solches Profil installiert. Ein im Netzwerk-Dialog eingetragener DNS-Server bleibt unverschlüsseltes Klartext-DNS.
Windows 11
Einstellungen, Netzwerk und Internet, Adapter, DNS-Serverzuweisung bearbeiten. Nach dem Eintragen einer IP-Adresse lässt sich die DNS-Verschlüsselung auf „Nur verschlüsselt“ stellen, sofern Windows für diese Adresse einen DoH-Endpunkt kennt. Für die Adressen von Quad9 und Cloudflare ist das der Fall.
Linux mit systemd-resolved
In /etc/systemd/resolved.conf die Werte DNS=, DNSOverTLS=yes und DNSSEC= setzen, danach systemctl restart systemd-resolved. Bei DoT gehört hinter die IP-Adresse der Hostname für die Zertifikatsprüfung, etwa 9.9.9.9#dns.quad9.net.
Firefox
Einstellungen, Datenschutz und Sicherheit, DNS über HTTPS. Neben den vorgegebenen Anbietern lässt sich unter „Benutzerdefiniert“ jede DoH-Adresse aus den Tabellen oben eintragen. Diese Einstellung gilt nur für Firefox, nicht für das übrige System.
Router
Der wirksamste Ort, denn die Einstellung erreicht jedes Gerät im Netz, auch Fernseher und Drucker. Viele Router unterstützen nur Klartext-DNS. Dann gehören dort die IPv4- und IPv6-Adressen hinein, und die Verschlüsselung übernimmt ein eigener Resolver im Netz, siehe den Abschnitt „Selbst betreiben“.
Rechtlicher Rahmen in Deutschland
In Deutschland können Rechteinhaber Zugangsanbieter dazu verpflichten lassen, einzelne Domains zu sperren. Der Abschnitt beschreibt die Rechtslage, er bewertet sie nicht.
Rechtsgrundlage ist § 8 des Digitale-Dienste-Gesetzes mit der amtlichen Überschrift „Anspruch auf Sperrung bei Rechtsverletzung“. Der Bundesgerichtshof hat mit Urteil vom 13. Oktober 2022, Aktenzeichen I ZR 111/21, unter dem Titel „DNS-Sperre“ entschieden, unter welchen Voraussetzungen Rechteinhaber einen Zugangsanbieter auf Sperrung in Anspruch nehmen können. Das Gericht beschreibt die Maßnahme technisch so, dass die Zuordnung zwischen Domainname und IP-Adresse auf dem DNS-Server des Zugangsanbieters verhindert wird.
Koordiniert werden diese Verfahren von der Clearingstelle Urheberrecht im Internet, kurz CUII. Sie beschreibt sich als unabhängige Stelle, die von Internetzugangsanbietern und Rechteinhabern gegründet wurde. Zum Juli 2025 hat sie ihr Verfahren umgestellt. Seither gilt der CUII-Verhaltenskodex 2.0, nach dem sich ein Rechteinhaber zunächst an ein deutsches Gericht wendet, das den Sperranspruch prüft. Die CUII begründet den Wechsel damit, dass die Bundesnetzagentur ihr mitgeteilt habe, sich künftig auf ihre Pflichtaufgaben konzentrieren zu wollen.
Die CUII stellt selbst klar, dass die gerichtliche Prüfung auf Freiwilligkeit beruht: „Das ist freiwillige Selbstverpflichtung der CUII-Mitglieder. Denn eigentlich besteht kein Richtervorbehalt.“
Die Bundesnetzagentur grenzt ihre eigene Rolle deutlich ab: „Die Bundesnetzagentur ordnet keine Sperren im Internet an.“ Und: „Die Bundesnetzagentur kann auch weder DNS-Sperren anordnen noch durchsetzen.“ Sie prüft, ob eingerichtete Sperren mit der Verordnung (EU) 2015/2120 über den Zugang zum offenen Internet vereinbar sind.
Zwei Punkte zur Genauigkeit, weil sie oft falsch wiedergegeben werden. Erstens betreffen diese Sperren die Resolver der beteiligten Zugangsanbieter, nicht das Internet als solches. Wer einen anderen Resolver nutzt, ist von ihnen nur dann erfasst, wenn dieser Anbieter denselben Anordnungen unterliegt. Quad9 zeigt, dass das vorkommt: Nach einem französischen Urteil sperrt der Dienst weltweit. Zweitens ist der Umfang öffentlich nachvollziehbar: Die CUII veröffentlicht sowohl die gerichtlichen Anordnungen als auch die älteren Empfehlungen ihres früheren Prüfausschusses.
Die Sperranordnungen richten sich an die Zugangsanbieter, nicht an deren Kundinnen und Kunden. Wer den Resolver wechselt, ändert, wen er fragt. Ob eine konkrete Nutzung zulässig ist, richtet sich nach dem Inhalt, der aufgerufen wird, nicht nach dem verwendeten DNS-Server. Diese Seite ist eine technische Darstellung und keine Rechtsberatung.
Nein. Er verlagert die Sichtbarkeit vom Zugangsanbieter zum neuen Resolver. Die Ziel-IP-Adressen Ihrer Verbindungen und, ohne Encrypted Client Hello, der Servername im TLS-Handshake bleiben sichtbar. Anonymität ist ein anderes Problem und braucht andere Werkzeuge.
DNSSEC oder verschlüsseltes DNS, was brauche ich?
Beides, denn sie lösen verschiedene Probleme. DNSSEC prüft, ob die Antwort echt ist. DoT, DoH und DoQ verbergen die Frage. RFC 4033 sagt zu DNSSEC ausdrücklich: „These extensions do not provide confidentiality.“
Warum funktioniert die IP-Adresse von Digitale Gesellschaft, Artikel10 oder Applied Privacy nicht in meinem Router?
Weil diese Dienste bewusst kein Klartext-DNS auf Port 53 anbieten. Die genannten Adressen antworten nur über DoT auf Port 853 oder DoH auf Port 443. Sie gehören in ein Feld für verschlüsseltes DNS, nicht in das gewöhnliche DNS-Feld.
Ist ein selbst betriebener Resolver privater?
Teilweise. Bei echter Rekursion entfällt der zentrale Resolver, der alles sieht. Dafür laufen die Anfragen an Root-, TLD- und autoritative Server, und in einem sehr kleinen Netz sind sie leichter einer Person zuzuordnen. Der Gewinn liegt also in der Verteilung, nicht in der Unsichtbarkeit.
Reicht es, DoH im Browser einzuschalten?
Für den Browser ja, für das Gerät nein. Alles andere, vom E-Mail-Programm bis zum Betriebssystem-Update, nutzt weiterhin den systemweit eingestellten Resolver. Wer das ganze Gerät schützen will, stellt DNS im Betriebssystem oder im Router ein.
Warum steht Mullvad hier als Warnung und nicht als Empfehlung?
Weil der öffentliche verschlüsselte DNS-Dienst am 2. November 2026 abgeschaltet wird. Das hat Mullvad am 3. September 2026 selbst angekündigt. Eine Adresse zu empfehlen, die in wenigen Wochen nicht mehr antwortet, wäre keine Hilfe.
Wie diese Seite geprüft wurde
Diese Seite behauptet nichts, was nicht belegt ist.
Alle Angaben zu Betreibern, Adressen, Endpunkten, Filterung und Protokollierung stammen aus den offiziellen Seiten, Datenschutzerklärungen und Repositories der jeweiligen Dienste, aus öffentlichen Registern sowie aus den RFCs beim RFC Editor. Alle Abrufe erfolgten am 6. September 2026.
Jede Angabe wurde zweimal erhoben: einmal beim Zusammentragen und einmal in einer getrennten Gegenprüfung, deren Auftrag ausdrücklich lautete, die erste Fassung zu widerlegen. Dabei aufgedeckte Fehler wurden korrigiert oder gestrichen. Zwei Beispiele, damit das nachvollziehbar bleibt: Die vielerorts genannte Adresse dns.digitalcourage.de ist dauerhaft abgeschaltet, und dns0.eu existiert seit Oktober 2025 nicht mehr, steht aber weiterhin in gängigen Empfehlungslisten.
Wo eine Angabe nicht aus einer Primärquelle zu belegen war, steht sie nicht auf dieser Seite. Wo eine Aussage eine Selbstauskunft des Anbieters ist, wird sie als solche gekennzeichnet. Keine der No-Log-Zusagen auf dieser Seite ist unabhängig auditiert; das gilt für alle und ist deshalb bei jedem Dienst mitzudenken.
Zahlen zu Serverstandorten, Nutzerzahlen oder Geschwindigkeit sind bewusst zurückhaltend gehalten. Sie ändern sich schneller, als eine statische Seite gepflegt werden kann.
Wer einen Fehler findet, möge ihn melden. Der Quelltext dieser Seite liegt offen, jede Aussage lässt sich bis zu ihrer Quelle zurückverfolgen.
Quellen
Alle Quellen wurden am 6. September 2026 abgerufen.