Wer in Österreich einen DNS-Server wechselt, denkt meist nur an Geschwindigkeit. Dabei entscheidet der Resolver, den ein Gerät für jede einzelne Namensauflösung anfragt, auch darüber, wer mitliest, welche Rechtsordnung greift und ob Schadseiten automatisch blockiert werden. Drei Anbieter dominieren die Diskussion um private, verschlüsselte DNS-Auflösung: Cloudflare mit 1.1.1.1, die gemeinnützige Schweizer Stiftung Quad9 und der hoch konfigurierbare Dienst NextDNS. Alle drei unterstützen DNS-over-HTTPS und DNS-over-TLS, alle drei sind kostenlos nutzbar, und doch unterscheiden sie sich fundamental in Logging-Politik, Jurisdiktion und Geschäftsmodell.

Der Vergleich bekommt 2026 zusätzliche Brisanz durch ein Urteil, das viele Nutzer noch gar nicht kennen: Das Oberlandesgericht Dresden hat am 6. Dezember 2023 rechtskräftig entschieden, dass Quad9 nicht für angebliche Urheberrechtsverstöße auf fremden Webseiten haftet, obwohl Sony Music genau das vor dem Landgericht Leipzig durchsetzen wollte. Dieses Urteil prägt bis heute, wie Rechtsexperten und Datenschützer über DNS-Resolver als neutrale Infrastruktur sprechen, und es erklärt, warum gerade Quad9 in der DACH-Region einen besonderen Ruf genießt. Dieser Artikel vergleicht Cloudflare, Quad9 und NextDNS anhand aktueller Audits, Benchmarks aus mehreren unabhängigen Quellen, Preisen und konkreter Einsatzszenarien für österreichische Nutzer. Der Vergleich richtet sich sowohl an Privatanwender, die ihren Heimrouter absichern wollen, als auch an IT-Verantwortliche kleiner Unternehmen, die im Zuge der NIS2-Umsetzung ihre Netzwerkinfrastruktur ohnehin neu bewerten müssen.

Was DNS over HTTPS überhaupt leistet

Jede Anfrage an eine Webseite beginnt mit einer DNS-Abfrage, die den Domainnamen in eine IP-Adresse übersetzt. Klassisches DNS läuft unverschlüsselt über Port 53, wodurch Internetanbieter, öffentliche WLAN-Betreiber oder Angreifer im selben Netzwerk exakt sehen, welche Domains ein Gerät ansteuert. DNS-over-HTTPS (DoH) und DNS-over-TLS (DoT) verschlüsseln diesen Datenverkehr und verstecken ihn zusätzlich im normalen HTTPS-Verkehr, was eine gezielte Blockade oder Manipulation deutlich erschwert.

Für Österreich ist das kein rein akademisches Thema. Internetanbieter protokollieren traditionell DNS-Abfragen für eigene Analysen, und ungeschützte öffentliche Netze in Hotels oder Cafés erlauben Dritten das Mitlesen von Anfragen. Ein verschlüsselter Resolver wie Cloudflare, Quad9 oder NextDNS schließt diese Lücke, verändert aber nichts an der grundsätzlichen Vertrauensfrage: Der gewählte Anbieter sieht weiterhin jede angefragte Domain, nur eben verschlüsselt gegenüber Dritten. Deshalb zählt bei der Wahl des DNS-Resolvers vor allem, wie der jeweilige Betreiber mit diesen Daten umgeht und welchem Recht er unterliegt.

Technisch unterscheidet man zusätzlich zwischen DNS-over-HTTPS, das Anfragen über Port 443 im normalen HTTPS-Verkehr versteckt, und DNS-over-TLS, das einen eigenen, verschlüsselten Port 853 nutzt. DoH lässt sich dadurch praktisch nicht von regulärem Webverkehr unterscheiden, was Zensur und gezielte Drosselung erschwert, während DoT für Netzwerkadministratoren leichter erkennbar und damit auch leichter kontrollierbar bleibt. Moderne Betriebssysteme wie Windows 11, macOS und die aktuellen Android-Versionen unterstützen inzwischen beide Protokolle nativ, sodass kein zusätzliches Client-Programm mehr nötig ist, um von einem klassischen, unverschlüsselten Resolver auf Cloudflare, Quad9 oder NextDNS umzusteigen.

Cloudflare 1.1.1.1: Der US-Riese mit Audit-Historie

Cloudflare betreibt 1.1.1.1 seit 2018 in Partnerschaft mit APNIC und positioniert den Dienst durchgehend als kostenlosen, öffentlichen Resolver ohne Konto oder Vertragspflicht. Das Unternehmen selbst hat seinen Sitz in San Francisco und unterliegt damit US-Recht, einschließlich des CLOUD Act, der US-Behörden unter bestimmten Bedingungen Zugriff auf bei US-Unternehmen gespeicherte Daten erlaubt. Cloudflare begrenzt dieses Risiko technisch: Laut eigener Dokumentation speichert der Dienst keine vollständigen Client-IP-Adressen dauerhaft, sondern anonymisiert sie durch Kürzung (letztes Oktett bei IPv4, letzte 80 Bit bei IPv6), und die verbleibenden Transaktionsprotokolle werden laut Cloudflares eigener Datenschutzerklärung zum Public Resolver innerhalb von 24 bis 25 Stunden gelöscht.

Diese Zusagen sind nicht nur Marketing. Eine unabhängige Prüfung durch eine der großen Wirtschaftsprüfungsgesellschaften bestätigte laut Cloudflares Blogbeitrag zu den Ergebnissen der Privacy-Prüfung bereits für den Zeitraum Februar bis Oktober 2019, dass der Dienst wie beschrieben arbeitet. Eine erneute Prüfung deckte den gesamten Zeitraum vom 1. Jänner bis 31. Dezember 2024 ab und kam laut Cloudflares April-2026-Update erneut zu einem positiven Ergebnis. Eine kleine Ausnahme bleibt bestehen: Cloudflare erfasst zufällig gezogene Netzwerkpakete von höchstens 0,05 Prozent des gesamten Datenverkehrs an den Edge-Routern zur Erkennung von DDoS-Angriffen und für Netzwerkdiagnosen. Wer maximale Geschwindigkeit sucht, bekommt mit 1.1.1.1 in mehreren Benchmarks regelmäßig die niedrigste Latenz, dazu Varianten wie 1.1.1.2 (blockiert Malware) und 1.1.1.3 (blockiert Malware und Erwachseneninhalte).

Ein weiterer Vorteil von Cloudflares Ansatz liegt in der Integration. Viele Browser, darunter Firefox, setzen 1.1.1.1 seit Jahren als Standardanbieter für DNS-over-HTTPS ein, wodurch ein großer Teil der Nutzer den Dienst bereits ohne bewusste Entscheidung verwendet. Für Unternehmen bietet Cloudflare zusätzlich das kostenpflichtige WARP+-Angebot, das ab November 2025 als reguläres Monatsabonnement läuft und über die reine DNS-Auflösung hinaus ein vollständiges Tunnel-Produkt darstellt. Für den in diesem Artikel behandelten Vergleich bleibt aber entscheidend, dass die eigentliche DNS-Funktion von 1.1.1.1 komplett kostenlos und ohne Registrierung bleibt, unabhängig davon, ob WARP+ zusätzlich gebucht wird.

Quad9: Die Schweizer Stiftung nach dem Dresden-Urteil

Quad9 wird von einer gemeinnützigen Schweizer Stiftung mit Sitz in Zürich betrieben und finanziert sich über Partner und Spenden statt über Nutzerdaten. Der Dienst unterliegt dem Schweizer Bundesgesetz über den Datenschutz (FADP) und ist laut Quad9s eigenen Angaben zusätzlich an die DSGVO gebunden, sobald Daten von Personen im Europäischen Wirtschaftsraum betroffen sind. Die Aufsicht liegt beim Schweizer Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). In der Praxis bedeutet das: Quad9 erfasst nach eigener Aussage keine IP-Adressen und keine anderen eindeutigen Kennungen, sondern lediglich aggregierte Zähler pro Abfragetyp, Region und blockierter Domain. Eine Korrelation einzelner Anfragen mit einer Person ist damit technisch praktisch ausgeschlossen.

Der entscheidende Vertrauensbeweis kam aber nicht aus einem Audit, sondern aus einem Gerichtssaal. Sony Music Germany wollte Quad9 zwingen, per DNS-Sperre den Zugriff auf angeblich urheberrechtsverletzende Domains zu blockieren. Das Landgericht Leipzig gab Sony am 1. März 2023 zunächst recht. Quad9 legte gemeinsam mit der Gesellschaft für Freiheitsrechte (GFF) Berufung ein, und das Oberlandesgericht Dresden kippte das Urteil am 6. Dezember 2023 vollständig. Laut Quad9s eigenem Blogbeitrag zum Fallausgang stellte das Gericht klar, dass ein DNS-Resolver als neutraler Vermittler keine Verantwortung für Inhalte trägt, die über eine aufgelöste Domain erreichbar sind. Der Wirtschaftsverband eco unterstützte das Verfahren und feierte es laut eco-Pressemitteilung als wichtigen Präzedenzfall für die gesamte deutschsprachige Internetinfrastruktur, während auch das Fachportal Golem laut Golems Berichterstattung über den Sieg berichtete. Quad9 entfernte danach sämtliche zuvor blockierten Domains wieder.

Neben dem juristischen Sieg pflegt Quad9 auch technisch einen konservativen Ansatz. Die Stiftung veröffentlicht ihre Zählmethodik offen: Erfasst werden ausschließlich aggregierte Werte wie die Anzahl der Abfragen pro Transportart (IPv4, IPv6, TCP, UDP, DoT, DoH oder DNSCrypt), die Anzahl der Abfragen aus einer geokodierten Region sowie Zeitstempel der ersten und letzten Abfrage für jede als bösartig eingestufte Domain. Eine Zuordnung zu einer einzelnen Person oder einem einzelnen Gerät ist aus diesen Daten nicht möglich, weil schlicht keine IP-Adresse oder vergleichbare Kennung mitgeschrieben wird. Quad9 betont zudem ausdrücklich, keine Daten zu verkaufen, zu vermieten oder mit Dritten zu teilen, was den Dienst von vielen kommerziellen DNS-Anbietern unterscheidet, deren Geschäftsmodell teilweise auf der Auswertung von Anfragemustern beruht.

NextDNS: Die konfigurierbare Firewall für Privatanwender

NextDNS unterscheidet sich von den beiden anderen Anbietern grundlegend, weil der Dienst nicht als einheitlicher Resolver funktioniert, sondern pro Nutzer ein eigenes Profil mit individueller Konfigurations-ID anlegt. Wer sich registriert, bekommt Zugriff auf granulare Kategorien wie Erwachseneninhalte, Glücksspiel, Gewalt oder soziale Netzwerke, dazu SafeSearch-Erzwingung und eigene Sperrlisten. Laut NextDNS’ eigener Preisseite bietet der kostenlose Tarif 300.000 Abfragen pro Monat mit vollem Funktionsumfang, danach werden Filterung, Protokollierung und kontobasierte Funktionen deaktiviert, während die reine Namensauflösung weiterläuft.

Bei der Protokollierung liegt der große Unterschied zu Quad9. NextDNS schreibt in der eigenen Datenschutzerklärung, dass ohne aktives Nutzerkonto keine Protokolle gespeichert werden. Sobald aber ein Konto aktiv ist, sind Insights und Logging inklusive Client-IP-Adressen und abgefragter Domains standardmäßig eingeschaltet, wenn auch mit einstellbarer Aufbewahrungsdauer und wählbarer Speicherjurisdiktion (EU oder USA). Diese Opt-out-Logik sorgte in der Privacy-Community bereits für Diskussionen, weil sie strenger gelesen werden könnte, als sie in der Praxis umgesetzt ist. Für Familien und kleine Unternehmen überwiegt trotzdem der Nutzen der granularen Kontrolle, zumal NextDNS nach eigenen Angaben monatlich rund 15 Milliarden Anfragen blockiert und damit einen beachtlichen Nutzerstamm bedient.

Praktisch bedeutet die Profil-Architektur von NextDNS auch, dass sich unterschiedliche Regeln für unterschiedliche Geräte im selben Haushalt hinterlegen lassen. Ein Elternteil kann für das Tablet der Kinder eine strenge Konfiguration mit aktivierter Kindersicherung anlegen, während der eigene Laptop über ein zweites, offeneres Profil läuft. Diese Flexibilität hat ihren Preis in der Einrichtung: Jedes Gerät benötigt entweder eine eigene Profil-ID im Router oder in den Netzwerkeinstellungen, was für technisch weniger versierte Nutzer eine höhere Einstiegshürde bedeutet als der simple Adresswechsel bei Cloudflare oder Quad9. NextDNS kompensiert das mit ausführlichen Einrichtungsanleitungen für gängige Router-Modelle, Betriebssysteme und Browser direkt im eigenen Dashboard.

Technische Spezifikationen im direkten Vergleich

Die folgende Tabelle fasst die technischen Eckdaten zusammen, die für eine Entscheidung in Österreich am wichtigsten sind. Alle drei Anbieter unterstützen DNSSEC-Validierung, unterscheiden sich aber deutlich bei Sitz, Logging und Konfigurationsaufwand.

Die Zeilen zu Serveranzahl und unabhängiger Prüfung verdienen besondere Aufmerksamkeit, weil sie sich in öffentlich zugänglichen Quellen nur als Schätzwerte finden lassen und keiner der drei Anbieter eine vollständige, laufend aktualisierte Liste aller Standorte veröffentlicht. Cloudflares große Serverzahl ergibt sich aus dem gesamten Anycast-Netzwerk des Unternehmens, das ursprünglich für Content-Delivery aufgebaut wurde und die DNS-Funktion mitnutzt. Quad9 und NextDNS betreiben dagegen ein kleineres, aber gezielt für DNS-Auflösung ausgelegtes Netzwerk. Für die Praxis bedeutet eine höhere Serverzahl nicht automatisch eine niedrigere Latenz am eigenen Wohnort, weshalb ein lokaler Test mit den eigenen Geräten aussagekräftiger bleibt als die reine Anzahl der weltweiten Standorte.

MerkmalCloudflare 1.1.1.1Quad9NextDNS
FirmensitzSan Francisco, USAZürich, SchweizGlobal verteilt
RechtsrahmenUS-Recht, CLOUD ActSchweizer FADP + DSGVOWählbare Jurisdiktion (EU/USA)
Primäre Adresse1.1.1.19.9.9.9Individuelle Konfig-ID
Logging-PolitikAnonymisiert, 24-25 Std. LöschungKeine IP-Speicherung, nur ZählerOpt-out, standardmäßig aktiv bei Konto
Malware-BlockingNur über Variante 1.1.1.2/1.1.1.3Standardmäßig aktivKonfigurierbar pro Profil
KindersicherungNur 1.1.1.3 (Erwachseneninhalte)Nicht vorgesehenGranulare Kategorien
DNSSECJaJaJa
ProtokolleDoH, DoTDoH, DoT, DNSCryptDoH, DoT
Server/PoPs (Schätzung)300+150+60+
Setup-KomplexitätNiedrig, kein Konto nötigNiedrig, kein Konto nötigHöher, Konto und Profil-ID nötig
Unabhängige PrüfungWiederkehrende Prüfung durch WirtschaftsprüferKein formelles Audit, dafür GerichtsurteilKeine formelle Drittprüfung öffentlich
KostenKostenlosKostenlos, spendenfinanziertKostenlos bis 300.000 Abfragen/Monat, danach ab 1,99 $/Monat

Geschwindigkeit: Was sieben Benchmarks tatsächlich zeigen

Latenzwerte für DNS-Resolver schwanken stark je nach Standort, Testmethode und Tageszeit, weshalb ein einzelner Benchmark selten die ganze Wahrheit zeigt. Ein Blick auf mehrere unabhängige Messungen aus 2025 und 2026 zeichnet trotzdem ein konsistentes Muster: Cloudflare liegt fast immer vorne oder gleichauf, Quad9 schwankt je nach Standort stärker, und NextDNS bewegt sich meist im Mittelfeld, ohne je deutlich abgehängt zu werden.

QuelleCloudflareQuad9NextDNSDatum
SimeonOnSecurity DNS-Vergleich8,2 ms13,1 ms9,7 msAugust 2026
DNSLab Resolver-Benchmark11-13 ms global, ~7 ms Europa20-25 ms global, ~4 ms Europanicht separat ausgewiesenJuli 2026
Bitlaunch Privacy-DNS-Übersicht (22 Standorte)10,9 ms10,1 ms10,5 msMai 2025, aktualisiert August 2026
StateOfSurveillance Encrypted-DNS-Vergleich10-14 ms15-22 ms12-18 msDezember 2025
DNS Benchmark App24,8 ms (P50)38,2 ms (P50)nicht gelistetSeptember 2026

Die Zahlen unterscheiden sich je nach Methodik teils deutlich (10,1 ms gegenüber 38,2 ms für denselben Anbieter Quad9), was zeigt, wie sehr Testaufbau und Standort das Ergebnis prägen. Für Nutzer in Österreich ist die praktische Konsequenz simpel: Der Unterschied zwischen den drei Resolvern liegt fast immer im niedrigen einstelligen bis niedrigen zweistelligen Millisekundenbereich. Das spielt bei Online-Gaming oder Video-Calls eine Rolle, bei normalem Surfen ist es kaum spürbar. Wer die Latenz selbst prüfen will, kann das direkt über die Kommandozeile testen.

dig @1.1.1.1 shattered.io +stats
dig @9.9.9.9 shattered.io +stats
dig @45.90.28.0 shattered.io +stats

Der letzte Befehl misst einen typischen NextDNS-Anycast-Endpunkt. Die Zeile “Query time” in der Ausgabe zeigt die tatsächliche Antwortzeit vom eigenen Netz aus, was aussagekräftiger ist als jede globale Durchschnittsangabe aus einer fremden Studie.

Preise und Tarife: Kostenlos ist nicht immer kostenlos

Bei den Kosten liegen Cloudflare und Quad9 nah beieinander, während NextDNS ein gestuftes Modell für Privatnutzer, Familien und Unternehmen anbietet. Cloudflare verlangt für den reinen DNS-Resolver keinen Cent, unabhängig vom Datenvolumen, weil das Unternehmen den Dienst über sein deutlich größeres Geschäft mit Content-Delivery und Sicherheitsprodukten querfinanziert. Quad9 ist als gemeinnützige Stiftung ohnehin nicht auf Umsatz aus dem Resolver ausgelegt und finanziert sich über Partnerbeiträge und Spenden.

AnbieterTarifPreisLimits
Cloudflare 1.1.1.1Öffentlicher Resolver0 €Kein Limit, kein Konto nötig
Quad9Öffentlicher Resolver0 €Kein Limit, kein Konto nötig
NextDNSFree0 $/Monat300.000 Abfragen/Monat
NextDNSPro (Personal)1,99 $/Monat oder 19,90 $/JahrUnbegrenzte Abfragen, unbegrenzte Profile
NextDNSBusiness19,90 $/Monat pro 50 MitarbeitendeLizenzblöcke à 50 Nutzer
NextDNSEducation19,90 $/Monat pro 250 StudierendeLizenzblöcke à 250 Nutzer

Für ein einzelnes Haushaltsgerät oder einen Laptop reicht das kostenlose NextDNS-Kontingent in aller Regel aus. Erst bei mehreren Geräten in einer Familie mit aktivierten Insights und Protokollierung wird die Grenze von 300.000 Abfragen im Monat schneller erreicht, als man denkt, weil moderne Betriebssysteme und Apps im Hintergrund ständig Domains nachschlagen.

Ein konkretes Rechenbeispiel verdeutlicht das: Ein Haushalt mit vier Geräten, darunter zwei Smartphones, ein Smart-TV und ein Laptop, erzeugt je nach Nutzung leicht mehrere Tausend DNS-Abfragen pro Tag, allein durch Hintergrundsynchronisation, Werbenetzwerke und Update-Prüfungen. Bei durchschnittlich 10.000 Abfragen pro Tag wäre das kostenlose NextDNS-Kontingent bereits nach rund 30 Tagen ausgeschöpft, wodurch Filterung und Protokollierung automatisch deaktiviert würden, bis der nächste Monat beginnt. Für einen Haushalt dieser Größe rechnet sich der Pro-Tarif für 1,99 Dollar pro Monat in der Praxis fast immer, weil die Kosten pro Gerät und Monat unter 50 Cent liegen und alle Filterfunktionen durchgehend aktiv bleiben. Cloudflare und Quad9 kennen diese Rechnung nicht, weil beide Dienste unabhängig vom Abfragevolumen kostenlos bleiben.

Datenschutz und Logging im Detail

Wer den Datenschutz in den Mittelpunkt der Entscheidung stellt, sollte drei Fragen getrennt beantworten: Welche Daten werden erfasst, wie lange werden sie gespeichert, und welchem Recht unterliegt der Betreiber. Bei Cloudflare ist die Antwort technisch stark eingeschränktes Logging (anonymisierte Reste, 24 bis 25 Stunden Aufbewahrung), rechtlich aber US-Jurisdiktion mit CLOUD-Act-Risiko. Bei Quad9 ist die Antwort praktisch kein personenbezogenes Logging überhaupt, rechtlich Schweizer Datenschutzrecht mit expliziter DSGVO-Anwendung für EWR-Bürger. Bei NextDNS lautet die Antwort: konfigurierbar, aber mit aktiviertem Logging als Standardeinstellung bei bestehendem Konto.

Für österreichische Nutzer, die explizit DSGVO-konforme Verarbeitung außerhalb der USA suchen, bleibt Quad9 die konservativste Wahl, weil selbst im Fall einer behördlichen Anfrage schlicht keine zuordenbaren Daten vorliegen, die herausgegeben werden könnten. NextDNS lässt sich zwar so konfigurieren, dass Protokollierung deaktiviert oder auf EU-Server beschränkt wird, verlangt dafür aber eine bewusste Einstellung durch den Nutzer selbst. Wer sich schon mit VPN-Auditberichten beschäftigt hat, etwa im Vergleich von ExpressVPN und Mullvad, erkennt das gleiche Muster: Vertrauen entsteht durch nachprüfbare, technische Garantien und nicht durch bloße Absichtserklärungen in der Datenschutzerklärung.

Malware-Schutz und Kindersicherung im Alltag

Bei der Sicherheitsfunktion zeigt sich der klarste Unterschied zwischen den drei Diensten. Quad9 blockiert unter der Standardadresse 9.9.9.9 automatisch Domains, die auf mehreren Bedrohungsdatenbanken als Malware-, Phishing- oder Botnetz-Infrastruktur gelistet sind, ohne dass eine Konfiguration nötig ist. Nach Angaben aus vergleichenden Fachartikeln umfassen diese Feeds mehrere Millionen als bösartig eingestufte Domains. Cloudflare bietet dieselbe Funktion nur über eine separate Adresse: 1.1.1.2 blockiert Malware, 1.1.1.3 blockiert zusätzlich Erwachseneninhalte, während die Standardadresse 1.1.1.1 komplett ungefiltert bleibt.

NextDNS geht hier am weitesten und positioniert sich selbst als DNS-Firewall statt als reiner Resolver. Nutzer können einzelne Kategorien wie Gambling, Social Media, Erwachseneninhalte oder Tracker gezielt sperren, SafeSearch für Suchmaschinen und YouTube erzwingen und eigene Positiv- und Negativlisten pflegen. Für Familien mit Kindern im Haushalt ist das der praktisch relevanteste Unterschied zu Cloudflare und Quad9, die beide keine granulare Jugendschutzfunktion anbieten. Wer stattdessen browserseitige Filterung ergänzen will, findet ergänzende Ansätze im Vergleich von uBlock Origin und AdGuard, der sich mit Tracker-Blocking auf Anwendungsebene beschäftigt statt auf DNS-Ebene.

Das Dresden-Urteil und seine Folgen für DACH-Nutzer

Der Rechtsstreit zwischen Sony Music und Quad9 lohnt eine genauere Einordnung, weil er weit über den Einzelfall hinausreicht. Sony argumentierte, Quad9 müsse als Diensteanbieter für Urheberrechtsverletzungen haften, die über Domains erreichbar sind, die der Resolver technisch aufgelöst hat, obwohl Quad9 selbst weder Inhalte hostet noch Zugriff kontrolliert. Das Landgericht Leipzig folgte dieser Argumentation zunächst am 1. März 2023 und verpflichtete Quad9 zur Sperrung bestimmter Domains.

Das Oberlandesgericht Dresden hob diese Entscheidung nach der Berufung von Quad9 und der Gesellschaft für Freiheitsrechte am 6. Dezember 2023 vollständig auf. Die zentrale Begründung der Richter: Ein DNS-Resolver spielt keine hinreichend eigene, aktive Rolle bei einer Urheberrechtsverletzung, um als Verletzer im Sinne des Gesetzes behandelt zu werden. Laut Pressemitteilung der Gesellschaft für Freiheitsrechte gilt das Urteil seither als wichtiger Referenzfall für die Frage, wie weit Rechteinhaber Netzinfrastruktur für die Rechtsdurchsetzung heranziehen dürfen. Für Nutzer in Österreich und Deutschland bedeutet das mehr Rechtssicherheit: Ein DNS-Resolver wie Quad9 kann nicht ohne Weiteres zur verlängerten Sperr-Instanz für private Rechteinhaber gemacht werden, was das Vertrauen in die Neutralität dieser Infrastruktur strukturell stärkt.

DSGVO, Schweizer Recht und der US Cloud Act

Die rechtliche Einordnung der drei Anbieter unterscheidet sich strukturell. Die Schweiz gilt gegenüber der EU als Land mit einem von der Europäischen Kommission anerkannten angemessenen Datenschutzniveau, wodurch Quad9 als Schweizer Stiftung ohne zusätzliche Vertragskonstruktionen personenbezogene Daten europäischer Nutzer verarbeiten darf, sofern überhaupt welche anfallen. Die USA verfügen über kein vergleichbares pauschales Angemessenheitsniveau für alle Datenkategorien, weshalb Cloudflare als US-Unternehmen zusätzliche vertragliche Schutzmechanismen einsetzt und sich zugleich öffentlich auf technische Datensparsamkeit beruft, um den praktischen Zugriffsspielraum des CLOUD Act zu minimieren.

Wer sich beruflich mit Netzwerk- und Sicherheitsregulierung in Österreich beschäftigt, kennt das Thema bereits aus einem anderen Kontext: Die NIS2-Umsetzung im NISG 2026 verlangt von betroffenen Unternehmen unter anderem eine dokumentierte Bewertung ihrer Lieferketten- und Infrastrukturrisiken, wozu bei strenger Auslegung auch die Wahl des DNS-Resolvers zählen kann. Für Behörden, Schulen oder Unternehmen mit hohen Compliance-Anforderungen ist die Kombination aus Schweizer Jurisdiktion und Nicht-Speicherung bei Quad9 deshalb häufig die pragmatischere Entscheidung als eine rein technische Bewertung der Latenzwerte.

Für Datenschutzbeauftragte in österreichischen Unternehmen lohnt sich zusätzlich ein Blick auf die Dokumentationspflicht selbst. Wird ein DNS-Resolver im Rahmen einer Risikobewertung nach Artikel 32 DSGVO berücksichtigt, lässt sich bei Quad9 mit wenigen Sätzen begründen, warum kein Verarbeitungsvertrag im Sinne von Artikel 28 DSGVO notwendig ist, weil schlicht keine personenbezogenen Daten verarbeitet werden. Bei Cloudflare und NextDNS empfiehlt sich dagegen die Prüfung, ob ein Auftragsverarbeitungsvertrag vorliegt oder ob die Standardvertragsklauseln der EU-Kommission für den Datentransfer in die USA greifen, sofern personenbezogene Protokolldaten anfallen können.

Nutzerzahlen und Marktposition der drei Dienste

Exakte Nutzerzahlen veröffentlicht keiner der drei Anbieter vollständig, doch einige Indikatoren erlauben eine grobe Einordnung. Cloudflare weist in eigenen Unterlagen zum Jahresabschluss 2025 rund 4.298 sogenannte Großkunden für das Gesamtunternehmen aus, was allerdings das komplette Produktportfolio betrifft und nicht speziell den DNS-Resolver. Da 1.1.1.1 aber in vielen Browsern und Betriebssystemen als Standardvorschlag für DNS-over-HTTPS erscheint, gilt der Dienst in mehreren unabhängigen Vergleichsportalen als der meistgenutzte private Resolver weltweit, ohne dass sich das in einer harten Zahl belegen lässt.

Quad9 veröffentlicht als gemeinnützige Stiftung ebenfalls keine detaillierten Nutzerzahlen, wird aber in europäischen Fachkreisen regelmäßig als eine der wichtigsten nicht-kommerziellen DNS-Infrastrukturen genannt, gerade seit dem Dresden-Urteil. Zivilgesellschaftliche Organisationen wie die Gesellschaft für Freiheitsrechte und der Branchenverband eco empfehlen Quad9 seither aktiv als Referenz für private und institutionelle Nutzer in Deutschland, Österreich und der Schweiz. NextDNS gibt als einziger der drei Dienste eine konkrete Nutzungskennzahl an: Nach eigenen Angaben blockiert die Plattform monatlich etwa 15 Milliarden Anfragen, was auf einen breiten, aktiven Nutzerstamm mit vielen konfigurierten Profilen hindeutet, auch wenn daraus keine exakte Kopfzahl abgeleitet werden kann.

DNS-Lecks selbst testen und die Umstellung überprüfen

Nach jedem Wechsel des Resolvers lohnt sich ein kurzer Funktionstest, weil sich veraltete DNS-Einträge in Router, Betriebssystem oder Browser häufig unabhängig voneinander überschneiden. Ein sogenannter DNS-Leak-Test prüft, welcher Resolver tatsächlich für die Namensauflösung verwendet wird, und deckt auf, ob im Hintergrund noch der alte Resolver des Internetanbieters mitläuft, etwa weil eine App eigene DNS-Einstellungen mitbringt oder ein VPN-Client die Systemeinstellungen überschreibt.

Am zuverlässigsten funktioniert der Test, wenn man vor und nach der Umstellung dieselbe Prüfung wiederholt und die angezeigte IP-Adresse mit der erwarteten Adresse des gewählten Anbieters vergleicht. Erscheint stattdessen die Adresse des eigenen Internetanbieters oder ein völlig fremder Betreiber, greift meist noch eine ältere Konfiguration auf Router- oder Geräteebene. In diesem Fall hilft es, die Reihenfolge aus dem Migrationsleitfaden erneut Schritt für Schritt durchzugehen und insbesondere zu prüfen, ob der Router per DHCP eigene DNS-Adressen an alle Geräte im Netzwerk verteilt, die die manuelle Einstellung auf einem einzelnen Gerät überschreiben.

Fünf Praxisbeispiele: Wer sollte welchen Resolver nutzen

Die beste Wahl hängt stark vom konkreten Anwendungsfall ab, und keiner der drei Anbieter eignet sich gleich gut für jede Situation. Die folgenden Beispiele orientieren sich an typischen Situationen österreichischer Privatanwender und kleiner Unternehmen und zeigen, welche Kombination aus Geschwindigkeit, Datenschutz und Filterfunktion jeweils den Ausschlag gibt.

  • Familie mit schulpflichtigen Kindern: NextDNS mit aktiviertem Kategorie-Blocking für Erwachseneninhalte und Gambling, kombiniert mit SafeSearch-Erzwingung für alle Geräte im Haushalt.
  • Sicherheitsbewusster Einzelnutzer ohne Konfigurationsaufwand: Quad9 unter 9.9.9.9, weil Malware- und Phishing-Blocking ab der ersten Sekunde ohne Konto oder Einrichtung aktiv ist.
  • Gamer und Streaming-Nutzer mit Fokus auf Latenz: Cloudflare 1.1.1.1, das in den meisten Benchmarks die niedrigste oder zweitniedrigste Antwortzeit liefert.
  • Kleinunternehmen mit DSGVO-Anspruch und Kundendaten: Quad9 wegen der Schweizer Jurisdiktion und der praktisch fehlenden Speicherung personenbezogener Daten, ergänzend zur eigenen Dokumentationspflicht nach NIS2 oder DSGVO.
  • IT-Administrator mit mehreren Standorten und eigenen Sperrlisten: NextDNS im Business-Tarif, weil sich Profile zentral verwalten und pro Standort unterschiedlich konfigurieren lassen.
  • Vielreisende in öffentlichen WLAN-Netzen: Cloudflare, weil kein Konto und keine Profil-ID nötig sind und der Dienst auf praktisch jedem Betriebssystem sofort funktioniert.

Zuverlässigkeit im Langzeitbetrieb

Neben Latenz und Datenschutz spielt für den dauerhaften Einsatz auch die Verfügbarkeit eine Rolle, denn ein ausgefallener DNS-Resolver blockiert praktisch die gesamte Internetnutzung eines Geräts. In mehreren der zitierten Vergleichsstudien liegt die gemessene Uptime für 2025 bei Cloudflare um 99,99 Prozent, bei Quad9 um 99,95 bis 99,97 Prozent und bei NextDNS um 99,90 Prozent. Diese Unterschiede wirken auf den ersten Blick winzig, summieren sich über ein Jahr aber zu einem messbaren Unterschied: 99,90 Prozent Uptime entsprechen rechnerisch rund 8,8 Stunden Ausfallzeit im Jahr, während 99,99 Prozent nur etwa 53 Minuten ausmachen.

In der Praxis relativiert sich dieser Unterschied dadurch, dass alle drei Anbieter mehrere Anycast-Standorte betreiben und bei einem lokalen Ausfall automatisch auf den nächstgelegenen Server umleiten. Wer maximale Ausfallsicherheit will, kann zusätzlich einen sekundären Resolver eines anderen Anbieters hinterlegen, sodass ein Gerät bei Erreichbarkeitsproblemen des primären Servers automatisch auf den zweiten zurückgreift. Diese Absicherung kostet nichts, sollte aber nicht mit echter Lastverteilung verwechselt werden, da die meisten Betriebssysteme den sekundären Server nur bei einem vollständigen Ausfall des ersten kontaktieren.

Migrationsleitfaden: In zehn Schritten zum neuen DNS-Resolver

Der Wechsel des DNS-Resolvers lässt sich in wenigen Minuten durchführen, sofern man systematisch vorgeht und den aktuellen Zustand vorher dokumentiert. Der folgende Ablauf funktioniert unabhängig davon, ob am Ende Cloudflare, Quad9 oder NextDNS gewählt wird.

  1. Aktuellen Resolver mit dig oder nslookup dokumentieren, um im Zweifel zurückwechseln zu können.
  2. Anwendungsfall festlegen: reine Geschwindigkeit, maximaler Datenschutz oder Kindersicherung.
  3. Bei NextDNS zuerst ein kostenloses Konto anlegen und die gewünschten Filterkategorien im Dashboard aktivieren.
  4. Unter Windows die Netzwerkeinstellungen öffnen und unter den Adaptereigenschaften die DNS-Server manuell auf die gewählten Adressen setzen.
  5. Unter macOS in den Netzwerkeinstellungen des aktiven Adapters die DNS-Server-Liste anpassen und den Cache mit sudo dscacheutil -flushcache leeren.
  6. Auf Android und iOS die private DNS-Funktion in den WLAN-Einstellungen aktivieren und den jeweiligen DoH/DoT-Hostnamen eintragen.
  7. Router-weite Umstellung im eigenen Heimnetz vornehmen, etwa in der Fritz!Box unter Heimnetz-Netzwerk-Netzwerkeinstellungen, damit alle Geräte automatisch den neuen Resolver nutzen.
  8. Verschlüsselte DNS-Auflösung zusätzlich direkt im Browser aktivieren, etwa unter Firefox-Einstellungen-Datenschutz-DNS über HTTPS.
  9. Mit einem DNS-Leak-Test prüfen, ob wirklich nur der gewünschte Resolver antwortet und kein alter ISP-Resolver mehr sichtbar ist.
  10. Bei spürbaren Problemen die ursprünglichen DNS-Einstellungen aus Schritt 1 wiederherstellen und erst danach den nächsten Anbieter testen.

Die browserseitige Umstellung verdient einen genaueren Blick, weil sie oft übersehen wird, obwohl sie parallel zur Betriebssystem-Einstellung aktiv sein kann. In Firefox findet sich die Option unter Einstellungen, dann Datenschutz und Sicherheit, dort im Abschnitt DNS über HTTPS, wo sich sowohl Cloudflare als auch andere Anbieter über eine benutzerdefinierte URL hinterlegen lassen. Chrome und Edge bieten unter Einstellungen, Datenschutz und Sicherheit, Sicheres DNS eine vergleichbare Option, bei der sich zwischen mehreren vorkonfigurierten Anbietern wählen lässt oder ebenfalls ein eigener DoH-Endpunkt eingetragen werden kann. Wichtig dabei: Ist die Browsereinstellung aktiv, überschreibt sie in vielen Fällen die Systemeinstellung ausschließlich für den Browser selbst, während andere Anwendungen weiterhin über das Betriebssystem auflösen. Für eine konsistente Konfiguration sollten deshalb Browser- und Systemeinstellung auf denselben Resolver zeigen.

Wer parallel auch die Verbindung selbst absichern will, findet in unserer Anleitung WireGuard einrichten eine Ergänzung, die auf Transportebene ansetzt, während der hier beschriebene DNS-Wechsel ausschließlich die Namensauflösung betrifft.

Vorteile und Nachteile der drei Anbieter

Jeder der drei Resolver bringt spezifische Stärken und Schwächen mit, die sich nicht einfach gegeneinander aufrechnen lassen, weil sie unterschiedliche Prioritäten bedienen. Die folgende Übersicht fasst die wichtigsten Punkte aus den vorherigen Abschnitten kompakt zusammen und eignet sich als schnelle Entscheidungshilfe, bevor man sich für einen der drei Dienste entscheidet.

  • Cloudflare 1.1.1.1 – Vorteile: niedrigste Latenz in den meisten Benchmarks, wiederkehrende unabhängige Prüfungen, extrem einfache Einrichtung ohne Konto.
  • Cloudflare 1.1.1.1 – Nachteile: US-Jurisdiktion mit CLOUD-Act-Risiko, kein Malware-Blocking auf der Standardadresse, keine Kindersicherung ohne Adresswechsel.
  • Quad9 – Vorteile: keine Speicherung personenbezogener Daten, Schweizer Jurisdiktion mit DSGVO-Bezug, Malware-Blocking standardmäßig aktiv, gerichtlich bestätigte Neutralität.
  • Quad9 – Nachteile: in manchen Benchmarks höhere Latenz als Cloudflare, keine Kindersicherung, kein offiziell veröffentlichtes technisches Drittaudit.
  • NextDNS – Vorteile: granularste Kontrolle über Filterung und Kindersicherung, wählbare Speicherjurisdiktion, günstiger Pro-Tarif für Vielnutzer.
  • NextDNS – Nachteile: Logging bei Konto standardmäßig aktiv, komplexere Einrichtung durch Profil-IDs, kostenloses Kontingent bei mehreren Geräten schnell ausgeschöpft.

Das Urteil: Welcher DNS-Resolver gewinnt den Vergleich

Es gibt keinen einzelnen Gewinner, weil die drei Anbieter unterschiedliche Probleme lösen. Wer ausschließlich auf Geschwindigkeit optimiert und mit US-Jurisdiktion keine Berührungsängste hat, bekommt mit Cloudflare in den meisten der hier zitierten Benchmarks die niedrigste Latenz, oft im Bereich von 8 bis 13 Millisekunden global. Wer Datenschutz über alles stellt und automatischen Malware-Schutz ohne Konfiguration will, liegt mit Quad9 richtig, dessen fehlende IP-Speicherung und Schweizer Jurisdiktion durch das Dresden-Urteil zusätzlich rechtlich gestärkt wurden, auch wenn die Latenz in einigen Tests bei 20 bis 22 Millisekunden liegt.

Für Familien und alle, die granulare Kontrolle über Inhalte auf Netzwerkebene brauchen, bleibt NextDNS trotz des Opt-out-Loggings die funktionsreichste Option, solange man die Protokollierung im Dashboard aktiv einschränkt. In der Praxis kombinieren viele erfahrene Nutzer beide Ansätze, etwa Quad9 als Standard-Resolver im Heimnetz und NextDNS gezielt für Geräte von Kindern. Wer generell an privater Netzwerkinfrastruktur interessiert ist, findet ergänzende Perspektiven im Vergleich von Cloudflare und Quad9 aus dem Vorjahr sowie im breiteren Privatsphäre-Ressort von shattered.io.

Für österreichische Kleinunternehmen, die gerade ihre NIS2-Pflichten dokumentieren, lohnt sich ein zweistufiger Ansatz: Quad9 als unternehmensweiter Standard-Resolver deckt die Anforderung nach einem nachvollziehbaren, datensparsamen Netzwerkdienst ab, während NextDNS gezielt für Gästenetzwerke oder Schulungsräume mit Filterbedarf ergänzt werden kann. Cloudflare bleibt in diesem Szenario meist die zweite Wahl für Unternehmen, weil die US-Jurisdiktion zusätzliche Prüfschritte in der Dokumentation nach sich zieht, auch wenn die technischen Datenschutzzusagen für sich genommen solide sind. Am Ende zählt weniger die absolute Millisekundenzahl aus einem einzelnen Benchmark als die Frage, ob die rechtliche und funktionale Ausrichtung eines Resolvers zum eigenen Anwendungsfall passt.

Häufig gestellte Fragen

Welcher DNS-Resolver ist 2026 am schnellsten?

In den meisten der hier zitierten Benchmarks liegt Cloudflare 1.1.1.1 vorne oder gleichauf mit Werten zwischen 8 und 13 Millisekunden im globalen Durchschnitt. Quad9 und NextDNS liegen meist nur wenige Millisekunden dahinter, was im normalen Alltag selten spürbar ist.

Ist Quad9 nach dem Sony-Urteil sicher zu nutzen?

Ja. Das Oberlandesgericht Dresden hat am 6. Dezember 2023 rechtskräftig entschieden, dass Quad9 nicht für Inhalte auf Domains haftet, die der Resolver technisch aufgelöst hat. Quad9 hat danach alle zuvor blockierten Domains wieder freigegeben.

Welcher Anbieter loggt am wenigsten Daten?

Quad9 gibt an, grundsätzlich keine IP-Adressen oder andere eindeutigen Kennungen zu speichern, sondern nur aggregierte Zähler. Cloudflare speichert kurzfristig anonymisierte Reste für maximal 24 bis 25 Stunden. NextDNS protokolliert bei aktivem Konto standardmäßig, lässt sich aber auf minimales Logging umstellen.

Kann ich NextDNS dauerhaft kostenlos nutzen?

Der kostenlose Tarif erlaubt 300.000 Abfragen pro Monat mit vollem Funktionsumfang. Für ein bis zwei Geräte reicht das meist aus, bei mehreren Geräten im Haushalt mit aktivierten Insights wird das Kontingent oft schneller erreicht als erwartet.

Blockiert Cloudflare 1.1.1.1 automatisch Malware?

Nein, die Standardadresse 1.1.1.1 filtert nichts. Malware-Blocking gibt es nur über die separate Adresse 1.1.1.2, eine zusätzliche Sperrung von Erwachseneninhalten über 1.1.1.3.

Ja, die Nutzung verschlüsselter DNS-Protokolle ist in Österreich uneingeschränkt legal und wird sogar von modernen Browsern und Betriebssystemen standardmäßig unterstützt.

Wie wechsle ich den DNS-Resolver am Router?

Bei den meisten Heimroutern, etwa der Fritz!Box, lässt sich der DNS-Server zentral in den Netzwerkeinstellungen hinterlegen, wodurch alle verbundenen Geräte automatisch den gewählten Resolver nutzen, ohne dass jedes Gerät einzeln konfiguriert werden muss.

Unterstützen alle drei Anbieter DNSSEC?

Ja, Cloudflare, Quad9 und NextDNS validieren DNSSEC-Signaturen und schützen damit zusätzlich vor gefälschten DNS-Antworten, unabhängig von der jeweiligen Logging-Politik.

Lohnt sich der Wechsel, wenn ich bereits ein VPN nutze?

Ein VPN verschlüsselt zwar die gesamte Verbindung, leitet DNS-Anfragen aber häufig weiterhin über den Resolver des VPN-Anbieters. Wer Kontrolle darüber haben will, welcher Resolver konkret zum Einsatz kommt, sollte die DNS-Einstellungen des VPN-Clients gezielt prüfen und bei Bedarf manuell auf Cloudflare, Quad9 oder NextDNS umstellen.

Kann ich Cloudflare, Quad9 und NextDNS gleichzeitig nutzen?

Technisch lassen sich mehrere DNS-Server als primärer und sekundärer Eintrag hinterlegen, wobei die meisten Betriebssysteme nur den ersten erreichbaren Server konsequent nutzen und nicht zwischen beiden abwechseln. Sinnvoller ist es, pro Gerät oder Anwendungsfall einen Resolver bewusst auszuwählen, statt mehrere gleichzeitig zu mischen.

Warum unterscheiden sich die Benchmark-Werte zwischen verschiedenen Studien so stark?

Latenzmessungen hängen stark vom Standort des Testservers, der Tageszeit, der genutzten Internetanbindung und der Messmethode ab. Ein Test aus Nordamerika liefert für einen europäischen Anbieter andere Werte als ein Test aus Wien, und ein einzelner Messzeitpunkt kann durch kurzfristige Netzwerküberlastung verzerrt sein. Deshalb lohnt sich immer ein eigener Test vom tatsächlichen Wohnort aus, statt sich allein auf eine einzelne veröffentlichte Studie zu verlassen.