Wer heute den DNS-Server seines Routers oder Smartphones wechselt, hat die Wahl zwischen mehreren kostenlosen Anbietern, die DNS over HTTPS (DoH) unterstützen: Cloudflare, Quad9, NextDNS, Google und der schwedische VPN-Anbieter Mullvad. Für Nutzer in Österreich kommt seit 2025 mit DNS4EU eine europäische Alternative dazu. Die Unterschiede liegen nicht nur bei der Geschwindigkeit, sondern vor allem bei Protokollierung, Firmensitz und DSGVO-Relevanz. Dieser Vergleich zeigt, welcher Resolver bei Latenz, Datenschutz und Preis vorne liegt, mit Zahlen aus unabhängigen Benchmarks und den offiziellen Datenschutzrichtlinien der Anbieter.
Die meisten Internetnutzer wechseln nie manuell ihren DNS-Server und bleiben beim Standard des Internetanbieters. Das hat Nachteile: Klassische ISP-DNS-Server protokollieren häufig ausführlich, sind langsamer als spezialisierte Anycast-Netzwerke und lassen sich in vielen Fällen leichter manipulieren als verschlüsselte Alternativen. Der folgende Vergleich richtet sich an alle, die diesen Standard bewusst ersetzen wollen, egal ob aus Datenschutzgründen, wegen der Geschwindigkeit oder wegen eingebauter Filterfunktionen gegen Malware und Werbung.
Was ist DNS over HTTPS und warum betrifft es jede Verbindung?
DNS over HTTPS verschlüsselt die Anfrage, die ein Gerät stellt, bevor es eine Webseite lädt: die Übersetzung eines Domainnamens wie shattered.io in eine IP-Adresse. Ohne Verschlüsselung läuft diese Anfrage im Klartext über Port 53 und kann vom Internetanbieter, in öffentlichen WLANs oder von jedem Netzwerkknoten dazwischen mitgelesen werden. DoH tunnelt die Anfrage stattdessen über HTTPS auf Port 443, also denselben Kanal, den auch normaler Webverkehr nutzt. Das macht die Anfrage schwerer zu blockieren und für Dritte praktisch unlesbar.
Der Unterschied zu DNS over TLS (DoT) liegt im Transportweg: DoT läuft über einen eigenen Port (853) und lässt sich dadurch leichter filtern oder sperren, während DoH im normalen HTTPS-Verkehr untertaucht. Browser wie Firefox und Chrome setzen deshalb standardmäßig auf DoH, Android-Systeme und viele Router unterstützen eher DoT. Wichtig für Österreich: Wer DoH nutzt, verschiebt die Kontrolle über DNS-Anfragen vom lokalen Internetanbieter zu einem der hier verglichenen Resolver-Betreiber. Genau deshalb lohnt sich ein Blick auf deren Firmensitz und Protokollierungspraxis, bevor man sich für einen entscheidet.
Ein zweiter, oft übersehener Vorteil betrifft Manipulationsschutz. Unverschlüsseltes DNS lässt sich auf dem Weg zwischen Gerät und Resolver umleiten, etwa in offenen WLANs an Flughäfen oder Bahnhöfen, wo ein Angreifer im selben Netzwerk gefälschte Antworten einschleusen und Nutzer auf Phishing-Seiten locken kann. DoH signiert die Verbindung über das TLS-Zertifikat des Resolvers, wodurch sich Antworten nicht mehr unbemerkt fälschen lassen. Für Reisende und Nutzer öffentlicher Netzwerke in Österreich ist das ein handfester Sicherheitsgewinn, unabhängig davon, welchen der fünf Anbieter man am Ende wählt.
Kritiker von DoH bringen einen berechtigten Gegenpunkt ein: Wenn Firmen-Firewalls oder Kindersicherungssoftware auf klassischem, unverschlüsseltem DNS-Filtering basieren, umgeht ein im Browser fest eingestellter DoH-Resolver diese Kontrolle, weil die Anfrage nicht mehr am lokalen Filterpunkt vorbeiläuft, sondern verschlüsselt direkt zum gewählten Anbieter geht. Unternehmen lösen das meist über Gruppenrichtlinien, die DoH im Browser deaktivieren und stattdessen zentral auf Netzwerkebene filtern, etwa über eine Firewall wie pfSense oder OPNsense mit eigener DoH-Weiterleitung.
Die Anbieter im Überblick: Cloudflare, Quad9, NextDNS, Google und Mullvad
Cloudflare (1.1.1.1) ist ein börsennotiertes US-Unternehmen mit Sitz in San Francisco und betreibt einen der am weitesten verbreiteten öffentlichen DNS-Resolver überhaupt. Laut eigener Dokumentation speichert Cloudflare keine IP-Adressen dauerhaft, mit Ausnahme zufällig gesampelter Pakete aus maximal 0,05 Prozent des Traffics zu Debugging-Zwecken, die innerhalb von 25 Stunden gelöscht werden (Cloudflare Developer Docs).
Quad9 wird von einer gemeinnützigen Schweizer Stiftung betrieben und verfolgt einen strengeren Ansatz: Laut Datenschutzrichtlinie verlassen Client-IP-Adressen den jeweiligen Server-Standort nie und werden nicht auf Festplatte geschrieben (Quad9 Privacy Policy). Quad9 filtert außerdem standardmäßig Domains, die mit Malware, Phishing oder Command-and-Control-Infrastruktur in Verbindung stehen.
NextDNS positioniert sich als konfigurierbarer Resolver mit granularen Einstellungen zu Logging-Ort und Aufbewahrungsdauer. Google Public DNS (8.8.8.8) unterscheidet zwischen temporären Logs mit vollständiger IP für 24 bis 48 Stunden und anonymisierten Langzeit-Logs. Mullvad DNS gehört zum schwedischen VPN-Anbieter Mullvad und wirbt mit einer strikten No-Logs-Haltung, die auch unabhängig vom eigenen VPN-Dienst nutzbar ist. Alle fünf Anbieter unterstützen sowohl DoH als auch DoT.
Die Historie der Anbieter erklärt einiges an ihrer heutigen Positionierung. Cloudflare startete 1.1.1.1 im April 2018 bewusst als schnellen, werbefreien Gegenentwurf zu den DNS-Servern der Internetanbieter. Quad9 ging 2016 aus einer Kooperation von IBM, der Global Cyber Alliance und dem Packet Clearing House hervor, mit Fokus auf Sicherheitsfilterung statt Geschwindigkeit. Google Public DNS ist mit dem Start 2009 der älteste der hier verglichenen Dienste und legte den Grundstein für öffentliche DNS-Resolver als Massenprodukt. NextDNS kam deutlich später und positionierte sich von Anfang an als konfigurierbare, technisch orientierte Alternative für Nutzer, die mehr Kontrolle wollen als ein einfacher Ein-Klick-Resolver bietet. Mullvad DNS und DNS4EU sind die jüngsten Angebote in diesem Vergleich und stehen beide für den europäischen Gegenentwurf zu den US-dominierten Platzhirschen.
Technische Daten im direkten Vergleich
Die folgende Tabelle stellt die zentralen technischen und rechtlichen Merkmale gegenüber. Sie bildet die Grundlage für die Auswahl, bevor Geschwindigkeit und Preis überhaupt eine Rolle spielen.
| Kriterium | Cloudflare (1.1.1.1) | Quad9 | NextDNS | Google (8.8.8.8) | Mullvad DNS |
|---|---|---|---|---|---|
| Betreiber | Cloudflare Inc. (börsennotiert) | Quad9 Foundation (gemeinnützig) | NextDNS Inc. | Google LLC | Mullvad VPN AB |
| Firmensitz / Jurisdiktion | USA | Schweiz | USA | USA | Schweden (EU) |
| Rechtsform | Kommerziell | Non-Profit | Kommerziell | Kommerziell | Kommerziell, privacy-first |
| IP-Adresse (primär) | 1.1.1.1 | 9.9.9.9 | Individuell pro Konto | 8.8.8.8 | 194.242.2.2 |
| DoH-Support | Ja | Ja | Ja | Ja | Ja |
| DoT-Support | Ja | Ja | Ja | Ja | Ja |
| IP-Protokollierung | Nur gesampelt, 25 Std. | Keine, laut eigener Richtlinie | Konfigurierbar | 24-48 Std. temporär | Keine, laut eigener Richtlinie |
| Malware-Filter | Optional (1.1.1.2) | Standardmäßig aktiv | Konfigurierbar | Nein (Standard) | Optional über Werbeblock-Profile |
| Werbeblocker | Optional (1.1.1.3) | Optionales Profil | Ja, konfigurierbar | Nein | Ja, integriert |
| Unabhängige Prüfung | Externe Privacy-Prüfung laut Cloudflare | Transparenzbericht ohne Nutzerdaten | Keine öffentliche Drittprüfung bekannt | Keine öffentliche Drittprüfung bekannt | An VPN-Audits gekoppelt |
| Kostenloser Tarif | Ja, unbegrenzt | Ja, unbegrenzt | Ja, 300.000 Abfragen/Monat | Ja, unbegrenzt | Ja, unbegrenzt |
Auffällig ist der Unterschied zwischen Cloudflare und Quad9 bei der Protokollierung. Cloudflare speichert kurzfristig aggregierte, anonymisierte Daten auch langfristig und teilt einen Teil davon mit der Netzwerkorganisation APNIC für Forschungszwecke, während Quad9 nach eigener Aussage überhaupt keine Client-IP dauerhaft verarbeitet. Für Nutzer, die DNS over HTTPS primär wegen Datenschutz einsetzen, ist das der entscheidende Unterschied in der Tabelle.
Geschwindigkeit im Test: Wer antwortet am schnellsten?
Latenz entscheidet beim DNS-Resolver über das Nutzererlebnis, denn jede neue Verbindung beginnt mit einer Namensauflösung. Aggregierte Benchmark-Daten aus mehreren Quellen zeigen ein klares Bild: Cloudflare 1.1.1.1 liegt mit einer globalen Durchschnittslatenz von etwa 10 bis 13 Millisekunden regelmäßig an der Spitze. Google 8.8.8.8 folgt mit rund 19 Millisekunden im globalen Schnitt, Quad9 9.9.9.9 liegt bei etwa 20 bis 22 Millisekunden. NextDNS bewegt sich je nach Standort und Auslastung des nächsten Points-of-Presence oft im Bereich um 30 Millisekunden.
Diese Werte stammen aus unabhängigen Auswertungen von DNSPerf-Benchmarks und dem Infrastruktur-Vergleich von dnslab.dev sowie aus konsumentennahen Tests wie dem DNS-Server-Vergleich von WebsiteGeek. Regional zeigt sich ein wichtiges Detail für Österreich: In Europa liegen Cloudflare und Quad9 laut den dnslab.dev-Daten oft nur wenige Millisekunden auseinander (Cloudflare rund 7 ms, Quad9 teils sogar unter 5 ms in europäischen Messpunkten), weil beide über gut ausgebaute Anycast-Netzwerke in der Region verfügen. Der globale Durchschnitt verzerrt also das Bild für europäische Nutzer leicht zugunsten von Cloudflare, tatsächlich liegen die praktischen Unterschiede in Mitteleuropa oft im einstelligen Millisekundenbereich.
Die regionale Aufschlüsselung zeigt, warum der globale Durchschnitt allein wenig über die tatsächliche Erfahrung in Österreich aussagt. Die folgende Tabelle fasst die von dnslab.dev veröffentlichten Regionalwerte zusammen, ergänzt um die globalen Referenzwerte aus dem Konsumenten-Test von WebsiteGeek. Alle drei Quellen messen unabhängig voneinander, kommen aber bei der Rangfolge zwischen Cloudflare, Google und Quad9 zu einem übereinstimmenden Bild, was die Werte insgesamt belastbarer macht als eine einzelne Momentaufnahme.
| Resolver | Europa (Ø) | Nordamerika (Ø) | Asien (Ø) | Global (Ø) |
|---|---|---|---|---|
| Cloudflare (1.1.1.1) | ~7 ms | ~7 ms | ~15 ms | 10-13 ms |
| Google (8.8.8.8) | ~7 ms | ~8,5 ms | ~25 ms | 18-22 ms |
| Quad9 (9.9.9.9) | ~4 ms | ~7 ms | ~30 ms | 20-25 ms |
| NextDNS | variiert nach PoP | variiert nach PoP | variiert nach PoP | ~30 ms |
Bemerkenswert: In Europa liegt Quad9 laut diesen Messwerten teils sogar vor Cloudflare, weil beide Anbieter über dichte Anycast-Knoten in der Region verfügen und die Entfernung zum nächsten Server hier kaum noch ins Gewicht fällt. Der globale Durchschnitt bevorzugt Cloudflare vor allem wegen der besseren Abdeckung in Asien und Ozeanien, für Nutzer in Österreich ist dieser Unterschied in der Praxis kaum spürbar.
Wer selbst testen will, kann die Antwortzeit ohne zusätzliche Software direkt über die Kommandozeile messen und die Ergebnisse der eigenen Verbindung mit den Benchmark-Werten vergleichen.
curl -w "Zeit: %{time_total}s\n" -o /dev/null -s --doh-url https://1.1.1.1/dns-query https://shattered.io
curl -w "Zeit: %{time_total}s\n" -o /dev/null -s --doh-url https://9.9.9.9/dns-query https://shattered.ioDatenschutz und Protokollierung im Detail
Bei Cloudflare unterscheidet die offizielle Dokumentation zwischen temporären und dauerhaften Logs. Temporäre Logs mit Feldern wie Abfragename, Abfragetyp und Antwortzeit werden laut Cloudflare innerhalb von 24 Stunden gelöscht. Dauerhaft gespeichert werden nur aggregierte Zählwerte pro Rechenzentrum sowie anonymisierte Domainlisten, ein Teil davon wird laut Cloudflare mit APNIC für Forschungszwecke geteilt (Cloudflare Developer Docs).
Quad9 geht laut eigener Datenschutzrichtlinie einen Schritt weiter und beschreibt es als Kernprinzip, dass Client-IP-Informationen den jeweiligen Empfangspunkt niemals verlassen und nie länger gespeichert werden, als für die unmittelbare Antwort nötig ist (Quad9 Privacy Policy). Der Transparenzbericht der Stiftung weist zudem aus, dass keine nutzerbezogenen Anfragen nach Strafverfolgungsbehörden für das Jahr 2025 vorlagen, weil schlicht keine zuordenbaren Daten existieren. Damit unterscheidet sich Quad9 grundlegend von Cloudflare: Es gibt schlicht keinen Datensatz, der auf richterliche Anordnung herausgegeben werden könnte, weil er nie entsteht.
Cloudflare wiederum verweist auf eine externe Prüfung seiner Datenschutzzusagen für den 1.1.1.1-Resolver, bei der ein unabhängiger Gutachter die Einhaltung der Zusagen zu Nichtverkauf von Nutzerdaten, fehlender Werbenutzung und der 24-bis-25-Stunden-Löschfrist bestätigt haben soll. Anders als bei Quad9 bleibt hier aber ein Rest an Datenverarbeitung bestehen, selbst wenn er zeitlich eng begrenzt und laut Cloudflare nicht personenbezogen ist. Für sehr datenschutzsensible Anwendungsfälle, etwa Journalisten oder Personen mit erhöhtem Schutzbedarf, ist der Unterschied zwischen keiner Speicherung und kurzfristiger Speicherung nicht nur graduell, sondern kann handlungsrelevant sein.
NextDNS erlaubt es Nutzern, pro Profil festzulegen, ob und wo Logs gespeichert werden, inklusive einer Option für EU-Server. Google Public DNS speichert vollständige IP-Adressen für 24 bis 48 Stunden in temporären Logs, danach nur noch anonymisierte oder gekürzte Werte. Mullvad DNS wirbt, im Einklang mit der VPN-Politik des Unternehmens, mit einer No-Logs-Zusage ohne Aktivitäts- oder Verbindungsprotokolle. Wer maximale Zurückhaltung bei der Protokollierung sucht, landet nach diesen Angaben am ehesten bei Quad9 oder Mullvad DNS, nicht bei den beiden US-Großkonzernen.
Preise im Vergleich: Kostenlos ist nicht gleich kostenlos
Cloudflare, Quad9, Google und Mullvad DNS sind für Privatnutzer vollständig kostenlos und ohne Abfragelimit. NextDNS unterscheidet sich hier deutlich: Der kostenlose Tarif ist auf 300.000 Abfragen pro Monat begrenzt, danach werden Filter und erweiterte Funktionen bis zum nächsten Abrechnungszeitraum deaktiviert (NextDNS Pricing). Für einen Mehrpersonenhaushalt mit mehreren Geräten ist dieses Limit realistisch erreichbar.
| Anbieter | Kostenloser Tarif | Bezahltarif | Preis |
|---|---|---|---|
| Cloudflare (1.1.1.1) | Unbegrenzt | Kein Consumer-Bezahltarif | 0 € |
| Quad9 | Unbegrenzt | Keiner, Finanzierung über Partner/Spenden | 0 € |
| NextDNS | 300.000 Abfragen/Monat | Pro (Einzelperson/Familie) | 1,99 $/Monat bzw. 19,90 $/Jahr |
| Google (8.8.8.8) | Unbegrenzt | Kein Consumer-Bezahltarif | 0 € |
| Mullvad DNS | Unbegrenzt | Gekoppelt an Mullvad VPN (optional) | 0 € eigenständig |
| DNS4EU (Public Service) | Unbegrenzt | Kein Bezahltarif | 0 €, EU-finanziert |
NextDNS-Business-Kunden zahlen laut offizieller Preisliste 19,90 Dollar pro Monat je Block von 50 Mitarbeitern, was umgerechnet unter einem Dollar pro Nutzer und Monat liegt. Für Bildungseinrichtungen gilt ein ähnliches Modell: 19,90 Dollar pro Monat decken bis zu 250 Schüler oder Studierende ab, ein Preis, der für Schulen in Österreich mit begrenztem IT-Budget durchaus attraktiv ist. Der Pro-Tarif für Einzelpersonen kostet 1,99 Dollar im Monat oder 19,90 Dollar im Jahr bei jährlicher Zahlung, was einer Ersparnis von rund 17 Prozent gegenüber der monatlichen Abrechnung entspricht.
Für Privatanwender in Österreich bleibt die Rechnung dennoch simpel: Wer kein granulares Logging-Management oder gerätespezifische Profile braucht, bekommt die gleiche Kernfunktion bei Cloudflare, Quad9, Google, Mullvad DNS und DNS4EU vollständig gratis. Der Umstieg auf einen Bezahltarif lohnt sich erst, wenn konkrete Zusatzfunktionen wie individuelle Geräteprofile, ein Analytics-Dashboard oder EU-Serverauswahl für Logs den Ausschlag geben.
DNS4EU: Die europäische Alternative für Österreich
Seit dem 17. Juni 2025 ist der öffentliche DNS4EU-Dienst live, ein von der EU finanziertes Projekt unter Aufsicht der europäischen Cybersicherheitsagentur ENISA. Betrieben wird die Infrastruktur von einem Konsortium unter Führung des tschechischen Sicherheitsunternehmens Whalebone, gehostet vollständig innerhalb der EU. Nach eigenen Angaben des Projekts wurden binnen kurzer Zeit rund 90.000 Nutzer angebunden, mit einem Durchsatz von etwa 60 Millionen Abfragen pro Stunde (DNS4EU Public Service).
DNS4EU bietet fünf Resolver-Profile mit unterschiedlicher Filterung: eine reine Schutzfunktion gegen Malware und Phishing, eine Variante mit Kinderschutz, eine mit Werbeblocker, eine Kombination aus beidem sowie ein ungefilterter Modus. Alle Profile sind über eigene DoH-Endpunkte unter der Domain joindns4.eu erreichbar. Der Dienst ist laut Projektseite nicht geografisch gesperrt, aber gezielt auf EU-Bürger ausgerichtet, Nutzer in Österreich können die IP-Adressen direkt in Router, Betriebssystem oder Browser eintragen, ganz ohne Registrierung.
| Profil | Funktion | IPv4 | DoH-Endpunkt |
|---|---|---|---|
| Protective Resolution | Malware- und Phishing-Schutz | 86.54.11.1 | protective.joindns4.eu/dns-query |
| Protective + Child Protection | Schutz plus Kinderschutzfilter | 86.54.11.12 | child.joindns4.eu/dns-query |
| Protective + Ad Blocking | Schutz plus Werbeblocker | 86.54.11.13 | noads.joindns4.eu/dns-query |
| Vollschutz (Kind + Werbung) | Schutz, Kinderschutz und Werbeblocker | 86.54.11.11 | child-noads.joindns4.eu/dns-query |
| Unfiltered Resolution | Keine Filterung | 86.54.11.100 | unfiltered.joindns4.eu/dns-query |
Betrieben wird das gesamte Setup vom Konsortium unter Whalebone-Führung, mit Servern ausschließlich innerhalb der EU. Das unterscheidet DNS4EU technisch nicht grundlegend von den anderen Anbietern in diesem Vergleich, der Unterschied liegt in der Governance: ein EU-finanziertes, unter ENISA-Aufsicht stehendes Projekt statt eines privaten US- oder Schweizer Unternehmens.
Der strategische Punkt hinter DNS4EU ist die Datenhoheit: Anfragen bleiben auf Servern innerhalb der EU und unterliegen damit direkt der DSGVO, ohne den Umweg über US-Anbieter. Für Behörden, Schulen und Unternehmen in Österreich, die aus Compliance-Gründen keine DNS-Daten in die USA senden wollen, ist das ein reales Argument, auch wenn die Rohleistung laut bisher verfügbaren Daten noch nicht ganz an Cloudflares Anycast-Netzwerk heranreicht.
DSGVO und US-Anbieter: Was Nutzer in Österreich beachten sollten
Warum DNS-Anfragen personenbezogene Daten sein können
Eine DNS-Anfrage besteht aus einer IP-Adresse und einem angefragten Domainnamen. Kombiniert ergibt das ein Nutzungsprofil, das unter die DSGVO-Definition personenbezogener Daten fallen kann. Wird diese Anfrage an einen Resolver in den USA geschickt, etwa Cloudflare oder Google, stellt sich die Frage nach einer internationalen Datenübermittlung im Sinne von Kapitel V der DSGVO (gdpr-info.eu). Das gilt selbst dann, wenn der Anbieter wie Cloudflare betont, keine personenbezogenen Daten dauerhaft zu speichern, denn schon die kurzzeitige Verarbeitung während der Anfrage fällt grundsätzlich in den Anwendungsbereich der Verordnung.
Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs gilt für Übermittlungen an US-Unternehmen eine erhöhte Prüfpflicht, weil US-Überwachungsgesetze wie FISA 702 US-Behörden Zugriff auf Daten bei dort ansässigen Unternehmen erlauben können, unabhängig von Standardvertragsklauseln. Datenschutzorganisationen wie noyb weisen regelmäßig darauf hin, dass diese Problematik nicht nur Cloud-Dienste, sondern auch scheinbar triviale Infrastruktur wie DNS-Resolver betrifft. Für Privatpersonen ist die Nutzung von Cloudflare oder Google DNS rechtlich unproblematisch, für Behörden, Schulen und Unternehmen mit Verantwortung für die Daten Dritter kann ein EU-basierter Resolver wie Quad9, Mullvad DNS oder DNS4EU die risikoärmere Wahl sein.
Was das für IT-Verantwortliche in Österreich konkret bedeutet
Ein Unternehmen, das personenbezogene Daten verarbeitet und DNS-Anfragen über einen US-Anbieter leitet, muss diese Verarbeitung in der Regel im Verzeichnis von Verarbeitungstätigkeiten dokumentieren und eine Rechtsgrundlage für die Übermittlung nachweisen können. Standardvertragsklauseln allein reichen laut Schrems-II-Rechtsprechung nicht automatisch aus, wenn im Zielland ein behördlicher Zugriff ohne wirksamen Rechtsschutz möglich bleibt. Praktisch bedeutet das: Wer auf Nummer sicher gehen will, dokumentiert entweder eine Risikoabwägung für die Nutzung von Cloudflare oder Google, oder wechselt für unternehmenskritische Systeme direkt zu Quad9, Mullvad DNS oder DNS4EU, wo diese Diskussion gar nicht erst nötig wird.
Sicherheitsvorfälle und Ausfälle 2025/2026
Am 14. Juli 2025 fiel der 1.1.1.1-Resolver von Cloudflare weltweit für 62 Minuten aus, von 21:52 bis 22:54 UTC. Laut dem offiziellen Cloudflare-Postmortem lag die Ursache in einem internen Konfigurationsfehler bei der Verwaltung von BGP-Ankündigungen im Zusammenhang mit einer noch nicht produktiven Topologie der Data Localization Suite. Eine Änderung an diesem Tag löste eine globale Routing-Aktualisierung aus, die Adressbereiche wie 1.1.1.0/24 und 1.0.0.0/24 versehentlich aus dem Produktivnetz entfernte (Cloudflare-Postmortem). Während dieser Zeit funktionierte für viele betroffene Geräte keine Namensauflösung mehr, praktisch der gesamte Internetzugang stand still, ohne dass die eigentliche Verbindung gestört war.
Cloudflare verzeichnete 2025 weitere, unabhängig davon stehende Ausfälle bei anderen Diensten, etwa am 12. Juni (Workers-KV-Infrastruktur, 2 Stunden 28 Minuten) und am 18. November (Bot-Management-Konfiguration). Für Google Public DNS meldet die offizielle Statusseite von Google Cloud im gleichen Zeitraum keine vergleichbaren Vorfälle für den DNS-Dienst. Das zeigt einen relevanten Kompromiss: Wer auf einen einzelnen, sehr schnellen Anbieter setzt, trägt auch dessen Ausfallrisiko, ein zweiter, unabhängiger Resolver als Fallback in Router oder Betriebssystem reduziert dieses Risiko in der Praxis erheblich.
Unabhängige Netzwerkbeobachter wie ThousandEyes analysierten den Juli-Ausfall parallel zu Cloudflares eigenem Bericht und bestätigten den zeitlichen Ablauf: Der Resolver wurde ab rund 21:50 UTC unerreichbar, eine zunächst vermutete BGP-Kaperung durch ein fremdes Autonomes System stellte sich als Nebeneffekt heraus, nicht als Ursache. Für Nutzer in Österreich, die an diesem Abend betroffen waren, lässt sich der Vorfall im Nachhinein an einem einfachen Kriterium erkennen: Webseiten waren per IP-Adresse weiterhin erreichbar, per Domainnamen aber nicht, ein klares Zeichen für ein DNS-Problem statt eines allgemeinen Internetausfalls.
Malware- und Werbeblockierung im Vergleich
Quad9 blockiert in der Standardkonfiguration Domains, die laut Bedrohungsdaten mehrerer Partner mit Malware, Phishing oder Command-and-Control-Servern in Verbindung stehen, ganz ohne Zusatzkonfiguration. Cloudflare bietet diese Funktion über separate IP-Adressen an: 1.1.1.2 blockiert Malware, 1.1.1.3 blockiert zusätzlich Erwachseneninhalte. NextDNS erlaubt die granularste Konfiguration mit einzeln zuschaltbaren Blocklisten für Werbung, Tracker, Malware und Social-Media-Widgets, verwaltet über ein Weboberfläche-Profil pro Gerät.
Google Public DNS verzichtet bewusst auf jede Form von Filterung und liefert nur die technisch korrekte Antwort, ohne Inhaltsbewertung. Mullvad DNS bietet über separate Endpunkte ebenfalls einen integrierten Werbeblocker an. DNS4EU deckt mit seinen fünf Profilen den gesamten Bereich von ungefiltert bis Schutzfunktion plus Kinderschutz plus Werbeblocker ab, kombiniert in einer einzigen Konfiguration je nach gewähltem Endpunkt.
Für Eltern in Österreich, die einen einfachen, geräteübergreifenden Kinderschutz ohne separate Software suchen, ist das DNS4EU-Profil mit Kinderschutzfilter oder die entsprechende Konfiguration bei NextDNS meist die unkomplizierteste Lösung, weil die Filterung direkt auf Netzwerkebene greift und nicht pro App einzeln eingerichtet werden muss. Wichtig zu wissen: DNS-basierte Filter lassen sich von technisch versierten Nutzern umgehen, etwa durch manuelles Setzen eines anderen Resolvers auf dem Gerät selbst, sie ersetzen also keine vollständige Kindersicherung, sondern nur eine erste Schutzebene.
Browser-Unterstützung: Firefox, Chrome und Edge
Firefox bringt DoH standardmäßig mit und nutzt in vielen Regionen Cloudflare als Standard-Resolver, lässt sich in den Netzwerkeinstellungen aber auf jeden beliebigen DoH-Endpunkt umstellen, etwa auf Quad9 oder DNS4EU. Chrome bezeichnet die Funktion als Secure DNS und aktualisiert automatisch auf DoH, sofern der aktuell konfigurierte Resolver einen kompatiblen Endpunkt anbietet, zusätzlich lässt sich manuell aus einer Liste vorkonfigurierter Anbieter wählen oder eine eigene DoH-URL eintragen. Microsoft Edge übernimmt die Chromium-Basis und bietet dieselbe Secure-DNS-Funktion inklusive Unternehmensrichtlinien für zentrale Vorgaben.
Wichtig für Nutzer in Österreich: Die Browser-Einstellung überschreibt nur die Namensauflösung innerhalb des Browsers, nicht systemweit. Andere Anwendungen wie E-Mail-Clients oder Spiele nutzen weiterhin den in Windows, macOS oder im Router hinterlegten DNS-Server. Wer konsistenten Schutz will, muss den DoH-Resolver zusätzlich auf Betriebssystem- oder Router-Ebene konfigurieren, nicht nur im Browser.
Mobile Betriebssysteme gehen einen eigenen Weg: iOS und Android unterstützen DoH und DoT über sogenannte Profile beziehungsweise die private DNS-Einstellung, die systemweit für alle Apps gilt, nicht nur für den Browser. Auf Android lässt sich das unter Einstellungen, Netzwerk und Internet, Privates DNS konfigurieren, dort reicht die Eingabe des Hostnamens eines DoT-Endpunkts wie dns.quad9.net. Für Nutzer, die sowohl am Desktop als auch am Smartphone denselben Resolver einsetzen wollen, ist die konsistente Konfiguration auf beiden Ebenen der entscheidende Schritt, sonst gilt am Smartphone weiterhin der DNS-Server des Mobilfunkanbieters.
Fünf Praxisbeispiele: Welcher Resolver passt zu wem?
Die technischen Daten und Benchmarks beantworten noch nicht die praktische Frage, welcher Resolver zur eigenen Situation passt. Die folgenden sieben Beispiele decken die häufigsten Anwendungsfälle ab, von der Einzelperson bis zur öffentlichen Verwaltung.
- Privatperson ohne Zusatzanforderungen: Cloudflare 1.1.1.1 liefert die niedrigste gemessene Latenz und ist ohne Registrierung sofort einsatzbereit, ideal für alle, die einfach nur eine schnelle, verschlüsselte Namensauflösung wollen.
- Familie mit Kindern im Haushalt: Das DNS4EU-Profil child.joindns4.eu kombiniert Malware-Schutz mit Kinderschutzfilterung, komplett kostenlos und mit Serverstandort in der EU.
- Kleinunternehmen mit DSGVO-Pflichten: Quad9 oder DNS4EU vermeiden die Diskussion um internationale Datenübermittlung, weil Anfragen entweder gar nicht gespeichert (Quad9) oder ausschließlich in der EU verarbeitet werden (DNS4EU).
- Power-User mit mehreren Geräten und Kontrollbedarf: NextDNS erlaubt geräteweise Profile, eigene Blocklisten und ein Analytics-Dashboard, das 300.000-Abfragen-Limit im Gratistarif sollte man dabei im Blick behalten.
- Mullvad-VPN-Nutzer: Wer bereits Mullvad für ein VPN einsetzt, kann denselben No-Logs-Anspruch konsistent auf die DNS-Ebene ausweiten und muss keinem zusätzlichen Anbieter vertrauen.
- Behörde oder Bildungseinrichtung mit Compliance-Vorgaben: DNS4EU bietet EU-Datenhoheit ohne Kosten und mit ENISA-Aufsicht im Hintergrund, ein Argument, das sich in einer Ausschreibung oder einem Datenschutz-Folgenabschätzung leichter begründen lässt als die Nutzung eines US-Anbieters.
- Reisende in öffentlichen WLANs: Cloudflare oder Quad9 als DoH-Resolver auf dem Smartphone verhindern, dass ein manipuliertes Hotspot-Netzwerk DNS-Antworten fälscht und auf Phishing-Seiten umleitet, unabhängig davon, welches Netzwerk gerade genutzt wird.
Vor- und Nachteile der einzelnen Anbieter
Cloudflare punktet mit der niedrigsten gemessenen Latenz und großer Verbreitung, der Nachteil ist der US-Firmensitz und die Datenweitergabe anonymisierter Aggregate an APNIC. Quad9 bietet die strengste öffentlich dokumentierte No-Logs-Politik und aktive Malware-Filterung, ist dafür bei reiner Rohgeschwindigkeit im globalen Schnitt etwas langsamer als Cloudflare. NextDNS liefert die granularste Kontrolle über Filter und Profile, verlangt dafür ab 300.000 Abfragen im Monat ein Upgrade auf einen Bezahltarif.
Google Public DNS ist zuverlässig und schnell, bringt aber keinerlei Filterfunktion mit und liegt als US-Konzern in derselben rechtlichen Grauzone wie Cloudflare. Mullvad DNS überzeugt bei Datenschutz und EU-Sitz, hat aber ein kleineres Anycast-Netzwerk als die großen US-Anbieter, was sich in etwas höherer Latenz in manchen Regionen zeigen kann. DNS4EU ist die jüngste Option und bietet EU-Datenhoheit plus flexible Filterprofile kostenlos, das Netzwerk ist mit Stand 2025/2026 aber noch deutlich kleiner als das von Cloudflare oder Google und dementsprechend weniger battle-tested.
Ein Muster zieht sich durch alle fünf Anbieter: Geschwindigkeit und maximale Datensparsamkeit stehen selten gleichzeitig an der Spitze. Cloudflare gewinnt bei Latenz, verliert aber Punkte bei der Datenverarbeitungsphilosophie. Quad9 und Mullvad DNS liegen bei den Logging-Zusagen vorne, opfern dafür einen Teil der Rohgeschwindigkeit. Wer beides möchte, sollte die Entscheidung eher an den eigenen Anwendungsfall koppeln als an eine einzelne Kennzahl.
Ein weiterer Aspekt betrifft die Update-Geschwindigkeit bei Sicherheitslücken oder Bedrohungsdaten. Quad9 aktualisiert seine Blocklisten laufend aus mehreren Threat-Intelligence-Quellen gleichzeitig, was tendenziell zu einer breiteren, aber möglicherweise etwas trägeren Abdeckung führt als bei einem einzelnen, spezialisierten Feed. Cloudflares Malware-Variante 1.1.1.2 stützt sich auf eigene Bedrohungsdaten aus dem Cloudflare-Netzwerk, das durch seine Position als CDN-Betreiber Angriffe teils früher sieht als klassische Blocklisten-Anbieter. Für den Alltag macht dieser Unterschied selten den entscheidenden Ausschlag, in stark regulierten Branchen kann die Herkunft und Aktualisierungsfrequenz der Bedrohungsdaten aber Teil einer Risikobewertung sein.
Migrationsanleitung: DNS over HTTPS in 12 Schritten einrichten
Der Wechsel zu einem neuen DoH-Resolver dauert auf den meisten Geräten unter zehn Minuten. Diese Anleitung deckt Firefox, Windows und den Router ab, die drei häufigsten Einstiegspunkte. Wer bereits einen Resolver nutzt und nur wechseln möchte, etwa von Google zu Quad9, folgt denselben Schritten und trägt einfach die neue Adresse anstelle der alten ein, ein Neustart des Geräts stellt danach sicher, dass keine alten DNS-Antworten mehr aus dem Cache bedient werden.
- Firefox öffnen und in die Adressleiste about:preferences eingeben.
- Ganz nach unten zu Netzwerkeinstellungen scrollen und auf Einstellungen klicken.
- Bei DNS über HTTPS die Option Aktiviert wählen.
- Unter Anbieter auswählen den gewünschten Resolver eintragen, etwa Quad9 oder eine eigene URL wie https://noads.joindns4.eu/dns-query für DNS4EU mit Werbeblocker.
- Für Chrome oder Edge: Einstellungen, Datenschutz und Sicherheit, Sicherheit öffnen.
- Sicheres DNS aktivieren und Mit einem benutzerdefinierten Anbieter wählen.
- Die DoH-URL des gewünschten Resolvers eintragen, etwa https://dns.quad9.net/dns-query.
- Für Windows 11 systemweit: Einstellungen, Netzwerk und Internet, den aktiven Adapter öffnen.
- Bei DNS-Servereinstellungen auf Bearbeiten klicken und Manuell wählen.
- IPv4 aktivieren, bevorzugte und alternative DNS-IP eintragen sowie DNS über HTTPS auf Nur verschlüsselt stellen.
- Für den gesamten Haushalt: Im Router-Menü (meist unter Internet oder WAN) die DNS-Server manuell auf die gewählten Resolver-IPs setzen, sofern der Router DoH oder zumindest DoT unterstützt.
- Mit dem oben gezeigten curl-Befehl oder einer Testseite wie dnsleaktest.com prüfen, ob die Anfragen tatsächlich über den neuen Resolver laufen.
Wichtig bei der Migration: DNS over HTTPS auf Betriebssystemebene und ein aktiviertes VPN können sich gegenseitig aushebeln, wenn beide unterschiedliche Resolver vorschreiben. Bei Konflikten gewinnt in der Regel die Anwendung, die zuletzt gestartet wurde, im Zweifel lohnt sich ein Neustart nach der Umstellung.
Nach der Umstellung lohnt sich ein kurzer Funktionstest der eigenen Geräte über mehrere Tage, bevor man den alten Resolver als Fallback vollständig entfernt. Manche Heimnetzwerk-Router cachen alte DNS-Einträge länger als erwartet, ein einfacher Neustart des Routers nach der Umstellung beugt Verwirrung durch veraltete Antworten vor. Wer mehrere Familienmitglieder oder Mitarbeiter betreut, sollte die neue Konfiguration schriftlich festhalten, etwa welcher Resolver mit welchem Filterprofil auf welchem Gerät aktiv ist, damit spätere Fehlersuche nicht bei null beginnt.
Häufige Fehler bei der DoH-Konfiguration
Der häufigste Fehler ist eine halbe Migration: Nutzer stellen DoH im Browser um, lassen aber den systemweiten DNS-Server unverändert. Andere Anwendungen laufen dann weiter über den alten, unverschlüsselten Resolver, während nur der Browserverkehr geschützt ist. Wer den Wechsel konsequent durchziehen will, konfiguriert Browser, Betriebssystem und Router mit demselben Resolver, statt sich auf eine einzelne Ebene zu verlassen.
Ein zweiter Fehler betrifft doppelte Verschlüsselung durch Router und Endgerät gleichzeitig, wenn beide auf unterschiedliche DoH-Anbieter eingestellt sind. Das führt nicht zu einem Sicherheitsproblem, aber zu unnötiger Komplexität bei der Fehlersuche, weil nicht mehr klar ist, welcher der beiden Resolver tatsächlich antwortet. Am saubersten ist es, die Konfiguration an einer einzigen Stelle vorzunehmen, etwa zentral im Router, und die Einstellungen auf Geräteebene auf Automatisch zu belassen.
Ein dritter, in Firmenumgebungen häufiger Fehler: DoH wird aktiviert, ohne die bestehende Netzwerküberwachung oder Firewall-Regeln anzupassen. Wenn Sicherheitstools auf Basis von DNS-Anfragen Alarm schlagen sollen, etwa bei einer Verbindung zu einer bekannten Malware-Domain, funktioniert das nur, wenn diese Tools selbst Zugriff auf den DoH-Verkehr haben oder die Filterung direkt am Resolver stattfindet, etwa über Quad9 oder ein entsprechend konfiguriertes NextDNS-Profil.
Unser Urteil: Welcher DNS-Resolver gewinnt?
Bei reiner Geschwindigkeit liegt Cloudflare mit rund 10 bis 13 Millisekunden globaler Durchschnittslatenz vorne, gefolgt von Google mit etwa 19 Millisekunden und Quad9 mit rund 20 bis 22 Millisekunden, wobei die Unterschiede in Europa laut den ausgewerteten Benchmarks oft nur wenige Millisekunden betragen. Beim Datenschutz dreht sich das Bild: Quad9 und Mullvad DNS dokumentieren die konsequentesten No-Logs-Zusagen, während Cloudflare und Google als US-Unternehmen zumindest kurzfristig Daten verarbeiten und rechtlich der US-Jurisdiktion unterliegen.
Für die meisten Privatnutzer in Österreich ist Cloudflare 1.1.1.1 der pragmatische Standard, schnell, kostenlos, ohne Anmeldung. Wer Wert auf EU-Datenhoheit legt oder aus beruflichen Gründen DSGVO-Risiken minimieren muss, fährt mit Quad9 oder dem neuen DNS4EU-Dienst besser, auch wenn beide bei der reinen Rohgeschwindigkeit knapp hinter Cloudflare liegen. NextDNS bleibt die richtige Wahl für alle, denen granulare Kontrolle über Geräte und Filter wichtiger ist als ein kostenloses, unbegrenztes Kontingent. Es gibt keinen einzelnen Gewinner, sondern eine Entscheidung zwischen Tempo, Kontrolle und Datenhoheit.
Für die kommenden Jahre lohnt sich ein Blick auf DNS4EU als Anbieter mit dem größten Entwicklungspotenzial. Mit rund 90.000 angebundenen Nutzern kurz nach dem Start im Juni 2025 steht das Projekt noch am Anfang im Vergleich zu den Milliarden täglicher Anfragen bei Cloudflare oder Google, wächst aber mit direkter EU-Förderung und ENISA-Rückhalt. Sollte sich diese Infrastruktur in den nächsten Jahren als ebenso zuverlässig erweisen wie die etablierten Anbieter, dürfte sie speziell für Behörden und Unternehmen in Österreich zum naheliegenden Standard werden, weil sie die Geschwindigkeits- und die Datenschutzfrage gleichzeitig adressiert.
Häufig gestellte Fragen zu DNS over HTTPS
Verlangsamt DNS over HTTPS meine Internetverbindung?
In der Praxis kaum messbar. Die zusätzliche Verschlüsselung kostet wenige Millisekunden, die durch gut ausgebaute Anycast-Netzwerke wie das von Cloudflare meist ausgeglichen werden. Der Unterschied zu klassischem, unverschlüsseltem DNS liegt laut den zitierten Benchmarks im einstelligen Millisekundenbereich. Spürbar wird ein Unterschied eher, wenn der gewählte Resolver keinen Point-of-Presence in der Nähe hat, dann steigt die Latenz unabhängig vom Verschlüsselungsaufwand.
Kann mein Internetanbieter sehen, welche Seiten ich besuche, wenn ich DoH nutze?
Der Internetanbieter sieht die DNS-Anfrage selbst nicht mehr, weil sie verschlüsselt über HTTPS läuft. Er kann aber weiterhin die Ziel-IP-Adresse der eigentlichen Verbindung sehen, DoH schützt also den Namen der Domain, nicht die vollständige Anonymität der Verbindung. Ergänzend blendet die TLS-Erweiterung Encrypted Client Hello (ECH), die einige Browser und Webseiten inzwischen unterstützen, zusätzlich den angefragten Servernamen beim TLS-Handshake aus, wodurch sich die Sichtbarkeit für den Internetanbieter weiter reduziert.
Ist DNS4EU auch außerhalb der EU nutzbar?
Ja, laut Projektdokumentation ist der Dienst nicht geografisch gesperrt, richtet sich inhaltlich aber gezielt an EU-Bürger und wird primär für Nutzung innerhalb der EU beworben.
Brauche ich zusätzlich noch ein VPN, wenn ich DNS over HTTPS nutze?
Ja, DoH und ein VPN schützen unterschiedliche Dinge. DoH verschlüsselt nur die Namensauflösung, ein VPN verschlüsselt den gesamten Datenverkehr und verbirgt zusätzlich die eigene IP-Adresse gegenüber der besuchten Webseite.
Welcher Anbieter blockiert Werbung am zuverlässigsten?
NextDNS bietet die granularsten, einzeln konfigurierbaren Blocklisten. DNS4EU und Mullvad DNS liefern über eigene Profile ebenfalls integrierte Werbeblocker, ganz ohne Zusatzkosten oder Kontoeinrichtung.
Ist Quad9 wirklich komplett kostenlos, obwohl es eine Sicherheitsfunktion mitbringt?
Ja. Quad9 finanziert sich als gemeinnützige Stiftung über Partner und Spenden, nicht über Nutzerdaten oder Abogebühren, der Dienst inklusive Malware-Filterung bleibt für Privatpersonen und Unternehmen gleichermaßen gratis.
Kann ich mehrere DNS-Resolver gleichzeitig eintragen?
Ja, die meisten Betriebssysteme und Router erlauben einen primären und einen sekundären DNS-Server. Der sekundäre Server springt automatisch ein, wenn der primäre nicht antwortet, etwa während eines Ausfalls wie am 14. Juli 2025 bei Cloudflare. Für DoH-Verschlüsselung sollten beide eingetragenen Resolver DoH oder DoT unterstützen, sonst fällt das System bei einem Ausfall auf unverschlüsseltes DNS zurück.
Was passiert, wenn mein gewählter DNS-Resolver ausfällt, wie bei Cloudflare am 14. Juli 2025?
Ohne funktionierende Namensauflösung lassen sich die meisten Webseiten nicht mehr per Domainnamen erreichen, auch wenn die Internetverbindung selbst funktioniert. Ein zweiter, unabhängiger Resolver als Fallback in den Systemeinstellungen reduziert dieses Risiko, weil das Betriebssystem bei Ausfall des ersten automatisch auf den zweiten Server ausweicht.
