Kurz gesagt: Für die meisten Nutzer ist Cloudflare 1.1.1.1 der beste öffentliche DNS-Server – großes Anycast-Netz, niedrige Antwortzeiten. Wer Schutz vor Schad-Domains und maximale Privatsphäre will, nimmt Quad9 (9.9.9.9) von der Quad9 Foundation in Zürich: Die hält die anfragende IP-Adresse laut Datenschutzerklärung nur flüchtig im Arbeitsspeicher, während Google Public DNS (8.8.8.8) sie 24 bis 48 Stunden in temporären Logs speichert. Google ist damit die zuverlässige, aber neutrale Alternative ohne Filter. Alle drei sind kostenlos und in fünf Minuten eingerichtet – unten stehen drei öffentliche DNS-Server im Vergleich mit Adressen, Filtern und Logging-Fristen.
Warum überhaupt den DNS-Server wechseln?
Ein DNS-Server (Domain Name System) übersetzt Namen wie itguruonline.de in die IP-Adresse, die dein Gerät wirklich anspricht – das Telefonbuch des Internets. Standardmäßig nutzt du dafür den Server deines Providers (Telekom, Vodafone, o2). Der funktioniert, ist aber selten der schnellste und protokolliert oft mit, welche Seiten du aufrufst.
Ein Wechsel auf einen öffentlichen Resolver bringt drei Dinge: häufig kürzere Ladezeiten beim ersten Verbindungsaufbau, optional einen Filter gegen Phishing- und Malware-Domains, und je nach Anbieter eine strengere Datenschutz-Zusage. Kosten entstehen keine – die drei großen Dienste sind gratis und ohne Registrierung nutzbar.
Anzeige
Öffentliche DNS-Server im Vergleich: die Eckdaten
| Merkmal | Cloudflare | Quad9 | |
|---|---|---|---|
| Primäre IPv4 | 1.1.1.1 | 8.8.8.8 | 9.9.9.9 |
| Sekundäre IPv4 | 1.0.0.1 | 8.8.4.4 | 149.112.112.112 |
| Primäre IPv6 | 2606:4700:4700::1111 | 2001:4860:4860::8888 | 2620:fe::fe |
| Verschlüsselung | DoH + DoT | DoH + DoT | DoH + DoT |
| Malware-Filter | optional (1.1.1.2) | nein | ja, standardmäßig |
| Quell-IP in Logs | gekürzt, Löschung binnen 25 Stunden | 24–48 Stunden vollständig | nur flüchtig im Arbeitsspeicher |
| Betreiber | Unternehmen (USA) | Unternehmen (USA) | Stiftung (Schweiz) |
DoH = DNS over HTTPS, DoT = DNS over TLS: beides verschlüsselt die Namensabfrage, sodass Dritte im Netz nicht mehr mitlesen können, welche Domains du aufrufst.
Cloudflare 1.1.1.1 – der Geschwindigkeits-Sieger
Cloudflare betreibt eines der größten Anycast-Netze weltweit. Anycast heißt: Deine Anfrage landet automatisch beim geografisch nächsten Rechenzentrum, was die Antwortzeit drückt. In der Dauermessung von DNSPerf, die alle Anbieter minütlich aus über 200 Standorten testet, liegt Cloudflare im weltweiten Mittel meist vorn – in Europa liegen die drei Dienste allerdings oft nur wenige Millisekunden auseinander. Beim Datenschutz gibt Cloudflare an, die Quell-IP nicht dauerhaft zu speichern: Bei IPv4 fällt das letzte Oktett weg, bei IPv6 die letzten 80 Bit, und die Resolver-Logs werden laut Doku binnen 25 Stunden gelöscht. Standardmäßig filtert Cloudflare nichts.
Google Public DNS 8.8.8.8 – die zuverlässige Neutrale
Die 8.8.8.8 ist der bekannteste öffentliche Resolver und vor allem eins: berechenbar schnell und praktisch nie ausgefallen. Google filtert keine Inhalte – gut, wenn du einfach nur eine stabile Auflösung willst, ohne dass dir jemand Domains sperrt. Der Haken für Datenschutz-Bewusste steht in der eigenen Doku: Google speichert in temporären Logs 24 bis 48 Stunden lang die vollständige IP-Adresse des anfragenden Geräts; in den permanenten Logs bleiben Domainname, Anfragetyp und ein grober Standort (nicht genauer als 1 km² beziehungsweise 1.000 Nutzer), die IP wird dort entfernt.
Quad9 9.9.9.9 – die sichere und datensparsame Wahl
Quad9 wird von einer gemeinnützigen Stiftung mit Sitz in Zürich betrieben (c/o SWITCH) und richtet sich nach Schweizer Datenschutzrecht. Der Dienst blockt bekannte Schad- und Phishing-Domains automatisch anhand aggregierter Bedrohungsdaten – ohne dass du etwas konfigurieren musst. Blockiert wird laut Richtlinie nur wegen Phishing, Malware, ausgenutzter Schwachstellen und Betrug; Zensur-Anfragen lehnt die Stiftung ab, Werbung filtert Quad9 bewusst nicht. Wichtigstes Merkmal: Die Absender-Adresse einer Anfrage bleibt nur für den Bruchteil einer Sekunde im Arbeitsspeicher und wird nicht protokolliert. Standortdaten werden nur so grob aggregiert, dass eine Region mindestens 10.000 Menschen umfasst.
Die Adress-Varianten: Filter an oder aus
Alle drei Anbieter haben neben der Hauptadresse Varianten, die kaum jemand kennt – sie entscheiden darüber, ob überhaupt gefiltert wird:
- Cloudflare
1.1.1.2/1.0.0.2: blockt Malware-Domains. Mit1.1.1.3/1.0.0.3kommen Inhalte für Erwachsene dazu. - Quad9
9.9.9.10: ohne Malware-Filter, aber weiterhin mit DNSSEC-Prüfung – nur sinnvoll, wenn du bewusst ungefiltert auflösen willst. - Quad9
9.9.9.11: wie die Standardadresse, zusätzlich mit EDNS Client Subnet. Dabei bekommt der Zielserver einen groben Hinweis auf deine Region, was Content-Netzwerke näher an dir ausliefern lässt – ein Tausch von etwas Privatsphäre gegen Tempo. - Google: keine Filtervarianten.
8.8.8.8und8.8.4.4lösen alles auf, was existiert.
DNS-Server unter Windows 11 ändern – Schritt für Schritt
- Öffne Einstellungen → Netzwerk und Internet.
- Wähle deine aktive Verbindung: WLAN oder Ethernet.
- Klicke auf Hardwareeigenschaften.
- Bei DNS-Serverzuweisung auf Bearbeiten klicken.
- Von Automatisch (DHCP) auf Manuell umschalten und IPv4 aktivieren.
- Trage als bevorzugten DNS z. B.
9.9.9.9ein, als alternativen149.112.112.112(oder das Paar deines Wunsch-Anbieters aus der Tabelle). - Optional die DNS-Verschlüsselung auf Nur verschlüsselt (DNS über HTTPS) oder Verschlüsselt bevorzugt, unverschlüsselt zulässig stellen.
- Mit Speichern bestätigen.
Die Auswahl für DoH erscheint nur, wenn die eingetragene Adresse in Windows‘ Liste bekannter DoH-Server steht. Cloudflare, Google und Quad9 sind ab Werk drin – nachsehen kannst du in der PowerShell mit Get-DnsClientDohServerAddress. Nur verschlüsselt ist die sicherste Einstellung, kippt aber die komplette Namensauflösung, sobald ein Server kein DoH kann. Auf Firmen-Rechnern in einer Windows-Domäne solltest du DoH nicht erzwingen: Active Directory hängt an internem DNS, und der Windows-DNS-Serverdienst beantwortet keine DoH-Anfragen.
Auf dem Mac findest du die Einstellung unter Systemeinstellungen → Netzwerk → Details → DNS, unter Android als Privates DNS – dort trägst du statt einer IP den Hostnamen ein, etwa dns.quad9.net oder one.one.one.one.
Alle Geräte auf einmal: Eintrag im Router
Wer nicht jedes Gerät einzeln umstellen will, trägt die Adressen im Router ein. In der FRITZ!Box führt der Weg über Internet → Zugangsdaten → Register DNS-Server; das Register taucht erst auf, wenn oben rechts die Erweiterte Ansicht aktiv ist. Dort Andere DNSv4-Server verwenden anhaken und die beiden Adressen eintragen. DNSv6 lässt sich nur ändern, wenn IPv6 unter Internet → Zugangsdaten → IPv6 aktiviert ist. Notiere dir vorher die alten Werte – falls etwas klemmt, kommst du so in zwei Klicks zurück.
Hat die Umstellung überhaupt gegriffen?
Zwei Kontrollen dauern je eine Minute. Erstens auf der Kommandozeile: nslookup itguruonline.de zeigt in der ersten Zeile den Server, der geantwortet hat – steht dort noch die Router-IP (meist 192.168.178.1), reicht der Router die Anfragen weiter, und der Wechsel muss dort erfolgen. Zweitens im Browser: Cloudflare zeigt unter one.one.one.one/help an, ob du über 1.1.1.1 auflöst und ob DoH oder DoT aktiv ist; Quad9 antwortet unter on.quad9.net schlicht mit „Yes“ oder „No“. Ein „No“ trotz korrekter Einstellung kommt häufig von Firefox, das eigenes DoH mitbringt, von einem aktiven VPN oder von iCloud Private Relay.
Wenn nach der Umstellung nichts mehr lädt
- Tippfehler in der IP: Eine falsche Ziffer legt die komplette Namensauflösung lahm. Adressen Ziffer für Ziffer mit der Tabelle abgleichen.
- Alter Cache: Nach dem Wechsel den DNS-Cache leeren. Unter Windows in der Eingabeaufforderung
ipconfig /flushdnsausführen. - DoH zu streng eingestellt: Steht die Verschlüsselung auf Nur verschlüsselt und der Server unterstützt kein DoH, schlägt jede Auflösung fehl. Testweise auf Verschlüsselt bevorzugt zurückstellen.
- Firmen-, Schul- oder Hotelnetz: Dort ist der DNS oft fest vorgegeben oder das Anmeldeportal braucht ihn. Das ist Absicht – nicht dagegen ankonfigurieren.
- Router überschreibt das Gerät: Hast du DNS im Router gesetzt, kann er die Geräte-Einstellung ignorieren. Dann die Änderung nur an einer Stelle vornehmen.
- Einzelne Seite geblockt: Lädt nur eine bestimmte Domain nicht, kann der Filter zugeschlagen haben. Zum Gegentest kurz auf einen ungefilterten Resolver wechseln; ist die Seite dort erreichbar, war es der Schutzfilter – Quad9 nimmt Falschmeldungen über sein Support-Formular entgegen.
Welchen DNS-Server solltest du nehmen?
Eine einfache Entscheidungshilfe:
- Du willst schlicht das Schnellste: Cloudflare,
1.1.1.1und1.0.0.1. - Dir sind Schutz vor Schad-Seiten und Datensparsamkeit am wichtigsten: Quad9,
9.9.9.9und149.112.112.112. - Du willst maximale Zuverlässigkeit ohne jeden Filter: Google,
8.8.8.8und8.8.4.4.
Du kannst auch mischen – etwa Quad9 als primären und Cloudflare als sekundären Server. Beachte aber: Der sekundäre Server springt nur ein, wenn der primäre nicht antwortet, nicht wenn er langsamer ist. Anbieter zu mischen hebt den Filter von Quad9 also nur teilweise aus, sorgt aber für einen Ausfall-Puffer. Wer den Unterschied wirklich messen will, vergleicht die Antwortzeiten am eigenen Anschluss über mehrere Tage, statt sich auf globale Mittelwerte zu verlassen: Zwischen deinem Provider und dem nächsten Rechenzentrum entscheidet die Leitung, nicht die Werbung des Anbieters.
Hintergrund: Was der DNS-Server über dich verrät
Ohne Verschlüsselung liegt jede Namensabfrage im Klartext im Netz – der Provider und potenziell Dritte im selben WLAN sehen, welche Domains du besuchst, auch wenn die Seite selbst per HTTPS geschützt ist. Genau hier setzen DoH und DoT an: Sie packen die DNS-Anfrage in einen verschlüsselten Tunnel. Der gewählte Resolver sieht die Abfragen zwar weiterhin, aber ob und wie lange er sie speichert, ist der eigentliche Unterschied zwischen den Anbietern. Deshalb steht in der Vergleichstabelle die Logging-Zeile so weit oben: Geschwindigkeit trennt Cloudflare und Google nur um Millisekunden – beim Umgang mit deinen Anfragedaten liegen zwischen ihnen und Quad9 Welten. Wer öffentliche DNS-Server im Vergleich nur nach Tempo sortiert, übersieht damit das Kriterium, das langfristig schwerer wiegt.
Quellen
- Google for Developers: Public DNS – Your Privacy (temporäre Logs 24–48 Stunden, permanente Logs ohne IP)
- Cloudflare Docs: 1.1.1.1 Public DNS Resolver – Privacy (IP-Kürzung, Löschung binnen 25 Stunden)
- Quad9: Data and Privacy Policy (Schweizer Stiftung, keine Speicherung der Absender-IP)
- Quad9: Service Addresses & Features (9.9.9.9, 9.9.9.10, 9.9.9.11 im Detail)
- Cloudflare Docs: 1.1.1.1 Setup (Adressen für 1.1.1.2 und 1.1.1.3)
- Microsoft Learn: DNS-Client über HTTPS (DoH) (bekannte DoH-Server, Verschlüsselungsstufen, Domänen-Hinweis)
- AVM Wissensdatenbank: Andere DNS-Server in FRITZ!Box einrichten (Menüpfad, DNSv6-Voraussetzung)
- DNSPerf: DNS Resolver Performance (Messmethodik, laufende Antwortzeiten)
Häufige Fragen
Welcher öffentliche DNS-Server ist der schnellste?
In den meisten Benchmarks liegt Cloudflare (1.1.1.1) vorn, mit medianen Antwortzeiten um 11 Millisekunden dank des großen Anycast-Netzes. Die tatsächliche Geschwindigkeit hängt aber von deinem Standort ab – ein kurzer Test lohnt sich.
Ist Quad9 wirklich datenschutzfreundlicher als Google?
Ja. Quad9 protokolliert die Quell-IP-Adressen der Anfragen nicht und unterliegt als schweizerische Non-Profit-Stiftung strengem Datenschutzrecht. Google speichert dagegen für 24 bis 48 Stunden temporäre Logs mit voller IP-Information.
Blockiert ein öffentlicher DNS-Server Werbung?
Die drei großen Anbieter nicht. Quad9 blockt bekannte Malware- und Phishing-Domains, aber keine Werbung. Für Werbefilter brauchst du spezialisierte Dienste wie AdGuard DNS oder eine Pi-hole im eigenen Netz.
Kostet die Nutzung von Cloudflare, Google oder Quad9 etwas?
Nein, alle drei öffentlichen DNS-Dienste sind vollständig kostenlos und ohne Registrierung nutzbar. Du trägst einfach die IP-Adressen in deinem Gerät oder Router ein.
Muss ich DNS über HTTPS (DoH) extra aktivieren?
Empfehlenswert ist es. Windows 11, aktuelle Browser und Android unterstützen DoH oder DoT direkt. Ohne Verschlüsselung sind deine Namensabfragen im Netz im Klartext lesbar – mit DoH/DoT laufen sie durch einen geschützten Tunnel.
