Jedes Mal, wenn Sie eine Adresse eintippen, fragt Ihr Router Ihren Internetanbieter, wie diese in eine Nummer zu übersetzen ist. An dieser Anfrage ist nichts verborgen, also liegt beim Anbieter am Ende eine Liste Ihrer Seitenaufrufe mit Uhrzeit. Den Router auf einen anderen Resolver zu stellen dauert zwei Minuten, kostet nichts und schließt genau diese Lücke. Anonym sind Sie damit nicht, und diese Seite macht den Unterschied deutlich.
Für das Netz bedeutet der Name einer Bank-Website nichts. Bevor irgendetwas lädt, muss Ihr Gerät den Namen in eine Adresse übersetzen lassen, und der Dienst, der das erledigt, heißt Resolver. Solange niemand etwas geändert hat, nutzt Ihr Router den Resolver, den Ihr Anbieter bei der Anschaltung mitgeliefert hat.
Darin liegt das ganze Leck. Klassisches DNS läuft unverschlüsselt, die Anfrage trägt den gewünschten Namen also offen mit sich, dazu Uhrzeit und Anschluss. Niemand muss etwas abfangen: Der Anbieter ist derjenige, der gefragt wird. Über eine Woche gerechnet ergibt das eine recht genaue Beschreibung Ihrer Lesegewohnheiten, Ihrer gesundheitlichen Sorgen, der Stellenportale in der Mittagspause und des Shops um zwei Uhr nachts.
Es lohnt sich, genau zu sein. Dieser Datensatz enthält nicht die Inhalte der Seiten. Er enthält die Liste der Türen, an die Sie geklopft haben, und die ist für die meisten Menschen das aufschlussreichere Dokument. Speicherfristen unterscheiden sich je nach Land und Anbieter, und diese Seite tut nicht so, als wüsste sie, was Ihrer wie lange aufbewahrt.
Die Lösung ist eine Einstellung, kein Kauf. Ihr Router hat ein Feld für vorgelagerte DNS-Server, meist unter WAN oder Interneteinstellungen. Ändern Sie es dort statt an jedem Gerät einzeln, dann ist das gesamte Netz abgedeckt, auch Fernseher und Geräte ohne eigenen Einstellungsdialog.
Die Änderung in zwei Minuten
Öffnen Sie die Administrationsseite des Routers, suchen Sie die Felder für vorgelagerte DNS-Server und tragen Sie 1.1.1.1 als ersten und 1.0.0.1 als zweiten ein. Das sind die öffentlichen Resolver von Cloudflare. Bietet Ihr Router DNS over TLS an, schalten Sie es ein und verwenden tls://one.one.one.one; damit ist die Anfrage selbst verschlüsselt und Ihr Anbieter kann sie nicht mehr nebenbei mitlesen. Speichern, Router neu starten, fertig. Falls Cloudflare an Ihrem Anschluss blockiert ist oder sich seltsam verhält, ist Quad9 unter 9.9.9.9 die vernünftige Alternative und filtert bekannte Schaddomains gleich mit.
Wenn Sie zusätzlich filtern wollen
NextDNS kommt in dasselbe Feld und bringt Sperrlisten, Profile je Gerät und ein Abfrageprotokoll, über das Sie selbst bestimmen; der kostenlose Tarif deckt 300.000 Abfragen im Monat ab. Ein normaler Haushalt kommt selten dorthin, und wer darüber liegt, verliert nichts: NextDNS antwortet weiter, filtert bis zum Monatswechsel nur nicht mehr. Wichtig ist, was sich dabei ändert: Der Datensatz wandert von einem Unternehmen, das Sie nicht gewählt haben, zu einem, das Sie gewählt haben, und die Protokollierung lässt sich dort vollständig abschalten. Das ist ein echter Fortschritt, aber es ist ein Wechsel des Verwahrers, nicht seine Abschaffung.
Wir verdienen an keinem der drei etwas und empfehlen sie trotzdem
Cloudflare, Quad9 und NextDNS betreiben kein Partnerprogramm, dem wir beitreten könnten. Wir haben das am 31. August 2026 geprüft: keine Provision, kein Empfehlungslink, keinerlei Vereinbarung hinter diesen Namen. Sie stehen hier, weil sie die richtige Antwort auf die Frage sind. An anderer Stelle auf dieser Seite finden Sie Links, die uns tatsächlich vergüten, immer als solche gekennzeichnet, und der Grund, warum Sie diesen trauen können, ist genau dieser Absatz.
Die ehrliche Grenze: Das ist keine Anonymität
Ein anderer Resolver verhindert, dass Ihr Anbieter Seitennamen aus Ihren DNS-Anfragen lernt. Er verbirgt nicht, wohin Ihr Verkehr geht. Ihr Anbieter sieht weiterhin die Adresse, die Ihre Verbindung ansteuert, und den Servernamen, den Ihr Browser zu Beginn einer gesicherten Verbindung nennt und der die Seite meist genauso deutlich benennt. Verschlüsseltes DNS schließt ein Fenster und lässt die Tür offen. Wer es Ihnen als Anonymität verkauft, verkauft Ihnen etwas.
Die vollständige Lösung und was sie kostet
Soll Ihr Anbieter statt eines Verlaufs nur noch eine verschlüsselte Verbindung sehen, führt der Weg über ein VPN mit eigenem, privatem DNS, damit die Namensauflösung im Tunnel stattfindet und nicht daran vorbei. Der Einstieg bei Proton VPN liegt bei €9.99 im Monat, die Leiter dahinter steht im Proton-VPN-Preisverlauf. Bei NordVPN sind es €3.49, festgehalten im NordVPN-Preisverlauf. Surfshark beginnt bei €2.49 und begrenzt die Gerätezahl nicht, notiert im Surfshark-Preisverlauf, ExpressVPN steigt bei €2.49 ein, dokumentiert im ExpressVPN-Preisverlauf. Welcher der vier gerade der günstigste ist, wechselt oft genug, dass wir keine Reihenfolge in einen Satz gießen: Die Zahlen oben werden von den Preisseiten der Anbieter gelesen, nicht hier eingetippt, und unsere VPN-Rangliste sortiert das Feld nach demselben Stand. Wer die beiden bekanntesten Namen direkt nebeneinander sehen will, findet sie in ExpressVPN gegen NordVPN.
Prüfen, ob die Änderung wirklich greift
Rufen Sie von einem Gerät im Netz 1.1.1.1/help auf. Dort steht, welcher Resolver geantwortet hat und ob die Verbindung dorthin verschlüsselt war. Nennt die Seite weiterhin Ihren Anbieter, ignoriert der Router die Einstellung, was manche Providergeräte bewusst tun. Dann tragen Sie den Resolver an jedem Gerät einzeln ein oder tauschen den Kasten.
Fragen, die tatsächlich gesucht werden
Wird mein Internet durch einen DNS-Wechsel schneller?
Manchmal, und seltener als versprochen. Sie ändern, wie lange das Nachschlagen eines Namens dauert, nicht wie schnell die Seite lädt; der Gewinn zeigt sich als etwas schnellere erste Reaktion und sonst nirgends. Ob überhaupt einer entsteht, hängt davon ab, wo der Resolver Ihres Anbieters steht und wie gut er zwischenspeichert. Ist er nah und ordentlich betrieben, kann ein öffentlicher Resolver sogar minimal langsamer sein. Messen Sie es an Ihrem eigenen Anschluss, statt irgendeiner Grafik zu glauben, auch unserer nicht.
Warum sollte ich Cloudflare meine Aufrufe anvertrauen?
Nicht aus gutem Glauben, sondern wegen der Prüfung. Cloudflare lässt eine unabhängige Big-Four-Wirtschaftsprüfung untersuchen, ob der öffentliche Resolver hält, was er zusagt — unter anderem, dass Quell-Adressen anonymisiert und binnen 25 Stunden gelöscht werden — und veröffentlicht den Prüfbericht auf seiner Compliance-Seite. Die erste Untersuchung betraf 2019, eine zweite zur neu gebauten Plattform erschien in diesem Jahr. Zwei Dinge gehören dazu offen gesagt: Cloudflare nennt die Prüfgesellschaft in den Ankündigungen nicht beim Namen, und das Unternehmen kündigt weitere Untersuchungen an, ohne einen festen Turnus zu nennen. Das ist immer noch mehr, als die meisten Resolver vorweisen, denn die meisten veröffentlichen gar nichts — und es bleibt die Entscheidung, wem man traut, statt niemandem trauen zu müssen. Genau dafür steht der VPN-Abschnitt weiter oben.
Mein iPhone meldet Schwache Sicherheit im WLAN. Hängt das damit zusammen?
Diese Meldung betrifft die Verschlüsselung des Funknetzes, nicht DNS: iOS zeigt sie, wenn der Router noch WEP, einfaches WPA oder TKIP statt WPA2 oder WPA3 verwendet. Es lohnt sich, das beim selben Besuch der Administrationsseite zu erledigen, denn es liegt nur wenige Felder von den DNS-Einstellungen entfernt, wegen derer Sie gekommen sind. Stellen Sie das Netz auf WPA2/WPA3, dann verschwindet die Warnung. Ein sauber eingerichteter Router mit moderner WLAN-Verschlüsselung und einem selbst gewählten Resolver erledigt beides in einem Durchgang.
Die VPN-Beträge auf dieser Seite stammen von den öffentlichen Preisseiten der Anbieter, gelesen an den in den jeweiligen Preisverläufen genannten Tagen und täglich erneut geprüft. Cloudflare, Quad9 und NextDNS zahlen uns nichts; dass sie kein Partnerprogramm betreiben, wurde am 31. August 2026 geprüft. Die Methode →
Ein Preis stimmt nicht mehr mit der Seite des Anbieters überein? Sagen Sie uns Bescheid — Korrekturen werden datiert und bleiben auf der Seite.