CleanBrowsing DNS: Familienfilter-IPs, Einrichtung & Test

Was ist CleanBrowsing DNS?

CleanBrowsing DNS ist ein kostenloser Filter-DNS-Dienst: Stellen Sie Router oder Gerät auf 185.228.168.168 und 185.228.169.168, dann sperrt der Familienfilter Erwachseneninhalte, erzwingt Safe Search und hält Kinder von VPN- und Proxy-Seiten fern. Sie brauchen weder Konto noch App. Es gibt drei kostenlose Filter, Familie, Erwachsene und Sicherheit, jeweils mit eigenen Adressen, dazu Bezahlpläne mit eigenen Kategorien.

Gefiltert wird schon bei der Namensabfrage. Für einen gesperrten Namen antwortet CleanBrowsing mit NXDOMAIN („Domain existiert nicht“), die Seite lädt also gar nicht: Chrome zeigt DNS_PROBE_FINISHED_NXDOMAIN, andere Browser eine ähnliche Meldung, dass der Server nicht gefunden wurde.

Der kostenlose Dienst hat Grenzen, die CleanBrowsing auf seiner Filterseite selbst nennt: Er ist gedrosselt, hat keinen Support und lässt sich nicht anpassen. Bezahlpläne beginnen bei 75 $ im Jahr (kostenlos vs. bezahlt) und bringen mehr als 26 Kategorien, Erlaubt- und Sperrlisten sowie Berichte. Laut CleanBrowsing verarbeiten die kostenlosen Filter über 355 Milliarden Anfragen im Monat in mehr als 70 Rechenzentren.

CleanBrowsing DNS-Server-Adressen (IPv4, IPv6, DoH, DoT)

Das sind die Adressen der kostenlosen Filter von der Filterseite von CleanBrowsing, geprüft am 26. Oktober 2026. Nutzen Sie immer beide Adressen desselben Filters und, wenn Ihr Netz IPv6 hat, auch das IPv6-Paar.

Der Erwachsenenfilter hat zwei veröffentlichte sekundäre Adressen. Die Filterseite nennt 185.228.169.11, die Einrichtungsanleitung von CleanBrowsing 185.228.169.10. Beide funktionierten in unserem Test als Erwachsenenfilter, aber .10 antwortet bei einem gesperrten Namen wie die primäre Adresse mit NXDOMAIN, während .11 die 185.228.168.254 liefert, einen Server, der eine „Website Blocked“-Seite von CleanBrowsing zeigt.

Alle sechs IPv6-Adressen antworteten von unserem Anschluss aus und filterten genau wie ihre IPv4-Gegenstücke.

Familie, Erwachsene, Sicherheit: Was jeder Filter sperrt

Familie sperrt Erwachsenen-, Mischinhalt-, VPN- und Proxy-Seiten sowie Schadsoftware und Phishing und erzwingt Safe Search. Erwachsene sperrt Erwachsenenseiten und Bedrohungen, lässt aber Reddit, VPNs und YouTube in Ruhe. Sicherheit sperrt nur Bedrohungen.

Wir haben jeden Filter am 26. Oktober 2026 aus Indien nach denselben Namen gefragt. Ein Häkchen heißt: Der Filter hat den Namen gesperrt (NXDOMAIN) oder auf die sichere Variante der Suchmaschine umgeleitet.

Drei Ergebnisse gehen über CleanBrowsings eigene Beschreibungen hinaus:

• Der Erwachsenenfilter erzwingt Safe Search. Die Seite „Free vs. Paid“ von CleanBrowsing sagt, er tue es nicht, die Filterseite sagt, er tue es. Er leitete Google, Bing und DuckDuckGo wie Familie auf ihre sicheren Versionen um.
• Die YouTube-Einstellung von Familie ist Moderat, nicht Streng (siehe nächster Abschnitt).
• Soziale Apps bleiben bei jedem kostenlosen Filter offen. TikTok, Instagram und Discord wurden normal aufgelöst; um soziale Medien oder Spiele zu sperren, brauchen Sie einen Bezahlplan oder eine Gerätekontrolle.

Safe Search und YouTube: Was der Familienfilter wirklich tut

CleanBrowsing erzwingt Safe Search über DNS: Fragen Sie nach einer Suchmaschine, bekommen Sie die Adresse ihrer fest gesicherten Version. Bei Google ist das forcesafesearch.google.com (216.239.38.120), das Ergebnisse mit gesperrt eingeschaltetem Safe Search liefert, egal was in den Browsereinstellungen steht.

Familie und Erwachsene antworteten für www.google.com und Länderseiten wie www.google.co.in mit 216.239.38.120 und leiteten Bing auf strict.bing.com und DuckDuckGo auf safe.duckduckgo.com um. Der Sicherheitsfilter ließ sie in Ruhe.

Bei YouTube weichen Behauptung und Messung voneinander ab. Der Safe-Search-Leitfaden von CleanBrowsing sagt, der kostenlose Familienfilter nutze den strengen Eingeschränkten Modus. Googles DNS-Methode kennt zwei Ziele: restrict.youtube.com für Streng (216.239.38.120) und restrictmoderate.youtube.com für Moderat (216.239.38.119). Der Familienfilter antwortete für alle fünf von Google genannten YouTube-Hostnamen, auch für youtubei.googleapis.com der App, mit 216.239.38.119, also Moderat. Der Erwachsenenfilter schränkt YouTube nicht ein.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

CleanBrowsing Geschwindigkeitstest: Unsere Ergebnisse aus Indien

Wir haben am 26. Oktober 2026 jede Adresse von einem Jio-Heimanschluss in Indien aus gemessen: den Median aus fünf Abfragen eines beliebten Namens (im Cache) und fünf brandneuer Namen (nicht im Cache), dazu 20 Abfragen, um zu zählen, wie oft ein Server nicht innerhalb von 2 Sekunden antwortete. Die Familienfilter von Cloudflare und OpenDNS liefen parallel mit.

Die zwei Adressen eines Filters sind nicht gleich. CleanBrowsing nennt den Server, der antwortet (dig @185.228.168.168 id.server CH TXT): Von unserem Anschluss aus antwortete jede 185.228.168.x-Adresse in Singapur und jede 185.228.169.x-Adresse in London. Das verdoppelte die Zeiten aus dem Cache ungefähr (63–79 ms gegenüber 152–166 ms) und ließ mehr Anfragen unbeantwortet. Die IPv6-Adressen wechselten von Abfrage zu Abfrage zwischen den beiden Städten.

Cloudflare und OpenDNS antworteten hier bei Namen aus dem Cache etwa doppelt so schnell, weil beide aus Indien antworteten; bei brandneuen Namen war der Abstand klein (52–68 ms gegenüber 66–75 ms). In Europa oder Nordamerika kann sich die Reihenfolge ändern, messen Sie also an Ihrem eigenen Anschluss.

CleanBrowsing mit DNS over HTTPS und DNS over TLS

Alle drei kostenlosen Filter beantworten verschlüsseltes DNS. So kann Ihr Provider oder der Besitzer eines WLANs Abfragen weder mitlesen noch umschreiben, und auf Smartphones bleibt der Filter auch über mobile Daten aktiv.

• DNS over TLS (DoT): der Hostname des Filters auf Port 853, etwa family-filter-dns.cleanbrowsing.org; das Private DNS von Android nutzt ihn. Alle drei Hostnamen schlossen einen TLS-1.3-Handshake mit einem gültigen *.cleanbrowsing.org-Zertifikat ab und filterten wie normales DNS; über eine offene Verbindung lag der Median von Familie bei 78 bis 89 ms in drei Durchläufen.
• DNS over HTTPS (DoH): https://doh.cleanbrowsing.org/doh/family-filter/ (oder adult-filter, security-filter). Er beantwortete Standardabfragen nach RFC 8484, Median 83 ms für Familie. Nutzen Sie ihn in Windows 11, in Browsern und in Apple-Profilen.
• Bezahlpläne erhalten eigene DoT-Hostnamen und DoH-Pfade mit einem Kontocode, den das CleanBrowsing-Dashboard anzeigt.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

Ist CleanBrowsing sicher? Datenschutz, Protokollierung und DNSSEC

Für die kostenlosen Filter sagt die Datenschutzerklärung von CleanBrowsing, dass keine personenbezogenen Daten wie Ihre IP-Adresse protokolliert oder gespeichert und personenbezogene Daten weder verkauft, vermietet noch weitergegeben werden. Es behält aber anonymisierte Abfragedaten (die angefragten Domains), speichert sie unter Umständen unbegrenzt und teilt sie anonymisiert mit seinen Schwestermarken NOC, DNSArchive und Trunc.

Ihr Netzwerk gibt es auch nicht an andere DNS-Server weiter: Googles Test o-o.myaddr.l.google.com sah nur CleanBrowsings Server und kein EDNS Client Subnet, genau wie bei Cloudflare. OpenDNS FamilyShield gab in einem von zwei Versuchen unser /24-Subnetz weiter.

DNSSEC ist die Schwachstelle. Ein validierender Resolver muss eine Domain mit kaputten Signaturen ablehnen (Testdomains wie dnssec-failed.org sollten SERVFAIL liefern). Die Antwort von CleanBrowsing hing vom Server ab: Knoten mit der Softwareversion v1.6a lieferten für eine kaputte Domain in 27 von 27 Abfragen eine Adresse, während v1.7a-Knoten, darunter jede Antwort aus London, sie ablehnten. Cloudflare 1.1.1.3 und OpenDNS FamilyShield lehnten alle 20 Abfragen ab. Solange die älteren Knoten nicht aktualisiert sind, schützt CleanBrowsing Sie nicht zuverlässig vor gefälschten Antworten.

So richten Sie CleanBrowsing DNS ein

Für den Jugendschutz fangen Sie am besten beim Router an: Jedes Gerät in Ihrem WLAN wird gefiltert, auch Konsolen und Smart-TVs, und auf dem Gerät des Kindes gibt es nichts, was sich ausschalten ließe. Richten Sie es danach auf jedem Smartphone und Laptop ein, das das Haus verlässt, denn die Einstellung des Routers gilt nicht über mobile Daten oder in fremden WLANs.

Am Router (am besten für den Jugendschutz)

• Öffnen Sie die Verwaltungsseite des Routers, meist unter 192.168.1.1 oder 192.168.0.1. Unsere Router-Login-Anleitung listet die Standardadresse und das Standardpasswort für jede Marke und jeden Provider auf.
• Suchen Sie die DNS-Felder unter Internet, WAN oder DHCP. CleanBrowsing empfiehlt, sie in den WAN-Einstellungen zu setzen, damit sie für Ihr ganzes Netzwerk gelten.
• Ersetzen Sie die vorhandenen Server durch 185.228.168.168 und 185.228.169.168. Tragen Sie im IPv6-Bereich 2a0d:2a00:1:: und 2a0d:2a00:2:: ein oder schalten Sie IPv6-DNS aus, falls der Router keine eigenen IPv6-Server annimmt.
• Speichern Sie, starten Sie den Router neu und verbinden Sie Ihre Geräte erneut, damit sie die Änderung übernehmen.

Android: Privates DNS (WLAN und mobile Daten)

Android 9 und neuer kann über Privates DNS in jedem Netz alle Abfragen per DoT an CleanBrowsing schicken:

• Öffnen Sie Einstellungen → Netzwerk & Internet → Privates DNS (bei manchen Smartphones unter Erweitert; bei Samsung Verbindungen → Weitere Verbindungseinstellungen → Privates DNS).
• Wählen Sie Hostname des Anbieters des privaten DNS und geben Sie family-filter-dns.cleanbrowsing.org ein (oder adult-filter-dns.cleanbrowsing.org bzw. security-filter-dns.cleanbrowsing.org).
• Tippen Sie auf Speichern. Erscheint „Verbindung nicht möglich“, prüfen Sie die Schreibweise; manche Schul- und Firmennetze blockieren Port 853.

iPhone und iPad

• Am besten: ein Profil für verschlüsseltes DNS. Öffnen Sie auf dem iPhone die Apple-Profilseite von CleanBrowsing, wählen Sie den Familienfilter und laden Sie das Profil herunter (iOS 14 oder neuer). Öffnen Sie dann Einstellungen → Profil geladen → Installieren. Es nutzt DoH in jedem Netz, im WLAN wie im Mobilfunk.
• Nur ein WLAN: Gehen Sie zu Einstellungen → WLAN, tippen Sie auf das (i) neben dem Netzwerk und dann auf DNS konfigurieren → Manuell. Löschen Sie die vorhandenen Server und fügen Sie 185.228.168.168 und 185.228.169.168 hinzu.
• Ein Profil lässt sich in den Einstellungen entfernen, und eine VPN-App umgeht jeden DNS-Filter. Blockieren Sie über Bildschirmzeit → Beschränkungen die Installation neuer Apps und vergeben Sie einen Bildschirmzeit-Code, den nur Sie kennen.

Unter Windows 11 und 10

• Öffnen Sie Einstellungen → Netzwerk und Internet und wählen Sie WLAN (dann Hardwareeigenschaften) oder Ethernet.
• Klicken Sie neben DNS-Serverzuweisung auf Bearbeiten, wählen Sie Manuell und aktivieren Sie IPv4.
• Tragen Sie 185.228.168.168 als bevorzugten und 185.228.169.168 als alternativen DNS ein. Unter Windows 11 stellen Sie DNS über HTTPS auf Ein (manuelle Vorlage) und tragen für beide https://doh.cleanbrowsing.org/doh/family-filter/ ein.
• Aktivieren Sie IPv6, fügen Sie 2a0d:2a00:1:: und 2a0d:2a00:2:: hinzu und klicken Sie auf Speichern. Unter Windows 10 nutzen Sie Systemsteuerung → Netzwerk- und Freigabecenter → Adaptereinstellungen ändern oder die PowerShell-Zeile unten.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

Unter macOS

• Öffnen Sie Systemeinstellungen → Netzwerk, wählen Sie WLAN (oder Ethernet) und klicken Sie auf Details.
• Entfernen Sie im Bereich DNS die alten Server, klicken Sie auf + und fügen Sie 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: und 2a0d:2a00:2:: hinzu. Klicken Sie dann auf OK.
• Für verschlüsseltes DNS, das ein MacBook in andere Netze begleitet, installieren Sie stattdessen dasselbe Apple-Profil (macOS 11 Big Sur oder neuer).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Wie Kinder DNS-Filter umgehen (und wie Sie es verhindern)

Ein DNS-Filter wirkt nur, solange das Gerät ihn fragt. Das sind die üblichen Wege, CleanBrowsing zu umgehen, und was sie jeweils stoppt:

• Einen anderen DNS-Server eintippen, etwa 8.8.8.8. Lösung: Erlauben Sie am Router Port 53 nur zum Bereich von CleanBrowsing, 185.228.168.0/23, und leite alles andere um oder blockiere es (Regeln unten).
• DNS over HTTPS im Browser. Familie antwortete für dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io und andere DoH-Hostnamen mit NXDOMAIN, ebenso für use-application-dns.net, die Canary-Domain, die verhindert, dass Firefox DoH von selbst einschaltet. Ein DoH-Server, der per IP-Adresse eingetragen ist, kommt trotzdem durch, weil der Browser keine Abfrage braucht, um ihn zu erreichen; schalten Sie deshalb auf Computern, die Sie verwalten, per Richtlinie das sichere DNS aus.
• Privates DNS von Android auf dns.google: Familie löst diesen Hostnamen in Ihrem WLAN nicht auf, über mobile Daten funktioniert es aber. Blockieren Sie ausgehenden TCP-Port 853 außer zu CleanBrowsing und stellen Sie das Private DNS des Smartphones selbst auf CleanBrowsing.
• VPN-Apps und Web-Proxys. Familie sperrte jede VPN- und Proxy-Seite, die wir ausprobiert haben, was Web-Proxys stoppt. Eine VPN-App aus einem App-Store kann sich trotzdem verbinden, und dann läuft das DNS im Tunnel, wo kein DNS-Filter es sieht; kontrollieren Sie also die App-Installation mit Google Family Link oder Bildschirmzeit.
• IPv6 und andere Netze. DNS über IPv6 vom Provider, das WLAN des Nachbarn oder mobile Daten umgehen die Einstellung des Routers: Tragen Sie die IPv6-Server ein und richten Sie auf dem Smartphone des Kindes Privates DNS oder das Apple-Profil ein.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Prüfen Sie dann jedes Gerät mit dem DNS-Leak-Test von DNS Robot: Jeder aufgeführte Resolver sollte zu CleanBrowsing gehören. Stehen Google, Cloudflare oder Ihr Provider in der Liste, geht auf diesem Gerät etwas am Filter vorbei. Sobald verschlüsseltes DNS blockiert ist, warnen manche iPhones, dass das Netzwerk verschlüsseltes DNS blockiert; hier steht, was das bedeutet.

CleanBrowsing vs. Cloudflare 1.1.1.3 vs. OpenDNS FamilyShield

Cloudflares 1.1.1.3 und OpenDNS FamilyShield sind die anderen großen kostenlosen Familienfilter. Wir haben am 26. Oktober 2026 dieselben Tests durch jeden laufen lassen; die Adressen stammen aus der Dokumentation von Cloudflare und der FamilyShield-Seite von OpenDNS.

Nehmen Sie CleanBrowsing Familie für jüngere Kinder: Es ist der einzige der drei, der Mischinhalte wie Reddit sperrt und YouTube einschränkt, und es sperrt die VPN-Seiten und DoH-Server, mit denen Kinder Filter umgehen. Nehmen Sie Cloudflare 1.1.1.3, wenn Sie Erwachsenen- und Schadsoftware-Sperre mit Safe Search und schnellen Antworten wollen und Reddit und YouTube offen bleiben dürfen; siehe unsere Cloudflare-DNS-Anleitung. OpenDNS FamilyShield sperrt Erwachsenen-, VPN- und Proxy-Seiten, erzwingt aber kein Safe Search und lässt die Test-Seite für Schadsoftware durch.

So prüfen Sie, ob CleanBrowsing funktioniert

Die Testdomain von CleanBrowsing selbst, badexample.com, wird von allen drei Filtern gesperrt, löst über andere Resolver aber normal auf. Fragen Sie sie über Ihr normales DNS ab, ohne einen Server zu nennen: NXDOMAIN heißt, Ihre Abfragen erreichen CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Liefert badexample.com eine Adresse, nutzt Ihr Gerät CleanBrowsing nicht: Suchen Sie nach einem VPN, der Einstellung für sicheres DNS im Browser oder einem zweiten DNS-Server. Worauf eine gesperrte Domain wirklich zeigt, sehen Sie im DNS-Lookup von DNS Robot, der ungefilterte öffentliche Resolver fragt.