Cloudflare DNS: 1.1.1.1, 1.0.0.1, IPv6-Adressen & Setup

Was ist Cloudflare DNS?

Mit Cloudflare DNS ist meist 1.1.1.1 gemeint, der kostenlose öffentliche DNS-Resolver, den Cloudflare am 1. April 2018 gestartet hat. Ein Resolver ist der Server, den Ihr Gerät fragt, um einen Namen wie github.com in eine IP-Adresse zu übersetzen. Ihr Internetanbieter stellt Ihnen standardmäßig einen bereit; 1.1.1.1 ist eine Alternative, auf die Sie in den meisten Routern und auf jedem Computer oder Smartphone umstellen können.

Der Name steht aber auch für ein zweites, eigenständiges Produkt: Cloudflares autoritatives DNS, also den Dienst, der die DNS-Einträge einer Domain hostet (die Zone, die Sie im Cloudflare-Dashboard bearbeiten). Das richtet sich an Website-Betreiber und hat nichts damit zu tun, welchen Resolver Sie zu Hause nutzen. Dieser Guide behandelt zuerst den Resolver; das Hosting bekommt gegen Ende einen eigenen Abschnitt.

Die Adresse 1.1.1.1 selbst gehört der APNIC, der regionalen Internet-Registry für den asiatisch-pazifischen Raum. Cloudflare betreibt den Resolver darauf im Rahmen einer Forschungsvereinbarung mit APNIC Labs. Deshalb war eine so einprägsame Adresse überhaupt verfügbar.

Cloudflare DNS-Server-Adressen (IPv4 und IPv6)

Diese Adressen tragen Sie in jedes Feld für DNS-Einstellungen ein (Cloudflare). Nutzen Sie beide: Die zweite ist die Ausweichadresse, falls Ihr Gerät die erste nicht erreicht. Um 1.1.1.1 direkt aus einem Terminal abzufragen, nutzen Sie die Befehle unter der Tabelle.

# 1.1.1.1 direkt fragen (funktioniert unter macOS, Linux und Windows mit den BIND-Tools)
dig @1.1.1.1 dnsrobot.net A +short

# Welches Cloudflare-Rechenzentrum hat geantwortet?
dig @1.1.1.1 id.server CH TXT +short
# "nag01"

# Das Gleiche mit Windows-Bordmitteln
nslookup dnsrobot.net 1.1.1.1

Beide Paare erreichen denselben Dienst per Anycast: Hunderte Cloudflare-Rechenzentren kündigen dieselben Adressen an, und Ihre Anfrage landet beim im Netz nächstgelegenen. Welches Ihnen geantwortet hat, sehen Sie mit dig @1.1.1.1 id.server CH TXT. Von unserem Testrechner in Indien kam "nag01" zurück, ein Cloudflare-Standort in Nagpur.

Wenn Ihr Netzwerk IPv6 hat, tragen Sie auch das IPv6-Paar ein: 2606:4700:4700::1111 ist die IPv6-Adresse von 1.1.1.1 und 2606:4700:4700::1001 die von 1.0.0.1. Sonst kann Ihr Gerät weiter den IPv6-DNS-Server nutzen, den Ihr Internetanbieter vergibt, und 1.1.1.1 umgehen, ohne dass Sie es merken. Es geht um Abdeckung, nicht um Tempo: An unserem Jio-Heimanschluss antwortete 1.1.1.1 im Median in 30 ms über IPv6 und in 29 ms über IPv4 (je 15 Abfragen aus dem Cache, 26. Oktober 2026).

1.1.1.1 for Families: Filter für Malware und Inhalte für Erwachsene

Der normale Resolver 1.1.1.1 blockiert nichts. Cloudflare betreibt unter anderen Adressen zwei gefilterte Varianten namens 1.1.1.1 for Families. Auch sie sind kostenlos, und für den Wechsel müssen Sie nur andere Zahlen eintragen.

Eine blockierte Domain antwortet mit 0.0.0.0 (bzw. :: bei IPv6), die Seite lädt also einfach nicht. Prüfen können Sie das mit Cloudflares Testdomains: dig @1.1.1.2 malware.testcategory.com und dig @1.1.1.3 nudity.testcategory.com lieferten in unserem Test beide 0.0.0.0, während dieselben Namen über 1.1.1.1 ganz normal aufgelöst werden.

Endpunkte für DNS over HTTPS und DNS over TLS

Klassisches DNS läuft unverschlüsselt über Port 53. Jeder auf dem Weg, auch Ihr Internetanbieter, kann also jeden Namen mitlesen, den Sie aufrufen. Cloudflare antwortet zusätzlich über zwei verschlüsselte Protokolle:

• DNS over HTTPS (DoH): https://cloudflare-dns.com/dns-query. Es läuft über Port 443 und sieht aus wie normaler Web-Traffic. Browser nutzen eigene Cloudflare-Hostnamen für denselben Resolver, wenn Sie in der Einstellung für sicheres DNS Cloudflare auswählen: mozilla.cloudflare-dns.com in Firefox und chrome.cloudflare-dns.com in Chrome.
• DNS over TLS (DoT): Hostname one.one.one.one auf Port 853. Die Android-Einstellung Privates DNS nimmt diesen Hostnamen entgegen (sie verbindet sich per DoT, auf neueren Smartphones auch per DNS over HTTP/3).
• Gefilterte Varianten: Ersetzen Sie den Hostnamen durch security.cloudflare-dns.com (Malware) oder family.cloudflare-dns.com (Malware + Erwachsene), sowohl für DoH als auch für DoT.

# DoH im JSON-Format: kein spezieller Client nötig
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=dnsrobot.net&type=A'
# {"Status":0, ... "Answer":[{"name":"dnsrobot.net","type":1,"TTL":300,"data":"172.67.150.248"}, ...]}

Ist Cloudflare DNS privat? Was protokolliert wird

Datenschutz ist das wichtigste Verkaufsargument von 1.1.1.1, und Cloudflare veröffentlicht seine Zusagen in der Datenschutzrichtlinie für 1.1.1.1. Kurz gesagt:

• Ihre vollständige IP-Adresse wird nicht auf die Festplatte geschrieben, abgesehen von einer zufälligen Paketstichprobe von höchstens 0,05 % des Cloudflare-Traffics, die zur Fehlersuche aufbewahrt wird. Cloudflare kürzt die Adresse (das letzte Oktett bei IPv4, die letzten 80 Bit bei IPv6) und löscht selbst die gekürzte Fassung innerhalb von 25 Stunden.
• Resolver-Logs werden innerhalb von 25 Stunden gelöscht. Nur aggregierte Statistiken, wie sie auf Cloudflare Radar zu sehen sind, bleiben länger erhalten.
• Cloudflare verkauft keine Resolver-Daten und nutzt sie nicht für gezielte Werbung. APNIC erhält Anfragedaten für seine Forschung, aber nie die IP-Adressen dahinter.
• 1.1.1.1 sendet kein EDNS Client Subnet (einen Teil Ihrer IP) an die DNS-Server von Websites. Google Public DNS tut das, an Nameserver, die es unterstützen.
• Eine der Big-Four-Wirtschaftsprüfungsgesellschaften hat diese Zusagen zweimal geprüft; Cloudflare hat die Ergebnisse 2020 und noch einmal im April 2026 veröffentlicht.

Damit ist 1.1.1.1 privater als ein typischer Resolver eines Internetanbieters, der Anfragen speichern, für Werbung nutzen oder auf Anfrage herausgeben kann. Anonym ist es trotzdem nicht: Cloudflare sieht jede Anfrage, während es sie beantwortet. Verschlüsselung (DoH, DoT oder Privates DNS auf Ihrem Smartphone) verbirgt Ihre Anfragen vor dem Netz dazwischen, nicht vor dem Resolver, und ein VPN verlagert dieses Vertrauen nur zum VPN-Anbieter.

Cloudflare vs. Google vs. Quad9: Unser Geschwindigkeitstest

In den meisten öffentlichen Benchmarks gehört 1.1.1.1 zu den schnellsten Resolvern der Welt, aber entscheidend ist der Wert aus Ihrem Netzwerk. Wir haben am 4. Oktober 2026 denselben Test an zwei Orten in Indien durchgeführt: an einem Jio-Heimanschluss in Andhra Pradesh und auf unserem Webserver in einem Rechenzentrum in Navi Mumbai. Jeder Resolver bekam 15 Abfragen eines populären Namens (im Cache) und 15 Abfragen völlig neuer Namen, die er noch nie gesehen hatte (nicht im Cache). Die Tabelle zeigt den Median.

Für den globalen Überblick: DNSPerfs Resolver-Ranking (letzte 30 Tage, abgerufen am 4. Oktober 2026) sieht 1.1.1.1 bei durchschnittlich 13.63 ms, Google bei 19.47 ms und Quad9 bei 21.62 ms. Unsere eigenen Werte aus Indien zeichnen ein gemischteres Bild.

Drei Dinge fallen auf. Vom Rechenzentrum aus beantwortete jeder Resolver Namen aus dem Cache in 2–3 ms, weil alle drei einen Standort in der Nähe haben. Am Heimanschluss war Cloudflare bei Namen aus dem Cache am schnellsten (26 ms gegenüber 31–53 ms bei Google). Bei Namen, die noch niemand abgefragt hatte, war Google in beiden Netzen schneller, und Quad9 war am langsamsten.

Die Lehre daraus: Einen universellen Sieger gibt es nicht. Antworten aus dem Cache hängen davon ab, wie nah das nächste Rechenzentrum des Anbieters an Ihrem Internetanbieter liegt, Antworten ohne Cache davon, wie schnell der Anbieter die DNS-Server der jeweiligen Website erreicht. Testen Sie von Ihrem eigenen Anschluss aus, bevor Sie wechseln.

Das Ranking für Ihren eigenen Anschluss zeigt der DNS Speed Test von DNS Robot: Er misst Cloudflare, Google, Quad9 und neun weitere öffentliche Resolver per DNS over HTTPS aus Ihrem Browser, sortiert sie nach dem Median der Antwortzeit (mit Cache) und vergleicht den Sieger mit Ihrem aktuellen DNS anhand ganz neuer Domainnamen.

Cloudflare DNS (1.1.1.1) einrichten

Stellen Sie es nach Möglichkeit im Router um: Dann nutzt jedes Gerät in Ihrem WLAN 1.1.1.1 ohne weitere Einrichtung. Ändern Sie es auf einem einzelnen Gerät, wenn Sie nicht an den Router kommen oder das Gerät auch außer Haus genutzt wird (Laptops, Smartphones).

Im Router

• Öffnen Sie die Admin-Oberfläche Ihres Routers. Sie liegt meist unter 192.168.1.1 oder 192.168.0.1; unser Router Login nennt Standardadresse und Passwort für 80+ Router und Internetanbieter.
• Suchen Sie die DNS-Einstellungen, meist unter Internet, WAN oder DHCP.
• Stellen Sie von automatischem DNS bzw. dem DNS des Internetanbieters auf manuell um und tragen Sie 1.1.1.1 und 1.0.0.1 ein. Gibt es einen IPv6-Bereich, ergänzen Sie dort 2606:4700:4700::1111 und 2606:4700:4700::1001.
• Speichern Sie und starten Sie dann den Router neu oder verbinden Sie Ihre Geräte neu, damit sie die neuen Einstellungen übernehmen.

Unter Windows 11 und 10

• Öffnen Sie Einstellungen → Netzwerk und Internet, wählen Sie WLAN oder Ethernet und klicken Sie auf Ihre Verbindung.
• Klicken Sie neben DNS-Serverzuweisung auf Bearbeiten und wählen Sie Manuell.
• Aktivieren Sie IPv4 und tragen Sie 1.1.1.1 als bevorzugten und 1.0.0.1 als alternativen DNS ein. Unter Windows 11 können Sie DNS über HTTPS auf Ein (automatische Vorlage) stellen.
• Aktivieren Sie IPv6, tragen Sie 2606:4700:4700::1111 und 2606:4700:4700::1001 ein und klicken Sie auf Speichern.
• Windows 10 hat in den Einstellungen keine eigene DNS-Option. Drücken Sie Win + R, führen Sie ncpa.cpl aus, klicken Sie mit der rechten Maustaste auf Ihren Adapter und öffnen Sie Eigenschaften → Internetprotokoll, Version 4 (TCP/IPv4) → Eigenschaften → Folgende DNS-Serveradressen verwenden, und dasselbe unter Internetprotokoll, Version 6 (TCP/IPv6). Der PowerShell-Befehl unten funktioniert unter beiden Versionen.

# PowerShell (als Administrator ausführen): 1.1.1.1 auf dem aktiven Adapter setzen
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 1.1.1.1,1.0.0.1,2606:4700:4700::1111,2606:4700:4700::1001

# Alte zwischengespeicherte Antworten löschen
ipconfig /flushdns

Unter macOS

• Öffnen Sie Systemeinstellungen → Netzwerk, wählen Sie WLAN (oder Ethernet) und klicken Sie neben Ihrem Netzwerk auf Details.
• Öffnen Sie den Bereich DNS, klicken Sie auf + und fügen Sie 1.1.1.1, 1.0.0.1, 2606:4700:4700::1111 und 2606:4700:4700::1001 hinzu.
• Entfernen Sie ältere Einträge, die Sie nicht mehr brauchen, und klicken Sie auf OK.

# Alternative im Terminal (bei Kabelverbindung "Ethernet" statt Wi-Fi; auf deutschen Systemen heißt der Dienst oft "WLAN")
networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 2606:4700:4700::1111 2606:4700:4700::1001

# DNS-Cache von macOS leeren
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Unter Android und auf dem iPhone

• Android 9 oder neuer: Öffnen Sie Einstellungen → Netzwerk & Internet → Privates DNS (bei manchen Smartphones unter Erweitert), wählen Sie Hostname des Anbieters des privaten DNS und geben Sie one.one.one.one ein. Das verschlüsselt Ihre Anfragen und funktioniert auch über mobile Daten.
• iPhone und iPad: Gehen Sie zu Einstellungen → WLAN, tippen Sie auf das (i) neben Ihrem Netzwerk und dann auf DNS konfigurieren → Manuell. Löschen Sie die vorhandenen Server und fügen Sie 1.1.1.1 und 1.0.0.1 hinzu. Das gilt nur für dieses WLAN.
• Verschlüsseltes DNS in jedem Netz, auch über mobile Daten: Installieren Sie Cloudflares kostenlose App 1.1.1.1 für iOS oder Android. Sie startet im WARP-Modus, der auch Ihren übrigen Datenverkehr über Cloudflare leitet; stellen Sie sie auf den reinen Modus 1.1.1.1 (nur DNS) um, wenn Sie nur verschlüsseltes DNS wollen.

So prüfen Sie, ob Sie 1.1.1.1 nutzen

Am schnellsten geht es mit Cloudflares eigener Testseite one.one.one.one/help. Sie zeigt, ob Ihre Anfragen 1.1.1.1 erreichen, ob sie verschlüsselt sind (DoH oder DoT) und welches Rechenzentrum geantwortet hat.

Im Terminal können Sie Cloudflare fragen, wer Sie sind. Ohne den Teil @1.1.1.1 geht die Anfrage an den Resolver, den Ihr Gerät tatsächlich verwendet:

# Liefert Ihre öffentliche IP nur, wenn die Anfrage wirklich bei Cloudflare angekommen ist
dig whoami.cloudflare CH TXT +short
# "203.0.113.45"

# Windows: Ist auf diesem PC 1.1.1.1 eingestellt, zeigt die Server-Zeile 1.1.1.1 (oder one.one.one.one)
nslookup example.com

# DNSSEC-Test: SERVFAIL heißt, dass Ihr Resolver DNSSEC validiert (1.1.1.1 tut das, Google, Quad9 und viele Internetanbieter aber auch)
dig dnssec-failed.org | grep status

Wenn whoami.cloudflare nichts liefert oder nslookup weiterhin den Resolver Ihres Internetanbieters zeigt, überschreibt etwas Ihre Einstellung: der Router, der an das DNS seines Anbieters weiterleitet, IPv6-DNS-Server, die noch auf automatisch stehen, ein VPN oder ein Netz, das Port 53 abfängt (siehe unten). Die Einstellung für sicheres DNS im Browser ändert diese Terminal-Tests nicht, wohl aber das, was die Hilfeseite sieht. Haben Sie DNS im Router statt auf dem Gerät geändert, ist es normal, dass nslookup den Router nennt, und manche Router leiten die whoami-Anfrage nicht weiter; verlassen Sie sich dann auf die Hilfeseite. Nach jeder Änderung sollten Sie Ihren DNS-Cache leeren, damit alte Antworten das Ergebnis nicht verfälschen.

Cloudflare DNS für Ihre Domain (Nameserver und Proxy)

Wenn Sie eine Website betreiben, bedeutet „Cloudflare DNS“, dass die DNS-Einträge Ihrer Domain bei Cloudflare gehostet werden. Das ist in jedem Tarif kostenlos. Sie fügen die Domain bei Cloudflare hinzu und stellen dann bei Ihrem Registrar die Nameserver auf die beiden um, die Cloudflare Ihnen zuweist. Cloudflares Standard-Nameserver folgen dem Muster name.ns.cloudflare.com, wobei der Name ein Vorname ist. dnsrobot.net selbst läuft so: Seine Nameserver sind sofia.ns.cloudflare.com und terin.ns.cloudflare.com, was Sie mit unserer NS-Abfrage bestätigen können.

Jeder A-, AAAA- oder CNAME-Eintrag hat einen Proxy-Schalter:

• Proxied (orange Wolke): Abfragen liefern Cloudflares IP-Adressen statt der Ihres Servers, und der Web-Traffic läuft über Cloudflares CDN und Firewall. Deshalb zeigt eine Abfrage von dnsrobot.net 172.67.150.248 und 104.21.0.129 statt unseres Servers. Proxied-Einträge nutzen immer eine automatische TTL von 300 Sekunden.
• Nur DNS (DNS only, graue Wolke): Cloudflare antwortet einfach mit Ihrem Eintrag, so wie Sie ihn angelegt haben. Nutzen Sie das für Mailserver, SSH, Gameserver und alles andere, was nicht HTTP oder HTTPS ist.
• Alle anderen Eintragstypen, darunter MX und TXT, lassen sich nicht über den Proxy leiten. Cloudflare liefert sie immer als „Nur DNS“ aus, genau so, wie Sie sie eintragen.

Cloudflare DNS funktioniert nicht? Häufige Ursachen

Wenn nach dem Wechsel zu 1.1.1.1 Seiten nicht mehr laden, steckt meist eine dieser Ursachen dahinter:

• Ihr Netzwerk fängt DNS ab. Manche Internetanbieter, Hotels und Firmen-Firewalls leiten jede Anfrage auf Port 53 an ihren eigenen Resolver um, egal was Sie einstellen. Wenn dig @1.1.1.1 whoami.cloudflare CH TXT leer zurückkommt, statt Ihre IP zu zeigen, passiert genau das. Verschlüsseltes DNS (DoH oder DoT) umgeht das, wo es erlaubt ist.
• Geräte oder Internetanbieter, die 1.1.1.1 zweckentfremden. Bevor der Resolver 2018 startete, nutzten manche Router von Internetanbietern und Captive Portals in Cisco-WLANs 1.1.1.1 als interne Adresse, und einige Internetanbieter verwarfen oder filterten die Adresse. In solchen Netzen kommt 1.1.1.1 nie bei Cloudflare an. Wenn 1.0.0.1 funktioniert und 1.1.1.1 nicht, ist das die wahrscheinliche Ursache.
• Ein seltener Cloudflare-Ausfall. Am 14. Juli 2025 legte ein Konfigurationsfehler 1.1.1.1 weltweit für 62 Minuten lahm, und am 27. Juni 2024 machte ein BGP-Hijack den Dienst aus einigen Netzen für mehrere Stunden unerreichbar. Wenn Sie sich nicht einmal das leisten können, nehmen Sie einen anderen Anbieter wie 8.8.8.8 als sekundären DNS.
• Eine Domain mit fehlerhaftem DNSSEC. 1.1.1.1 prüft Signaturen, also scheitert eine Domain mit einem DNSSEC-Fehler hier mit SERVFAIL, während ein Resolver ohne Validierung vielleicht noch antwortet. Das muss der Domaininhaber beheben.
• Veraltete Antworten. Nach dem Wechsel behalten Gerät und Browser alte zwischengespeicherte Antworten, bis ihre TTL abläuft. Leeren Sie den Cache und testen Sie dann erneut.

Wenn gar nichts mehr aufgelöst wird, arbeiten Sie unseren Guide zu DNS-Server antwortet nicht durch. Und zeigt eine Website eine Cloudflare-Fehlerseite statt eines DNS-Fehlers, liegt es am Proxy der Website, nicht an Ihrem Resolver; siehe Cloudflare-Fehler 520.