Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr: Was tun?

Was bedeutet „Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr“?

„Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr.“ bedeutet: Ihr iPhone, iPad oder Mac wollte die Namen von Websites über einen verschlüsselten DNS-Server auflösen, und das WLAN hat es unterbunden. Apple zeigt dies als Datenschutzwarnung unter dem Netzwerk in Einstellungen > WLAN an, mit dem Satz: „Die Namen von Websites und andere Server, auf die dein Gerät in diesem Netzwerk zugreift, werden möglicherweise von anderen Geräten in diesem Netzwerk überwacht und erfasst.“

Apple hat das erklärt, als es verschlüsseltes DNS in iOS 14 und macOS Big Sur einführte (WWDC 2020): Manche Netzwerke blockieren verschlüsselte DNS-Server per Richtlinie, weil sie den Datenverkehr über DNS-Abfragen filtern. Passiert das, markiert Apple das WLAN mit einer Datenschutzwarnung.

Ihr Gerät versucht verschlüsseltes DNS nur, wenn etwas es eingeschaltet hat: eine DNS-App (etwa Cloudflares 1.1.1.1, NextDNS oder AdGuard), ein DNS-Profil, die Geräteverwaltung Ihres Arbeitgebers oder, ab iOS 16, ein DNS-Server, der selbst Verschlüsselung anbietet. Auch iCloud Privat-Relay kann es auslösen: Laut Apples WLAN-Einstellungen leitet es DNS-Anfragen selbst weiter. Wer diese Quelle findet, hat die Lösung gefunden.

Was ist verschlüsselter DNS-Datenverkehr?

Jedes Mal, wenn Sie eine Website besuchen, sendet Ihr Gerät eine DNS-Abfrage, um den Domainnamen (wie dnsrobot.net) in eine IP-Adresse zu übersetzen. Herkömmliches DNS sendet diese Abfragen im Klartext über Port 53 — vollständig unverschlüsselt. Das bedeutet, dass Ihr ISP, Netzwerkadministrator oder jeder im selben WLAN jede Domain sehen kann, die Sie abfragen.

Verschlüsseltes DNS umhüllt diese Abfragen mit Verschlüsselung, genau wie HTTPS den Webverkehr schützt. Anstatt dns-query: dnsrobot.net als Klartext zu senden, verschlüsselt Ihr Gerät die Abfrage, sodass nur der DNS-Server sie lesen kann.

Es gibt zwei Hauptprotokolle für verschlüsseltes DNS, die Apple-Geräte unterstützen:

• DNS-over-HTTPS (DoH) — sendet DNS-Abfragen über HTTPS auf Port 443, sodass sie im normalen Webverkehr untergehen
• DNS-over-TLS (DoT) — sendet DNS-Abfragen über eine TLS-Verbindung auf dem dedizierten Port 853, mit Verschlüsselung und klarer Protokollgrenze

Apple-Geräte unterstützen beide seit iOS 14 und macOS Big Sur, nutzen sie aber nicht standardmäßig. Seit iOS 16 und macOS Ventura wechseln sie außerdem von selbst zu verschlüsseltem DNS, wenn der DNS-Server des Netzwerks es über Discovery of Designated Resolvers (DDR) ankündigt. Dieselben Protokolle auf Android behandelt unser Ratgeber zu privatem DNS.

DoH vs. DoT: Die Unterschiede

Beide Protokolle verschlüsseln Ihre DNS-Abfragen, funktionieren aber unter der Haube unterschiedlich. Das Verständnis des Unterschieds hilft Ihnen, die richtige Lösung bei der Behebung des Blockierungsproblems zu wählen.

Wenn ein Netzwerk verschlüsseltes DNS blockiert, ist DoT auf Port 853 das einfache Ziel. DoH teilt sich Port 443 mit jeder HTTPS-Seite, deshalb blockieren Netzwerke es, indem sie die Adressen und Namen bekannter DoH-Server sperren oder diese Namen mit einem Fehler beantworten.

Warum blockieren Netzwerke verschlüsseltes DNS?

Nicht jede Blockierung von verschlüsseltem DNS ist böswillig. Es gibt mehrere legitime Gründe, warum ein Netzwerk verschlüsselten DNS-Datenverkehr blockieren oder stören könnte:

• Firmen- und Unternehmensnetzwerke — IT-Abteilungen blockieren verschlüsseltes DNS, um Sicherheitsrichtlinien, Inhaltsfilter und Bedrohungserkennung durchzusetzen. Sie brauchen Einblick in DNS-Abfragen, um Malware-Domains zu sperren und Datenabfluss zu verhindern
• Router mit Kindersicherung — Router mit eingebauter Kindersicherung (etwa Netgear Smart Parental Controls oder ASUS AiProtection) fangen DNS-Abfragen ab, um Inhaltskategorien zu filtern. Verschlüsseltes DNS umgeht diese Filter
• Inhaltsfilter des Providers — Manche Provider filtern über DNS, um gesetzliche Vorgaben zu erfüllen oder bekannte schädliche Seiten zu sperren. Verschlüsseltes DNS setzt diese Filterung außer Kraft
• Captive Portals in öffentlichen WLANs — Hotels, Flughäfen und Cafés fangen DNS ab, um Sie auf ihre Anmeldeseite umzuleiten. Verschlüsseltes DNS bricht diese Umleitung
• Pi-hole und AdGuard Home — DNS-basierte Werbeblocker müssen Ihre Abfragen sehen. Pi-hole beantwortet zum Beispiel standardmäßig die Namen, mit denen Geräte verschlüsseltes DNS (DDR) und iCloud Privat-Relay erkennen, damit sie beim Filter bleiben, und manche Setups ergänzen Sperrlisten mit DoH-Servern

Suchen Sie in einem Heimnetz zuerst nach einer Funktion, die DNS filtert: Kindersicherung, ein Werbeblocker wie Pi-hole oder AdGuard Home, eine Sicherheitssuite des Routers oder eine Firewall-Regel für Port 853.

So beheben Sie es auf iPhone und iPad (iOS/iPadOS)

Beginnen Sie mit Lösung 1: Sie findet die Einstellung, die verschlüsseltes DNS versucht. Die Lösungen 2 bis 6 räumen eine hängende Verbindung auf.

Lösung 1: Herausfinden, was verschlüsseltes DNS eingeschaltet hat

Prüfen Sie diese Punkte der Reihe nach. Jeder kann dafür sorgen, dass Ihr Gerät in jedem Netzwerk verschlüsseltes DNS versucht:

• iCloud Privat-Relay — es leitet Ihre DNS-Abfragen selbst weiter und verschlüsselt sie; in Apples WLAN-Einstellungen steht: „DNS-Anfragen werden für dieses WLAN von iCloud Privat-Relay gesendet“. Um es nur für dieses Netzwerk zu stoppen, gehen Sie zu Einstellungen > WLAN, tippen auf (i) neben dem Netzwerk und schalten Tracking der IP-Adresse beschränken aus (Apples Weg, Privat-Relay für ein einzelnes Netzwerk abzuschalten). Ein Netzwerk, das Privat-Relay selbst blockiert, zeigt eine eigene Meldung, dass es nicht mit Privat-Relay kompatibel ist
• Eine DNS-App oder ein Profil — öffnen Sie Einstellungen > Allgemein > VPN und Geräteverwaltung und suchen Sie einen VPN- oder DNS-Eintrag einer App (Cloudflares 1.1.1.1-App legt ein VPN-Profil an; NextDNS und AdGuard nutzen DNS-Einstellungen) oder ein Profil. Schalten Sie die App für dieses Netzwerk ab oder entfernen Sie ein Profil, das Sie nicht brauchen
• Manuelle DNS-Server — unter Einstellungen > WLAN > (i) > DNS konfigurieren melden Server wie 1.1.1.1, 8.8.8.8 und 9.9.9.9 iOS 16 und neuer, dass sie verschlüsseltes DNS anbieten, sodass Ihr iPhone automatisch darauf umschaltet. Setzen Sie DNS konfigurieren zum Testen zurück auf Automatisch
• Ein Arbeitsprofil — wenn Ihr Arbeitgeber das Gerät verwaltet, sind dessen DNS-Einstellungen Vorgabe: Fragen Sie die IT, statt sie zu ändern

Lösung 2: Gerät und Router neu starten

Ein Neustart löscht zwischengespeicherte Netzwerkzustände auf Ihrem Gerät und auf dem Router.

• iPhone/iPad: Seitentaste + Lautstärketaste halten > zum Ausschalten streichen > 30 Sekunden warten > einschalten
• Router: Netzkabel abziehen > 30 Sekunden warten > wieder einstecken > 2 Minuten für vollständigen Start warten

Nachdem beide Geräte neu gestartet sind, gehen Sie zu Einstellungen > WLAN und tippen Sie auf Ihren Netzwerknamen. Prüfen Sie, ob die Meldung „Datenschutzwarnung“ noch vorhanden ist.

Lösung 3: WLAN-Netzwerk vergessen und erneut verbinden

Wenn Sie das Netzwerk ignorieren, werden seine gespeicherten Einstellungen samt eigenem DNS entfernt und es kommt eine frische Verbindung zustande. Zum erneuten Verbinden brauchen Sie das WLAN-Passwort, prüfen Sie es also vorher (oft steht es auf einem Aufkleber am Router). In iOS heißt der Eintrag Dieses Netzwerk ignorieren.

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

Lösung 4: iOS oder iPadOS aktualisieren

Gehen Sie zu Einstellungen > Allgemein > Softwareupdate und installieren Sie verfügbare Updates. Auf iOS 14 und 15 wurden unerwartete Warnungen in Apples Entwicklerforum gemeldet, bleiben Sie also aktuell, bevor Sie etwas anderes ändern.

Lösung 5: Manuelle DNS-Server prüfen

DNS konfigurieren > Manuell verschlüsselt für sich allein nichts: Es ändert nur, welchen Server Ihr iPhone fragt. Ab iOS 16 sorgt aber ein Server mit Discovery of Designated Resolvers dafür, dass Ihr iPhone automatisch auf verschlüsseltes DNS umsteigt. Wir haben es am 26. Oktober 2026 geprüft: 1.1.1.1, 8.8.8.8 und 9.9.9.9 kündigen auf diesem Weg DoH und DoT an (Quad9 zusätzlich DNS over QUIC).

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

Ein manuell eingetragener öffentlicher DNS-Server kann die Warnung also in einem Netzwerk auslösen, das verschlüsseltes DNS blockiert: Zum Beseitigen stellen Sie DNS konfigurieren wieder auf Automatisch. Tragen Sie öffentliche Server nur in Netzwerken von Hand ein, die verschlüsseltes DNS zulassen. Die Einstellung gilt pro Netzwerk.

Lösung 6: Netzwerkeinstellungen zurücksetzen

Wenn keine der obigen Lösungen funktioniert, löscht das Zurücksetzen der Netzwerkeinstellungen alle gespeicherten WLAN-Netzwerke, VPN-Konfigurationen und Mobilfunkeinstellungen und gibt Ihrem Gerät einen vollständig sauberen Netzwerkzustand.

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

Nach dem Zurücksetzen startet Ihr Gerät neu. Sie müssen sich erneut mit allen WLAN-Netzwerken verbinden und Passwörter neu eingeben. VPN-Profile müssen ebenfalls neu konfiguriert werden.

So beheben Sie es auf dem Mac (macOS)

Dieselbe Warnung kann in den WLAN-Einstellungen Ihres Macs erscheinen, und dieselben Quellen schalten dort verschlüsseltes DNS ein.

Privat-Relay, Profile und DNS auf dem Mac prüfen

Gehen Sie ab macOS Ventura zu Systemeinstellungen > Netzwerk > WLAN > Details… neben dem Netzwerk: Schalten Sie Tracking der IP-Adresse beschränken aus, um Privat-Relay in diesem Netzwerk zu stoppen, und prüfen Sie den Tab DNS auf manuelle Server (entfernen Sie sie, um die Warnung zu beseitigen, denn 1.1.1.1, 8.8.8.8 und 9.9.9.9 stellen über DDR auf verschlüsseltes DNS um). DNS-Apps und Profile stehen unter Systemeinstellungen > Allgemein > Geräteverwaltung. DNS-Server stellen Sie alternativ im Terminal ein:

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

DNS-Cache auf dem Mac leeren

Leeren Sie nach Änderungen an den DNS-Einstellungen den lokalen DNS-Cache, damit Ihr Mac sie sofort nutzt. Unser Ratgeber DNS-Cache leeren deckt auch Windows, Linux und Browser ab.

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

So beheben Sie es auf Ihrem Router

Ist es Ihr eigenes Netzwerk, hilft die Korrektur am Router allen Geräten auf einmal. Beginnen Sie mit allem, was DNS filtert.

Router-Filter prüfen, dann Firmware aktualisieren

Kindersicherung, Werbeblocker und Sicherheitsfunktionen von Routern und Provider-Gateways arbeiten oft, indem sie DNS abfangen, und manche blockieren verschlüsseltes DNS, damit Geräte den Filter nicht umgehen. Schalten Sie die Funktion im Router-Administrationspanel ab (oder erlauben Sie darin DoH und DoT) und prüfen Sie, ob die Warnung verschwindet. Installieren Sie danach verfügbare Firmware-Updates (die Menünamen unterscheiden sich je nach Modell):

• ASUS: Router-Administrationspanel (192.168.1.1) > Verwaltung > Firmware-Upgrade > Nach Update suchen
• TP-Link: tplinkwifi.net > Systemtools > Firmware-Upgrade (oder verwenden Sie die Tether-App)
• Netgear: routerlogin.net > Verwaltung > Firmware-Update > Online prüfen
• Linksys: 192.168.1.1 > Konnektivität > Router-Firmware-Update

DNS-Server auf Ihrem Router ändern

Wenn das DNS Ihres Providers der Filter ist, stoppt ein öffentlicher Resolver am Router ihn. Der Router selbst fragt diesen Resolver aber weiter über unverschlüsseltes DNS ab, solange er DoT oder DoH nicht unterstützt.

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

Geräte übernehmen den neuen DNS-Server beim erneuten Verbinden. Verteilt der Router direkt die Adresse des öffentlichen Servers (etwa 1.1.1.1) statt seiner eigenen (192.168.x.x), wechseln iOS 16 und macOS Ventura oder neuer über DDR automatisch zu verschlüsseltem DNS.

Beste DNS-Server mit Verschlüsselungsunterstützung

Diese öffentlichen Resolver unterstützen DoH und DoT, sodass eine DNS-App oder ein Profil für einen von ihnen verschlüsseltes DNS liefert, wenn das Netzwerk es zulässt.

Cloudflare, Google und Quad9 kündigen ihre verschlüsselten Endpunkte außerdem über DDR an, was iOS 16 und macOS Ventura oder neuer automatisch nutzen, wenn einer von ihnen Ihr DNS-Server ist. Unsicher, welcher von Ihrer Leitung aus am schnellsten antwortet? Der DNS Speed Test misst sie in Ihrem Browser. Die Einrichtung im Detail: unsere Ratgeber zu den Cloudflare-DNS-Servern und den Google-DNS-Servern.

So überprüfen Sie, ob verschlüsseltes DNS funktioniert

Überprüfen Sie nach dem Anwenden der Lösungen, ob Ihre DNS-Abfragen tatsächlich verschlüsselt werden. Hier sind Methoden für jede Plattform.

Überprüfung auf iPhone/iPad

Prüfen Sie direkt auf dem Gerät:

• Starten Sie den DNS Leak Test von DNS Robot in Safari: Funktioniert verschlüsseltes DNS, sehen Sie die Server Ihres gewählten Anbieters, nicht die Ihres Providers
• Nutzen Sie Cloudflare, rufen Sie 1.1.1.1/help auf: Die Seite zeigt, ob Ihre Abfragen DoH, DoT oder unverschlüsseltes DNS verwenden
• Gehen Sie zu Einstellungen > WLAN und tippen Sie auf (i) neben dem Netzwerk: Die Datenschutzwarnung verschwindet, sobald verschlüsseltes DNS dort funktioniert oder nichts auf dem Gerät es mehr versucht

Überprüfung auf dem Mac

Auf macOS können Sie Terminal verwenden, um die DNS-Auflösung zu überprüfen und zu prüfen, ob die Verschlüsselung aktiv ist.

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

Wann diese Warnung normal ist (und sicher ignoriert werden kann)

Die Warnung zu verschlüsseltem DNS ist nicht immer ein Problem, das behoben werden muss. In einigen Situationen blockiert das Netzwerk verschlüsseltes DNS aus berechtigten Sicherheitsgründen absichtlich.

• Firmen- und Büronetzwerke — Die IT Ihres Unternehmens blockiert verschlüsseltes DNS, um nach Malware zu suchen und Sicherheitsrichtlinien durchzusetzen. Das ist üblich, und Ihr HTTPS-Verkehr bleibt verschlüsselt
• Schulnetzwerke — US-Schulen (K-12) und Bibliotheken mit E-Rate-Rabatten müssen nach dem CIPA (Children's Internet Protection Act) filtern, viele tun das über DNS; Universitäten filtern nach eigener Richtlinie
• Pi-hole- oder AdGuard-Home-Nutzer — ein lokaler DNS-basierter Werbeblocker kann verhindern, dass Geräte auf verschlüsseltes DNS umsteigen, damit er weiter filtern kann. Das ist so gewollt
• WLAN in Hotels, Flughäfen und Cafés — öffentliche Netzwerke filtern oft DNS. Hier zählt die Warnung am meisten: Jeder, der das Netzwerk betreibt, kann Ihre Abfragen sehen, nutzen Sie deshalb in WLANs, denen Sie nicht trauen, ein VPN

In verwalteten Netzwerken können Sie weitermachen: Der Betreiber sieht Ihre Abfragen, Ihre HTTPS-Seiten bleiben aber verschlüsselt. Das eigentliche Risiko von unverschlüsseltem DNS liegt in nicht vertrauenswürdigen öffentlichen Netzwerken, wo jemand Ihre Abfragen mitlesen oder manipulieren könnte.

Häufig gestellte Fragen