NextDNS einrichten: Gratis-Limit, alle Geräte, Einstellungen

Was ist NextDNS?

NextDNS ist ein DNS-Resolver, der wie eine Firewall arbeitet, die Sie selbst konfigurieren. Sie legen auf my.nextdns.io eine Konfiguration an, wählen, was blockiert wird (Werbung und Tracker, Malware und Phishing, Erwachsenenseiten, Apps wie TikTok oder Fortnite), und richten dann jedes Gerät mit Ihrer Konfigurations-ID darauf aus. Bis 300.000 Abfragen im Monat ist der Dienst kostenlos; der Pro-Tarif ohne Limit kostet in den USA 1,99 $ im Monat.

Weil das auf DNS-Ebene geschieht, gilt die Blockade für jede App, nicht nur für den Browser, und läuft auf den Servern von NextDNS statt auf Ihrem Gerät: Ein blockierter Name erhält 0.0.0.0 (oder optional eine Sperrseite) statt seiner echten Adresse. NextDNS Inc. wurde im Mai 2019 in Delaware von Romain Cointepas und Olivier Poitrey gegründet und betreibt ein eigenes Anycast-Netz mit Servern zweier verschiedener Anbieter an jedem Standort.

Ist NextDNS kostenlos? Das Limit von 300.000 Abfragen und die Preise

Ja, mit einer Monatsgrenze. Der Gratis-Tarif enthält 300.000 Abfragen im Monat, unbegrenzt viele Geräte, unbegrenzt viele Konfigurationen und alle Funktionen. NextDNS schickt Ihnen bei 250.000 Abfragen und noch einmal bei 300.000 eine E-Mail. Über der Grenze wird nicht abgeschaltet: Nach eigener Aussage "wird er zu einem Standard-DNS-Resolver, ohne Filterung, ohne Protokollierung" bis zum nächsten Monat.

Das sind etwa 10.000 Abfragen am Tag. Ob das reicht, hängt davon ab, wie viele Geräte sich das Konto teilen. Beobachten Sie deshalb eine Woche lang den Zähler im Tab "Analytics", bevor Sie zahlen.

So funktioniert eine NextDNS-Konfigurations-ID

Jede Konfiguration hat eine kurze ID, die im Tab "Setup" von my.nextdns.io steht (API, CLI und Mac-App von NextDNS nennen sie Profil-ID). NextDNS braucht diese ID bei jeder Abfrage, um zu wissen, welche Einstellungen gelten, und jedes Protokoll transportiert sie anders:

Die verknüpfte IP ist die Schwachstelle. Klartext-DNS über IPv4 hat keinen Platz für eine ID, deshalb ordnet NextDNS Abfragen Ihrer öffentlichen IP zu. Das bricht, sobald sich diese IP ändert, wie es bei dynamischen Heimanschlüssen und hinter Carrier-Grade NAT oft vorkommt. Ein DDNS-Hostname oder eine Update-URL hilft; verschlüsseltes DNS vermeidet das Problem.

Um ein Gerät in den Logs zu benennen, setzen Sie den Namen bei DoT vor die ID, mit -- für ein Leerzeichen (John--Router-abc123.dns.nextdns.io), und bei DoH dahinter (https://dns.nextdns.io/abc123/Office%20PC).

NextDNS auf jedem Gerät einrichten

Registrieren Sie sich auf my.nextdns.io, öffnen Sie den Tab "Setup" und kopieren Sie Ihre ID: Der Tab zeigt Ihre genauen Endpunkte und erkennt das Gerät, auf dem Sie sind. Unten stehen die Methoden, die er pro Plattform auflistet (Stand 26. Oktober 2026). Ersetzen Sie abc123 durch Ihre ID.

Android: Privates DNS

Android 9 und neuer haben Privates DNS (DNS over TLS) eingebaut, und es ist die einzige Android-Methode, die NextDNS nennt. Es gilt für WLAN und mobile Daten und für jede App, die das System-DNS nutzt.

1. Einstellungen > Netzwerk & Internet öffnenBei Samsung-Geräten heißt es Einstellungen > Verbindungen.
2. Auf Privates DNS tippenManche Geräte führen es unter Erweitert oder Weitere Verbindungseinstellungen.
3. Hostname des Anbieters des privaten DNS wählen
4. abc123.dns.nextdns.io eingeben und auf Speichern tippenVerwenden Sie Ihre eigene ID und öffnen Sie dann eine Website: Laden Seiten nicht mehr, stimmt der Hostname nicht oder das Netzwerk blockiert Port 853.

iPhone, iPad und Mac: die App oder apple.nextdns.io

Auf iPhone und iPad empfiehlt NextDNS seine App aus dem App Store. Die Alternative ist ein Konfigurationsprofil, das Apples eingebautes verschlüsseltes DNS nutzt (ab iOS 14 und macOS 11), ganz ohne laufende App:

1. apple.nextdns.io auf dem Gerät öffnenGeben Sie Ihre Konfigurations-ID ein. Optional fügen Sie einen Gerätenamen, WLAN-Netze, in denen NextDNS aus sein soll, und Domains hinzu, die es umgehen sollen.
2. Auf Download tippen
3. Das Profil installiereniPhone und iPad: Einstellungen > Profil geladen > Installieren. Mac: die .mobileconfig-Datei öffnen, dann Systemeinstellungen > Allgemein > Geräteverwaltung, das NextDNS-Profil doppelklicken und auf Installieren klicken.

Auf einem Mac können Sie auch die App von NextDNS unter nextdns.io/download/macos/stable installieren, die empfohlene Mac-Methode, und beim Nachfragen Ihre Profil-ID eingeben.

Windows 11: DNS over HTTPS oder die App

Windows 11 kann DNS over HTTPS nativ senden, und NextDNS führt das als empfohlene Methode auf:

1. Einstellungen > Netzwerk und Internet > WLAN (oder Ethernet) öffnenBei WLAN auf Hardwareeigenschaften klicken.
2. Neben DNS-Serverzuweisung auf Bearbeiten klicken und Manuell wählen
3. IPv4 einschalten und den bevorzugten Server eintragenBevorzugter DNS: 45.90.28.0. DNS über HTTPS: Ein (manuelle Vorlage), mit der Vorlage https://dns.nextdns.io/abc123.
4. Den alternativen Server eintragen und speichernAlternativer DNS: 45.90.30.0, mit derselben Vorlage. Auf Speichern klicken.

Windows 10 hat keine Einstellung für DNS over HTTPS, nutzen Sie daher die App von nextdns.io/download/windows/stable: Rechtsklick auf das Symbol im Infobereich, "Settings…" öffnen, Ihre Configuration ID einfügen und im selben Menü "Enable" wählen.

Chrome, Edge, Brave und Firefox

Um nur einen Browser abzudecken, stellen Sie sein sicheres DNS auf einen benutzerdefinierten Anbieter: https://dns.nextdns.io/abc123. In Chrome führt der Weg über Einstellungen > Datenschutz und Sicherheit > Sicherheit > Sicheres DNS verwenden > "Benutzerdefinierten DNS-Dienstanbieter hinzufügen".

Wählen Sie in Firefox unter DNS über HTTPS die Option Maximaler Schutz (Max Protection). NextDNS verlangt diesen strengen Modus, weil die anderen Modi von Firefox bei einem fehlgeschlagenen Abruf auf das System-DNS zurückfallen, wodurch blockierte Domains durchrutschen.

Router, Linux und die NextDNS-CLI

Für einen Router empfiehlt NextDNS seine Open-Source-CLI: ein kleiner Proxy, der das Klartext-DNS jedes Geräts in DNS over HTTPS umsetzt und Name und Modell jedes Geräts an Ihre Logs schicken kann. Sie läuft auf OpenWrt, AsusWRT-Merlin, pfSense, OPNsense, UniFi, EdgeOS, Firewalla, Synology, DD-WRT und den meisten Linux-Distributionen. Halten Sie Ihre Konfigurations-ID bereit und führen Sie aus:

sh -c 'sh -c "$(curl -sL https://nextdns.io/install)"'

# Afterwards
nextdns restart   # restart the service
nextdns log       # show its log

# Run the install command again to upgrade or uninstall

Kann Ihr Router sie nicht ausführen, tragen Sie die zwei IPv6-Adressen aus dem Tab "Setup" als DNS-Server ein, oder das IPv4-Paar mit einer verknüpften IP. Mit dnsmasq hängt add-cpe-id=abc123 Ihre ID an jede Abfrage, sodass keine IP-Verknüpfung nötig ist.

Die besten NextDNS-Einstellungen, die Sie ändern sollten

Die erste Konfiguration eines neuen Kontos ist nicht leer. Laut dem Code des Dashboards (gelesen am 26. Oktober 2026) sind Threat-Intelligence-Feeds, Google Safe Browsing, Cryptojacking-, IDN-Homograph-, Typosquatting-, DGA- und CSAM-Schutz, eine Blockliste für Werbung und Tracker, die Blockade getarnter Tracker, die Protokollierung und der anonymisierte EDNS Client Subnet eingeschaltet. Unter anderem aus sind DNS-Rebinding-Schutz, den NextDNS empfiehlt einzuschalten, außer Sie nutzen Domains, die auf private IPs auflösen, und die Sperren für neu registrierte und geparkte Domains. Ab hier sind diese Einstellungen am wichtigsten.

Blocklisten: eine hinzufügen, nicht fünf

Der Blocklisten-Katalog von NextDNS, der den Tab "Privacy" speist, enthielt am 26. Oktober 2026 83 Listen. Mehr ist nicht besser: Jede zusätzliche Liste bringt mehr Fehlalarme, und manche Listen im Katalog wurden seit Jahren nicht aktualisiert.

Ein sinnvoller Start ist die Standardliste plus eine gepflegte Liste wie HaGeZi Multi PRO oder OISD. Wenn etwas kaputtgeht, steht bei jedem blockierten Eintrag im Tab "Logs" "Blocked by" mit dem Namen der Liste, und Sie können die Domain von dort erlauben.

Native Tracking Protection

Das blockiert die Telemetrie, die Betriebssysteme und Geräte von sich aus nach Hause schicken. Am 26. Oktober 2026 deckte es acht Hersteller ab: Windows, Apple, Samsung, Xiaomi, Huawei, Alexa, Roku und Sonos. Fügen Sie nur die Hersteller hinzu, deren Geräte Sie besitzen, einen nach dem anderen, und prüfen Sie die Logs, wenn auf diesem Gerät eine Funktion ausfällt.

Jugendschutz

Blockieren Sie ganze Kategorien (Pornografie, Glücksspiel, Dating, Piraterie, Gaming, soziale Netzwerke, Video-Streaming) oder einen von 43 benannten Diensten, von TikTok und Roblox bis Discord und ChatGPT. Außerdem können Sie SafeSearch und den eingeschränkten Modus von YouTube erzwingen und mit Recreation Time bestimmte Websites, Apps oder Spiele nur zu festgelegten Zeiten am Tag erlauben.

Logs, Aufbewahrung und wo sie gespeichert werden

In einer neuen Konfiguration sind die Logs eingeschaltet. Unter "Settings" können Sie sie ausschalten oder 1 Stunde, 6 Stunden, 1 Tag, 1 Woche, 1, 3 oder 6 Monate, 1 Jahr oder 2 Jahre aufbewahren, gespeichert in den USA, der Europäischen Union oder der Schweiz (die Startseite von NextDNS nennt auch das Vereinigte Königreich). Bei ausgeschalteten Logs werden laut Datenschutzerklärung von NextDNS jede Abfrage und ihre Antwort verworfen, sobald die Antwort zurückgeschickt wurde, und Nutzerdaten werden weder verkauft noch weitergegeben.

NextDNS: Geschwindigkeit und Datenschutz im DNS-Robot-Test

Wir haben die öffentlichen Endpunkte von NextDNS ohne Konto am 26. Oktober 2026 von einem Heimanschluss in Indien aus gemessen: eine Aufwärmabfrage, dann der Median von 5 Abfragen für example.com, zweimal im Abstand von einer Minute. test.nextdns.io verriet uns, welcher NextDNS-Server geantwortet hat.

Erstens: Der verschlüsselte Hostname ist der schnelle Weg. dns.nextdns.io nutzt das "ultralow"-DNS-Steering von NextDNS, um einen nahen Server zu wählen, während die Anycast-Adressen dorthin gehen, wohin das Routing sie schickt: Aus unserem Netz landete das zweite Paar (45.90.30.0, 2a07:a8c1::) in Europa, mit etwa fünffacher Latenz. Bevorzugen Sie DoH oder DoT; testen Sie bei reinen IPs beide oder messen Sie sie mit unserem DNS-Geschwindigkeitstest im eigenen Browser.

Zweitens: NextDNS validiert DNSSEC: Für dnssec-failed.org gab es SERVFAIL. Ohne ID gab es außerdem kein Client-Subnetz an Googles Testnamen o-o.myaddr.l.google.com weiter, der nur den NextDNS-Server in Mumbai sah; Google Public DNS gab unser echtes /24-Subnetz weiter, AdGuard ein anderes /24, Cloudflare keines. Eine Konfiguration verhält sich anders: Ihre Einstellung "Anonymisierter EDNS Client Subnet", standardmäßig an, sendet ein Subnetz, das NextDNS so entworfen hat, dass die CDN-Geschwindigkeit bleibt, ohne Ihre eigene Adresse zu verraten. Sie können sie in "Settings" ausschalten.

So prüfen Sie, ob NextDNS funktioniert (test.nextdns.io)

Öffnen Sie test.nextdns.io im Browser des Geräts. Die Seite liefert ein paar Zeilen JSON über den Resolver, der sie aufgelöst hat. So sah es auf unserem Mac mit dem DNS des Providers aus und dann über NextDNS per DoH (Adressen entfernt):

Not using NextDNS:
{
  "status": "unconfigured",
  "resolver": "<your ISP's resolver>",
  "srcIP": "<your public IP>",
  "server": "vultr-blr-1"
}

Using NextDNS (DoH, no configuration ID):
{
  "status": "ok",
  "protocol": "DOH",
  "client": "<your public IP>",
  "srcIP": "<your public IP>",
  "anycast": false,
  "server": "ls-bom-1",
  "clientName": "unknown-doh"
}

• unconfigured: Dieses Gerät nutzt NextDNS nicht. resolver ist, wer stattdessen gefragt hat; das Dashboard nennt ihn (bei uns der Provider Reliance Jio).
• ok: NextDNS hat geantwortet. protocol zeigt, wie die Abfrage ankam (DOH, DOT, UDP und so weiter), und server nennt den NextDNS-Standort (bom ist Mumbai).
• mismatch: wird vom Tab "Setup" angezeigt, der den Test mit Ihrer ID ausführt: NextDNS hat geantwortet, aber nicht mit dieser Konfiguration (eine nicht verknüpfte IPv4-Adresse, ein Endpunkt ohne Ihre ID oder eine andere ID).

Lädt eine Seite nicht, vergleichen Sie ihre echte öffentliche Antwort im DNS-Lookup mit der, die Ihr Gerät bekommt: 0.0.0.0 heißt, NextDNS hat sie blockiert, und der Tab "Logs" nennt die Liste. Der DNS-Leak-Test zeigt jeden Resolver, den Ihr Gerät tatsächlich nutzt, und entdeckt so ein VPN oder einen Browser, der NextDNS umgeht.

NextDNS vs. AdGuard DNS vs. Cloudflare für Familien

Alle drei filtern auf DNS-Ebene, passen aber zu unterschiedlichen Leuten. Wir haben am 26. Oktober 2026 dieselben Namen an jeden öffentlichen Endpunkt geschickt:

Wählen Sie NextDNS, wenn Sie pro Person oder Gerät entscheiden wollen, was blockiert wird, und die Logs sehen möchten. Wählen Sie die kostenlosen öffentlichen Server von AdGuard DNS (94.140.14.14), wenn Sie Werbeblockade ganz ohne Konto wollen. Wählen Sie Cloudflare for Families, wenn Ihnen Malware- und Erwachsenenfilter genügen: 1.1.1.3 ist kostenlos, braucht kein Konto und blockiert keine Werbung. Unser Cloudflare-DNS-Leitfaden listet alle Families-Adressen auf.

NextDNS funktioniert nicht? Häufige Ursachen

• Ein VPN ist verbunden: Auf iPhone und Mac ersetzt dessen DNS das NextDNS-Profil.
• Sie haben 300.000 Abfragen überschritten: Kostenlose Konten filtern nicht mehr, bis der Monat zurückgesetzt wird.
• Ihre öffentliche IP hat sich geändert: Setups mit verknüpfter IP passen nicht mehr. Neu verknüpfen, DDNS nutzen oder auf DoH oder DoT wechseln.
• Das Netzwerk blockiert Port 853: DoT (Privates DNS unter Android) nutzt ihn, und Firewalls sperren ihn leicht; DoH nutzt Port 443 wie normaler Webverkehr.
• Safari reagiert auf einen blockierten Link nicht: NextDNS meldet, dass iOS Safari Links zu Domains, die mit 0.0.0.0 blockiert sind, stillschweigend ignoriert. Schalten Sie die Block Page ein.
• YouTube-Werbung läuft weiter: NextDNS sagt, DNS kann sie nicht blockieren. Nutzen Sie einen Werbeblocker im Browser.
• Firefox umgeht es: Ist sein eigenes DNS over HTTPS an, überspringt es das System-DNS. Richten Sie es mit „Maximaler Schutz“ auf Ihre NextDNS-URL.