Quad9 DNS-Server: 9.9.9.9, IPv6 & Einrichtung

Was ist Quad9 DNS?

Quad9 DNS ist ein kostenloser öffentlicher DNS-Resolver unter 9.9.9.9 (sekundär 149.112.112.112), der Domains nicht auflöst, die bekanntermaßen Malware oder Phishing verbreiten. Sie stellen Router, Computer oder Handy statt auf den DNS-Server Ihres Internetanbieters auf Quad9 um, und jede Abfrage wird vor der Antwort mit den Bedrohungslisten von mehr als 20 Partnern für Bedrohungsinformationen abgeglichen. Es gibt kein Konto, keine App und keine Gebühr.

Betrieben wird Quad9 von der Quad9 Foundation, einer gemeinnützigen Stiftung in Zürich, gegründet von der Global Cyber Alliance, IBM und Packet Clearing House (PCH). Die Adresse 9.9.9.9 hat IBM dem Projekt überlassen. Quad9 ist seit August 2016 im Produktivbetrieb; die Über-uns-Seite (abgerufen am 26. Oktober 2026) nennt mehr als 230 Resolver-Cluster in über 110 Ländern und durchschnittlich über 670 Mio. blockierte Abfragen pro Tag.

Quad9 DNS-Server-Adressen (IPv4 und IPv6)

Das sind die Adressen des empfohlenen Quad9-Dienstes, den die meisten wollen: Malware-Blockierung plus DNSSEC-Validierung. Tragen Sie alle ein, für die Ihr Gerät Platz hat.

Alle vier erreichen denselben Dienst per Anycast: Ihre Abfrage landet am nächstgelegenen Quad9-Standort. Jede Quad9-Adresse, die wir abgefragt haben, wurde von res700.bom2 beantwortet, einem Resolver in Mumbai (BOM ist der Flughafencode von Mumbai). Quad9 bittet darum, das IPv6-Paar auch ohne IPv6 einzutragen, da die meisten Systeme Adressen, die sie nicht nutzen können, ignorieren. Microsofts Windows-Dokumentation führt die zweite als 2620:fe::fe:9; in unserem Test antworteten beide.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Alle Quad9-Dienste: 9.9.9.9 vs 9.9.9.10 vs 9.9.9.11

Quad9 betreibt denselben Resolver unter vier Adresspaaren. Sie unterscheiden sich in zwei Schaltern: ob bösartige Domains blockiert werden und ob ein Teil Ihrer IP-Adresse (EDNS Client Subnet, kurz ECS) an die DNS-Server der Websites weitergegeben wird.

9.9.9.12 steht nur in der Dokumentation von Quad9; in unserem Test antworteten alle vier. Die DoH-URL ist der Hostname plus /dns-query.

ECS tauscht Privatsphäre gegen Tempo. CDNs nutzen Ihr Subnetz, um einen Server in Ihrer Nähe zu wählen. Quad9 sieht darin ein Datenschutzleck und sendet es von 9.9.9.9 aus nie; die Dokumentation rät zu 9.9.9.11, wenn Sie keinen nahen Quad9-Standort erreichen oder eine Website Ihnen Inhalte der falschen Region liefert. Googles Echo-Name zeigt den Unterschied:

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

Über IPv6 gab 9.9.9.11 ein /48 weiter. 9.9.9.9, 9.9.9.10 und Cloudflares 1.1.1.1 sendeten kein Subnetz; auch Googles 8.8.8.8 sendete ein /24.

Wie Quad9 Malware blockiert (und was nicht)

Quad9 jagt Bedrohungen nicht selbst. Es übernimmt Listen bösartiger Domains (Malware, Phishing, Ransomware, Spyware, Exploit-Kits) von seinen Partnern für Bedrohungsinformationen und aktualisiert sie mehrmals täglich oder in nahezu Echtzeit. Fragen Sie eine gelistete Domain ab, antwortet Quad9, als gäbe es sie nicht, und Ihr Gerät erhält die Adresse des Servers nie.

Quad9 blockiert keine Werbung, keine Tracker und keine Inhalte für Erwachsene, plant keine Inhaltsfilterung und zählt Spam nicht als Bedrohung. Für einen Jugendschutzfilter nehmen Sie zum Beispiel Cloudflares 1.1.1.3.

Quad9 dokumentiert eine Testdomain, isitblocked.org, die seine blockierenden Dienste verweigern. Im Test von DNS Robot am 26. Oktober 2026:

Eine Blockierung und eine Domain, die wirklich nicht existiert, liefern beide NXDOMAIN. Die Authority-Zahl unterscheidet sie: Eine Blockierung hat AUTHORITY: 0, eine nicht vorhandene Domain AUTHORITY: 1 (der SOA-Eintrag der Zone), wie ein ausgedachter .com-Name in unserem Test zeigte.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9 DNS over HTTPS, TLS und QUIC

Klartext-DNS auf Port 53 kann jeder auf dem Weg lesen, auch Ihr Internetanbieter. Jeder Quad9-Dienst antwortet auch über verschlüsselte Protokolle:

• DNS over TLS (DoT): dns.quad9.net auf Port 853 (dns10, dns11 oder dns12.quad9.net für die anderen Dienste). Das ist der Hostname, den die Android-Einstellung Privates DNS braucht.
• DNS over HTTPS (DoH): https://dns.quad9.net/dns-query. Quad9 hat am 15. Dezember 2025 begonnen, HTTP/1.1 für DoH abzuschalten, also braucht es HTTP/2 oder neuer; Quad9 nennt MikroTik RouterOS als Client ohne diese Unterstützung.
• DNS over QUIC (DoQ) und DoH über HTTP/3: auf jedem Quad9-Dienst seit dem 31. März 2026. DoQ nutzt dieselben Hostnamen auf Port 853; Clients wie Chrome wechseln von selbst auf HTTP/3. Quad9 unterstützt außerdem DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

Im Test von DNS Robot verband sich DoT per TLS 1.3 auf Port 853 mit allen vier Diensten und über IPv6, mit einem Zertifikat für dns.quad9.net; proto.on.quad9.net antwortete dot über TLS und doh über HTTPS. DoH über HTTP/1.1 bekam HTTP 505 („requires HTTP/2“), und das JSON-Format ?name=, das Cloudflare und Google anbieten, ergab HTTP 400: Quad9 spricht nur das Binärformat von RFC 8484.

Verschlüsselung kostet meist nur bei der ersten Abfrage Zeit. Eine frische DoH-Verbindung zu Quad9 brauchte insgesamt im Median 260 ms (Cloudflare 87 ms, Google 150 ms); über eine offene DoT-Verbindung lagen Abfragen an 9.9.9.9 im Median bei 48 ms, nahe an Klartext-DNS.

Quad9 Geschwindigkeit und DNSSEC: Der Test von DNS Robot

Wir haben jede Quad9-Adresse am 26. Oktober 2026 von einem Jio-Heimanschluss in Indien aus gemessen, neben Cloudflare und Google: fünf abwechselnde Runden pro Server, jeweils mit einem Namen im Cache (example.com) und einem ganz neuen Namen in unserer eigenen Testzone. Die Tabelle zeigt den Median aus fünf.

Cloudflare war in beiden Disziplinen am schnellsten, seine Abfragen aus dem Cache lagen alle bei 26–31 ms. Die Mediane von Quad9 waren in Ordnung, aber die Streuung war groß: Einzelne Cache-Abfragen an 9.9.9.9 und 149.112.112.112 brauchten 316 ms und 563 ms, und eine IPv6-Abfrage lief in ein Timeout. Google war bei ganz neuen Namen am langsamsten. Ihre Werte werden anders ausfallen, also starten Sie den DNS-Geschwindigkeitstest auf Ihrem eigenen Gerät, bevor Sie wechseln.

DNSSEC: Jede Quad9-Adresse validiert. Alle, auch das ungefilterte 9.9.9.10 und 9.9.9.12, lieferten SERVFAIL für die absichtlich fehlerhaften dnssec-failed.org und brokendnssec.net und setzten das ad-Flag bei einer korrekt signierten Domain. Das entspricht der Dienstseite von Quad9; die FAQ („zwei von drei“ Diensten) und die Apple-Profile („No DNSSEC“ für 9.9.9.10) stimmen mit unserer Messung nicht überein.

Wer betreibt Quad9, und ist es privat?

Quad9 wird von der Quad9 Foundation betrieben, einer gemeinnützigen Stiftung in Zürich, finanziert durch Sponsoren und Spenden. Die Datenschutzerklärung sagt:

• IP-Adressen gelten als personenbezogene Daten nach der strengsten der Schweizer (DSG), US-amerikanischen und EU-Definitionen (DSGVO), für alle Nutzer, wo auch immer sie leben.
• Ihre IP-Adresse wird nie gespeichert. Sie bleibt nur für Mikro- bis Millisekunden im Arbeitsspeicher, die für die Antwort nötig sind, und wird nie mit den abgefragten Namen verknüpft.
• Gespeichert werden Zähler: Standort, Netzwerkpräfix (nicht feiner als /24 bei IPv4 oder /56 bei IPv6), AS-Nummer, Region, Abfragetyp, Protokoll und Anzahlen je Domainname. Sie dürfen archiviert werden, enthalten laut Erklärung aber keine personenbezogenen Daten.
• Nichts wird verkauft oder an Werbetreibende weitergegeben. Partner für Bedrohungsinformationen erhalten Zählwerte für die von ihnen gelieferten Domains, nie Quell-IPs.
• Schweizer Rechtsraum: Quad9 erfüllt nur Anfragen, die Schweizer Behörden genehmigt haben, und der Schweizer Überwachungsdienst hat bestätigt, dass sein Überwachungsgesetz (BÜPF/SPTA) nicht für den Resolver gilt, es gibt also keine Pflicht, Nutzer-Metadaten aufzubewahren.

Anonym ist allerdings kein Resolver: Quad9 sieht weiterhin jede Abfrage, und Klartext-DNS bleibt auf dem Weg lesbar, solange Sie nicht DoT oder DoH nutzen.

Quad9 vs Cloudflare vs Google DNS

Alle drei sind kostenlos und validieren DNSSEC. Die echten Unterschiede sind Blockierung, Datenschutz und das Recht, dem der jeweilige Betreiber untersteht:

Nehmen Sie Quad9 für Malware-Schutz auf jedem Gerät und die strengsten Datenschutzregeln. Nehmen Sie Cloudflare, wenn Tempo am wichtigsten ist (es war von unserem Anschluss aus am schnellsten) oder Sie einen Filter für Erwachsenenseiten brauchen. Nehmen Sie Google für CDN-genaue Antworten, denn es sendet ECS. Unsere Anleitungen zu Cloudflare DNS und Google DNS behandeln die beiden genauso ausführlich.

So richten Sie Quad9 DNS ein

Stellen Sie Quad9 im Router ein, um alle Geräte in Ihrem WLAN auf einmal abzudecken, oder direkt am Gerät für Handys und Laptops, die das Haus verlassen.

Unter Android (Privates DNS)

• Öffnen Sie Einstellungen und suchen Sie nach Privates DNS (auf einem Pixel unter Netzwerk & Internet, bei Samsung unter Verbindungen → Weitere Verbindungseinstellungen).
• Wählen Sie Hostname des Anbieters des privaten DNS.
• Geben Sie dns.quad9.net ein (oder dns10.quad9.net / dns11.quad9.net für die anderen Dienste) und tippen Sie auf Speichern.
• Öffnen Sie on.quad9.net im Browser, um zu prüfen, ob es geklappt hat.

Privates DNS verschlüsselt jede Abfrage per DoT, auch im mobilen Netz; unsere Anleitung zu Privatem DNS erklärt, was es verbirgt.

Auf iPhone und iPad

• Schnell, ein WLAN-Netz (unverschlüsselt): Gehen Sie zu Einstellungen → WLAN, tippen Sie neben Ihrem Netzwerk auf (i) und dann auf DNS konfigurieren → Manuell. Löschen Sie die alten Server, fügen Sie 9.9.9.9, 149.112.112.112, 2620:fe::fe und 2620:fe::9 hinzu und tippen Sie auf Sichern.
• Verschlüsselt, in jedem Netz: Öffnen Sie die iOS-Einrichtungsanleitung von Quad9 in Safari (andere Browser funktionieren nicht) und laden Sie ein Profil herunter (Quad9 empfiehlt HTTPS). Tippen Sie dann unter Einstellungen auf Profil geladen und auf Installieren und geben Sie Ihren Code ein.
• Prüfen Sie das Ergebnis unter on.quad9.net.

Unter Windows 11 und 10

• Windows 11: Öffnen Sie Einstellungen → Netzwerk und Internet, wählen Sie WLAN oder Ethernet, klicken Sie neben DNS-Serverzuweisung auf Bearbeiten und wählen Sie Manuell.
• Aktivieren Sie IPv4: bevorzugt 9.9.9.9, alternativ 149.112.112.112, jeweils mit DNS über HTTPS auf Ein (automatische Vorlage); Windows kennt die DoH-Adresse von Quad9 bereits.
• Aktivieren Sie IPv6, falls vorhanden (2620:fe::fe und 2620:fe::9, DoH ein), und klicken Sie auf Speichern. In Windows' eingebauter DoH-Liste steht 2620:fe::fe:9 statt 2620:fe::9; nehmen Sie das als alternative Adresse, falls Ein (automatische Vorlage) nicht angeboten wird. Laptops, die in Netze wechseln, die DoH blockieren, brauchen eventuell „Fallback auf Klartext“.
• Windows 10: Drücken Sie Win + R, führen Sie ncpa.cpl aus, klicken Sie mit der rechten Maustaste auf Ihren Adapter und öffnen Sie Eigenschaften → Internetprotokoll, Version 4 (TCP/IPv4) → Eigenschaften → Folgende DNS-Serveradressen verwenden. Wiederholen Sie das für IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

Unter macOS

• Öffnen Sie Systemeinstellungen → Netzwerk, wählen Sie WLAN (oder Ethernet) und klicken Sie auf Details.
• Öffnen Sie DNS, klicken Sie auf + und fügen Sie 9.9.9.9, 149.112.112.112, 2620:fe::fe und 2620:fe::9 hinzu. Entfernen Sie alte Einträge mit – und klicken Sie auf OK.
• Für verschlüsseltes DNS unter macOS Big Sur oder neuer installieren Sie stattdessen das Profil von Quad9: Laden Sie es in Safari herunter und bestätigen Sie es dann in den Systemeinstellungen.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Im Router

• Öffnen Sie die Admin-Oberfläche des Routers (oft 192.168.0.1 oder 192.168.1.1) und melden Sie sich an.
• Suchen Sie die DNS-Einstellungen, meist unter Internet, WAN oder DHCP, und stellen Sie von automatisch auf manuell um.
• Tragen Sie 9.9.9.9 und 149.112.112.112 ein, dazu 2620:fe::fe und 2620:fe::9 im IPv6-Bereich, falls es einen gibt. Speichern Sie und verbinden Sie Ihre Geräte neu.
• Unterstützt Ihr Router verschlüsseltes Upstream-DNS (pfSense und OPNsense zum Beispiel), richten Sie ihn auf dns.quad9.net; die Dokumentation von Quad9 hat Anleitungen dafür.

So prüfen Sie, ob Sie Quad9 nutzen

Öffnen Sie on.quad9.net im Browser: Es antwortet schlicht mit Ja oder Nein. Zwei Terminal-Prüfungen gehen weiter:

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9 sagt, dass manche Internetanbieter, meist in Asien, Afrika und im Nahen Osten, Abfragen an 9.9.9.9 stillschweigend auf eigene Server umleiten. In der Dokumentation von Quad9 enden die Namen auf .rrdns.pch.net; unserer war der kürzere res700.bom2, und proto.on.quad9.net bestätigte, dass Quad9 geantwortet hat. Liefert Prüfung 2 nichts oder einen fremden Namen, wechseln Sie zu DoT oder DoH, die sich so nicht umleiten lassen. Starten Sie dann unseren DNS Leak Test: Jeder Resolver, den er findet, sollte zu einem Netz gehören, das Quad9 nutzt, etwa PCH (WoodyNet), Equinix oder i3D, und keiner zu Ihrem Internetanbieter.

Quad9 funktioniert nicht? Häufige Ursachen

• Eine Seite, die Sie brauchen, ist blockiert. Suchen Sie die Domain auf der Seite mit den blockierten Domains von Quad9 und melden Sie einen Fehlalarm dem Quad9-Support. Bis dahin zeigt Ihnen DNS Lookup die echten Einträge der Domain.
• Ein VPN oder Browser überschreibt es. VPN-Apps nutzen ihr eigenes DNS, und Quad9 warnt, dass Firefox in manchen Regionen standardmäßig Cloudflares DoH nutzt. Stellen Sie Quad9 im DNS des VPNs oder Browsers selbst ein.
• Ihr DoH-Client ist zu alt. Das DoH von Quad9 braucht jetzt HTTP/2. Nutzen Sie DoT oder einen Forwarder wie dnscrypt-proxy, AdGuard Home oder Unbound.
• Ihr Internetanbieter sperrt einen Port. Quad9 beantwortet Klartext-DNS auch auf Port 9953, was von unserem Anschluss aus funktionierte. Ist auch der DoT-Port 853 gesperrt, nehmen Sie DoH, das über Port 443 läuft.
• Videos oder Downloads kommen von einem weit entfernten Server. Das kann am fehlenden ECS liegen: Probieren Sie 9.9.9.11 oder, ohne Blockierung, 9.9.9.12.
• Alte Antworten nach einer Änderung. Quad9 hat kein öffentliches Tool, um den eigenen Cache zu leeren, aber Sie können den Ihres Geräts leeren: siehe DNS-Cache leeren.