Was ist Privates DNS? Bedeutung, Hostname & Nachteile

Was ist Privates DNS?

Privates DNS ist die Android-Einstellung für verschlüsseltes DNS: Sie schickt die Websitenamen, die Ihr Gerät abfragt, über eine verschlüsselte Verbindung, sodass Ihr WLAN und Ihr Internetanbieter sie weder lesen noch verändern können. Zum Aktivieren öffnen Sie Einstellungen → Netzwerk & Internet → Privates DNS, wählen Hostname des Anbieters des privaten DNS und tippen einen Hostnamen wie dns.google oder one.one.one.one ein. Auf Samsung-Geräten finden Sie es unter „Verbindungen“ → „Weitere Verbindungseinstellungen“ → „Privates DNS“.

Android kennt die Funktion seit Android 9 (2018) und nutzt dafür DNS over TLS. Seit einem Google-Play-Systemupdate von 2022 wechseln Android 11 und neuer bei den Anbietern, die Android erkennt, zu DNS over HTTP/3: bei dns.google von Google und bei Cloudflare unter dem Namen cloudflare-dns.com (mit one.one.one.one bleibt es bei DNS over TLS). iPhone, Windows, Mac und Webbrowser bieten denselben Schutz unter dem Namen verschlüsseltes DNS.

In Firmen- und Cloud-Netzwerken bedeutet „privates DNS“ etwas anderes: interne DNS-Zonen, die nur innerhalb dieses Netzwerks existieren. Diese Bedeutung wird weiter unten erklärt.

Wie normales DNS funktioniert (und warum es ein Problem ist)

Klassisches DNS verschickt Abfragen seit seinen ersten Standards im Jahr 1983 im Klartext. Wenn Sie einen Domainnamen in den Browser eingeben, sendet Ihr Gerät eine DNS-Abfrage über UDP-Port 53 an einen DNS-Resolver (meist den Server Ihres Internetanbieters). Der Resolver antwortet mit der IP-Adresse, und zwar komplett unverschlüsselt.

Damit kann jeder auf Ihrem Netzwerkpfad jede besuchte Domain sehen. Ihr Internetanbieter kann ein vollständiges Surfprofil anlegen. Angreifer in öffentlichen WLANs können Ihre Abfragen mitlesen. Manche Anbieter haben sogar DNS-Antworten umgeschrieben, um Tippfehler-Adressen auf eigene Such- und Werbeseiten zu leiten.

DNS ist außerdem anfällig für Cache Poisoning und Spoofing, bei denen ein Angreifer gefälschte Antworten schickt und Sie unbemerkt auf schädliche Websites umleitet. Klassisches DNS hat keine eingebaute Möglichkeit zu prüfen, ob die Antwort wirklich vom echten DNS-Server stammt.

Wie Privates DNS funktioniert

Privates DNS verpackt Ihre DNS-Abfragen in eine verschlüsselte Verbindung. Statt eine Klartext-Abfrage über UDP-Port 53 zu senden, baut Ihr Gerät zuerst eine verschlüsselte Sitzung zum DNS-Resolver auf und schickt die Abfrage dann durch diesen sicheren Tunnel.

Der DNS-Resolver entschlüsselt Ihre Abfrage, löst den Domainnamen in eine IP-Adresse auf, verschlüsselt die Antwort und schickt sie zurück. Der gesamte Austausch bleibt für alle unsichtbar, die das Netzwerk beobachten: Sie sehen, dass Sie mit einem DNS-Server sprechen, aber nicht, welche Domains Sie abfragen.

Heute sind drei IETF-standardisierte Protokolle für verschlüsseltes DNS im Einsatz: DNS over TLS (DoT), DNS over HTTPS (DoH) und DNS over QUIC (DoQ). Jedes verschlüsselt dieselbe DNS-Abfrage auf andere Weise (Oblivious DoH und DNSCrypt gibt es auch, sie sind aber seltener).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) führt DNS in TLS auf einem eigenen Port aus, 853. Das Privates DNS von Android nutzt es seit Android 9, und weil der Port exklusiv dafür gedacht ist, kann ein Netzwerk ihn leicht sperren.

DoH (RFC 8484) schickt DNS-Abfragen als HTTPS-Anfragen über Port 443. Sie sehen daher aus wie anderer Webverkehr und lassen sich nur sperren, indem man bekannte DoH-Server blockiert. Chrome, Firefox und Edge haben es eingebaut, Windows 11 kann es systemweit nutzen. Auf Android wechseln Android 11 und neuer bei den Anbietern, die Android erkennt, zu DNS over HTTP/3: bei dns.google von Google und bei Cloudflare unter dem Namen cloudflare-dns.com (mit one.one.one.one bleibt es bei DNS over TLS).

DoQ (RFC 9250, 2022) führt DNS direkt über QUIC auf UDP-Port 853 aus, vermeidet Head-of-Line-Blocking und nimmt Verbindungen schnell wieder auf. Nur wenige Resolver bieten es an: AdGuard DNS und Quad9 tun es (Quad9 nennt es in seiner DDR-Antwort, geprüft am 26. Oktober 2026), während Cloudflares 1.1.1.1 DoT, DoH und Oblivious DoH unterstützt, aber kein DoQ, und Android es nicht verwendet.

Privates DNS auf Android aktivieren

Android hat Privates DNS seit Android 9 (2018). Es gilt für jede App, im WLAN wie im Mobilfunknetz, und kennt drei Modi: Aus; Automatisch, die Standardeinstellung, die DNS verschlüsselt, sobald der DNS-Server Ihres Netzwerks das unterstützt, und sonst normales DNS verwendet; und Hostname des Anbieters des privaten DNS, das immer den Anbieter nutzt, den Sie eintragen.

• Schritt 1: Öffnen Sie Einstellungen > Netzwerk & Internet (auf Samsung: „Verbindungen“)
• Schritt 2: Tippen Sie auf Privates DNS (eventuell müssen Sie zuerst „Erweitert“ (auf Samsung „Weitere Verbindungseinstellungen“) antippen)
• Schritt 3: Wählen Sie Hostname des Anbieters des privaten DNS
• Schritt 4: Tragen Sie den Hostnamen Ihres Anbieters ein. Beispiele: 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Schritt 5: Tippen Sie auf Speichern. Erreicht Android den Anbieter nicht, warnt es „Auf den Server des privaten DNS kann nicht zugegriffen werden“

Privates DNS auf iPhone und iPad aktivieren

iPhone und iPad (iOS 14 und neuer) unterstützen DNS over HTTPS und DNS over TLS, aber es gibt keinen einzelnen Schalter wie bei Android: Sie fügen eine App für verschlüsseltes DNS oder ein Konfigurationsprofil hinzu.

• Methode 1: DNS-App — Installieren Sie die App Ihres Anbieters (zum Beispiel 1.1.1.1 von Cloudflare, NextDNS oder AdGuard) aus dem App Store und schalten Sie sie ein. Ihre DNS-Einstellung erscheint unter Einstellungen > Allgemein > VPN und Geräteverwaltung.
• Methode 2: Konfigurationsprofil — Laden Sie in Safari eine .mobileconfig-Datei von Ihrem DNS-Anbieter (oder aus einer vertrauenswürdigen Sammlung wie dem GitHub-Repository paulmillr/encrypted-dns) herunter, öffnen Sie dann Einstellungen > Allgemein > VPN und Geräteverwaltung, wählen Sie das heruntergeladene Profil und tippen Sie auf Installieren.
• Methode 3: DNS pro Netzwerk — Öffnen Sie Einstellungen > WLAN, tippen Sie neben Ihrem Netzwerk auf das (i), dann auf „DNS konfigurieren“, wählen Sie „Manuell“ und tragen Sie DNS-Server-IPs ein (z. B. 1.1.1.1, 1.0.0.1). Ab iOS 16 schaltet das iPhone von selbst auf verschlüsseltes DNS um, wenn der Server Discovery of Designated Resolvers unterstützt (1.1.1.1, 8.8.8.8 und 9.9.9.9 tun das); andere Server bleiben unverschlüsselt.

DNS over HTTPS unter Windows 11 aktivieren

Windows 11 unterstützt DNS over HTTPS von Haus aus. Es bringt eine Liste bekannter DoH-Anbieter mit, darunter Cloudflare, Google und Quad9.

• Schritt 1: Öffnen Sie „Einstellungen > Netzwerk und Internet > WLAN > Bekannte Netzwerke verwalten“ und wählen Sie Ihr Netzwerk (bei Kabel: „Ethernet“ → Ihr Netzwerk)
• Schritt 2: Suchen Sie auf dieser Seite „DNS-Serverzuweisung“
• Schritt 3: Klicken Sie neben „DNS-Serverzuweisung“ auf „Bearbeiten“
• Schritt 4: Wählen Sie „Manuell“ und aktivieren Sie „IPv4“
• Schritt 5: Tragen Sie einen primären DNS-Server ein (z. B. 1.1.1.1) und stellen Sie „DNS over HTTPS“ auf „Ein (automatische Vorlage)“
• Schritt 6: Tragen Sie einen sekundären DNS-Server ein (z. B. 1.0.0.1) und stellen Sie DoH ebenfalls auf „Ein“
• Schritt 7: Klicken Sie auf „Speichern“. Der DNS-Eintrag sollte nun die Kennzeichnung „Encrypted“ zeigen

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Privates DNS auf macOS aktivieren

macOS (ab Big Sur 11) unterstützt verschlüsseltes DNS wie iOS über Konfigurationsprofile oder über DNS-Apps.

• Methode 1: DNS-App — Installieren Sie die Cloudflare-1.1.1.1-App (oder eine ähnliche) und aktivieren Sie sie. Die App richtet DoH oder DoT auf Systemebene ein.
• Methode 2: Konfigurationsprofil — Laden Sie eine .mobileconfig-Datei herunter, doppelklicken Sie darauf und bestätigen Sie sie dann unter Systemeinstellungen → Allgemein → Geräteverwaltung (ältere macOS-Versionen: In den Systemeinstellungen nach „Profile“ suchen).
• Methode 3: Terminal (fortgeschritten) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 ändert die DNS-Server. Ab macOS Ventura wird ein Server, der DDR unterstützt (1.1.1.1, 8.8.8.8, 9.9.9.9), automatisch auf verschlüsseltes DNS hochgestuft; andere bleiben unverschlüsselt.

Die besten Anbieter für Privates DNS (2026)

Cloudflare 1.1.1.1 unterstützt DoT und DoH (dazu Oblivious DoH), mit Filtervarianten security.cloudflare-dns.com (Schadsoftware) und family.cloudflare-dns.com (Schadsoftware und Erwachseneninhalte). Es speichert keine Quell-IP-Adresse auf Datenträgern, löscht seine Logs binnen 25 Stunden, und ein externer Prüfer kontrolliert diese Zusagen.

Google Public DNS unterstützt DoT und DoH. Seine temporären Logs enthalten Ihre vollständige IP-Adresse und werden innerhalb von 24 bis 48 Stunden gelöscht; die dauerhafte Stichprobe behält nur einen Standort auf Stadtebene. Ist minimales Logging Ihre Priorität, passen Cloudflare oder Quad9 besser.

Quad9 wird von einer Schweizer gemeinnützigen Stiftung betrieben, speichert keine IP-Adressen und blockiert bekannte schädliche Domains anhand von Bedrohungsdaten von Sicherheitspartnern: eine gute Wahl für sicherheitsbewusste Nutzer.

AdGuard DNS blockiert Werbung und Tracker auf DNS-Ebene, sodass Werbung auf dem ganzen Gerät verschwindet, ohne separaten Werbeblocker. Es bietet auch DNS over QUIC.

NextDNS bietet die meiste Kontrolle. Sie erhalten einen eigenen Hostnamen, konfigurierbare Sperrlisten, Auswertungen pro Gerät, Jugendschutz und ein Dashboard, das genau zeigt, was blockiert wird. Der kostenlose Tarif umfasst 300.000 Abfragen pro Monat.

Die Geschwindigkeit hängt vom Standort ab, wählen Sie also nicht blind: Messen Sie mit einem kostenlosen DNS Speed Test Cloudflare, Google und Quad9 über verschlüsseltes DNS over HTTPS aus Ihrem eigenen Netzwerk und aktivieren Sie dann Privates DNS mit dem Anbieter, der bei Ihnen wirklich gewinnt.

Alle Adressen und Einrichtungsschritte der beiden Größten finden Sie in unseren Anleitungen zu Cloudflare-DNS-Servern und Google-DNS-Servern.

Hostname für Privates DNS (Code): Was ins Android-Feld gehört

Der Hostname für Privates DNS, manchmal auch Private-DNS-Code genannt, ist die Adresse, die Sie unter Einstellungen → Netzwerk & Internet → Privates DNS → „Hostname des Anbieters des privaten DNS“ auf Android eintragen.

Kopieren Sie einen dieser Hostnamen ins Feld. Es sind die offiziellen Hostnamen der großen Anbieter:

Prüfen Sie nach dem Speichern, ob es wirkt: Der DNS Leak Test von DNS Robot sollte die Server Ihres Anbieters zeigen, nicht die Ihres Internetanbieters. Scheitert die Einstellung in einem Netzwerk, erklärt der Abschnitt zu blockiertem verschlüsseltem DNS weiter unten, warum.

Öffentliches vs. privates DNS: die Bedeutung im Unternehmen

Verwirrenderweise hat „privates DNS“ in Firmen- und Cloud-Umgebungen eine zweite Bedeutung, die mit der Einstellung für verschlüsseltes DNS auf Ihrem Handy nichts zu tun hat.

Dort bedeutet privates DNS private DNS-Zonen: interne Namenseinträge wie intranet.corp.local oder db1.internal auf Servern, die nur innerhalb eines Firmennetzes oder einer Cloud-VPC erreichbar sind. AWS nennt sie Route-53-Private Hosted Zones, Azure hat Azure Private DNS, und Oracle sowie Google Cloud bieten Entsprechungen. Die Einträge werden nie im öffentlichen Internet veröffentlicht, öffentliche Resolver können sie schlicht nicht sehen.

Der Kurztest: Tippen Sie einen Hostnamen in eine Einstellung auf Handy oder Laptop ein, geht es um verschlüsseltes DNS (dieser Artikel). Spricht Ihr IT-Team oder eine Cloud-Konsole von privatem DNS, sind interne Zonen gemeint. Was das öffentliche Internet zu einem Namen sieht, prüfen Sie mit dem DNS Lookup: Einträge, die in einer privaten Zone liegen, erscheinen dort gar nicht.

Vorteile von Privatem DNS

Privates DNS auf Ihren Geräten bringt sofort mehr Sicherheit und Privatsphäre.

• Stoppt das Ausspähen durch den Provider — Ihr Internetanbieter sieht nicht mehr, welche Domains Sie abfragen, und kann aus Ihrem DNS-Verkehr kein Surfprofil bilden
• Verhindert DNS-Spoofing auf dem Weg — das TLS-Zertifikat beweist, dass Sie mit Ihrem echten DNS-Anbieter sprechen, sodass niemand dazwischen Antworten fälschen kann
• Schützt in öffentlichen WLANs — Andere Nutzer im selben Netzwerk können Ihre DNS-Abfragen nicht abfangen
• Blockiert DNS-Hijacking — Ihre Abfragen lassen sich nicht unbemerkt von einem kompromittierten Router oder einem bösartigen Netzwerk umleiten
• Umgeht transparente DNS-Proxys — Manche Anbieter fangen DNS auf Port 53 ab, selbst wenn Sie Server von Drittanbietern nutzen. Verschlüsseltes DNS nutzt andere Ports und umgeht diese Proxys
• Optionales Blockieren von Werbung und Schadsoftware — Anbieter wie AdGuard, NextDNS und Quad9 können Werbung, Tracker und schädliche Domains auf DNS-Ebene blockieren
• Funktioniert systemweit — Einmal aktiviert, schützt Privates DNS alle Apps auf Ihrem Gerät, nicht nur den Browser

Mögliche Nachteile von Privatem DNS

Privates DNS ist nicht perfekt. Diese Kompromisse sollten Sie kennen.

• Eine langsamere erste Abfrage — der Aufbau der verschlüsselten Verbindung kostet vor der ersten Abfrage ein oder zwei Roundtrips. Danach wird die Verbindung wiederverwendet.
• Captive Portals können streiken — WLANs in Hotels, Flughäfen und Cafés mit Anmeldeseite brauchen oft unverschlüsseltes DNS, um Sie umzuleiten. Privates DNS kann verhindern, dass diese Portale laden.
• Firmennetzwerke können es blockieren — IT-Abteilungen brauchen DNS-Einsicht für die Sicherheitsüberwachung. Viele Unternehmensnetzwerke blockieren verschlüsseltes DNS zu externen Resolvern absichtlich.
• Zentralisierung — Verschlüsseltes DNS fördert die Nutzung weniger großer Resolver (Cloudflare, Google) und bündelt den DNS-Verkehr bei weniger Unternehmen.
• Verschlüsselt nicht alles — Privates DNS verschlüsselt Ihre Abfragen, aber Ihr Internetanbieter sieht weiterhin die IP-Adressen, mit denen Sie sich verbinden, und meist auch den Websitenamen im TLS-Handshake (SNI), sofern die Website nicht Encrypted Client Hello nutzt.
• Probleme mit Split-Horizon-DNS — Organisationen mit unterschiedlichem internem und externem DNS können Probleme bekommen, wenn Geräte den internen Resolver umgehen.

„Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr“: Was es bedeutet

Auf iPhone, iPad und Mac kann in den WLAN-Einstellungen unter dem Netzwerknamen „Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr“ stehen. Das heißt, Ihr Gerät wollte verschlüsseltes DNS nutzen und das Netzwerk hat es gestoppt, sodass die dort abgefragten Namen für das Netzwerk sichtbar sind.

Das ist üblich in Firmen- und Schulnetzwerken, in Hotel- und Flughafen-WLANs mit Anmeldeseite und bei manchen Heimroutern. Unsere ausführliche Anleitung Dieses Netzwerk blockiert verschlüsselten DNS-Verkehr behandelt jede Ursache; die schnellen Lösungen:

• Schalten Sie ab, was in diesem Netzwerk verschlüsseltes DNS aktiviert — „Tracking der IP-Adresse beschränken“ (iCloud Privat-Relay) für dieses WLAN, eine DNS-App oder ein Profil oder einen manuellen DNS-Server (stellen Sie „DNS konfigurieren“ wieder auf „Automatisch“)
• WLAN-Netzwerk entfernen und neu verbinden — Öffnen Sie die WLAN-Einstellungen, entfernen Sie das Netzwerk und verbinden Sie sich erneut
• Ein VPN nutzen — Ein VPN verschlüsselt den gesamten Verkehr einschließlich DNS und umgeht jede DNS-Blockade des Netzwerks
• In verwalteten Netzwerken akzeptieren — In Firmen- oder Schulnetzwerken ist das Blockieren von verschlüsseltem DNS oft Absicht für die Sicherheitsüberwachung. Möglicherweise lässt es sich nicht umgehen

So überprüfen Sie, ob Privates DNS funktioniert

Prüfen Sie nach dem Aktivieren, ob Ihre Abfragen wirklich bei Ihrem gewählten Anbieter landen. Testen Sie das Gerät selbst im Browser; die Terminal-Befehle unten testen den Anbieter.

• DNS Leak Test von DNS Robot — starten Sie den DNS Leak Test auf dem Gerät: Er zeigt, welche Resolver Ihre Abfragen wirklich beantworten. Sie sollten Ihren gewählten Anbieter sehen, nicht Ihren Internetanbieter
• Cloudflares Prüfseite — nutzen Sie Cloudflare, zeigt 1.1.1.1/help, ob Ihre Abfragen DoH, DoT oder normales DNS verwenden
• Android — mit eingetragenem Hostnamen warnt Android „Auf den Server des privaten DNS kann nicht zugegriffen werden“, wenn es sich nicht verbinden kann; keine Warnung heißt, es funktioniert
• Windows 11 — in den Eigenschaften Ihrer Verbindung steht bei jedem DNS-Server „(Encrypted)“, wenn DoH aktiv ist

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'