Ein Teil der Suchanfragen, die diese Website erreichen, verlangt einen „DNS für gesperrte Websites“. Die kurze Antwort: Manchmal funktioniert es, manchmal nicht, und der Unterschied liegt darin, wie dein Provider sperrt. Genau das gilt es zu unterscheiden.
Die drei Arten, eine Website zu sperren
Wenn ein Provider eine Domain sperren muss, hat er drei Werkzeuge, vom billigsten zum teuersten.
DNS-Sperre. Der Provider konfiguriert seinen eigenen Resolver so, dass er auf die Frage nach diesem Namen mit „existiert nicht“ antwortet oder eine eigene IP mit einer Hinweisseite zurückgibt. Mit Abstand am häufigsten, weil es nichts kostet und den Datenverkehr nicht berührt. Es funktioniert nur, wenn du den DNS des Providers nutzt, was standardmäßig jeder tut.
IP-Sperre. Der Provider kappt den Verkehr zu den IP-Adressen des Servers. Wie du den Namen auflöst, spielt dann keine Rolle mehr: Die Verbindung kommt nicht an. Das ist aufwendiger zu pflegen (IPs ändern sich, und eine gesperrte CDN-IP kann Hunderte fremde Seiten lahmlegen), deshalb bleibt es Einzelfällen vorbehalten.
SNI-Sperre. Bei einer HTTPS-Verbindung wandert der Seitenname zu Beginn im Klartext (das SNI), auch wenn der Rest verschlüsselt ist. Manche Provider prüfen dieses Feld und kappen die Verbindung, wenn es auf der Liste steht. Das erfordert Geräte zur Verkehrsinspektion und ist die Methode der „ernsten“ Sperren.
Was DNS umgeht und was nicht
Ein Resolverwechsel umgeht nur die erste. Trägst du 1.1.1.1 oder 9.9.9.9 ein, fragt dein Gerät nicht mehr den Provider und bekommt die echte IP. Gegen die anderen beiden richtet er nichts aus, denn der Name ist längst aufgelöst und die Sperre greift danach, auf der Verbindung.
Mit einer wichtigen Nuance: Viele Provider, die per DNS sperren, fangen außerdem herkömmlichen DNS-Verkehr (Port 53) ab. Es ist egal, dass du 1.1.1.1 eingetragen hast: Der Provider greift die Anfrage ab und beantwortet sie selbst. Wenn du den DNS dafür änderst, muss er also verschlüsselt sein: DoH oder DoT. Der Provider sieht eine TLS-Verbindung zu Cloudflare oder Quad9 und kann weder lesen noch ersetzen, was darin steckt. Unter Android ist das die Einstellung „Privates DNS“; unter Windows 11, macOS und iOS wird es in den Netzwerkeinstellungen oder per Profil aktiviert; die Konfigurationsanleitungen erklären es je System.
So findest du heraus, welcher Fall vorliegt
Es dauert eine Minute:
- Einen verschlüsselten öffentlichen DNS einrichten (zum Beispiel
one.one.one.oneals privates DNS unter Android oder 1.1.1.1 mit DoH im Browser). - Versuchen, die Seite zu öffnen. Öffnet sie, war die Sperre DNS. Fertig.
- Öffnet sie nicht, prüfen, ob der Name aufgelöst wird: das DNS-Lookup-Werkzeug liefert die echte IP der Domain. Kommt sie, aber die Seite lädt nicht oder meldet „Zeitüberschreitung“, ist die Sperre per IP oder SNI. Ein anderer DNS hilft dir nicht.
Im dritten Fall umgeht ein VPN die Sperre, das die gesamte Verbindung verschlüsselt und über ein anderes Land leitet, oder ein Browser, der das SNI verschlüsselt (Encrypted Client Hello, das Firefox und Chrome bereits unterstützen, wenn die Seite es ebenfalls tut). Das ist ein eigener Artikel.
Welchen DNS nehmen
Für diesen Zweck einen ungefilterten Resolver, der nicht derselben Sperrverfügung unterliegt:
| Resolver | Name für privates DNS / DoT | IP |
|---|---|---|
| Cloudflare | one.one.one.one | 1.1.1.1 |
| Quad9 (nur Malware) | dns.quad9.net | 9.9.9.9 |
dns.google | 8.8.8.8 | |
| DNS4EU, ungefilterte Variante | unfiltered.joindns4.eu | 86.54.11.100 |
Vermeide dafür Resolver mit Familien- oder Werbefilter: Sie sperren von sich aus, und du kannst eine Providersperre kaum noch von einer Resolversperre unterscheiden.
Was DNS nicht tut
- Er ändert weder deine IP-Adresse noch dein scheinbares Land: Websites wissen weiterhin, woher du kommst.
- Er verschlüsselt nicht dein Surfen, nur die Namensauflösung. Der Provider sieht weiterhin, zu welchen IPs du dich verbindest.
- Er umgeht keine IP- und SNI-Sperren, wie gesehen.
- Er öffnet keine Seiten, die offline sind oder dein Land von sich aus aussperren (Geoblocking der Seite selbst).
Für all das ist ein VPN das Werkzeug. DNS ist das Werkzeug, wenn das Problem konkret darin besteht, dass dein Provider einen Namen nicht auflöst. Das ist das häufigste Problem, und deshalb gibt es diesen Artikel.
Zur Rechtslage
Den DNS auf dem eigenen Gerät zu ändern ist in der Regel legal, und öffentliche Resolver gibt es genau dafür, dass jeder seinen eigenen wählen kann. Der Inhalt, auf den du zugreifst, ist eine andere Frage und hängt von deinem Land ab: Ist etwas per Gerichtsbeschluss gesperrt, kann der Zugriff unabhängig von der Technik Folgen haben. Hier erklären wir, wie es funktioniert; was du damit machst, ist deine Sache.