Skip to main content
Ratgeber

Sieben neue öffentliche DNS-Resolver im Vergleich (und welche draußen bleiben)

· 7 Min. Lesezeit

Kurz gesagt

Der Vergleich auf dnsgratis.com wächst von 14 auf 21 Anbieter. Neu sind UncensoredDNS (Dänemark, nur verschlüsselt, keine Logs), LibreDNS (Griechenland, nur verschlüsselt, mit werbefreiem Endpunkt), Digitale Gesellschaft (Schweiz, nur verschlüsselt), DNS.SB (Deutschland, Anycast an 30 Standorten, routertauglich), Hurricane Electric (US-Backbone, ungefiltert) sowie die beiden großen aus China, AliDNS und DNSPod. Ausgewählt nach Tests von 21 Kandidaten aus bekannten Listen: dns0.eu hat im Januar 2026 geschlossen, UltraDNS Public hat keine offizielle Seite mehr, und FreeDNS, Freenom, puntCAT oder GreenTeamDNS antworten nicht mehr. Drei der Neuen (LibreDNS, AliDNS und DNSPod) validieren kein DNSSEC, und das steht auch so da. Außerdem veröffentlicht xdp.es ab heute pro Profil ein Paar aus primärer und sekundärer Adresse.

Bis heute umfasste der Vergleich 14 Anbieter. Ab heute sind es 21. Dieser Beitrag erklärt, woher die sieben Neuen kommen, wie wir sie getestet haben und vor allem, welche der Namen aus den üblichen „Beste DNS-Server“-Listen wir draußen gelassen haben und warum. Dazu gibt es eine Änderung bei xdp.es, die alle betrifft, die den Dienst schon eingerichtet haben.

Wie wir ausgewählt haben

Ausgangspunkt waren sechs viel zitierte Listen (zwei spanische Technikseiten, ein Sicherheitsanbieter, ein GitHub-Gist, die Website von DNS4EU und ein VPN-Blog). Daraus haben wir alle Dienste gezogen, die wir noch nicht hatten: 21 Kandidaten. Jede IP bekam drei Fragen per dig: Antwortet sie? Validiert sie DNSSEC (Anfrage an dnssec-failed.org, eine absichtlich falsch signierte Domain)? Blockiert sie Werbung (Anfrage an pagead2.googlesyndication.com)? Danach haben wir Port 853 mit openssl auf DoT und DoH mit curl geprüft. Bei allen, die dann noch standen, haben wir auf der offiziellen Website nachgelesen, was zu Protokollierung, Gerichtsstand und Filterung versprochen wird.

Dieser letzte Schritt kostet die meisten Kandidaten. Die Listen schreiben voneinander ab und schleppen Adressen von Diensten mit, die seit Jahren geschlossen sind.

Die sieben Neuen

UncensoredDNS (Dänemark). Seit 2009 von einer einzigen Person, Thomas Steen Rasmussen, mit eigenem Geld betrieben. Es wird nichts protokolliert und nichts gefiltert. Port 53 wurde 2022 abgeschaltet, es werden also nur verschlüsselte Anfragen beantwortet: DoT, DoH und seit Oktober 2025 auch DoQ und DoH3. Ein Anycast-Knoten (91.239.100.100) und einer in Kopenhagen (89.233.43.71). Nach Mullvad der zweite Anbieter im Vergleich, der ausschließlich verschlüsselt arbeitet.

LibreDNS (Griechenland). Ein aktivistisches Projekt von LibreOps. Keine Logs, nur DoH und DoT, dazu ein zweiter Endpunkt (noads.libredns.gr), der Werbung und Tracker anhand einer gemeinschaftlich gepflegten Liste blockiert. Ein Vorbehalt: Es wird kein DNSSEC validiert. Die Anfragen gehen an OpenNIC weiter, das es ebenfalls nicht tut.

Digitale Gesellschaft (Schweiz). Der Resolver des gleichnamigen Vereins in Basel. Keine Logs, keine Sperrlisten, DNSSEC-Validierung, nur DoT und DoH. Interessant ist der Gerichtsstand: Schweiz, also außerhalb der EU. Betrieben von Ehrenamtlichen, die es unverblümt sagen: Best Effort, keine Verfügbarkeitsgarantie.

DNS.SB (Deutschland). Betrieben von der xTom GmbH aus Düsseldorf auf einem Anycast-Netz mit 30 Standorten auf sechs Kontinenten. Die Datenschutzerklärung gehört zu den klarsten, die wir gelesen haben: keine Aufzeichnung abgefragter Domains oder IP-Adressen, und das eigene Subnetz wird nicht an autoritative Server weitergegeben (kein ECS). DNSSEC wird validiert, geantwortet wird auf Port 53, per DoT und per DoH. Das ist der Dienst, den wir in einen Router eintragen würden, wenn es um Privatsphäre geht. Adressen: 185.222.222.222 und 45.11.45.11.

Hurricane Electric (USA). Der öffentliche Resolver eines der größten Backbones der Welt und des größten für IPv6. Eine einzige Anycast-Adresse, 74.82.42.42 (und 2001:470:20::2), die aus Madrid vom Knoten in Lissabon antwortet. Keine Filterung, DNSSEC-Validierung, dazu DoT, DoH, DoQ und DoH3 unter ordns.he.net. Was fehlt, ist eine veröffentlichte Protokollierungsrichtlinie für diesen Dienst, und genau so steht es auf der Seite: „nicht veröffentlicht“.

AliDNS und DNSPod (China). Die beiden meistgenutzten öffentlichen Resolver in China, von Alibaba Cloud (223.5.5.5 und 223.6.6.6) und Tencent Cloud (119.29.29.29, mit DoH und DoT unter doh.pub und dot.pub). Sie sind wegen der Leser der chinesischen Ausgabe dieser Seite dabei: Von dort aus sind sie die schnelle Option, mit ECS, damit CDNs Inhalte aus der Nähe liefern. Aus Europa bringen sie keinen Vorteil. Keiner von beiden validiert DNSSEC, beide speichern Logs.

Wer draußen bleibt

Das ist der nützliche Teil, wenn du gerade eine Liste der „15 besten DNS-Server“ gelesen hast.

  • dns0.eu wurde am 15. Januar 2026 aus Ressourcenmangel eingestellt. Das Projekt selbst empfahl den Wechsel zu DNS4EU oder NextDNS.
  • UltraDNS Public, in den Listen unter drei Namen geführt (Verisign, Neustar und UltraDNS), antwortet weiterhin unter 64.6.64.6, aber DigiCert hat die offizielle Seite entfernt, und publicdns.neustar lädt nicht. Ohne lebende Dokumentation bleibt es draußen: Der Hinweis „Adressen gegen die offizielle Dokumentation geprüft“ auf jeder Anbieterseite wäre sonst gelogen.
  • FreeDNS, Freenom World, puntCAT, GreenTeamDNS, Fourth Estate und SmartViper: Keine ihrer Adressen antwortet. Freenom ging 2023 mit dem Verlust von .tk unter; puntCAT hätte uns für die katalanische Ausgabe gefallen, aber 109.69.8.51 ist tot.
  • Alternate DNS liegt nicht mehr auf den IPs aus den Listen (76.76.19.19); heute ist es eine einzelne Adresse bei Amazon ohne DoH, ohne DoT und ohne veröffentlichte Richtlinie. Zu fragil.
  • Dyn (Oracle) und Level3 (4.2.2.2): Sie antworten, aber Oracle hat das Produkt eingestellt, und das von Level3 war nie ein offizieller öffentlicher Dienst. Herrenlose Adressen zu veröffentlichen ist genau das, was uns mit DNS.WATCH passiert ist.
  • CyberGhost, Unlocator und ExpressVPN: kostenpflichtige VPN- oder Smart-DNS-Produkte, keine öffentlichen Resolver.
  • SafeDNS und FlashStart: kommerziell; das Kostenlose ist eine Testphase.
  • OpenNIC: ein Freiwilligennetz mit wechselnden Adressen; drei der vier aus den Listen sind tot. Es gibt keine feste IP zum Veröffentlichen.

Und drei der sechs Listen enthielten falsche Adressen für Anbieter, die wir sehr wohl haben: Bei Quad9 fehlte eine Ziffer in der sekundären Adresse, AdGuard stand mit den 2020 abgeschalteten IPs drin und OpenDNS FamilyShield mit einer unvollständigen Adresse. Wer einen DNS-Server aus einem Artikel übernimmt, sollte die IP mit der Website des Anbieters abgleichen.

Drei ohne DNSSEC-Validierung

Der Test ist einfach und lässt sich wiederholen: dig @IP dnssec-failed.org A. Diese Domain ist absichtlich mit einer ungültigen Signatur versehen. Ein validierender Resolver antwortet SERVFAIL; ein nicht validierender liefert die Adresse, als wäre alles in Ordnung. LibreDNS, AliDNS und DNSPod haben sie geliefert, auf Port 53 und auch über DoH. Manche Listen schreiben ihnen DNSSEC zu; wir veröffentlichen, was der Server antwortet. Der DNSSEC-Prüfer der Seite macht dieselbe Prüfung mit jeder beliebigen Domain.

xdp.es bekommt sekundäre Adressen

xdp.es, der spanische öffentliche Resolver, veröffentlichte bisher nur eine IP pro Profil. Ab heute hat jedes Profil ein Paar: Die primäre Adresse bleibt in Madrid (85.208.114.51 mit Werbesperre, 85.208.114.52 ungefiltert), die sekundäre liegt im Netz von Oracle (51.170.52.10 und 51.170.54.40, mit IPv6 2603:c027:8703:d400::10 und ::40). Wir haben geprüft, dass jede sekundäre Adresse genauso filtert wie ihre primäre, die Profile also nicht gemischt werden dürfen. Wer den Dienst bisher mit doppelt eingetragener IP nutzte, kann jetzt das echte Paar eintragen.

Latenz: bei der nächsten Messung

Die vier Neuen, die auf Port 53 antworten (DNS.SB, Hurricane Electric, AliDNS und DNSPod), stehen noch nicht in der Latenztabelle des Vergleichs. Wir wollten sie heute über die gewohnte Leitung messen, aber die Verbindung war überlastet: Ein Ping zu 1.1.1.1 schwankte zwischen 5 und 577 ms. In diesem Netz kam jeder Resolver viermal langsamer heraus als im August, und das zu veröffentlichen wäre irreführend. Die Tabelle wird ergänzt, sobald eine saubere Messung vorliegt, mit Datum. Bis dahin misst der Geschwindigkeitstest von deiner eigenen Verbindung aus, und die zählt am Ende.

Was passiert, wenn ein Resolver schließt

Bei 21 Anbietern ist es nur eine Frage der Zeit, bis einer schließt; dns0.eu hielt drei Jahre. Ab heute gilt die Regel: Eine veröffentlichte Seite wird nie gelöscht. Sie wird mit Datum als eingestellt markiert, rutscht im Vergleich ans Ende und taucht nicht mehr unter den ähnlichen Anbietern auf. Die Adressen stehen in tausenden Anleitungen und Konfigurationen; wer danach sucht, soll den Hinweis finden und keinen 404-Fehler. DNS.WATCH, das seit August nur zeitweise antwortet, wird vermutlich der erste Fall sein.

Quellen

Häufige Fragen

Welcher der sieben Neuen gehört in den Router?
DNS.SB oder Hurricane Electric: Beide antworten auf Port 53, dem Einzigen, was ein Heimrouter versteht. UncensoredDNS, LibreDNS und Digitale Gesellschaft bieten nur DoH und DoT und gehören daher ins Betriebssystem oder in den Browser, nicht in den Router. AliDNS und DNSPod laufen ebenfalls auf Port 53, sind aber nur aus China heraus sinnvoll.
Warum fehlt UltraDNS (früher Verisign und Neustar)?
Weil es keine offizielle Dokumentation mehr gibt. Die Adressen 64.6.64.6 und 64.6.65.6 antworten noch, aber DigiCert, der heutige Eigentümer, leitet die Seite des Dienstes auf sein Unternehmensprodukt um, und publicdns.neustar antwortet nicht. Ein Resolver, den niemand dokumentiert, kann ohne Ankündigung verschwinden, und wir veröffentlichen keine Adressen, die wir nicht gegen ihre Quelle prüfen können.
Was ist mit dns0.eu passiert?
Der Dienst wurde am 15. Januar 2026 aus Ressourcenmangel eingestellt, wie das Projekt selbst mitteilte, und empfahl den Wechsel zu DNS4EU oder NextDNS. Beide stehen im Vergleich.
Woher wisst ihr, dass ein Resolver kein DNSSEC validiert?
Durch eine Anfrage an eine Domain mit absichtlich kaputter Signatur, dnssec-failed.org. Ein validierender Resolver antwortet mit SERVFAIL; ein nicht validierender liefert die Adresse, als wäre nichts. LibreDNS, AliDNS und DNSPod haben sie geliefert, auf Port 53 und über DoH. Der Test lässt sich mit dig oder mit dem DNSSEC-Prüfer dieser Seite wiederholen.
Was passiert mit einem Anbieter, der schließt?
Wir löschen ihn nicht. Die Seite bleibt mit einem Hinweis auf die Einstellung und dem Datum bestehen, rutscht im Vergleich ans Ende und wird nicht mehr empfohlen. Die Adressen stehen in tausenden Anleitungen, und wer sie sucht, soll den Hinweis finden und keine 404-Seite.

← Alle Artikel

Bereit, Ihr DNS zu verbessern?

Wählen Sie den besten kostenlosen DNS-Server für Ihre Bedürfnisse und konfigurieren Sie ihn in wenigen Minuten.

Vollständigen Vergleich anzeigen Konfigurationsanleitung