„Welcher DNS ist der beste für meine Region” gehört zu den Suchanfragen, die die meisten Leser auf diese Website bringen, und die ehrliche Antwort lautet: Von außen kann sie dir niemand geben. Was wir können, ist erklären, warum das so ist, und dir zeigen, wie du es in zwei Minuten selbst misst.
Warum es keine allgemeingültige Antwort gibt
Cloudflare, Google, Quad9 und die anderen großen Resolver arbeiten mit Anycast: Dieselbe Adresse, etwa 1.1.1.1, wird von Hunderten Knoten weltweit angekündigt, und deine Anfrage landet bei dem, den das Netz deines Providers für den nächsten hält. „Der nächste” im Sinne des Routings, nicht in Kilometern. Zwei Nachbarn in derselben Stadt bei verschiedenen Providern können mit verschiedenen Knoten sprechen, der eine mit 6 ms, der andere mit 40.
Dazu kommt der Cache. Wurde die Domain, die du anfragst, kurz zuvor an demselben Knoten aufgelöst, kommt die Antwort sofort. Wenn nicht, muss der Resolver die ganze Kette bis zum autoritativen Server durchlaufen, und dann zählt die Netzqualität des Anbieters mehr als die Entfernung. Deshalb trennt eine gute Messung beides: Anfragen aus dem Cache und „kalte” Anfragen.
So misst du von deinem Anschluss aus
Der schnelle Weg ist der DNS-Geschwindigkeitstest. Er schickt fünf Runden Anfragen an sieben Resolver aus deinem Browser, mit zufälligen Namen, damit keiner aus dem Cache antworten kann, und sortiert sie nach mittlerer Latenz. Nichts wird installiert, nichts gespeichert.
Zwei Tipps, damit das Ergebnis etwas taugt:
- Führ ihn im Netz aus, das du wirklich nutzt, nicht am Handy über Mobilfunk, wenn du eigentlich den Router zu Hause einstellen willst.
- Wiederhol ihn zu einer anderen Uhrzeit. Providernetze sind abends voller, und die Reihenfolge kann sich verschieben.
Wer das Terminal bevorzugt, bekommt mit dig dieselbe Information ohne Umweg:
dig @1.1.1.1 example.com | grep "Query time"
dig @8.8.8.8 example.com | grep "Query time"
dig @9.9.9.9 example.com | grep "Query time"Die erste Anfrage an jeden Resolver dauert meist länger, weil sie den Cache füllt; wiederhol jede Zeile zwei- oder dreimal und nimm den stabilen Wert. Unter Windows zeigt nslookup keine Zeiten; nimm den Browsertest oder Measure-Command in PowerShell.
Welche Werte gut sind
- Unter 20 ms: ausgezeichnet. Das siehst du, wenn der Resolver einen Knoten in deiner Stadt oder der Nachbarstadt hat.
- 20 bis 50 ms: völlig normal. Beim Surfen merkst du keinen Unterschied zur Stufe darüber.
- 50 bis 100 ms: akzeptabel, aber bei Seiten, die Ressourcen von vielen Domains laden, wird es spürbar.
- Über 100 ms: Es gibt fast sicher einen besseren für dich.
Und ein Wert, der wichtiger ist als die Latenz: der Verlust. Ein Resolver, der in 8 ms antwortet, aber 10 % der Anfragen unbeantwortet lässt, ist schlechter als einer mit 25 ms, der immer antwortet, denn jede verlorene Anfrage kostet ein bis zwei Sekunden Wartezeit, bis das System es erneut versucht. In unserer Messung aus Madrid verlor DNS.WATCH 77 % der Anfragen und Comodo 42 %; keiner von beiden ist eine Option, egal wie schnell er antwortet, wenn er antwortet.
Was wir aus Madrid gemessen haben, als Beispiel
Mit Antwort im Cache reagierte Quad9 in 5 ms, Cloudflare, CleanBrowsing, DNS4EU und xdp.es in 6, alle aus dem Netz von Telefónica. Google in 7. Kalt, mit erzwungener vollständiger Auflösung, kam Cloudflare auf 22 ms und der Rest lag zwischen 30 und 35, abgesehen von den kleinen oder stark filternden Resolvern, die über 100 gingen.
Diese Tabelle beschreibt ein bestimmtes Netz an einem bestimmten Tag. Wer in Madrid bei Telefónica ist, kann sie direkt nutzen; wer in Berlin, Wien oder Zürich sitzt, nur als Anhaltspunkt dafür, was ein guter Wert ist.
Was sich je nach Region ändert
Deutschland, Österreich, Schweiz. Die Großen haben Knoten in Frankfurt, Wien und Zürich, und die Unterschiede zwischen ihnen liegen bei wenigen Millisekunden. DNS4EU ist der europäische öffentliche Resolver und antwortet aus Spanien genauso schnell wie Cloudflare. DNS.WATCH aus Deutschland hat in unserer Messung 77 % der Anfragen verloren; vor dem Eintragen unbedingt selbst prüfen.
Naher Osten und Nordafrika. Von dort erreicht uns die Frage am häufigsten, und zu Recht: Die Knotenabdeckung variiert stark je nach Land, und die Peering-Vereinbarungen jedes Providers ändern das Ergebnis selbst innerhalb derselben Stadt. Hier ist Messen kein Rat, sondern der einzige Weg.
Lateinamerika. Ähnlich: Knoten in den großen Hauptstädten und große Unterschiede zwischen Providern. Cloudflare liegt oft vorn, aber nimm nichts als gegeben.
Russland und Asien. Lokale Resolver (Yandex DNS in Russland, AliDNS in China) schlagen die westlichen bei der Latenz meist durch reine Netznähe. Der Test enthält AliDNS, damit der Vergleich von dort aus fair ist.
Eine häufige Falle: der Provider fängt DNS ab
Wenn im Test alle Resolver fast dieselbe Zeit und dieselben Ergebnisse liefern, werd misstrauisch. Manche Provider fangen DNS-Verkehr auf Port 53 ab und beantworten ihn selbst, egal welche Adresse du eingetragen hast. Du misst dann nicht Cloudflare, sondern deinen Provider mit Cloudflares Adresse im Feld.
Der Browsertest nutzt DNS über HTTPS, das sich so nicht abfangen lässt, seine Werte sind also die des echten Resolvers. Wenn dir das passiert, ist DoH oder DoT im System einzurichten der Weg, damit der DNS, den du wählst, dich auch wirklich bedient.
Primär und sekundär
Sobald du den schnellsten kennst, trag ihn als primären ein. Der sekundäre kommt nur zum Zug, wenn der primäre nicht antwortet: keine Lastverteilung, also bringt die Kombination „der schnellste plus der sicherste” in der Hoffnung auf das Beste aus beiden wenig. Nimm zwei vom selben Anbieter oder den schnellsten und den zweitschnellsten. Die Konfigurationsanleitungen zeigen, wo beide unter Windows, macOS, Android, iOS und im Router eingetragen werden.