Welchen DNS-Server nutze ich? Prüfen und ändern

Was ein DNS-Resolver macht

Bevor der Browser eine Verbindung zu einer Website aufbauen kann, braucht er deren IP-Adresse. Er fragt einen rekursiven Resolver. Dieser schlägt den Namen im weltweiten DNS nach, speichert die Antwort so lange, wie der Eintrag es erlaubt (seine TTL), und gibt sie zurück. Der Resolver sieht damit jeden Namen, den das Gerät abfragt, und bestimmt, wie schnell und zuverlässig Namen aufgelöst werden.

Ein anderer Resolver ändert weder die öffentliche IP-Adresse, noch verbirgt er vor dem Internetanbieter, mit welchen Websites eine Verbindung besteht. Verschlüsseltes DNS (DNS over HTTPS oder DNS over TLS) verbirgt nur die Abfragen selbst auf dem Weg zum Resolver.

Wo der Resolver eingestellt wird und welche Einstellung gilt

Verbindet sich ein Gerät mit einem Netzwerk, weist der Router ihm normalerweise zusammen mit der lokalen IP-Adresse auch die DNS-Server zu. Eine manuelle Einstellung im Betriebssystem ersetzt für dieses Gerät die Vorgabe des Routers. Ein Browser mit aktiviertem sicherem DNS kann das Betriebssystem bei seinen eigenen Abfragen umgehen, und eine VPN-App setzt während der Verbindung meist ihren eigenen Resolver durch.

• Router: Eine Änderung wirkt auf alle Geräte, die ihre Einstellungen automatisch beziehen. Manche Router von Internetanbietern lassen das nicht zu.
• Betriebssystem: wirkt auf alle Apps dieses Geräts, sofern kein Browser und kein VPN die Einstellung übersteuert.
• Sicheres DNS im Browser: wirkt nur in diesem Browser. Chrome, Edge und Firefox haben jeweils einen eigenen Schalter.
• VPN-App: ersetzt den Resolver meist, solange die Verbindung besteht, damit die Abfragen durch den Tunnel laufen.

Den eingestellten Resolver des Geräts prüfen

Diese Befehle zeigen den konfigurierten Resolver. Das Ergebnis ist nur der Ausgangspunkt: Der nächste Abschnitt zeigt, wie sich feststellen lässt, welcher Resolver tatsächlich antwortet.

• Windows: In der Eingabeaufforderung nslookup example.com ausführen. Die ersten beiden Zeilen, Server und Address, nennen den Standard-Resolver. ipconfig /all listet die DNS-Server jedes Adapters auf.
• macOS: scutil --dns ausführen und die nameserver-Zeilen des ersten Resolvers ansehen oder Systemeinstellungen > Netzwerk > die eigene Verbindung > Details > DNS öffnen.
• Linux mit systemd-resolved: resolvectl status ausführen. Ein nameserver 127.0.0.53 in /etc/resolv.conf ist ein lokaler Stub, der an die von resolvectl aufgeführten Server weiterleitet.
• iPhone und iPad: Einstellungen > WLAN > das ⓘ neben dem eigenen Netzwerk > DNS konfigurieren. Die Einstellung gilt je WLAN und nicht für mobile Daten.
• Android 9 oder neuer: Einstellungen > Netzwerk & Internet > Privates DNS. „Automatisch“ steht für den Resolver des Netzwerks, der verschlüsselt angesprochen wird, sofern er das unterstützt (opportunistische Verschlüsselung). Ist ein Hostname eingetragen, wird dieser verschlüsselte Resolver im WLAN und bei mobilen Daten verwendet.

Prüfen, welcher Resolver tatsächlich antwortet

Manche Namen sind so eingerichtet, dass sie mit der Adresse des Anfragenden antworten. Die autoritativen Server von Google beantworten eine TXT-Abfrage nach o-o.myaddr.l.google.com mit der Adresse des Resolvers, der sie kontaktiert hat; whoami.akamai.net von Akamai macht dasselbe als A-Eintrag. nslookup -type=txt o-o.myaddr.l.google.com ausführen und dann die zurückgegebene Adresse nachschlagen, um zu sehen, zu welcher Organisation sie gehört.

Große Resolver senden ihre Abfragen von ausgehenden Adressen, die von der konfigurierten Adresse abweichen. Zu erwarten ist daher eine andere Adresse desselben Anbieters, nicht die konfigurierte Adresse selbst. Cloudflare bietet außerdem unter one.one.one.one/help eine Prüfseite, die anzeigt, ob 1.1.1.1 verwendet wird und ob die Verbindung verschlüsselt ist.

Beobachtetes Beispiel vom 2. November 2026 auf einem Windows-PC mit Festnetz-Breitbandanschluss in Bangkok: nslookup nannte als Standardserver dnscon1.v6.trueinternet.co.th unter 2001:fb0:100::207:29, den Resolver des Anbieters. Die TXT-Abfrage lieferte 2001:fb0:100:dd::104, eine weitere Adresse im Netz desselben Anbieters, nämlich die ausgehende Adresse des Resolvers. Dieselbe Abfrage über DNS over HTTPS von Cloudflare lieferte 172.68.44.76, eine Adresse im Netz von Cloudflare. IPNixa hat diese Werte bei einem einzigen Durchlauf erfasst; bei anderen Anbietern lauten die Adressen anders.

DNS-Server ändern

Den Ort wählen, der zum gewünschten Geltungsbereich passt: den Router für das ganze Heimnetz, das Betriebssystem für ein Gerät, den Browser für eine App. Immer eine primäre und eine sekundäre Adresse desselben Anbieters eintragen und bei einem Anschluss mit IPv6 auch die IPv6-Adressen ergänzen. Andernfalls gehen IPv6-Abfragen womöglich weiterhin an den alten Resolver.

1. Windows 11: Einstellungen > Netzwerk und Internet > WLAN oder Ethernet > Hardwareeigenschaften, dann „Bearbeiten“ neben „DNS-Serverzuweisung“. „Manuell“ wählen, IPv4 und IPv6 aktivieren, die Adressen eintragen und, sofern angeboten, „DNS über HTTPS“ einschalten (z. B. „Ein (automatische Vorlage)“).
2. macOS: Systemeinstellungen > Netzwerk > die eigene Verbindung > Details > DNS. Die neuen Server über die Schaltfläche „+“ hinzufügen, die alten entfernen und auf „OK“ klicken.
3. iPhone und iPad: Einstellungen > WLAN > ⓘ > DNS konfigurieren > Manuell. Die vorhandenen Server löschen und die neuen hinzufügen. Für jedes genutzte WLAN wiederholen.
4. Android: Einstellungen > Netzwerk & Internet > Privates DNS > Hostname des privaten DNS-Anbieters, dann one.one.one.one, dns.google oder dns.quad9.net eingeben.
5. Router: Die Verwaltungsoberfläche öffnen, die DNS-Einstellung unter DHCP, LAN oder Internet suchen, die neuen Adressen eintragen und speichern. Geräte übernehmen die Änderung, sobald sie sich neu verbinden oder ihre Adresse erneuern.
6. Browser: Chrome > Einstellungen > Datenschutz und Sicherheit > Sicherheit > Sicheres DNS verwenden. Edge > Einstellungen > Datenschutz, Suche und Dienste > Sicheres DNS verwenden. Firefox > Einstellungen > Datenschutz & Sicherheit > DNS über HTTPS.

Warum die Änderung nicht wirkt

Zeigt die Kontrollabfrage weiterhin den alten Anbieter, die Ebenen der Reihe nach prüfen – von der spezifischsten zur allgemeinsten.

• Ein VPN ist verbunden und gibt seinen eigenen Resolver vor. Mit ausgeschaltetem VPN erneut prüfen oder die DNS-Einstellung in der VPN-App ändern.
• Der Browser nutzt sicheres DNS mit einem eigenen Anbieter, daher weichen Browser und Kommandozeile voneinander ab. Beide können für ihre jeweiligen Abfragen korrekt sein.
• Nur IPv4 wurde geändert. Das Gerät erhält vom Router weiterhin einen IPv6-Resolver und nutzt ihn für einen Teil der Abfragen.
• Zwischengespeicherte Antworten werden noch verwendet. Unter Windows ipconfig /flushdns ausführen, unter macOS sudo dscacheutil -flushcache und anschließend sudo killall -HUP mDNSResponder, außerdem den Host-Cache des Browsers leeren oder den Browser neu starten.
• Das Netzwerk fängt DNS ab. Manche Router, öffentliche WLANs und Internetanbieter leiten den gesamten Datenverkehr auf Port 53 an ihren eigenen Resolver um; verschlüsseltes DNS verhindert das, unverschlüsseltes DNS nicht.
• Die Router-Änderung ist noch nicht beim Gerät angekommen. Die Verbindung zum Netzwerk neu herstellen oder das Gerät neu starten, um die neuen Einstellungen zu erhalten.

Domain nach Änderung eines DNS-Eintrags prüfen

Den eigenen Resolver zu ändern und die DNS-Einträge einer Domain zu ändern sind zwei verschiedene Aufgaben. Wurde ein Eintrag beim DNS-Hoster geändert und erscheint trotzdem noch der alte Wert, liegt das an zwischengespeicherten Antworten auf dem Weg, nicht an der Resolver-Einstellung. Die DNS-Abfrage von IPNixa fragt denselben Eintrag bei Cloudflare und Google ab. So lässt sich sehen, ob der neue Wert bei beiden angekommen ist und wie lange jeder den alten noch vorhält.