DNS-Server: welchen du ver­wen­dest, und welchen du verwenden solltest

Ein DNS-Server übersetzt einen Namen wie musterfirma.at in die IP-Adresse, unter der der zu­ge­hö­ri­ge Rechner tat­säch­lich er­reich­bar ist. Das Domain Name System (DNS) erledigt das im Hin­ter­grund und fällt dir nur dann auf, wenn es nicht funk­tio­niert. Spannend wird es in dem Moment, in dem du eine Ent­schei­dung treffen willst: welchen Server dein Gerät fragen soll, und welcher Server über deine eigene Domain Auskunft gibt.

Zwei Dinge, die beide „DNS-Server“ heißen

Der Begriff meint zwei grund­ver­schie­de­ne Rollen, und fast alle Miss­ver­ständ­nis­se entstehen genau hier.

Das erste ist der Resolver. Er ist die Stelle, die dein Gerät fragt, wenn es einen Namen nach­schla­gen will. Nor­ma­ler­wei­se stellt ihn dein In­ter­net­an­bie­ter, und nor­ma­ler­wei­se merkst du nichts davon. Tauschen kannst du ihn jederzeit, auf dem einzelnen Gerät oder gleich am Router.

Das zweite ist der au­to­ri­ta­ti­ve Name­ser­ver. Er hält die Zo­nen­da­ten deiner eigenen Domain und gibt ver­bind­lich Auskunft über sie. Welcher Server das ist, bestimmt sich dort, wo deine Domain verwaltet wird. Wenn du wissen willst, wie Domains grund­sätz­lich aufgebaut sind, hilft dir unser Beitrag Was sind Domains? weiter.

Au­to­ri­ta­tiv heißt: Dieser Server hält die Daten selbst, seine Antwort gilt als gesichert. Nicht au­to­ri­ta­tiv heißt: Die Antwort stammt aus einem Zwi­schen­spei­cher und war ur­sprüng­lich woanders zu Hause. Sie kann veraltet sein. Pro Zone gibt es min­des­tens einen au­to­ri­ta­ti­ven Server, üblich sind zwei — ein primärer und ein se­kun­dä­rer, als Redundanz gegen Ausfall. Das ist kein Luxus: Fällt die Na­mens­auf­lö­sung aus, ist deine Website praktisch nicht er­reich­bar, obwohl der Webserver völlig gesund wei­ter­läuft.

So läuft eine voll­stän­di­ge Abfrage ab:

1. Dein Gerät fragt den Resolver nach einem Namen.
2. Der Resolver fragt einen Root-Server.
3. Der Root-Server nennt den zu­stän­di­gen Server der Top-Level-Domain.
4. Der TLD-Server nennt den au­to­ri­ta­ti­ven Server der gesuchten Domain.
5. Der au­to­ri­ta­ti­ve Server liefert die IP-Adresse.
6. Der Resolver gibt sie an dein Gerät zurück, das Gerät verbindet sich.

Diese volle Kette läuft selten komplett durch. Antworten werden zwi­schen­ge­spei­chert, weshalb die meisten Abfragen nach wenigen Stationen erledigt sind. Dieselbe Zwi­schen­spei­che­rung erklärt auch, warum sich Än­de­run­gen an DNS-Einträgen nicht sofort überall durch­set­zen.

Welchen du gerade ver­wen­dest, und wie du das her­aus­fin­dest

Solange du nichts um­ge­stellt hast, ver­wen­dest du den Resolver deines In­ter­net­an­bie­ters. Nachsehen kannst du an drei Stellen:

• In den Netz­werk­ein­stel­lun­gen deines Geräts, bei den Ei­gen­schaf­ten der aktiven Ver­bin­dung
• In der Ober­flä­che deines Routers, meist im Bereich Internet oder WAN
• Über eine der Test­sei­ten, die dir anzeigen, welcher Resolver deine Anfrage gestellt hat

Der Router ist dabei der aus­sa­ge­kräf­ti­ge­re Ort: Trägt dein Gerät keinen eigenen Server ein, gilt das, was der Router verteilt. Wie du die Ein­stel­lung unter Windows änderst, zeigt dir der Beitrag DNS-Server anpassen.

Was ein Wechsel wirklich bringt

Ein anderer Resolver ist schnell ein­ge­tra­gen, aber er löst nicht jedes Problem. Rea­lis­tisch sind diese Effekte:

• Filterung. Manche Resolver blo­ckie­ren Adressen, die als Schad­soft­ware- oder Phishing-Verteiler bekannt sind, manche zu­sätz­lich Werbe- und Track­ing­do­mains.
• Ver­schlüs­sel­ter Transport. Klas­si­sches DNS läuft un­ver­schlüs­selt, Anfragen sind unterwegs mitlesbar. DNS over HTTPS und DNS over TLS schließen diese Lücke.
• Prüfbare Antworten. DNSSEC signiert Antworten und schützt damit gegen Fälschung. Gegen Mitlesen schützt es nicht — das sind zwei ver­schie­de­ne Probleme mit zwei ver­schie­de­nen Lösungen.
• Sta­bi­li­tät. Ein über­las­te­ter oder schlecht ge­pfleg­ter Resolver fällt dir als ver­meint­li­ches In­ter­net­pro­blem auf.

Beim Tempo lohnt sich Zu­rück­hal­tung. Die Ant­wort­zeit hängt vor allem davon ab, wie weit der nächste Ser­ver­stand­ort entfernt ist, und die großen Anbieter betreiben Standorte in Europa. Spürbar wird der Un­ter­schied selten, weil der Großteil deiner Abfragen ohnehin aus dem Zwi­schen­spei­cher kommt.

Wichtiger ist die Ver­trau­ens­fra­ge. Wer den Resolver stellt, sieht grund­sätz­lich, welche Namen du abfragst. Ein Wechsel verlagert dieses Vertrauen auf einen anderen Betreiber, er beseitigt es nicht.

Sind 8.8.8.8 und 1.1.1.1 sicher?

Technisch ja. Beide Adressen gehören zu eta­blier­ten, gut ge­war­te­ten Diensten, und beide un­ter­stüt­zen moderne Verfahren. Die Frage hinter der Frage ist eine andere: Welchem Un­ter­neh­men zeigst du, wonach du suchst? Die folgende Übersicht stellt die vier ver­brei­tets­ten öf­fent­li­chen Resolver gegenüber.

DNSSEC-Prüfung be­herr­schen alle vier. Die Ent­schei­dung läuft damit auf zwei Fragen hinaus: Willst du gefiltert werden, und wessen Da­ten­schutz­ver­spre­chen ist dir am glaub­wür­digs­ten? Wenn du Filterung willst, sind Quad9 und AdGuard DNS die na­he­lie­gen­den Kan­di­da­ten. Wenn du eine möglichst un­ver­fälsch­te Auflösung be­vor­zugst, passen Cloud­fla­re und Google Public DNS besser.

Was in Ös­ter­reich anders ist

Die großen hei­mi­schen Anbieter A1, Magenta und Drei stellen ihrer Kund­schaft stan­dard­mä­ßig eigene Resolver zur Verfügung. Für den Alltag funk­tio­niert das zu­ver­läs­sig.

Ein Punkt un­ter­schei­det die ös­ter­rei­chi­sche Lage trotzdem von der rein tech­ni­schen Be­trach­tung. Sperren gegen Ur­he­ber­rechts­ver­let­zun­gen werden hier­zu­lan­de über­wie­gend über die Na­mens­auf­lö­sung umgesetzt: Der Resolver des Anbieters liefert für bestimmte Namen keine ver­wert­ba­re Antwort mehr. Der Oberste Ge­richts­hof hat diese Praxis 2014 für zulässig erklärt, und nach EU-Recht darf eine Sperre nur auf ge­richt­li­che oder be­hörd­li­che Anordnung erfolgen.

Zwei Ei­gen­hei­ten solltest du kennen. Anders als in Deutsch­land sind die Sperr­lis­ten in Ös­ter­reich öf­fent­lich einsehbar, bei der RTR und bei den Anbietern selbst. Und treff­si­cher ist die Methode nicht: 2022 enthielt eine Sperr­lis­te IP-Adressen von Cloud­fla­re, woraufhin zahl­rei­che völlig legale Websites mit ab­ge­schal­tet wurden. Technisch läuft eine DNS-Sperre zudem ins Leere, sobald jemand einen anderen Resolver verwendet — das ist eine Ei­gen­schaft des Systems, keine Emp­feh­lung.

Für .at ist nic.at die Registry. Sie verwaltet die Zo­nen­da­ten der Top-Level-Domain und ist damit die Stelle, an der die Kette für jede ös­ter­rei­chi­sche Domain beginnt. Wie dieses Zu­sam­men­spiel aus Registry, Registrar und über­ge­ord­ne­ten In­sti­tu­tio­nen funk­tio­niert, erklärt der Beitrag Domain-Re­gis­trie­rung: So arbeiten ICANN, nic.at und Co..

Die Name­ser­ver deiner eigenen Domain

Hier wechselt die Per­spek­ti­ve. Es geht nicht mehr darum, wen dein Gerät fragt, sondern darum, wer über deine Domain Auskunft gibt. Die Name­ser­ver-Einträge ent­schei­den das, und geändert werden sie dort, wo die Domain verwaltet wird. Re­gis­trierst du deine Domain bei world4you, ver­wal­test du die Einträge im Kun­den­be­reich.

Diese Record-Typen begegnen dir dabei am häu­figs­ten:

Zwei Dinge solltest du einplanen. Erstens wirken Än­de­run­gen verzögert, weil die Zwi­schen­spei­cher weltweit nach­lau­fen. Plane Um­stel­lun­gen also mit Vorlauf und nicht am Frei­tag­nach­mit­tag. Zweitens nimmt ein falscher Eintrag deine Website oder deine E-Mail vom Netz, ohne dass am Server selbst etwas kaputt wäre. Besonders bei einem Domain-Umzug lohnt es sich, die be­stehen­den Einträge vorher zu notieren.

Dein Gerät fragt den Resolver, deine Besucher:innen fragen deinen Name­ser­ver. Wer diese beiden Rollen aus­ein­an­der­hält, ent­schei­det bei DNS-Themen von selbst richtig: Am Gerät ist eine Um­stel­lung so schnell zu­rück­ge­nom­men wie gemacht, an der Domain betrifft jede Änderung alle, die dich erreichen wollen.