Das Domain Name System (DNS) sorgt dafür, dass wir keine IP-Adressen beim Surfen auswendig kennen müssen. Statt­des­sen geben wir eine Web­adres­se in die Brow­ser­zei­le ein. Das DNS ist dann für die so­ge­nann­te Na­mens­auf­lö­sung zuständig: Bei einem Name­ser­ver wird die URL in die korrekte IP-Adresse übersetzt.

Klas­si­scher­wei­se greift man auf den DNS-Service seines Netz­an­bie­ters zu. Es ist aber auch möglich, einen anderen DNS-Server an­zu­steu­ern. In den letzten Jahren er­schei­nen mehr und mehr Anbieter von öf­fent­li­chen Servern, die jeder frei nutzen kann. Am be­kann­tes­ten ist si­cher­lich der DNS-Resolver von Google. Wer bei dem In­ter­net­gi­gan­ten Angst um die Si­cher­heit seiner Daten hat, kann aber auch einen etwas kleineren Dienst wie Quad9 verwenden. Statt eines kom­mer­zi­el­len Un­ter­neh­mens ist hier eine Non-Profit-Or­ga­ni­sa­ti­on am Werk.

Was ist Quad9?

Hinter der Or­ga­ni­sa­ti­on Quad9, die den gleich­na­mi­gen DNS-Dienst be­reit­stellt, stehen u. a. IBM sowie Packet Clearing House (PCH) und die Global Cyber Alliance (GCA). Diese beiden Or­ga­ni­sa­tio­nen setzen sich auch sonst für Si­cher­heit und Pri­vat­sphä­re im Internet ein. Die ge­mein­sa­me Idee: Man möchte einen DNS-Resolver be­reit­stel­len, der sowohl un­ab­hän­gig von kom­mer­zi­el­len In­ter­es­sen ist als auch für jeden Nutzer frei zur Verfügung steht.

Zu­sätz­lich zu diesem freien Zugang legt man bei Quad9 viel Wert auf Si­cher­heit und Pri­vat­sphä­re. Das Team hinter dem DNS-Resolver hat fest­ge­legt, dass keinerlei Nut­zer­da­ten gesammelt werden. Besonders der Punkt Si­cher­heit macht Quad9 al­ler­dings zu einem Vorreiter. Der Dienst un­ter­stützt sowohl DNS over TLS (DOT) als auch DNS over HTTPS (DOH). In den ver­gan­ge­nen Jahren wird immer klarer, dass das klas­si­sche DNS große Si­cher­heits­lü­cken hat, weil eine Ver­schlüs­se­lung fehlt. Das führt vermehrt zu Angriffen per DNS Hijacking. Die neuen Techniken bieten ef­fek­ti­ven Schutz gegen Cy­ber­kri­mi­nel­le, aber auch gegen Zensur durch Re­gie­run­gen.

Zu­sätz­lich verwendet man bei Quad9 DNSSEC, was die Rich­tig­keit der ge­lie­fer­ten Er­geb­nis­se si­cher­stellt. Außerdem arbeitet man mit Filtern: Die von ver­schie­de­nen Si­cher­heits­an­bie­tern ge­lie­fer­ten Black­lists enthalten Websites, die als schädlich ein­ge­stuft wurden. Um hierbei nicht selbst zum Zen­sur­or­gan zu werden – schließ­lich kann theo­re­tisch jede un­ge­lieb­te Website auf der Blacklist landen –, prüfen sich die be­tei­lig­ten Or­ga­ni­sa­tio­nen ge­gen­sei­tig. Zumindest Ein­zel­in­ter­es­sen haben somit keine Chancen. Auch Zen­sur­an­for­de­run­gen durch lokale Straf­ver­fol­ger sollen erst nach gültigen Ge­richts­be­schlüs­sen nach­ge­ge­ben werden. Selbst dann bleibt die Zensur lokal be­schränkt.

Wie erreicht man Quad9?

Schon der Name Quad9 weist auf die da­zu­ge­hö­ri­ge IP-Adresse hin: viermal die Neun – 9.9.9.9. Nebenbei könnte das als Reaktion auf Googles Dienst gewertet werden, den man unter 8.8.8.8 erreicht. Der DNS-Dienst Quad9 ist aber auch noch unter anderen Adressen (sowohl IPv4 als auch IPv6) er­reich­bar:

IP-Version Adresse DNSSEC Security-Filter EDNS
IPv4 9.9.9.9
IPv4 149.112.112.112
IPv4 9.9.9.10
IPv4 149.112.112.10
IPv4 9.9.9.11
IPv6 2620:fe::fe
IPv6 2620:fe::9
IPv6 2620:fe::10
IPv6 2620:fe::fe:10
IPv6 2620:fe::11

Quad9 bietet also sichere und unsichere Zugänge an: Die ge­si­cher­ten Ver­bin­dun­gen sind selbst­ver­ständ­lich die vom Anbieter emp­foh­le­nen. Hier hat man DNSSEC und Blacklist-Filter zur Verfügung. Wenn man al­ler­dings ein komplett un­ge­fil­ter­tes Surf­erleb­nis haben möchte, auch auf die Gefahr hin, sich Risiken aus­zu­set­zen, kann man auf die un­ge­si­cher­ten IP-Adressen zugreifen. Quad9 stellt jeweils zwei IP-Adressen zur Verfügung, die man beide im Be­triebs­sys­tem eingeben kann: Falls der eine Kom­mu­ni­ka­ti­ons­ka­nal temporär nicht verfügbar sein sollte, kann so direkt auf die andere Adresse ge­wech­selt werden.

Darüber hinaus hält Quad9 ein EDNS Client Subnet bereit. Dieses Angebot wendet sich al­ler­dings in erster Linie an Content Delivery Networks (CDN). Solche Netzwerke werden ein­ge­setzt, um Me­di­en­da­tei­en auf Websites zur Verfügung zu stellen, ohne den ei­gent­li­chen Server dabei zu über­las­ten. Das EDNS sorgt für Load Balancing und kann Anfragen der CDN deshalb schneller be­ant­wor­ten. Zu­sätz­lich arbeitet man mit IoT-Anbietern zusammen, um auch für solche Geräte sichere DNS-Zugänge zu schaffen.

Wenn man eine der beiden ver­schlüs­sel­ten Ver­bin­dun­gen einsetzen möchte, muss man bestimmte Ports nutzen. Für DoT verwendet man Port 853, für DoH den Standard-HTTP-Port 443.

Quad9 stellt nicht nur einen DNS-Server zur Verfügung. Wenn Sie den Dienst in Anspruch nehmen, werden Sie per Anycast an einen von über hundert Servern, die über viele Teile der Welt verteilt sind, wei­ter­ge­lei­tet. Bei Anycast haben ver­schie­de­ne Server die gleiche Adresse, es wird aber immer nur der Rechner an­ge­spro­chen, zu dem die kürzeste Route besteht.

Hinweis

Sie möchten Quad9 selbst einsetzen? In unserem Tutorial erklären wir, wie man den DNS-Server ändert. Auf einen anderen Anbieter zu wechseln, kann übrigens auch helfen, wenn mal wieder der DNS-Server nicht antwortet.

Zu­sam­men­ge­fasst: Die Features von Quad9

Was für Vorteile hat man, wenn man auf das Quad9-DNS umsteigt?

  • Frei verfügbar
  • Keine Auf­zeich­nung von Nut­zer­da­ten
  • Sichere Ver­bin­dun­gen
  • Keine staat­li­che Zensur
  • DNS over TLS und DNS over HTTPS
  • DNSSEC
  • Black-List-Filter
  • Über 100 Server
  • Von Non-Profit-Or­ga­ni­sa­ti­on verwaltet
Zum Hauptmenü