Deine Eltern klicken auf jede Phishing-Mail? Ein DNS-Filter schützt das ganze Netzwerk, kostenlos und ohne Installation

Von /

DNS-Filter einrichten: Netzwerkweiter Schutz vor Phishing und Malware, ohne Software auf jedem Gerät

Ein Anruf, den viele kennen: „Ich hab da auf was geklickt, jetzt macht der Computer komische Sachen.“ Meistens war es eine gefälschte Paket-Mail, eine angebliche Bank-Warnung oder eine Seite, die aussah wie echt. Ein Antivirenprogramm auf jedem Gerät zu installieren, zu pflegen und zu erklären ist für viele Familien unrealistisch. Ein DNS-Filter im Router löst genau dieses Problem, für alle Geräte im Haushalt gleichzeitig, ohne dass jemand etwas installieren oder verstehen muss.

Was DNS eigentlich macht

DNS (Domain Name System) übersetzt eine Adresse wie sesoft.de in die numerische IP-Adresse, die Geräte tatsächlich zum Verbindungsaufbau brauchen. Jede Anfrage im Internet läuft über diesen Schritt, meist unbemerkt im Hintergrund. Normalerweise übernimmt das der Internetanbieter automatisch, ungefiltert.

Ein DNS-Filter schaltet sich genau an dieser Stelle ein. Bevor die Verbindung zu einer bekannten Phishing- oder Malware-Seite überhaupt aufgebaut wird, verweigert der Filter die Namensauflösung. Die Seite lädt schlicht nicht, meist mit der Antwort 0.0.0.0. Kein Antivirenprogramm nötig, kein Update auf jedem Gerät, keine Einstellung, die jemand versehentlich deaktiviert.

Warum sich das lohnt, gerade für Eltern oder die eigene Familie

Ein DNS-Filter ersetzt kein aktuelles Betriebssystem und keine gesunde Skepsis. Er fängt aber genau die Fälle ab, die im Alltag am häufigsten schiefgehen: der Klick auf einen Link in einer gefälschten Mail, bevor der eigentliche Schaden entsteht. Läuft der Filter im Router, gilt der Schutz automatisch für jedes Gerät im Netzwerk, vom Laptop der Eltern bis zum Tablet der Kinder, ohne separate Einrichtung.

Welche Anbieter infrage kommen

Alle vier folgenden Dienste sind kostenlos und ohne Anmeldung nutzbar.

Cloudflare (1.1.1.1 for Families) bietet zwei gefilterte Varianten: 1.1.1.2 blockt nur Malware und Phishing, 1.1.1.3 blockt zusätzlich Erwachseneninhalte. Firmensitz ist San Francisco, USA.

Quad9 nutzt 9.9.9.9 als Sicherheitsfilter gegen Malware und Phishing, ohne Werbe- oder Jugendschutzfilter. Quad9 wird von einer gemeinnützigen Stiftung in Zürich betrieben und sammelt laut eigenen Angaben keine IP-Adressen.

AdGuard DNS (Family Protection) blockt unter 94.140.14.15 Werbung, Tracker und Erwachseneninhalte zugleich. Firmensitz ist Limassol, Zypern, damit formal innerhalb der EU.

DNS4EU ist ein von der EU-Kommission mitfinanziertes Projekt, technisch betrieben vom tschechischen Unternehmen Whalebone. Die Variante „Protective + Child Protection“ (86.54.11.12) blockt Malware, Phishing und jugendgefährdende Inhalte, die Verarbeitung findet ausschließlich in EU-Rechenzentren statt.

Kosten

Alle vier Dienste sind für Privatpersonen kostenlos. AdGuard verkauft daneben kostenpflichtige Zusatzprodukte wie VPN oder Browser-Erweiterungen, der reine DNS-Dienst bleibt davon unberührt.

Wo der Sitz des Anbieters eine Rolle spielt

Ein DNS-Anbieter sieht technisch bedingt, welche Domains ein Haushalt anfragt, auch wenn die Verbindung selbst verschlüsselt ist. Damit ist die Jurisdiktion des Betreibers keine akademische Frage.

Cloudflare unterliegt als US-Unternehmen potenziell dem US-amerikanischen CLOUD Act. Quad9 sitzt in der Schweiz und damit außerhalb der EU, aber auch außerhalb US-amerikanischer Überwachungsgesetze wie FISA. AdGuard ist als zyprische Gesellschaft direkt der DSGVO unterworfen. DNS4EU verarbeitet nach eigenen Angaben ausschließlich in EU-Rechenzentren und speichert IP-Adressen nur für die Dauer der Anfrage im Arbeitsspeicher.

Bei DNS4EU lohnt ein zweiter Blick: Digitalrechte-Organisationen haben Bedenken geäußert, dass eine zentral von einem EU-nahen Konsortium betriebene Filterinfrastruktur perspektivisch auch für staatliche Zensur genutzt werden könnte, über die reine Malware-Abwehr hinaus. Der Betreiber weist das zurück und verweist auf die Freiwilligkeit des Dienstes. Wer diesem Szenario grundsätzlich misstraut, ist mit einem gemeinnützig organisierten Anbieter wie Quad9 unabhängiger von einzelstaatlichem Einfluss.

Einschränkungen, die niemand verschweigen sollte

Ein DNS-Filter arbeitet auf Ebene ganzer Domains. Ist eine Domain insgesamt freigegeben, wird auch problematischer Inhalt darauf nicht erkannt, etwa einzelne Bilder in einer Google-Suche oder ein Video auf einer sonst harmlosen Plattform. Moderne Browser bringen zudem eigene verschlüsselte DNS-Einstellungen mit (DNS over HTTPS), die die Router-Filterung stillschweigend umgehen können, wenn sie nicht ausdrücklich deaktiviert werden. Ein VPN oder ein zweites mobiles Netz umgeht den Filter ebenfalls vollständig.

Übersetzung für Nicht-Techniker

Ein DNS-Filter ist kein Ersatz für gesunden Menschenverstand und keine Firewall im klassischen Sinn. Er ist eine kostenlose, wartungsfreie Grundabsicherung, die genau dort greift, wo die meisten Phishing-Fälle im Alltag entstehen: beim unbedachten Klick. Für Eltern, die technisch nicht versiert sind, ist das oft die einzige Schutzmaßnahme, die realistisch dauerhaft aktiv bleibt.

Einrichtung unter Windows

  1. Windows-Taste, „Netzwerkverbindungen anzeigen“ eingeben und öffnen.
  2. Rechtsklick auf die aktive Verbindung (LAN oder WLAN), „Eigenschaften“.
  3. „Internetprotokoll, Version 4 (TCP/IPv4)“ markieren, „Eigenschaften“ klicken.
  4. „Folgende DNS-Serveradressen verwenden“ wählen und die gewünschten Adressen eintragen, zum Beispiel 9.9.9.9 als bevorzugten und 149.112.112.112 als alternativen Server.
  5. Mit OK bestätigen. Ein Neustart des Browsers reicht meist, um die Änderung zu übernehmen.

Geht das auch auf dem Handy?

Ja, allerdings pro WLAN-Netz einzeln und nicht für die mobile Datenverbindung. Unter Android reicht ein Tipp auf das verbundene WLAN, „Netzwerk bearbeiten“, „IP-Einstellungen“ auf „Statisch“ stellen und die DNS-Adressen eintragen. Unter iOS funktioniert es ähnlich über „Einstellungen“, „WLAN“, das kleine „i“ neben dem Netzwerknamen, „DNS konfigurieren“ auf „Manuell“ stellen. Wer den Schutz auch im mobilen Netz will, braucht eine App, die verschlüsseltes DNS (DoH oder DoT) direkt konfiguriert, etwa die offizielle App des jeweiligen Anbieters.

Geht das auch direkt in der Fritzbox?

Ja, und das ist für einen ganzen Haushalt die sinnvollste Lösung, weil sie automatisch für alle Geräte gilt. In der Fritzbox-Oberfläche unter „Internet“, „Zugangsdaten“, Reiter „DNS-Server“ die Option „Andere DNSv4-Server verwenden“ aktivieren und die beiden Adressen eintragen. Wer auch IPv6 nutzt, sollte im gleichen Schritt die passenden IPv6-Adressen des Anbieters ergänzen, sonst können Geräte den Filter über IPv6 umgehen.

Wer sich mit der Einrichtung im eigenen Netzwerk oder Kleinunternehmen unsicher fühlt, kann das gerne einmal zusammen durchgehen: sesoft.de/kontakt.

Quellen

Über den Autor

Sönke Schäfer berät seit über 25 Jahren norddeutsche KMU und Privatpersonen in Fragen rund um Datenarchitektur, Netzwerke und IT-Sicherheit im Kleinen. Er betreibt SeSoft GmbH in Sierksdorf und schreibt unter der Marke Datenschäfer über pragmatische Lösungen abseits großer Softwarepakete. Mehr über ihn unter sesoft.de/datenschaefer-soenke-schaefer.

PS:

Alles oben Beschriebene zielt auf den privaten Haushalt. Im Firmenumfeld sieht die Sache anders aus. Die kostenlosen Consumer-Dienste sind für Unternehmen meist gar nicht vorgesehen, DNS4EU schließt sie in den Nutzungsbedingungen sogar explizit aus. Wer im Betrieb einen DNS-Filter einsetzen will, braucht eher eine kommerzielle Business-Variante mit zentraler Verwaltung, Reporting und Support, etwa von Whalebone, Quad9 oder NextDNS. Das ist dann kein Fünf-Minuten-Projekt mehr, sondern ein Thema für die eigene IT oder einen Sicherheitsdienstleister.

Ähnliche Beiträge

Nach oben scrollen