DNS-Sperren vertreiben Quad9 aus Frankreich — so prüfst du deinen Resolver

Am 24. November 2026 stellt Quad9 seinen kostenlosen DNS-Dienst für Nutzer in Frankreich ein 1 , 2 . Der Anlass ist ein Gerichtsbeschluss aus Paris: Quad9 soll 58 Domainnamen blockieren, die der Sportrechteinhaber beIN als Urheberrechtsverletzer einstuft 3 . Quad9 blockiert nicht und zieht sich stattdessen zurück 1 .

Der Fall ist mehr als eine Nachricht. Er zeigt, was ein DNS-Resolver über dich weiß, wer Druck auf ihn ausüben kann und was passiert, wenn neutrale Infrastruktur zur Copyright-Polizei gemacht wird. Für dich bedeutet das konkret: Es lohnt sich, jetzt einmal nachzusehen, welcher Resolver bei deinen Geräten tatsächlich aktiv ist, und zu entscheiden, ob du einem privacy-freundlichen Resolver vertrauen willst. Die Befehle dafür stehen weiter unten.

Kurzantwort

#

Quad9 stellt seinen DNS-Dienst in Frankreich zum 24. November 2026 ein. Was DNS-Sperren bedeuten und wie du deinen eigenen Resolver prüfst und wechselst.

Was genau passiert ist

#

Quad9 ist eine gemeinnützige Stiftung mit Sitz in Zürich. Sie betreibt einen öffentlichen DNS-Resolver, der Domainnamen in IP-Adressen übersetzt und in seiner Standardvariante bekannte Malware- und Phishing-Domains blockiert 1 , 4 . Ein DNS-Resolver sieht die Domainnamen, die dein Gerät auflösen lässt. Seine Datenschutzpolitik ist deshalb keine Nebensache 2 .

beIN, ein Sportrechteinhaber mit Sitz in Katar und Büros in Frankreich, hat Quad9 vor einem Pariser Gericht verklagt. Der Vorwurf: Über die bei Quad9 auflösbaren Domains würden Sportübertragungen unrechtmäßig verbreitet 1 , 3 . Das Gericht gab beIN recht und verpflichtete Quad9, die Sperrung umzusetzen. beIN verlangte 10.000 Euro pro Tag und Domain, bei 58 Domains also bis zu 580.000 Euro pro Tag. Das Gericht setzte die Strafe auf 1.000 Euro pro Tag herab 1 , 3 . Sie läuft bis zum 14. November und summiert sich auf rund 24.000 Euro, ohne Quad9s eigene Anwaltskosten 1 , 3 .

Für Quad9 ist das nicht nur eine Geldfrage. Der Dienst verlangt keine Registrierung und führt keine Nutzerdatenbank. Quad9 kann daher nicht zuverlässig feststellen, welche Anfragen aus Frankreich kommen. Die Alternative wäre, die Domains weltweit zu blockieren, also französisches Recht auf alle Nutzer des Planeten auszudehnen. Beides lehnt der Betreiber ab 1 , 2 . Hinzu kommen nach Quad9s Angaben rund 20 weitere, ähnliche Verfahren in Frankreich 1 , 2 , 3 .

Quad9 ist nicht der erste Resolver, der diesen Schritt geht. OpenDNS hat seinen Dienst in Frankreich bereits 2024 nach einer Sperranordnung zugunsten von Canal+ ausgesetzt 3 . Neu ist die Wucht der Summe: Ein einzelner Rechteinhaber drängt einen gemeinnützigen Sicherheitsdienst aus einem ganzen Markt. Der Beschluss trägt die Aktenzeichennummer RG 26/11882, und Quad9 hat Rechtsmittel eingelegt 1 , 3 . Der Dienstabzug ist also eine Vorsichtsmaßnahme, während das Verfahren weiterläuft, keine endgültige Niederlage.

Warum dein Resolver wichtig ist

#

DNS ist das Telefonbuch des Internets. Tippst du eine Adresse wie kalika.de ein, fragt dein Gerät einen Resolver nach der zugehörigen IP-Adresse. Der Resolver sieht also jeden Domainnamen, den du ansteuerst, bevor die eigentliche Verbindung überhaupt aufgebaut wird 2 .

In der Regel läuft diese Abfrage unverschlüsselt. Jeder, der deinen Datenverkehr mitliest, kann die DNS-Fragen ebenfalls lesen, sofern du nicht einen verschlüsselten Kanal nutzt. Genau dafür gibt es DNS over HTTPS (DoH, Port 443) und DNS over TLS (DoT, Port 853): Die Abfrage läuft dann verschlüsselt zum Resolver. Das ist reine Transportverschlüsselung und hat mit DNSSEC nichts zu tun — ob die Antworten zusätzlich kryptografisch geprüft werden, ist eine separate Einstellung. Quad9 validiert DNSSEC auf allen seinen Adressen 4 .

Wer dein Resolver ist, entscheidet also dreierlei: wer deine Abfragen sehen kann, wer sie filtern kann und wem du dabei vertrauen musst. Der Resolver deines Providers kennt deine Surfziele ohnehin, weil er deine Leitung betreibt. Ein öffentlicher Resolver wie Quad9 sieht die Abfragen, legt aber keine Nutzerprofile an, und ist als Schweizer Stiftung rechtlich anders gebunden als ein kommerzieller Anbieter 1 , 2 .

Ein Detail verdient dabei Aufmerksamkeit: EDNS Client Subnet, kurz ECS. Manche Resolver senden ein gekürztes Subnetz deiner IP-Adresse an die autoritativen Server weiter, damit CDNs dich geografisch näher routen können 5 . Quad9 führt dafür eine eigene Adresse (9.9.9.11), während die Standardadresse 9.9.9.9 keine ECS-Daten weitergibt 4 . Wer maximale Privatsphäre will, meidet ECS. Wer auf schnelle regionale CDN-Auslieferung angewiesen ist, wägt ab.

Zwei Begriffe erleichtern das Einordnen des Falls: Ein rekursiver Resolver wie Quad9 holt die Antwort für dich, ein autoritativer Server besitzt die Antwort für eine bestimmte Domain. Der Streit in Frankreich betrifft den rekursiven Resolver, also genau die Stelle, die deine Anfrage als erste entgegennimmt. Deshalb ist sie für Rechteinhaber als Sperrpunkt interessant und für dich als Vertrauensstelle relevant.

Warum eine DNS-Sperre technisch schwach ist

#

Eine DNS-Sperre funktioniert so: Der Resolver wird angewiesen, für bestimmte Domainnamen keine oder falsche Antworten zurückzugeben. Wer die Seite sucht, landet im Leeren 1 , 2 .

Der Haken liegt im System selbst. Quad9 hostet keine Inhalte und betreibt die betroffenen Websites nicht. Die Inhalte bleiben online und erreichbar. Wer sie aufrufen will, wechselt einfach zu einem der tausenden anderen öffentlichen Resolver 1 , 2 . Quad9 formuliert das so: Es sei, als halte man eine Zeitung vor ein Stadion voller Menschen, um die Sicht auf ein Konzert zu verdecken 1 , 3 .

Auch beIN selbst dürfte wenig gewinnen. Im selben Monat hat das Pariser Gericht Strafanträge von beIN gegen Cloudflare und mehrere VPN-Anbieter abgelehnt, weil diese zumindest einen Teil der Domains blockiert hatten und das Gericht darin eine zumutbare Anstrengung sah. Canal+ scheiterte im September ebenfalls mit einem Strafantrag gegen Cloudflare 3 . Das Ergebnis ist widersprüchlich: Wer gar nicht blockiert, wird bestraft; wer nur teilweise blockiert, kommt davon. Die Sperrwirkung dürfte in beiden Fällen nahe null liegen, weil Nutzer ausweichen können — Quad9 hält den Effekt außerhalb von Anwaltskosten und Pressemitteilungen für nicht messbar 1 .

Die eigentliche Wirkung des Beschlusses ist eine andere. Sie liegt in der Drohung an neutrale Infrastruktur: Entweder ihr macht beim Sperren mit, oder ihr tragt das Risiko.

Der Kern: neutrale Infrastruktur wird zur Copyright-Polizei

#

Quad9 beschreibt rekursive DNS-Auflösung als neutralen, passiven Dienst. Der Betreiber weigert sich, DNS-Antworten zu verfälschen oder Nutzer zu belügen 1 . Genau diese Haltung steht mit dem Pariser Beschluss unter Druck.

Der Fall hat eine Vorgeschichte in Deutschland. Von 2021 bis 2023 führte Quad9 ein ähnliches Verfahren gegen Sony Music. Anfangs versuchte Quad9, per GeoIP nur deutsche Nutzer zu blockieren. Sony umging das mit einem VPN, das Gericht wertete es als Verstoß und verhängte ein Ordnungsgeld. Quad9 gewann das Verfahren am Ende, aber nach eigenen Angaben erst nach Jahren und sechsstelligen Kosten 1 . Diese Erfahrung erklärt, warum Quad9 in Frankreich jetzt nicht noch einmal auf unpräzise technische Tricks setzt, sondern den Dienst zurückzieht.

Hier liegt die übertragbare Lehre. DNS-Sperren entfernen keinen Inhalt, aber sie zwingen neutrale Vermittler, Filtertechnik aufzubauen. Quad9 warnt, dass solche Werkzeuge, einmal gebaut, selten sparsam oder gerecht eingesetzt werden 1 . Der Betreiber verweist zudem auf Pläne in Frankreich und anderen europäischen Staaten, privaten Unternehmen automatisierte und ungeprüfte DNS-Filtermöglichkeiten zu geben 1 . Die EFF nennt einen zweiten Schauplatz: Der US-Kongress berät mehrere Gesetzentwürfe für Site-Blocking, die Provider und DNS-Resolver zur Sperrung verpflichten würden 2 . Was in Frankreich als Einzelfall aussieht, ist Teil einer größeren Bewegung, aus dem Copyright heraus Zugangskontrollen ins Netz einzubauen.

Für dich als Nutzer heißt das: Die Wahl deines DNS-Resolvers ist auch eine Entscheidung darüber, welcher Akteur deine Anfragen sehen und im Zweifel filtern darf. Der Resolver deines Providers unterliegt anderem Druck als eine gemeinnützige Stiftung oder ein Anbieter, der Verschlüsselung und kurze Protokollfristen verspricht.

Praxis: so findest du deinen aktuellen Resolver

#

Die folgenden Befehle zeigen, welchen DNS-Server dein Gerät gerade nutzt. Sie verändern nichts.

Windows: Öffne die Eingabeaufforderung oder PowerShell.

nslookup

In der Zeile Server steht Adresse und Name deines aktuellen Resolvers. Alternativ zeigt ipconfig /all unter DNS-Server die eingetragenen Adressen. In PowerShell listet Get-DnsClientServerAddress die Resolver aller Netzwerkadapter auf.

macOS:

scutil --dns | grep nameserver

Oder für eine konkrete Schnittstelle:

networksetup -getdnsservers Wi-Fi

Linux: Unter systemd-resolved zeigt

resolvectl status

die aktiven DNS-Server. Ältere Systeme tragen sie in /etc/resolv.conf ein. Steht dort 127.0.0.53, ist systemd-resolved dazwischengeschaltet, und resolvectl status liefert den tatsächlichen Server.

Android: Einstellungen, dann Netzwerk & Internet, dann Privates DNS. Ist dort ein Hostname wie dns.quad9.net eingetragen, laufen die Anfragen verschlüsselt an Quad9. Steht dort nichts oder Automatisch, nutzt das Gerät den Resolver des Netzes 4 .

Router: In der Verwaltungsoberfläche findest du die DNS-Einstellungen meist unter Internet oder WAN. Der dort eingetragene Server gilt für alle Geräte im Netz, sofern sie nicht selbst etwas anderes vorgeben.

Ein einzelner Resolver lässt sich direkt testen:

nslookup example.com 9.9.9.9

Kommt eine Antwort, ist der Resolver erreichbar. Das bestätigt aber noch nicht, dass dein Gerät ihn auch wirklich nutzt. Dafür vergleichst du die Server-Zeile aus dem ersten nslookup mit der gewünschten Adresse.

So erkennst du, ob dein Resolver filtert

#

Zwei Abfragen reichen, um einen auffälligen Unterschied zu sehen. Vergleiche die Antwort deines aktuellen Resolvers mit der eines Referenz-Resolvers:

nslookup example.com
nslookup example.com 9.9.9.9

Liefert dein Resolver eine andere oder gar keine Antwort, während 9.9.9.9 eine liefert, filtert dein Resolver oder scheitert an der Auflösung. DNSSEC prüfst du über eine Testdomain, die absichtlich eine ungültige Signatur ausliefert:

nslookup dnssec-failed.org 9.9.9.9

Ein Resolver mit aktiver DNSSEC-Validierung antwortet hier mit SERVFAIL und liefert keine Adresse. Quad9 validiert DNSSEC auf allen seinen Adressen 4 . Derselbe Befehl gegen deinen Resolver zeigt, ob auch er validiert oder dir eine als ungültig markierte Antwort durchreicht.

So wechselst du auf einen privacy-freundlichen Resolver

#

Wenn du wechseln willst, bietet Quad9 mehrere Varianten, alle mit aktivierter DNSSEC-Validierung 4 :

• IPv4: 9.9.9.9 und 149.112.112.112
• IPv6: 2620:fe::fe und 2620:fe::9
• DNS over HTTPS (DoH): https://dns.quad9.net/dns-query
• DNS over TLS (DoT): tls://dns.quad9.net

Die Variante 9.9.9.9 blockiert zusätzlich bekannte Malware- und Phishing-Domains. Wer nur DNSSEC ohne diese Sperrliste will, nutzt 9.9.9.10 und 149.112.112.10. Trage immer beide IPv4-Adressen ein, sonst verlierst du bei einem Pfadausfall die Auflösung 4 .

Die konkreten Schritte je System:

Windows 11: Einstellungen, Netzwerk & Internet, dann WLAN oder Ethernet, dann DNS-Serverzuweisung bearbeiten. Wähle Manuell, schalte IPv4 ein und trage 9.9.9.9 als bevorzugten und 149.112.112.112 als alternativen DNS ein.

macOS: Systemeinstellungen, Netzwerk, wähle deine Schnittstelle, Details, DNS. Füge dort 9.9.9.9 und 149.112.112.112 hinzu.

Linux mit systemd-resolved: Öffne /etc/systemd/resolved.conf und setze

DNS=9.9.9.9 149.112.112.112

danach den Dienst neu starten mit sudo systemctl restart systemd-resolved. Unter NetworkManager trägst du die Server im Profil der Verbindung ein.

Android: Unter Privates DNS den Hostnamen dns.quad9.net eintragen oder die App Quad9 Connect aus dem F-Droid-Store verwenden 4 . Der Hostname schaltet die verschlüsselte DoT-Variante ein.

Firefox unterstützt DoH direkt in den Einstellungen und lässt sich damit unabhängig vom Betriebssystem auf https://dns.quad9.net/dns-query stellen 4 .

Bevor du umstellst, hältst du den Rückweg bereit: Notiere die aktuellen DNS-Adressen deines Routers und deiner Geräte, damit du notfalls zurücksetzen kannst. Ändere zuerst ein einzelnes Gerät, teste mit den Befehlen aus dem vorigen Abschnitt und stelle erst danach den Router um. Ein Resolverwechsel am Router wirkt auf alle Geräte im Netz, auch auf Gäste, Smart-TVs und IoT-Hardware. Ein kaputter oder nicht erreichbarer Server legt dann die Namensauflösung für das ganze Netz lahm, deshalb gehört vor die Router-Umstellung immer der Test am einzelnen Gerät.

Quad9 ist nicht die einzige Option. Öffentliche Resolver wie Cloudflare oder NextDNS bieten ähnliche Funktionen, unterscheiden sich aber in Datenschutzpolitik, Sperrlisten und Geschäftsmodell. Welcher für dich passt, entscheidest du an drei Kriterien: Wer betreibt den Dienst und wem ist er rechenschaftspflichtig, welche Daten protokolliert er, und wie lange behält er sie? Die Antworten stehen in der jeweiligen Privacy Policy, nicht im Marketing.

Eine belastbare Grundkonfiguration sieht so aus: Auf dem Router 9.9.9.9 und 149.112.112.112 als primäre und sekundäre Adresse, auf Android-Geräten der DoT-Hostname dns.quad9.net, und auf Rechnern, die viel unterwegs sind, zusätzlich ein zweiter, unabhängiger Resolver als Ausweichoption. Verschlüsselung, also DoH oder DoT, überall dort einschalten, wo das System sie anbietet. So überlebt die Auflösung den Ausfall eines einzelnen Servers und bleibt auch in Netzen nutzbar, die unverschlüsseltes DNS mitschneiden 4 .

Grenzen, die du kennen solltest

#

Ein Resolverwechsel ist kein Rundum-Schutz. Er verschlüsselt und wählt aus, wer deine DNS-Anfragen sieht, aber er anonymisiert dich nicht. Dein Provider sieht weiterhin, mit welchen IP-Adressen du dich verbindest; SNI und Traffic-Muster verraten mehr, als der DNS-Name allein. Wer Anonymität will, braucht dafür andere Werkzeuge als einen Resolver.

Auch die Bedrohungslage bleibt bestehen: Quad9 selbst verweist darauf, dass Nutzer, die nach der Sperrung in Frankreich auf weniger vertrauenswürdige Resolver ausweichen, am Ende schlechter geschützt sein könnten 1 . Wer aus Frankreich kommt, muss seinen Resolver bis zum 24. November umstellen, weil Quad9 den Dienst dort ab dann nicht mehr anbietet 1 , 2 . Wie die Abschaltung technisch umgesetzt wird, war zum Zeitpunkt der Ankündigung noch offen 3 . In Deutschland bleibt der Dienst nach aktuellem Stand verfügbar 1 .

Wer reist, sollte den Stichtag ebenfalls im Kopf behalten. Ein Gerät, das fest auf Quad9 zeigt, kann in französischen Netzen ab dem 24. November ohne Namensauflösung dastehen, egal wo der Nutzer wohnt 1 , 2 . Wer mit Laptop oder Telefon nach Frankreich fährt und dort weiterarbeiten will, stellt für die Reise entweder einen zweiten Resolver ein oder übernimmt die Voreinstellung des jeweiligen Netzes.

Bleibt die Frage, ob der Rückzug überhaupt etwas erreicht. Quad9 geht davon aus, dass die beanstandeten Inhalte online und erreichbar bleiben und auch beIN keinen messbaren Vorteil sieht 1 , 2 . Der Beschluss bestraft also vor allem die Nutzer, die einen Sicherheitsdienst verlieren, den sie nicht gewählt haben, um Copyright zu verletzen.

Was du daraus mitnimmst

#

Prüfe einmal, welcher DNS-Server bei dir aktiv ist. Der Aufwand liegt bei zwei Befehlen. Entscheide dann bewusst, wem du deine Anfragen anvertraust, statt die Voreinstellung deines Providers zu übernehmen. Und wenn du einen privacy-freundlichen Resolver nutzt, trag ihn auf Router und Geräten vollständig ein, mit Verschlüsselung, wo dein System sie anbietet.

Der Fall Quad9 zeigt, dass die Wahl eines Resolvers reale Konsequenzen hat, weit über die eigene Internetverbindung hinaus. Neutrale Infrastruktur, die nicht mitsperrt, wird zum Ziel. Wer die Kontrolle über seine Auflösung behalten will, richtet sie einmal bewusst ein und prüft sie gelegentlich nach.

Weiterführende Artikel

#

• Datenschutz-Praxis: Standort-Tracking auf dem Handy reduzieren
• Datenschutz-Praxis für Eltern: Kinder und Jugendliche online begleiten
• LG-Smart-TV erkennt, was du schaust: ACR dauerhaft abschalten
• Datenschutz bei Wearables: Warum die meisten Smartwatches und Fitness-Tracker bei Transparenz und Verschlüsselung versagen
• Dein Auto als Tracking-Gerät: 19 von 21 vernetzten Autos teilen Daten mit Dritten

Passende Produktrecherchen

#

Wenn du die praktische Seite vertiefen möchtest: Diese konkreten Produkte passen zum Thema dieses Artikels. Es ist keine Rangliste und keine Kaufpflicht, sondern eine kurze Auswahl mit Begründung, für wen sie interessant sein kann:

• GL.iNet GL-MT3000 Beryl AX WLAN 6 Reiserouter (2.5G WAN, VPN, OpenWrt) – Reisende und Remote-Arbeitende, die ihre DNS-Auflösung auch in fremden WLANs verschlüsseln und filtern wollen. – OpenWrt-Reiserouter, auf dem sich ein privacy-freundlicher Resolver (IPv4 oder DoH/DoT wie dns.quad9.net) und WireGuard netzweit erzwingen lassen; deckt die im Artikel beschriebene Resolver-Umstellung unterwegs ab.
• GL.iNet GL-AXT1800 Slate AX Mobiler WLAN 6 Reiserouter mit VPN – Reisende mit mehreren Geräten und höherem Bandbreitenbedarf, die die Resolver-Kontrolle aus dem Artikel nicht pro Gerät, sondern einmal am Router umsetzen. – Höherwertiger Reiserouter mit mehr WLAN-Durchsatz für dieselbe DNS-over-TLS/DoH- und WireGuard-Konfiguration, wenn mehrere Geräte gleichzeitig am Router hängen.
• GL.iNet GL-MT6000 (Flint 2) WiFi 6 Router mit 2.5G-Ports und VPN – Leser, die ihr Heimnetz auf einen kontrollierbaren Router mit eigener DNS-Konfiguration und WireGuard umstellen. – OpenWrt-Heimrouter, der den Provider-Router ersetzt und eigene DNS-Server mit Verschlüsselung für das gesamte Heimnetz zentral setzt; höherwertige Umsetzung der im Artikel beschriebenen Grundkonfiguration.
• GL.iNet GL-MT5000 Brume 3 kabelgebundenes VPN-Sicherheitsgateway ohne WLAN – Leser, die Fritzbox oder Provider-Router behalten und nur einen dedizierten DNS-/VPN-Gateway davorschalten wollen. – Kabelgebundenes DNS-/VPN-Gateway, das sich vor den bestehenden Router schalten lässt, um DNS-Verschlüsselung und Filterung umzusetzen, ohne das vorhandene WLAN zu ersetzen.
• FRITZ!Box 7590 AX Exclusive DSL-Router mit Wi-Fi 6 – Leser mit DSL-Anschluss und FRITZ!Box, die encrypted DNS und einen eigenen Resolver direkt am Router aktivieren wollen. – Deutscher DSL-Router, auf dem Leser eigene DNS-Server und verschlüsselte Namensauflösung (DNS over TLS) direkt einstellen können; passend zum Praxisabschnitt des Artikels.
• Starlink-Verfügbarkeit und Konditionen prüfen

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Hinweis: Dieser Link ist ein Starlink-Empfehlungslink. Wenn du darüber bestellst, können für dich und kalika.de Vorteile nach den jeweils geltenden Starlink-Bedingungen entstehen.

Entscheidungshilfe: Wann ist das sinnvoll?

#

Eher sinnvoll, wenn du DNS-Sperren vertreiben Quad9 aus Frankreich — so prüfst du deinen Resolver nicht nur als Nachricht lesen willst, sondern eine praktische Einordnung brauchst: Was ändert sich, wen betrifft es und welche nächsten Schritte sind realistisch?

Eher abwarten, wenn die Quellenlage noch dünn ist, wichtige technische Details fehlen oder der Nutzen nur aus Hersteller- oder Projektversprechen besteht. Dann ist Beobachten besser als vorschnelles Umstellen.

Worauf du achten solltest: konkrete Verfügbarkeit, nachvollziehbare Kosten, offene Einschränkungen, Sicherheits- oder Datenschutzfolgen und belastbare Quellen statt bloßer Ankündigungen.

Transparenzhinweis

#

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und automatisiert auf Quellen, Fakten und Qualitätskriterien geprüft.

Quellen

#

[1] Quad9: Farewell, France

[2] EFF Deeplinks: French Court’s Site-Blocking Orders Drive Quad9 Out Of France

[3] TorrentFreak: DNS Resolver Quad9 Will Leave France After Court Orders Piracy Blocking Penalty

[4] Quad9: Service Addresses & Features

[5] RFC 7871: Client Subnet in DNS Queries (EDNS Client Subnet)