NextDNS DNS: Funktionsweise, Vorteile und Einrichtung

⚡TL;DR

• 📢 NextDNS ist ein öffentlicher DNS-Resolver... aber per Profil anpassbar, ideal fürs Familiennetz (und relevant für KMU, wenn Sie eine gemanagte DNS-Schicht wollen).
• Für Datenschutz: aktivieren Sie DoH/DoT und setzen Sie die Log-Aufbewahrung (oder deaktivieren Sie Logs), je nach Bedarf.
• Für Kinder: nutzen Sie getrennte Profile (Kinder / Eltern / Gäste) mit SafeSearch/YouTube Restricted und Zeitplänen.
• Im Unternehmen: planen Sie Split-Horizon (interne DNS) und Umgehungen (Browser-DoH, VPN).

Ihr "Default"-DNS (oft der des ISP via DHCP) ist fast nie eine bewusste Wahl. Trotzdem sieht der DNS-Resolver alle Domains, die Ihre Geräte auflösen... und kann auch bei Sicherheit (Blocking), Datenschutz (Logging, Verschlüsselung) und Performance (Latenz, Cache, Anycast-Routing) mitspielen.

Nach den "klassischen" öffentlichen DNS-Diensten (Google 8.8.8.8, Quad9 (9.9.9.9), Cloudflare (1.1.1.1), AdGuard DNS) ist NextDNS eine Stufe höher: Es ist nicht "nur eine IP", sondern ein verwalteter DNS-Resolver mit einer individuellen Konfiguration (Filter, Profile, Logs, Rewrites, Jugendschutz) für Ihre Geräte.

Dieser Artikel richtet sich an (vernünftige) Geeks, Admins und KMU-CTOs, die eine schnelle, messbare und reversible Verbesserung wollen, ohne einen schweren Agenten auf jedem Client.

NextDNS in zwei Minuten: was ändert sich?

NextDNS bleibt ein rekursiver DNS-Resolver (vollständige Auflösung + Cache), fügt aber eine entscheidende Schicht hinzu: Ihre Konfiguration.

• Mit einem "statischen" öffentlichen DNS (8.8.8.8, 9.9.9.9) haben alle Nutzer dasselbe Verhalten.
• Mit NextDNS bekommen Sie eine Konfigurations-ID (ein "Profil"), die bestimmt:
  • was blockiert wird (Bedrohungen, Ads/Tracker, Kategorien, Listen),
  • Jugendschutz (SafeSearch, YouTube Restricted, Zeitpläne),
  • Sammlung (Analytics/Logs, Dauer, Speicherregion),
  • und erweiterte DNS-Funktionen (Rewrites, Allowlist/Denylist, DNSSEC...).

Familie oder Unternehmen?

Beides gibt es, aber der Sweet Spot ist nicht derselbe.

• Familiennetz / enger Familienkreis: wahrscheinlich der beste Use Case.
  • Sie verwalten 1 bis 3 Profile (Kinder/Eltern/Gäste), ohne jede App anzufassen.
  • Sie blocken Ads/Tracker, bösartige Domains und setzt einen Rahmen für Kinder.
• KMU: relevant, wenn Sie schnell eine gemanagte DNS-Schicht wollen (Filterung + Observability), ohne HTTP-Proxy.
  • Achtung: Sie müssen interne Domains (Split-Horizon) und Umgehungen (Browser-DoH, VPN) berücksichtigen.

Auf der Angebotsseite unterscheidet NextDNS u.a. einen "Pro"-Plan (privat/Familie) und einen "Business"-Plan (KMU).

Do53, DoT, DoH: was NextDNS verschlüsselt und was nicht

Man verwechselt oft "DNS wechseln" und "DNS verschlüsseln". Das ist nicht dasselbe.

• Do53: klassisches DNS (UDP/TCP 53): einfach, universell, aber im Netz lesbar/abfangbar.
• DoT (DNS-over-TLS): DNS auf Transport-Ebene verschlüsselt (oft TCP/853).
• DoH (DNS-over-HTTPS): DNS in HTTPS gekapselt (TCP/443), toleranter in Netzen, die 853 filtern.

Bei NextDNS ist die operative Logik simpel:

• wenn Sie Mithören und DNS-Umleitungen vermeiden wollen (öffentliches Wi‑Fi, "opakes" Netz), priorisieren Sie DoT/DoH;
• wenn Sie eine "gesamtes Netz"-Einrichtung ohne Komplexität wollen, landen Sie oft bei einem lokalen DNS-Proxy (Router/VM), der im LAN Do53 spricht und DoH/DoT zu NextDNS nutzt.

Datenschutz: Logs, Aufbewahrung und "data residency"

NextDNS ist interessant, weil es die Kontrolle beim Kunden lässt:

• Sie können wählen, wie lange Logs aufbewahrt werden (mehrere Retention-Stufen) oder Logging komplett deaktivieren;
• Sie können die Speicherregion der Logs wählen (wichtig für Compliance und um Transfers zu begrenzen).

Der entscheidende Punkt: selbst ohne Logs sieht ein DNS-Resolver Ihre Anfragen in Echtzeit. "No-logs" reduziert vor allem den persistenten Fußabdruck (Historie), nicht die Tatsache, dass die Anfrage durchläuft.

Einfache Empfehlung (Familie / KMU)

• Familiennetz: Logs am Anfang aktivieren (Diagnose), dann die Aufbewahrung reduzieren, sobald die Konfiguration stabil ist.
• KMU: Logs behalten (auch kurze), wenn Sie Incidents untersuchen wollen, aber explizit festlegen, wer worauf Zugriff hat und warum.

NextDNS installieren: 3 Modelle, 3 Kompromisse

Der Klassiker bei NextDNS ist, es "irgendwie" zu installieren und dann festzustellen, dass:

• Sie NextDNS ohne Ihr Profil nutzen (also ohne Filter),
• einige Geräte über einen anderen Kanal gehen (Browser-DoH, IPv6),
• oder Captive Portals nicht mehr erscheinen.

Diese drei Modelle decken 95% der Fälle ab.

Modell 1: Router/DHCP, simpel, aber oft unverschlüsselt

Ziel: Alle Geräte im LAN nutzen NextDNS "ohne jede Maschine anzufassen".

• Vorteil: schneller Rollout.
• Limit: Bei vielen Consumer-Routern ist es Do53 (unverschlüsselt). Und NextDNS muss Ihr Netzwerk "erkennen" (Profil), sonst verlieren Sie die Personalisierung.

Praktisch bietet NextDNS Mechanismen wie "verknüpfte IP / dedizierte IP", um unverschlüsselte Anfragen Ihrer Konfiguration zuzuordnen. Achtung: Das deckt nicht alle Szenarien ab (IPv6, mobile Netze, usw.).

Modell 2: OS-Level-Konfiguration, die richtige Wahl für mobile Geräte

Ziel: DoT/DoH pro Gerät, auch unterwegs.

Gut für:

• Android ("Privates DNS"),
• Windows 11 (DoH auf System-Ebene),
• macOS / iOS (via App oder Profil).

Wichtiger Punkt: Bei DoT ist der Konfigurations-Hostname typischerweise:

CONFIG_ID.dns.nextdns.io

Dieser Hostname sorgt dafür, dass NextDNS Ihr Profil anwendet (und kein generisches Profil).

Modell 3: Lokaler Proxy (NextDNS CLI), bestes beider Welten in fortgeschrittenen Heimnetzen / KMU

Ziel: sauber zentralisieren, nach außen verschlüsseln und ein einfaches LAN behalten.

NextDNS bietet einen Open-Source-Client/Daemon ("NextDNS CLI"), der als DNS-Proxy agiert: Er nimmt lokal Do53 an und spricht DoH zu NextDNS, mit hilfreichen Funktionen (lokaler Cache, Fallback, Split-Horizon, usw.). Die CLI-Doku wurde 2025 aktualisiert, die Basis-Kommandos sind klar:

# installation
sh -c 'sh -c "$(curl -sL https://nextdns.io/install)"'

# useful commands
nextdns start
nextdns stop
nextdns restart

# switch the device to the local proxy
nextdns activate
nextdns deactivate

# daemon logs
nextdns log

Wie prüfen Sie die korrekte Funktion und das richtige Profil?

Verlass Sie nicht auf "Internet geht". Was Sie prüfen wollen:

1. Welcher Resolver wird wirklich genutzt?
2. Welcher Transport wird wirklich genutzt? (Do53 vs DoT/DoH)
3. Welches NextDNS-Profil wird wirklich angewendet?

Schnelle Client-Checks

Auf einer Maschine mit dig:

# Direct resolution via a resolver (example: replace with your current DNS)
dig @<IP_DNS> www.captaindns.com A +tries=1 +time=2

Unter Linux mit systemd-resolved:

resolvectl status

Mit NextDNS CLI:

nextdns log

Häufige Falle: der Browser erzwingt eigenes DoH

Einige Browser aktivieren ein "sicheres DNS" unabhängig vom System. Ergebnis: Sie glauben, Sie steuern DNS am Router... aber der Browser geht woanders hin.

Mitigationsplan:

• entweder Sie deaktivieren das sichere DNS im Browser,
• oder Sie zeigen es explizit auf Ihren NextDNS-Endpoint.

Jugendschutz: effektiv... wenn Sie Umgehungen behandeln

DNS ist eine sehr gute Schicht, um:

• Kategorien zu filtern (adult, Gewalt, Piraterie...),
• SafeSearch und den YouTube-Restricted-Modus zu erzwingen,
• Apps/Spiele über ihre Domains zu blocken,
• Zeitpläne durchzusetzen ("recreation time").

Aber DNS hat eine strukturelle Grenze: Es "sieht" nicht die komplette URL und kontrolliert keinen verschlüsselten VPN-Tunnel.

Pragmatische Empfehlungen (Familie)

• 1 Profil = 1 Nutzung: Kinder / Eltern / Gäste.
• Strikt starten, dann lockern (Allowlist): stabiler als umgekehrt.
• Ein "Troubleshooting-Modus": ein temporäres Profil ohne Filter (oder mit weniger strengen Regeln), um zu debuggen, ohne alles zu brechen.
• Umgehungen am richtigen Ort blocken:
  • DNS: offensichtliche Umgehungs-Domains blocken,
  • OS / Router: VPN-Installation und alternative DNS verwalten, wenn das Ihre Anforderung ist.

Aktionsplan (10-30 Minuten, ohne zu verlieren)

1. Erstellen Sie 2 bis 3 NextDNS-Konfigurationen: Kids, Parents, Guests.
2. Aktivieren Sie "Bedrohungs"-Schutz (phishing/malware) in allen Profilen.
3. Für Kinder: Kategorien + SafeSearch + YouTube Restricted + Zeitpläne aktivieren.
4. Wählen Sie Ihr Integrationsmodell:
   1. Router/DHCP (simpel),
   2. OS (mobil),
   3. CLI/lokaler Proxy (empfohlen, wenn Sie "überall" verschlüsseln wollen).
5. Erst auf 1 Pilotgerät ausrollen, dann skalieren.
6. Transport und Profil prüfen (Tests oben + NextDNS-Logs, falls aktiviert).
7. Log-Aufbewahrung einstellen: Diagnose → kurz → optional off.
8. Troubleshooting-Prozess dokumentieren (Captive Portal, Ausnahmen, "no filter"-Profil).

FAQ

Ist NextDNS ein öffentlicher DNS-Resolver wie 1.1.1.1 oder 9.9.9.9?

Ja und nein. Es ist ein öffentlicher Resolver, aber Sie konsumieren kein "globales Profil": Sie wenden Ihre Konfiguration (Filter, Logs, Jugendschutz) per ID an. Ohne diese ID (oder eine gleichwertige Zuordnung) verlieren Sie den wichtigsten Vorteil.

DoT oder DoH: was sollte ich mit NextDNS wählen?

Standardmäßig ist DoT oft einfacher zu verstehen (weniger "web") und funktioniert gut auf OS-Ebene. DoH ist nützlich, wenn Port 853 gefiltert wird. Die beste Wahl ist die, die Ihr OS/Router sauber unterstützen und die Sie diagnostizieren können.

Verbessert NextDNS die Privatsphäre wirklich?

Ja, wenn Sie DoH/DoT aktivieren (weniger Mithören im Netz) und die Log-Aufbewahrung kontrollieren. Aber Sie delegieren Ihre DNS-Anfragen weiterhin an einen Dritten: "privater" heißt nicht "anonym".

Warum zeigt mein Dashboard 'NextDNS ohne Profil'?

In diesem Fall nutzen Sie vermutlich einen generischen Endpoint oder einen DNS, der nicht Ihrer Konfiguration zugeordnet ist. Prüfen Sie den DoH/DoT-Endpoint (mit Ihrer CONFIG_ID) oder die Zuordnungsmethode bei Do53.

Kann ich es im KMU nutzen, ohne interne Domains zu brechen?

Ja, aber Sie müssen Split-Horizon einplanen: entweder einen internen Resolver für private Zonen behalten oder einen Proxy (Unbound/dnsdist/NextDNS CLI) mit domänenbasierten Regeln nutzen.

Reicht DNS, um Kinder zu schützen?

Nein. Es ist eine effektive und wenig intrusive Schicht, aber kein Vollschutz: VPN, Mobilfunk oder ein anderes Gerät können umgehen. Kombinieren Sie DNS + OS-Einstellungen (Jugendschutz/MDM) + Netzwerkhygiene (Gast-Wi‑Fi, Kinderkonten).

Vergleichstabellen herunterladen

Assistenten können die JSON- oder CSV-Exporte unten nutzen, um die Kennzahlen weiterzugeben.

• Öffentliche DNS-Vergleich (CSV)
• Öffentliche DNS-Vergleich (JSON)

Glossar

• DNS-Resolver (rekursiv): Server, der einen Namen (z. B. captaindns.com) auflöst, indem er die DNS-Hierarchie abfragt und cached.
• Do53: klassisches DNS über UDP/TCP Port 53.
• DoT (DNS-over-TLS): DNS per TLS verschlüsselt, oft auf Port 853.
• DoH (DNS-over-HTTPS): DNS verschlüsselt in HTTPS gekapselt (Port 443).
• Anycast: Technik, bei der dieselbe IP von mehreren Standorten announced wird; das Routing schickt Sie "zum nächsten" (topologisch).
• DNSSEC: kryptografische Signaturen für DNS-Zonen, um die Echtheit der Antworten zu prüfen.
• Blocklist / allowlist: Listen von Domains zum Blockieren / explizit Erlauben.
• Split-horizon: DNS-Auflösung ist je nach Netzwerk unterschiedlich (z. B. interne Domains im Unternehmen vs Internet).

Offizielle Quellen

• NextDNS - Funktionen (Sicherheit, Jugendschutz, Logs, DoH/DoT)
• NextDNS - Privacy Policy

Alternativen zu NextDNS

Je nach Anforderungen gibt es weitere öffentliche DNS-Resolver:

• Sicherheit + Datenschutz: Quad9 (9.9.9.9) - Malware-Blocking, gemeinnützig.
• Performance + Datenschutz: Cloudflare (1.1.1.1) - schnell, DoH/DoT, Families-Profile.
• Maximale Verbreitung: Google Public DNS (8.8.8.8) - sehr stabil, globale Infrastruktur.
• Ads/Tracker-Blocking: AdGuard DNS - Default/Family/Unfiltered-Profile.
• Jugendschutz: CleanBrowsing - Family/Adult/Security-Profile.
• Europäische Jurisdiktion: DNS4EU - öffentlicher EU-Resolver mit Child/Ads-Varianten.
• Einfacher Datenschutz: Surfshark DNS - No-Logs-Policy angekündigt.

Siehe unseren vollständigen Vergleich der besten öffentlichen DNS.