Wie funktioniert der Test?
Ihr Browser fragt jeden Resolver direkt; nichts läuft über diese Website. Zuerst öffnet er zu jedem eine Verbindung und fragt drei populäre Namen je einmal ab, die damit im Cache des Resolvers liegen; das zählt nicht. Dann folgen 10 Runden: In jeder wird jeder Resolver noch einmal gefragt, in neuer zufälliger Reihenfolge, einige gleichzeitig, sodass eine kurze Störung in Ihrem Netz alle gleich trifft. Jede zweite Runde fragt zusätzlich einen zufälligen Namen ab, den es nirgends gibt.
Die Zahlen sind Mediane: Eine einzelne langsame Abfrage verschiebt sie nicht. Die Zeiten stammen aus der Netzwerkmessung, die der Browser für jede Anfrage selbst aufzeichnet und die die Skripte der Seite nicht verzögern können. Jede URL ist neu und wird am Cache vorbei abgerufen, daher kann nur der Resolver selbst antworten.
Warum sind UDP und DoT geschätzt?
Browser können nur HTTPS-Anfragen stellen. Sie können keine UDP-Abfrage an Port 53 senden, kein TLS zu Port 853 (DoT) öffnen und kein DoQ sprechen, und keine Website kann das aus Ihrem Netz. Seiten, die solche Zahlen zeigen, messen von ihrem eigenen Server aus oder raten.
Was die Seite kann: DNS over HTTPS an genau den Server senden, der UDP und DoT beantwortet (zum Beispiel https://1.1.1.1/dns-query). Über eine offene Verbindung kostet eine Abfrage einen Hin- und Rückweg zu diesem Server plus die Arbeit des Resolvers, genau das, was eine UDP- oder DoT-Abfrage kostet; HTTP fügt deutlich unter einer Millisekunde hinzu. Daher das ≈. Hat der normale DNS-Server kein HTTPS, steht dort ein – statt einer Zahl.
Was eine Schätzung nicht sieht: ein Netz, das Port 53 oder 853 sperrt, bremst oder verfälscht, HTTPS aber in Ruhe lässt.
Um UDP, DoT und DoQ wirklich zu messen, starten Sie das Kommandozeilen-Tool (der Befehl unter der Tabelle) auf einem Server, Linux-Rechner oder Router: Es spricht jedes Protokoll und nutzt dieselbe Liste.
Wie verlässlich sind die Ergebnisse?
Die Messmethode steht in der ersten Frage. Zusätzlich wird die Liste mit scripts/verify.mjs (im Repository) von mehr als einem Kontinent aus geprüft: Jede Adresse muss auf genau diese Art Abfrage eine echte DNS-Antwort liefern, und die DNSSEC-Prüfung wird getestet statt den Angaben der Anbieter übernommen.
Wo der Resolver es erlaubt (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), liest die Seite außerdem jede Antwort und zählt nur echte. Bei den anderen kann der Browser die Antwort nur zeitlich messen, nicht lesen.
Testen Sie ein paarmal, wenn möglich zu verschiedenen Tageszeiten: Was nachts am schnellsten ist, muss es zur Stoßzeit nicht sein.
Ich nutze einen Proxy. Sind die Ergebnisse noch meine?
Standardmäßig nicht: Mit Proxy oder VPN erreicht Ihr Browser die Resolver über diesen, und der Test misst die Route des Proxys (alle ausländischen Resolver wirken dann etwa so schnell wie Ihr Proxyserver). Der DNS, den Sie am Gerät oder Router einstellen, wird meist direkt gefragt; das ist also nicht das, was Sie bekämen.
Um Ihr eigenes Netz zu messen, fügen Sie die Direkt-Regeln hinzu (der Knopf neben dem Fortschritt): Sie schicken genau die Adressen dieses Tests direkt, per exaktem Hostnamen und einzelner IP, sonst nichts. Unterstützt werden Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box und Xray; die meisten können die Regeln von dieser Seite laden und aktuell halten.
Was bedeutet „ohne Cache“?
Populäre Namen liegen bei jedem viel genutzten Resolver schon im Cache und kommen überall schnell. Bei einem Namen, den länger niemand abgefragt hat, muss der Resolver erst die DNS-Server der Website fragen. Der Test nutzt Zufallsnamen unter einer Zone, die bei Cloudflares DNS liegt, mit Servern fast überall außer in Festlandchina.
Diese Zeit hängt davon ab, wo die DNS-Server der jeweiligen Website stehen, was sich unterscheidet; sie wird daher angezeigt, aber nicht gewertet. Resolver in Festlandchina wirken hier langsam, weil die Server der Zone im Ausland stehen; für chinesische Websites, deren DNS in China liegt, sind sie schnell.
Welchen soll ich nehmen?
Der oberste ist eine gute Wahl. Liegen mehrere nur wenige ms auseinander, wählen Sie nach dem, was Ihnen sonst wichtig ist: Quad9 und OpenDNS sperren bekannte Malware- und Phishing-Seiten; Mullvad, Quad9 und Wikimedia speichern nicht, wer was abgefragt hat; Resolver mit DNSSEC-Prüfung lehnen gefälschte Antworten für signierte Domains ab.
Wenn Ihr Gerät nur normale DNS-Serveradressen erlaubt (die meisten Router, ältere Systeme), schauen Sie auf die UDP-Spalte: Die Zeile unter dem Sieger nennt den schnellsten normalen DNS, wenn es ein anderer ist.
Damit Netz und Provider nicht sehen, was Sie abfragen, nutzen Sie die DoT- oder DoH-Adresse: Normales DNS läuft unverschlüsselt.
Wie ändere ich meinen DNS?
Android 9+: Einstellungen → Netzwerk → Privates DNS → DoT-Hostname eingeben (zum Beispiel one.one.one.one).
iPhone und Mac: je WLAN die DNS-Server eintragen; für verschlüsseltes DNS ein Konfigurationsprofil von der Website des Resolvers installieren.
Windows 11: Einstellungen → Netzwerk → Ihre Verbindung → DNS-Serverzuweisung → Manuell, Server eintragen und DNS over HTTPS einschalten.
Router: DNS-Server in den DHCP- oder WAN-Einstellungen eintragen, dann nutzen sie alle Geräte im Netz.
Nur im Browser: Chrome, Edge und Firefox haben eine Einstellung „Sicheres DNS“, in der Sie einen Anbieter wählen oder die DoH-Adresse einfügen.
Klicken Sie auf eine Adresse auf dieser Seite, um sie zu kopieren.
Was ist DNSSEC?
Mit DNSSEC signiert eine Domain ihre DNS-Einträge. Ein prüfender Resolver kontrolliert die Signaturen und lehnt nicht passende Antworten ab, sodass niemand unterwegs Ihnen eine gefälschte Adresse für eine signierte Domain unterschieben kann. Die Seite zeigt ✓ bei Resolvern, die das tun (getestet mit einer absichtlich kaputten Domain, dnssec-failed.org, die sie ablehnen müssen). Es hilft nur bei signierten Domains, kostet aber nichts.
Warum werden 114DNS und Baidu DNS nicht getestet?
Sie bieten nur normales DNS, und ihre Server antworten überhaupt nicht auf HTTPS, ein Browser erreicht sie also auf keine Weise. Quad101 (Taiwan) fehlt, weil sein DoH bei unseren Prüfungen aus dem Ausland nicht antwortete.
Was ist ECS, und warum wird es nicht angezeigt?
EDNS Client Subnet: Manche Resolver teilen den DNS-Servern einer Website einen Teil Ihrer Adresse mit, damit ein CDN einen Server in Ihrer Nähe statt in der Nähe des Resolvers wählt. Das kann Downloads und Videos beschleunigen, kostet aber etwas Privatsphäre.
Es steht nicht in der Tabelle, weil es keine feste Eigenschaft ist: Bei unseren Prüfungen gab derselbe Resolver es von manchen Orten und Protokollen weiter und von anderen nicht, ein Ja oder Nein wäre irreführend.
Werden meine Daten gesammelt?
Nein. Die Abfragen gehen direkt von Ihrem Browser an jeden Resolver, abgefragt werden populäre öffentliche Websites und Zufallsnamen; nichts über Sie. Diese Website erhält keine Ergebnisse. Jeder Resolver sieht Ihre Adresse, wie bei jeder DNS-Abfrage; es gelten deren eigene Datenschutzbestimmungen. Der Code ist Open Source auf GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS