Welchen soll ich nehmen?
Der oberste ist eine gute Wahl. Liegen die ersten nur ein paar Millisekunden auseinander, entscheide nach dem, was dir sonst wichtig ist:
Bekannte Schadsoftware und Phishing blockieren: Quad9 oder OpenDNS.
Datenschutz: Mullvad, Quad9 und Wikimedia geben an, nicht zu protokollieren, wer was abfragt.
Schutz vor gefälschten Antworten: einen mit ✓ nehmen, der DNSSEC (Signaturen der Domains) prüft.
Wenn dein Gerät nur normale DNS-Adressen annimmt (die meisten Router, ältere Systeme), schau auf die Spalte UDP. Ist der schnellste normale DNS nicht der Sieger, steht er in der Zeile unter dem Sieger.
Wenn dein Netz und dein Internetanbieter nicht sehen sollen, welche Seiten du abfragst, nimm die DoT- oder DoH-Adresse: Normales DNS ist unverschlüsselt, die Netze unterwegs können es mitlesen.
Wie ändere ich meinen DNS?
Android 9 und neuer: Einstellungen → Netzwerk → Privates DNS, dann den DoT-Hostnamen eintragen (zum Beispiel one.one.one.one). Gilt in jedem Netz und ist verschlüsselt.
iPhone und Mac: die DNS-Server pro WLAN eintragen. Für verschlüsseltes DNS ein Konfigurationsprofil von der Website des Anbieters installieren.
Windows 11: Einstellungen → Netzwerk → deine Verbindung → DNS-Serverzuweisung → Manuell. Die Server eintragen und DNS über HTTPS einschalten.
Router: die DNS-Server in den DHCP- oder WAN-Einstellungen eintragen, dann nutzt sie jedes Gerät im Netz.
Nur im Browser: Chrome, Edge und Firefox haben eine Einstellung für sicheres DNS, in der du einen Anbieter wählst oder eine DoH-Adresse einfügst.
Jeder Server hat eine eigene Seite mit der Einrichtung Schritt für Schritt. Klick auf eine Adresse auf dieser Seite, um sie zu kopieren.
Ich nutze einen Proxy. Ist das trotzdem das Ergebnis meines Netzes?
Standardmäßig nicht. Mit eingeschaltetem Proxy oder VPN erreicht der Browser die DNS-Server über ihn: Der Test misst die Strecke des Proxys, und alle Server im Ausland wirken ungefähr so schnell wie dein Proxy-Server. Den DNS, den du auf deinem Gerät oder Router eingestellt hast, fragst du normalerweise direkt, diese Zahlen sind also nicht das, was du tatsächlich bekommst.
Um dein eigenes Netz zu testen, füg die Direkt-Regeln hinzu (der Knopf neben dem Fortschrittsbalken). Sie schicken nur die Adressen dieses Tests direkt raus, per exaktem Hostnamen und einzelner IP, und lassen den übrigen Verkehr in Ruhe. Unterstützt werden Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box und Xray; die meisten können die Regeln von dieser Seite laden und bleiben so aktuell.
Wie funktioniert der Test?
Dein Browser fragt jeden DNS-Server direkt; nichts läuft über diese Seite.
Zuerst verbindet er sich mit jedem und fragt einmal drei beliebte Namen ab, damit sie im Cache dieses Servers liegen. Das zählt nicht. Dann folgen 10 Runden: In jeder wird jeder Server einmal gefragt, in neuer zufälliger Reihenfolge und ein paar gleichzeitig. Hakt dein Netz kurz, trifft das also alle gleich und nicht nur den, der gerade dran war. Jede zweite Runde fragt außerdem einen zufälligen Namen ab, den es nicht gibt.
Die Ergebnisse sind Mediane, eine einzelne langsame Abfrage zieht den Wert also nicht runter. Die Zeiten stammen aus der Netzwerk-Zeitmessung des Browsers selbst, die die Skripte der Seite nicht verzögern können. Jede Anfrage geht an eine neue URL und an allen Caches vorbei, sodass nur der DNS-Server selbst antworten kann.
Warum sind UDP und DoT geschätzt?
Weil ein Browser sie nicht messen kann. Webseiten können nur HTTPS-Anfragen stellen: Normales DNS über UDP (Port 53), verschlüsseltes DNS über TLS (DoT, Port 853) und DoQ gehen nicht. Keine Website kann das aus deinem Netz messen; wer solche Zahlen zeigt, misst von seinem eigenen Server aus oder rät.
Was diese Seite stattdessen tut: Sie schickt DoH, also verschlüsseltes DNS über HTTPS, an genau den Server, der auch UDP und DoT beantwortet (zum Beispiel https://1.1.1.1/dns-query). Steht die Verbindung, kostet eine Abfrage einen Hin- und Rückweg zu diesem Server plus seine Bearbeitungszeit. Eine UDP- oder DoT-Abfrage kostet genau das auch; HTTPS kommt mit deutlich unter einer Millisekunde dazu. Daher das ≈. Spricht der normale DNS-Server eines Anbieters kein HTTPS, siehst du ein – statt einer erfundenen Zahl.
Was eine Schätzung nicht erkennt: ein Netz, das Port 53 oder 853 sperrt, bremst oder manipuliert, HTTPS aber durchlässt.
Um UDP, DoT und DoQ echt zu messen, führ den Befehl aus dem Kommandozeilen-Kasten über der Tabelle (der Knopf „Kommandozeile“ neben dem Fortschrittsbalken öffnet ihn auch) auf einem Server, einem Linux-Rechner oder einem Router aus. Er beherrscht alle Protokolle und testet dieselbe Liste.
Wie verlässlich sind die Ergebnisse?
Wie gemessen wird, steht unter „Wie funktioniert der Test?“. Außerdem wird die Liste von mehreren Kontinenten aus mit scripts/verify.mjs (im Code-Repository) geprüft: Jede Adresse muss auf genau diese Art von Abfrage eine echte DNS-Antwort liefern, und DNSSEC wird getestet, nicht aus den Angaben der Anbieter übernommen.
Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU und IIJ erlauben Webseiten, ihre Antworten zu lesen: Die Seite prüft jede einzelne und zählt nur echte. Bei den übrigen kann der Browser die Antwort zwar stoppen, aber nicht lesen.
Teste ein paarmal, am besten zu verschiedenen Uhrzeiten: Was nachts am schnellsten ist, muss es zur Stoßzeit nicht sein.
Was bedeutet Erstabfrage?
Beliebte Namen liegen schon im Cache jedes großen DNS-Servers, deshalb antworten alle schnell. Bei einem Namen, den länger niemand abgefragt hat, ist das anders: Der Server muss erst die DNS-Server der Website selbst fragen und dir dann die Antwort weitergeben. Das ist eine Erstabfrage.
Der Test nutzt zufällige Namen, die bei Cloudflare liegen; Cloudflare hat DNS-Server fast überall außer in Festlandchina. Diese Zeit hängt davon ab, wo die DNS-Server der jeweiligen Website stehen, und das ist bei jeder Website anders. Sie wird deshalb angezeigt, aber nicht gewertet. Server aus Festlandchina wirken in dieser Spalte langsam, weil die Server dieser Namen im Ausland stehen; bei chinesischen Websites sind sie schnell.
Was ist DNSSEC?
Kurz gesagt: Domains signieren ihre DNS-Einträge, damit die Antworten nicht gefälscht werden können. Ein Server, der DNSSEC prüft, kontrolliert die Signatur und lehnt Antworten ab, die nicht passen. So kann dir unterwegs niemand eine falsche Adresse unterschieben. Ein ✓ heißt, dass der Server prüft: Wir testen mit einer absichtlich kaputten Domain, dnssec-failed.org, die er ablehnen muss. Das schützt nur signierte Domains, hat aber keinen Nachteil.
Was ist ECS, und warum steht es nicht in der Tabelle?
ECS (EDNS Client Subnet) heißt: Der DNS-Server gibt einen Teil deiner IP-Adresse an die DNS-Server der Website weiter, damit ein CDN einen Server in deiner Nähe wählen kann statt in der Nähe des DNS-Servers. Downloads und Videos können dadurch schneller werden, dafür verrät es ein wenig über deinen Standort.
In der Tabelle steht es nicht, weil es nicht fest ist: Bei unseren Prüfungen gab derselbe Server es von manchen Orten und über manche Protokolle weiter, von anderen nicht. Ein einfaches Ja oder Nein würde dich in die Irre führen.
Warum fehlen 114DNS und Baidu DNS?
Sie bieten nur normales DNS, und ihre Server antworten überhaupt nicht auf HTTPS: Ein Browser kann sie auf keinem Weg erreichen. Quad101 (Taiwan, China) fehlt ebenfalls: Sein DoH antwortete bei unseren Prüfungen nicht aus anderen Regionen.
Werden meine Daten gesammelt?
Es werden weder Ergebnisse noch Daten über dich gespeichert. Die Abfragen des Tests gehen direkt von deinem Browser an jeden DNS-Server, für bekannte öffentliche Websites und Zufallsnamen; nichts über dich steckt darin. Deine Ergebnisse bleiben in deinem Browser. Nur wenn du auf Teilen klickst, werden sie in den Link geschrieben (die Zeiten jedes Servers, keine IP-Adresse; ob dein Land oder deine Region dabei ist, entscheidest du).
Eines geht über den eigenen Server von 1ms.dog (in Tokio): Um zu zeigen, welchen DNS-Server dein Gerät wirklich nutzt, löst die Seite einen Zufallsnamen unter l.1ms.dog auf, dessen DNS-Server uns gehört, und schickt nach dem Test einen solchen Namen über jeden DNS-Server, um zu sehen, welcher seiner Server dir antwortet. Dieser Server sieht die Adresse des fragenden DNS-Servers und, falls der sie weitergibt, dein Netz (ECS: der vordere Teil deiner Adresse, etwa 203.0.113.0/24). Er behält sie 2 Minuten im Arbeitsspeicher, damit die Seite sie bei api.l.1ms.dog abholen kann, und vergisst sie dann; nichts wird auf die Festplatte oder in ein Log geschrieben. Die Seite zeigt sie nur dir; sie stehen nie im Link oder auf der Karte zum Teilen.
Wie bei jeder DNS-Abfrage sieht jeder DNS-Server deine IP-Adresse, und es gilt seine eigene Datenschutzerklärung. Der Code ist Open Source auf GitHub.