Datenschutz vs. Gewohnheit | Europäische DNS-Alternativen mit OPNsense

Seit etwa 2 Jahren beschäftige ich mich zunehmend mit Themen rund um die Digitale Souveränität.
In erster Linie bedeutet dies für mich die Vermeidung von BigTech-Cloudsystemen durch die Vorhaltung der privaten & geschäftlichen Daten im eigenen Netzwerk.

BigTech ist aber auch bei anderen, viel weniger im Fokus stehenden Funktionen ganz selbstverständlich im Alltag verankert, ohne dass darüber viel nachgedacht wird.

Meine Ausgangssituation

Mit einer OPNsense¹ und einem VDSL-Modem² wurde Anfang dieses Jahres mein  Telekom-Router³ ersetzt, um die Themen Router, VPN, Firewall und Härtung in die eigene Hand zu nehmen. 

Bei der Eintragung der DNS-Server in den System-Settings der OPNsense wäre ich beinahe dem fast 20 Jahre alten Reflex erlegen, die DNS-Server von Google einzutragen.
Es geht nämlich wesentlich datenschutzfreundlicher mit in Europa ansässigen, alternativen DNS-Servern.

Datenschutz bei DNS - warum?

Man könnte denken, dass doch nichts Bedeutsames im Netzwerkverkehr mit DNS-Servern steckt. IP-Adressen und Domainnamen - was soll`s.
Viel interessanter als diese rein technischen Daten sind aber die damit verbundenen Metadaten.

Das Thema würde leicht diesen kurzen Artikel sprengen, daher reiße ich es zum besseren Verständnis nur ganz kurz an.

Metadaten sind aussagekräftig

Der DNS-Resolver (meist der des Internetanbieters oder von Google/Cloudflare) sieht jede Domain, die besucht wird – auch wenn die Website selbst HTTPS-verschlüsselt ist. Während die verschlüsselte Verbindung (HTTPS) den Inhalt der Seite verbirgt, verrät die DNS-Query bereits, dass Anfragende z. B.:

• Infoseiten zu bestimmten Krankheiten aufgerufen haben,
• eine Whistleblower-Plattform besuchen,
• politische Oppositionssites lesen oder
• sensible Dienste für Finanzen, Therapie oder Rechtsberatung nutzen

und gibt zudem preis

• wann sie die Aufrufe tätigen (Zeitmuster)
• von wo sie agieren (IP-Adressen, Provider, feste-IP-Adresse, Geo-Kontext).

Bereits diese kurze, keineswegs abgeschlossene Liste macht deutlich, dass man der Auswahl des DNS-Servers mehr Aufmerksamkeit widmen sollte, als gemeinhin üblich.
Auch wenn diese Beispiele vielleicht etwas dramatisch sind, das Speichern, Analysieren und Verknüpfen von riesigen Datenbeständen ist heutzutage lediglich eine Frage des Aufwandes, nicht mehr der Machbarkeit.

Man sollte sich also die Frage stellen, wem man diese Daten seit Jahren frei Haus liefert.

Datenschutz & NoLog-Policy

Das Versprechen, Daten nicht zu monetarisieren, sowie keine Daten zu loggen bzw. diese z.B. nach 24 Stunden wieder zu löschen, geben viele DNS-Provider, auch BigTech wie z.B. Cloudflare.
Wie viel diese Versprechen im Zweifelsfall wert sind, sollte m.E. insbesondere im geopolitischen Kontext betrachtet werden.

Abgrenzung zur Anonymisierung

Meine Motivation ist nicht die Anonymisierung oder gar die Verhinderung oder Erschwerung von Strafverfolgung. 
Mit dem Schwenk auf datenschutzfreundliche, europäische DNS-Server möchte ich BigTech die einfache Verfügbarkeit der Metadaten im DNS-Verkehr entziehen.

Europäische, datenschutzfreundliche DNS-Server

Auf der Suche im Thema Datenschutz und Digitale Souveränität bin ich auf eine Auflistung⁴ europäischer DNS-Server als Alternative zu BigTech-DNS-Servern von Google, Cloudflare & Co. gestoßen.

Mit Hilfe der in der Auflistung bereitgestellten Informationen und ein wenig Hintergrundrecherche habe ich mich für die folgenden DNS-Server entschieden:

• Digitalcourage
  IPv4: 5.9.164.112
  Port: 853
  CN: dns3.digitalcourage.de
  Digitalcourage ist eine Non-Profit-Organisation aus Deutschland, die einen öffentlichen DNS-Resolver betreibt. Der Resolver wird in Deutschland gehostet und unterstützt DNS-over-TLS. 
  
  
• Applied Privacy
  IP: 146.255.56.98
  Port: 853
  CN: dot1.applied-privacy.net
  Die Non-Profit-Organisation Foundation for Applied Privacy bietet einen öffentlichen DNS-Resolver, der DNS-over-HTTPS und DNS-over-TLS anbietet. Die Server befinden sich in Österreich und Deutschland.
  
  
• Freie Netze München e.V.
  IP: 185.150.99.255
  Port: 853
  CN: dot.ffmuc.net
  Die gemeinnützige Organisation Freifunk München bietet einen öffentlichen DNS-Resolver an, der DNS-over-HTTPS und DNS-over-TLS unterstützt. Die Server stehen in Deutschland und Österreich.
  

Allen ausgewählten Betreibern ist gemein, dass sie in allen Komponenten komplett auf europäische Lösungen setzen.

Ausgeschlossen habe ich u.a.

• Quad9, die zwar nach einem Umzug in die Schweiz als Schweizer NonProfit auftreten, technisch jedoch historisch stark in den USA verwurzelt sind und Anfragen über ein weltweites Anycast-Netzwerk laufen, dessen Kerninfrastruktur US-Bezüge aufweist. So zählt z.B. IBM zum Gründerhintergrund.
  
  
• DNS4EU, ein von der EU gesponserter DNS-Server, der anonymisierte Logdaten speichert und dessen Betreiber Whalebone Mailserver von Google und Technik von Cloudflare nutzt⁵. Zum Betreiberhintergrund gehören Hetzner, IONOS, netcup und der tschechische Anbieter Whalebone.

Vermeintliche Blockade durch den VDSL-Provider

Die Konfiguration der OPNsense hat sich leider etwas in die Länge gezogen.

Ich konnte in den Logfiles und mit einem Packet Capture nachvollziehen, dass meine OPNsense im Büro (also an meinem Telekom-Anschluss) die Pakete problemlos auf Port 53 am WAN-Anschluss durchreichte – es kam allerdings nie eine Antwort zurück. Ich nahm also zunächst an, dass die Deutsche Telekom einige dieser DNS-Server blockiert. Bestätigende Quellen konnte ich dazu aber nicht finden, zudem wäre dies eigentlich ein Verstoß gegen die Netzneutralität. Bei den großen Anbietern wie Quad9 oder Cloudflare wiederum gab es über Port 53 keine Probleme.

Die wahre Ursache: Viele datenschutzfreundliche Server (wie Applied Privacy oder Digitalcourage) bieten unverschlüsseltes DNS auf Port 53 absichtlich gar nicht mehr an. Sie schließen Port 53 für externe IP-Anfragen komplett und verwerfen entsprechende Anfragen kommentarlos.

Dies tun die Betreiber aus zwei guten Gründen:

1. Schutz vor Missbrauch: Es verhindert, dass die Server für sogenannte DNS Amplification Attacks (DDoS-Angriffe) missbraucht werden.
2. Datenschutz: Unverschlüsseltes DNS widerspricht schlicht ihrem eigenen Datenschutz-Anspruch.

Mein Paket verließ also die OPNsense über Port 53, kam beim DNS-Server an, wurde dort aber einfach verworfen, weil der Server ausschließlich auf Port 853 (DoT) oder Port 443 (DoH) lauscht.
Bei den Branchenriesen wie Quad9 oder DNS4EU funktioniert Port 53 weiterhin, weil diese den unverschlüsselten Service standardmäßig aufrechterhalten.

OPNsense mit Unbound DNS

Da in der Standardkonfiguration von OPNsense Unbound als eigenständiger rekursiver Resolver arbeitet (was unverschlüsselt geschieht), habe ich das TLS-Forwarding aktiviert. Unbound leitet nun alle Anfragen verschlüsselt via DoT an meine ausgewählten Server weiter.
Hier kann eine beliebige Anzahl von DNS-Servern konfiguriert werden, die DNS-over-TLS (DoT) i.d.R. auf Port 853 anbieten.

Nach dieser Einrichtung liefen DNS-Anfragen aus dem Client-Netz endlich genauso fluffig wie zuvor mit den DNS-Servern der BigTech.

Performance

Im alltäglichen Betrieb konnte ich mit meinen ausgewählten DNS-Servern keinen signifikanten Unterschied zu DNS-Servern von Google & Co. feststellen.

Wer die Performance selbst nachvollziehen will, sollte an dieser Stelle berücksichtigen, dass das Standardtool 'dig' (in älteren Versionen) lediglich unverschlüsseltes DNS über Port 53 unterstützt, nicht aber standardmäßig Port 853 (DoT).
Daher empfiehlt sich z. B. der Einsatz der 'Knot-DNSUtils', die beides unterstützen.

Eine beispielhafte, detaillierte Abfrage für den DoT-DNS-Server von Digitalcourage:

kdig -d @5.9.164.112 +tls-ca +tls-host=dns3.digitalcourage.de google.com

Zum Vergleich die Abfrage (auch DoT !) über Cloudflare:

kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com google.com

Wichtig ist, dass nur DoT-Server miteinander verglichen werden sollten, da verschlüsseltes DNS (DoT) aufgrund des TLS-Handshakes generell minimal 'langsamer' ist als die klassische, unverschlüsselte Abfrage über Port 53.
Wir sprechen hier aber über Millisekunden, also kaum merklich im Alltag.
Dieser Unterschied wird heutzutage durch aggressives Caching von Unbound im Alltag völlig eliminiert.

Aktualität

Wie aktuell und umfassend der jeweilige Datenbestand der europäischen Betreiber ist, vermag ich natürlich nicht einzuschätzen. 

Stabilität

Zur Stabilität kann ich nach 3 Monaten (Stand Juni 2026) keine Probleme berichten - keine Ausfälle, keine unerreichbaren Seiten, keine ungewöhnlichen Hänger beim Seitenaufruf.
Da aber die DNS-Server von NonProfit-Organisationen betrieben werden, ist sicher eine regelmässige Prüfung auf Aktivität ratsam.

Fazit

Die drei von mir ausgesuchten, europäischen DNS-Server in der Unbound DNS-Konfiguration meiner OPNsense sorgen für stabile DNS-Auskünfte. Ich kann sie daher als weiteres Puzzlestück zur Digitalen Souveränität nur empfehlen.
Damit wurde die reflexhafte Nutzung der DNS-Server von Google in meinem Heimnetz endlich zugunsten europäischer DNS-Server mit Fokus Datenschutz geändert.

1. OPNsense auf Protectli VP2440 ↩

2. Draytek Vigor 167 VDSL Modem ↩

3. Telekom Digitalisierungsbox Smart II ↩

4. Europäische DNS-Alternativen ↩

5. Golem-Recherche von Jens Link („Datenschutz: Wie viel EU steckt in DNS4EU?“) ↩