PRIVATSPHÄRE · DNSSEC · VERSCHLÜSSELUNG

Dein DNS. Mehr Kontrolle.

DNS-BASE ist ein öffentlich nutzbarer rekursiver DNS-Resolver mit verschlüsselten Zugängen, DNSSEC-Prüfung und Filterung bekannter Gefahren- und Tracking-Domains. Kostenlos, ohne Registrierung.

Einrichtung Weitere technische Details

Verbindungsdaten

Eine dieser Adressen im Client konfigurieren. Ein eigener DNS-Server-Eintrag nur mit der IP ohne Verschlüsselung funktioniert nicht.

DoH

https://dns-base.de/dns-query

TCP 443 · HTTPS/2

DoT

dns-base.de

TCP 853 · TLS

DoQ

quic://dns-base.de

UDP 853 · QUIC

Serveradressen

IPv4: 152.53.119.59
IPv6: 2a0a:4cc0:c0:32e2:a44e:eeff:fe55:3e84

Einrichtungsbeispiele

Android

Android 9+: Einstellungen → Netzwerk/Verbindungen → Privates DNS → Anbieterhostname: dns-base.de.

Browser

Firefox/Chrome/Edge: Sicheres DNS (DoH) aktivieren und die benutzerdefinierte URL eintragen.

Router / DNS

Router oder lokaler Resolver: DoT mit Port 853 und Zertifikatsnamen dns-base.de nutzen; alternativ DoH/DoQ, wenn unterstützt.

Was DNS-BASE bietet

Technische Schutzfunktionen auf etablierter Open-Source-Software.

Verschlüsselte Zugänge

DoH (HTTPS/2), DoT (TLS) und DoQ (QUIC). Kein öffentlicher unverschlüsselter DNS-Dienst auf Port 53.

DNSSEC-Validierung

Signaturen werden geprüft; ungültige Antworten können mit SERVFAIL abgewiesen werden.

Domainfilterung

HaGeZi PRO sowie TIF-Filterlisten als RPZ. Blockierte Namen liefern typischerweise NXDOMAIN mit EDE 15.

QNAME-Minimierung

Wo möglich werden an übergeordnete Nameserver nur die erforderlichen Namensbestandteile übermittelt.

Technischer Ablauf

dnsdist nimmt verschlüsselte DNS-Anfragen an und leitet sie lokal an PowerDNS Recursor weiter. Der Recursor beantwortet aus seinem Cache oder fragt die autoritativen Nameserver. DNSSEC und RPZ greifen während der Verarbeitung.

Client → TLS / QUIC → dnsdist → PowerDNS Recursor → DNSSEC + RPZ → Cache / authoritative DNS

Schutz und Grenzen

Rate-Limits sollen Missbrauch begrenzen. Verschlüsselung schützt den Transport zum Resolver, nicht automatisch alle späteren Verbindungen. Filterlisten können falsch-positive Treffer verursachen; DNS-BASE ist keine vollständige Malware-Schutzlösung.

Hinweis: DNS-BASE ist derzeit eine einzelne Serverinstanz; es gibt noch keinen unabhängigen zweiten Resolverstandort.

Logging und Datenschutz

Nach der dokumentierten Konfiguration werden individuelle DNS-Abfragen nicht dauerhaft als Query-Logs gespeichert. dnsdist hält begrenzte, flüchtige Ringpuffer mit Abfragen und Antworten im RAM für den Missbrauchsschutz vor; Systemjournale können technische Ereignisse enthalten. Prometheus erfasst aggregierte Zähler, keine Abfragehistorie. Netzwerk- und TLS-Verbindungsdaten werden technisch verarbeitet.

Offene Konfigurationen

Wir veröffentlichen redigierte Konfigurationsbeispiele. Sie dokumentieren die Architektur, sind aber keine unveränderten Live-Dateien oder ein unabhängiger Sicherheitsaudit.

Beispiele ansehen

recursor.yml dnsdist.yml nftables.conf monitoring.md

Die verbindlichen rechtlichen Informationen sind derzeit auf Deutsch verfügbar.