Ein Werbeblocker im Browser schützt nur den Browser. Werbung in Handy-Apps, auf dem Fernseher, auf der Konsole oder im vernetzten Kühlschrank wird trotzdem ausgeliefert. Ein filternder DNS deckt das alles auf einmal ab, und wer versteht, wie er das macht, versteht auch seine Grenzen.
Wie ein DNS Werbung blockiert
Will eine App oder Website eine Anzeige zeigen, holt sie sie fast immer von einer anderen Domain als den Inhalt: einem Werbenetzwerk, einem Tracking-Server, einem Messdienst. Vor dem Verbinden fragt das Gerät den DNS nach dieser Domain. Ein filternder Resolver führt eine Liste solcher Domains und antwortet auf die Frage nach einer davon, sie existiere nicht (oder liefert eine leere Adresse). Die App kann die Anzeige nicht laden und zeigt eine Lücke oder gar nichts.
Daraus ergeben sich die drei Eigenschaften dieser Methode:
- Sie gilt für alles, was diesen DNS nutzt. Im Router eingetragen, deckt sie jedes Gerät im Haus ab; im Handy als privates DNS, jede App.
- Nichts zu installieren, kein Ressourcenverbrauch. Keine Erweiterung, keine App, kein Hintergrundprozess.
- Sie kann nur ganze Domains blockieren. Sie sieht den Seiteninhalt nicht und kann Werbung nicht vom Video unterscheiden, wenn beides von derselben Stelle kommt.
Was kein DNS blockieren kann
Das enttäuscht Erstnutzer am meisten, deshalb steht es vorn.
Werbung von derselben Domain. YouTube liefert Werbung von denselben Domains wie die Videos; Twitch ebenso; soziale Netzwerke ebenso mit ihren gesponserten Beiträgen. Ein DNS kann das nicht blockieren, ohne den ganzen Dienst zu blockieren. Für YouTube braucht es weiterhin einen Blocker im Browser.
Werbung im Inhalt selbst. Gesponserte Erwähnungen in einem Video, Native Advertising auf einer Website, beworbene Treffer in einer Suchmaschine: Da gibt es keine Domain zu blockieren.
Tracking auf anderen Wegen. Ein DNS blockiert Tracking-Domains, aber nicht die Cookies der Seite selbst, nicht den Browser-Fingerabdruck und nicht, was die App an ihre eigenen Server schickt.
Ist das klar, funktioniert es für alles andere sehr gut: Banner auf Websites, Interstitials in Gratis-Apps, Tracker von Dritten, Reichweitenmessung und ein guter Teil der Werbung in TV-Apps.
Die kostenlosen Optionen, eine nach der anderen
| Resolver | Adressen | Name für privates DNS (DoT) | Blockiert | Protokolle |
|---|---|---|---|---|
| AdGuard DNS | 94.140.14.14 · 94.140.15.15 | dns.adguard-dns.com | Werbung, Tracker, Malware | keine |
| Control D (Modus Werbung) | 76.76.2.2 · 76.76.10.2 | p2.freedns.controld.com | Werbung, Tracker, Malware | keine |
| DNS4EU (geschützt + werbefrei) | 86.54.11.13 · 86.54.11.213 | noads.joindns4.eu | Werbung, Tracker, Malware | keine |
| NextDNS | mit Konto (45.90.28.0 ist ungefiltert) | <id>.dns.nextdns.io | was du einstellst | optional |
AdGuard DNS ist die Referenz. Er nutzt AdGuards eigene, täglich gepflegte Filterlisten und hat außerdem eine Familienvariante (94.140.14.15), die Erwachseneninhalte und sichere Suche ergänzt, sowie eine ungefilterte (94.140.14.140). Betrieb aus Zypern, keine Protokolle. In unserer Messung aus Madrid war er der langsamste der Gruppe (34 ms aus dem Cache, 107 kalt), fürs Surfen noch in Ordnung, aber neben den 6 ms von DNS4EU spürbar.
Control D bietet sechs kostenlose Resolver ohne Konto, gestaffelt: ungefiltert (76.76.2.0), Malware (2.1), Malware und Werbung (2.2), das Vorige plus soziale Netzwerke (2.3), Familie (2.4) und unzensiert (2.5). Der für Werbung ist 76.76.2.2. Aus Madrid antwortete er in 7 ms aus dem Cache und 106 kalt. Kanada, keine Protokolle.
DNS4EU ist der europäische öffentliche Resolver mit zwei werbefreien Varianten: geschützt (86.54.11.13) und Kinder (86.54.11.11), beide mit Malware-Blockierung. Er ist der einzige in dieser Liste mit Betreiber und Gerichtsstand in der EU und war aus Madrid am schnellsten: 6 ms aus dem Cache, 35 kalt. Wer in Deutschland, Österreich oder der Schweiz sitzt, fängt hier an.
NextDNS ist anders: Seine öffentlichen Adressen (45.90.28.0) filtern nichts. Zum Blockieren legt man ein kostenloses Konto an, wählt Listen (AdGuards, EasyList, OISD und Dutzende mehr lassen sich laden), trägt Ausnahmen ein und sieht auf Wunsch das Anfrageprotokoll. Er ist der mächtigste und der einzige, bei dem man selbst repariert, was kaputtgeht. Der Gratistarif reicht bis 300.000 Anfragen im Monat, für einen normalen Haushalt mehr als genug.
Was kaputtgeht und wie man es behebt
Blocklisten sind absichtlich aggressiv und reißen hin und wieder etwas mit:
- Affiliate- und Tracking-Links (die in Newslettern, die „Zum Angebot“-Buttons auf Gutscheinseiten) laufen über eine Tracking-Domain und bleiben leer. Abhilfe: in einem Browser ohne diesen DNS öffnen oder in NextDNS eine Ausnahme anlegen.
- Kaufen-Buttons und Bezahlseiten, die vor dem Funktionieren ein Messskript laden.
- Spiele und Apps, deren Login oder Shop von einer Telemetrie-Domain abhängt, die auf der Liste steht. Dazu der Artikel zum Gaming.
- Apps, die „keine Verbindung“ melden, weil sie die Blockierung als Netzfehler deuten.
Die Faustregel: Wenn etwas seltsam hakt, für eine Minute auf einen ungefilterten Resolver wechseln (1.1.1.1 oder die ungefilterte Variante desselben Anbieters). Geht es dann, kennst du die Ursache. Und keinen filternden primären mit einem ungefilterten sekundären kombinieren: die Blockierung hätte Löcher.
Wo eintragen
Im Router, um den ganzen Haushalt auf einmal abzudecken, Fernseher und Konsole inklusive (Router-Anleitung). Im Handy als privates DNS unter Android oder mit dem Profil des Anbieters auf dem iPhone, damit es auch im Mobilfunk gilt (Artikel zum Smartphone). Und wer nur am Computer blockieren will, direkt unter Windows oder macOS.
Vor der Entscheidung sagt der Geschwindigkeitstest, welcher der vier aus deinem Netz am schnellsten antwortet; einen langsamen Filter merkt man auf jeder Seite.