DNS4EU: das öffentliche
europäische DNS, erklärt

Jedes Mal, wenn ein Firmenrechner eine Website öffnet, eine E-Mail sendet oder ein Programm aktualisiert, fragt er zuerst jemanden: „Wo ist dieser Name?“. Das ist DNS, und dieser Jemand ist in den meisten italienischen Netzen Google (8.8.8.8) oder Cloudflare (1.1.1.1): zwei ausgezeichnete Dienste, fast immer aus Gewohnheit gewählt und nie durch Entscheidung. Das Ergebnis: Die vollständige Liste der Domains, die das Unternehmen kontaktiert, tausende Male am Tag, landet bei einem US-Unternehmen, ohne dass es jemand schriftlich festgehalten hätte. Seit dem 9. Juni 2025 gibt es eine öffentliche europäische Alternative, kostenlos und DSGVO-konform: Sie heißt DNS4EU.

Was DNS4EU ist

DNS4EU ist eine Initiative der Europäischen Union, zwischen 2023 und 2025 mitfinanziert (Projekt 101095329), um Europa einen eigenen öffentlichen DNS-Resolver zu geben, statt von amerikanischen abzuhängen. Aufgebaut hat ihn ein Konsortium aus 13 Mitgliedern aus 10 Ländern unter Leitung des tschechischen Unternehmens Whalebone, das auf DNS-Sicherheit für Netzbetreiber spezialisiert ist: Dazu gehören nationale Registries wie CZ.NIC, nationale CERTs, Universitäten und, für Italien, ABI Lab, das Forschungszentrum des italienischen Bankenverbands. Der öffentliche Dienst ist seit dem 9. Juni 2025 aktiv und wird von Whalebone auf einer Infrastruktur von Resolvern in 14 Mitgliedstaaten betrieben.

Die Versprechen sind drei und stehen in den Dokumenten des Dienstes: Die Auflösung findet vollständig im europäischen digitalen Raum statt, die Verarbeitung folgt der DSGVO mit einem europäischen Verantwortlichen, und der Dienst ist für Bürger und Unternehmen kostenlos. Zudem sperren die schützenden Varianten bösartige Domains anhand der vom Konsortium geteilten Threat Intelligence, nationale CERTs eingeschlossen: Ein Update aus einem Vorfall in Polen schützt am nächsten Tag auch ein KMU in Piacenza.

Die fünf Varianten, und die zwei, die ein Unternehmen braucht

DNS4EU bietet fünf Profile, jedes mit IPv4- und IPv6-Adressen, DNS over HTTPS (DoH) und DNS over TLS (DoT). Das sind die Adressen:

Die IPv6-Adressen folgen demselben Schema (zum Beispiel 2a13:1001::86:54:11:1 für die schützende Variante), und der DoH-Endpunkt ist immer der Hostname gefolgt von /dns-query. In einem Unternehmensnetz gibt es zwei sinnvolle Entscheidungen: die schützende Variante, wenn man die Filterebene gegen bekannte Bedrohungen will, oder die ungefilterte, wenn man nur europäische Rechtsordnung und Datenschutz will und das Filtern der Firewall überlässt. Die Varianten mit Werbeblocker und Kinderschutz gehören den Familien: In einem Arbeitsnetz stören sie Portale, Marketing-Werkzeuge und legitime Anwendungen, und das erste Ticket kommt zehn Minuten später.

DNS4EU, Google, Cloudflare und Quad9: der ehrliche Vergleich

Bei Geschwindigkeit und Zuverlässigkeit steht es unentschieden: Google und Cloudflare haben auch Knoten in Italien, und in unseren Tests antwortet DNS4EU aus Italien mit gleichwertigen Zeiten. Was sich ändert, ist alles andere.

Quad9 verdient eine Zeile mehr: Seit 2021 hat es seinen Sitz in Zürich, unterliegt vollständig dem Schweizer Datenschutzrecht, und die Bundesbehörde hat festgestellt, dass es kein Fernmeldedienst ist, also keine Pflichten zur Vorratsdatenspeicherung hat. Es ist europäisch nach Rechtsordnung, nicht nach Mitgliedschaft in der Union, und die natürliche zweite Wahl neben DNS4EU. Wie wir zu europäischen Rechenzentren und Daten geschrieben haben, ist die Herkunft des Anbieters ein Werkzeug, um konkrete vertragliche oder regulatorische Anforderungen zu erfüllen, keine Fahne: Wenn Ihr Unternehmen diese Anforderungen hat, ist DNS einer der einfachsten und günstigsten Orte, sie einzulösen.

Was DNS4EU nicht ist

Ein DNS-Resolver ist keine Sicherheitslösung, und DNS4EU behauptet das auch nicht. Der Schutzfilter stoppt Anfragen an Domains, die bereits als bösartig bekannt sind: Er sieht kein Phishing auf einer am selben Morgen registrierten Domain, stoppt keinen Anhang und blockiert keine Ransomware, die per IP-Adresse mit ihrem Server spricht. Er bleibt eine nützliche, kostenlose Schicht über Firewall, EDR und XDR und Multi-Faktor-Authentifizierung, nicht an deren Stelle. Es ist dieselbe Position, die wir zu DNS als Schutzebene eingenommen haben: nützlich, aber nicht als Produkt zu verkaufen.

Zwei Hinweise, die DNS4EU offen erklärt. Erstens: Von Gerichten der Mitgliedstaaten angeordnete Sperren gelten für alle Varianten, auch für die ungefilterte, und das Register der per Gerichtsbeschluss gesperrten Domains ist im Bereich „Legal information and compliance“ der Website des Dienstes veröffentlicht. Das ist die Kehrseite der europäischen Rechtsordnung: Dasselbe Recht, das die Daten schützt, ordnet die Sperren an. Zweitens: Die europäische Mitfinanzierung deckte die Entwicklung bis 2025; seitdem bleibt der öffentliche Dienst kostenlos, lebt aber vom kommerziellen Modell von Whalebone gegenüber Netzbetreibern, Behörden und großen Netzen. Das ist kein Mangel, sondern eine Tatsache, die man kennen sollte, bevor man ihn in einen Vertrag schreibt.

Wir haben es schon getan: DNS4EU in unserem DIG

Seit dem 14. Oktober 2026 verwendet unser Online-DIG-Tool DNS4EU in der ungefilterten Variante als Standard-Resolver: Jede Abfrage geht vom Browser des Nutzers an einen europäischen Resolver, nicht mehr an Google. Daneben stehen Quad9, Google und Cloudflare, und der Modus „Alle (Vergleich)“ fragt alle vier zusammen ab. Das dient zwei Zwecken: zu sehen, ob ein Eintrag überall propagiert ist, und zu sehen, ob eine Domain von einem europäischen Resolver anders behandelt wird. Eine per Gerichtsbeschluss gesperrte Domain erscheint zum Beispiel bei DNS4EU als nicht aufgelöst und bei Google als aufgelöst: Der Vergleich zeigt es, ohne dass man es erklären muss. Dafür mussten wir das binäre DNS-Format direkt im Browser sprechen, denn DNS4EU und Quad9 bieten die vereinfachten Schnittstellen von Google und Cloudflare nicht: das technische Detail, das fast allen Online-Tools fehlte.

AtWorkStudio ist seit 2000 von Piacenza (Italien) aus tätig. Wir sind nach ISO/IEC 27001, 27017, 27018 und ISO 9001 zertifiziert, mit von der ACN (der italienischen Nationalen Agentur für Cybersicherheit) qualifizierten Cloud-Diensten, Mitglied von Clusit (italienischer Verband für Informationssicherheit) und der Confindustria Piacenza im RICT-Cluster angeschlossen. Das DNS eines Unternehmens richtig zu konfigurieren gehört zu den Dingen, die wir jede Woche im Rahmen unserer Support- und Operations-Dienste tun.

Adressen und Varianten am 14. Oktober 2026 auf der offiziellen DNS4EU-Website geprüft.