Die IP-Adresse 1.1.1.1 kennen viele als schnellen DNS-Server von Cloudflare. Deutlich weniger bekannt ist, dass Cloudflare zwei weitere Varianten anbietet: 1.1.1.2 und 1.1.1.3.
1.1.1.2 blockiert bekannte Malware- und Phishing-Domains kostenlos auf DNS-Ebene. Wird der DNS-Server im Router eingetragen, können viele Geräte im Heimnetz von dieser zusätzlichen Schutzschicht profitieren – ohne dass auf jedem Gerät eigene Software installiert werden muss.
Ganz so spektakulär wie die gelegentlich verwendete Bezeichnung „kostenloses Antivirus“ ist es allerdings nicht. Ein Virenscanner wird dadurch nicht ersetzt. Als zusätzliche Schutzschicht ist die Funktion trotzdem interessant.
1.1.1.2 ist ein öffentlicher DNS-Resolver von Cloudflare. Er basiert auf dem bekannten DNS-Dienst 1.1.1.1, filtert aber zusätzlich Domains, die Cloudflare mit Malware oder Phishing in Verbindung bringt.
Cloudflare bietet drei Varianten seines öffentlichen DNS-Dienstes an:
| DNS-Server | Funktion |
|---|---|
| 1.1.1.1 / 1.0.0.1 | Normaler Cloudflare-DNS ohne Inhaltsfilter |
| 1.1.1.2 / 1.0.0.2 | Blockiert bekannte Malware- und Phishing-Domains |
| 1.1.1.3 / 1.0.0.3 | Blockiert Malware, Phishing und Erwachsenen-Inhalte |
Cloudflare bezeichnet die beiden gefilterten Varianten als 1.1.1.1 for Families. Der Dienst wurde bereits 2020 eingeführt und wird weiterhin angeboten.
Der Unterschied liegt ausschließlich in der Filterung.
1.1.1.1 ist der normale öffentliche DNS-Resolver von Cloudflare. Er blockiert keine Webseiten aufgrund ihrer Kategorie.
1.1.1.2 ergänzt eine Filterung bekannter Malware- und Phishing-Domains.
1.1.1.3 enthält denselben Malware- und Phishing-Schutz und blockiert zusätzlich Domains, die Cloudflare als Erwachsenen-Inhalte klassifiziert.
Wer nur einen schnellen alternativen DNS-Server möchte, kann 1.1.1.1 verwenden. Für zusätzlichen Malware-Schutz ist 1.1.1.2 gedacht. Für Familien oder Netzwerke, in denen zusätzlich Erwachsenen-Inhalte gesperrt werden sollen, ist 1.1.1.3 vorgesehen.
DNS ist vereinfacht gesagt das Telefonbuch des Internets. Gibt man beispielsweise rohtext.de in den Browser ein, fragt das Gerät zunächst einen DNS-Server nach der zugehörigen IP-Adresse.
Bei 1.1.1.2 wird diese Anfrage zusätzlich geprüft. Ist eine Domain bei Cloudflare als schädlich klassifiziert, liefert der DNS-Server nicht die normale Zieladresse zurück.
Das Gerät kann die betreffende Webseite dadurch normalerweise nicht erreichen.
Der Vorteil: Der Schutz greift bereits bei der Namensauflösung, bevor eine reguläre Verbindung zur eigentlichen Webseite aufgebaut wird.
Trägt man 1.1.1.2 direkt auf einem einzelnen PC ein, profitiert nur dieser Computer davon.
Wird der DNS-Server dagegen im Router konfiguriert, können grundsätzlich viele Geräte im Heimnetz davon profitieren:
Gerade bei Geräten, auf denen sich keine Sicherheitssoftware installieren lässt, ist DNS-Filtering deshalb interessant.
Allerdings gilt die Router-Einstellung nur für Geräte, die den vom Router vorgegebenen DNS-Server tatsächlich verwenden. Browser, VPNs oder Geräte mit eigenen DNS-Einstellungen können diese Vorgabe umgehen.
Noch einen Schritt weiter geht Cloudflare mit 1.1.1.3.
Dieser DNS-Server enthält den Malware- und Phishing-Schutz von 1.1.1.2 und blockiert zusätzlich Domains, die Cloudflare als Erwachsenen-Inhalte klassifiziert.
Damit lassen sich beispielsweise bekannte Pornografie-Webseiten auf DNS-Ebene sperren.
Die Adressen dafür lauten:
Primärer DNS:
1.1.1.3
Sekundärer DNS:
1.0.0.3
Damit ist 1.1.1.3 insbesondere für Familien interessant. Eine vollständige Kindersicherung ist es allerdings nicht.
Grundsätzlich ja: 1.1.1.3 blockiert Domains, die Cloudflare als Erwachsenen-Inhalte klassifiziert. Bekannte Pornografie-Webseiten sollten deshalb normalerweise nicht mehr über diesen DNS-Resolver erreichbar sein.
Eine Garantie für jede einzelne Webseite gibt es jedoch nicht. Die Sperre hängt davon ab, wie Cloudflare die jeweilige Domain kategorisiert.
Außerdem lässt sich die DNS-Sperre umgehen, wenn ein Gerät beispielsweise:
1.1.1.3 ist daher eine einfache zusätzliche Inhaltsfilterung, aber kein vollständiger technischer Jugendschutz.
Für den Malware- und Phishing-Schutz werden folgende IPv4-Adressen eingetragen:
Primärer DNS:
1.1.1.2
Sekundärer DNS:
1.0.0.2
Wer auch IPv6 verwendet, kann zusätzlich folgende Adressen konfigurieren:
2606:4700:4700::1112
2606:4700:4700::1002
Für Malware, Phishing und Erwachsenen-Inhalte lauten die IPv6-Adressen:
2606:4700:4700::1113
2606:4700:4700::1003
Bei einer FRITZ!Box befindet sich die Einstellung je nach FRITZ!OS-Version normalerweise unter:
Internet → Zugangsdaten → DNS-Server
Dort lässt sich die Verwendung anderer DNSv4-Server aktivieren.
Für den Malware-Schutz trägt man anschließend ein:
Wer zusätzlich Erwachsenen-Inhalte blockieren möchte, verwendet stattdessen:
Danach die Einstellungen übernehmen.
Wer IPv6 verwendet, sollte auch die entsprechenden IPv6-DNS-Adressen konfigurieren. Andernfalls kann es je nach Netzwerk-Konfiguration vorkommen, dass DNS-Anfragen weiterhin über einen anderen IPv6-DNS-Server laufen.
Cloudflare unterstützt für die gefilterten DNS-Server auch verschlüsselte DNS-Abfragen über DNS over TLS und DNS over HTTPS.
Für den Malware-Filter lautet der DNS-over-TLS-Hostname:
security.cloudflare-dns.comDer entsprechende DNS-over-HTTPS-Endpunkt lautet:
https://security.cloudflare-dns.com/dns-queryFür Malware plus Erwachsenen-Inhalte lautet der DNS-over-TLS-Hostname:
family.cloudflare-dns.comDer entsprechende DNS-over-HTTPS-Endpunkt lautet:
https://family.cloudflare-dns.com/dns-queryModerne Router, Betriebssysteme und Browser können DNS-Anfragen damit verschlüsselt übertragen.
Nein.
DNS-Filtering kann nur Verbindungen verhindern, bei denen eine bekannte schädliche Domain erkannt und über den gefilterten DNS-Server aufgelöst wird.
Es schützt beispielsweise nicht zuverlässig vor:
Windows Defender oder andere Endpoint-Sicherheitslösungen sollten deshalb weiterhin aktiviert bleiben.
Nur weil 1.1.1.2 oder 1.1.1.3 im Router eingetragen sind, bedeutet das nicht zwingend, dass jedes Gerät diese DNS-Server verwendet.
Browser können beispielsweise DNS over HTTPS mit einem eigenen Anbieter verwenden. Auch VPN-Apps oder manuell konfigurierte Geräte können die DNS-Einstellung des Routers umgehen.
Für eine einfache zusätzliche Schutzschicht im normalen Heimnetz ist die Router-Konfiguration trotzdem bemerkenswert unkompliziert.
Ja. DNS-Filter sind von der korrekten Klassifizierung einer Domain abhängig. Eine Webseite kann deshalb theoretisch fälschlicherweise blockiert oder trotz problematischer Inhalte nicht erkannt werden.
Cloudflare bietet eine Möglichkeit an, falsch klassifizierte Domains zu melden.
Das ist grundsätzlich bei allen DNS- und Inhaltsfiltern ein möglicher Nachteil: Die Qualität des Schutzes hängt davon ab, wie schnell und korrekt Domains erkannt und kategorisiert werden.
1.1.1.2 ist besonders interessant für Nutzer, die mit möglichst wenig Aufwand eine zusätzliche Schutzschicht im Heimnetz aktivieren möchten.
Typische Einsatzfälle sind beispielsweise:
Der Vorteil liegt weniger darin, dass DNS-Filtering einen besonders umfassenden Schutz bietet. Interessant ist vielmehr das Verhältnis zwischen Aufwand und Nutzen: Zwei DNS-Adressen eintragen, und viele Geräte können von einer zusätzlichen Filterung profitieren.
1.1.1.2 ist kein Virenscanner, aber für wenige Minuten Einrichtungsaufwand bekommt man eine kostenlose zusätzliche Schutzschicht für das Heimnetz.
Wer nur Malware- und Phishing-Domains blockieren möchte, verwendet 1.1.1.2 und 1.0.0.2.
Für Malware, Phishing und Erwachsenen-Inhalte sind 1.1.1.3 und 1.0.0.3 vorgesehen.
Gerade im Router ist das interessant, weil dadurch viele Geräte ohne zusätzliche Software von der DNS-Filterung profitieren können. Gegen Schadsoftware auf dem Gerät oder eine gezielte Umgehung der DNS-Einstellungen schützt das Verfahren jedoch nicht.
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
