Informationen und Konfigurationsanleitungen

Öffentliche DNS-Resolver

Jedes Mal, wenn du eine Webseite besuchst oder anderweitig Online-Dienste nutzt, fragt dein Gerät zuerst das Domain Name System (DNS) – das «Adressbuch des Internets» – unter welcher IP-Adresse das jeweilige Ziel erreichbar ist. Ohne Verschlüsselung kannst du dir diese Abfragen wie offene Postkarten vorstellen: Internetprovider, WLAN-Betreiberinnen und andere Zwischenstellen können mitlesen, welche Webseiten du aufrufst oder welche Apps du nutzt, und die Antworten theoretisch sogar manipulieren.

Seit Anfang 2019 betreiben wir deshalb öffentliche DNS-Resolver, die ausschliesslich über verschlüsselte Kommunikationswege erreichbar sind, null persönliche Daten speichern und frei von Zensur sind. Damit bieten wir eine gemeinnützige, sichere und vertrauenswürdige Alternative zu kommerziellen Betreiberinnen, die meist weder Verschlüsselung (DoT, DoH etc.) noch Signierung (DNSSEC) ihrer Dienste anbieten und üblicherweise mit den anfallenden Daten Handel treiben.

Allgemein

Unsere DNS-Server kannst du kostenlos und ohne Registrierung nutzen. Sie sind so konfiguriert, dass sie die Privatsphäre möglichst gut schützen und einen freien Zugang zum Internet gewähren:

  • Keine Logdaten. Wir speichern keine DNS-Abfragen und führen keine personenbezogenen Protokolle.
  • Keine Sperrlisten, keine Filterung. Wir blockieren keine Domains und zensieren keine Inhalte – DNS-Abfragen werden ungefiltert beantwortet.
  • DNSSEC-Validierung. Antworten werden kryptografisch auf Echtheit und Unverfälschtheit geprüft mittels Domain Name System Security Extensions (DNSSEC), um gefälschte Antworten zu verunmöglichen.
  • Auschliesslich verschlüsselter Betrieb. Unsere Server unterstützen DNS over TLS (DoT), DNS over HTTPS (DoH), DNS over HTTP/3 (DoH3) und DNS over QUIC (DoQ). Unverschlüsseltes DNS über Port 53 bieten wir bewusst nicht an, um Fehlkonfigurationen zu vermeiden.
  • Sorgfältige Serverkonfiguration. Moderne Verschlüsselung (TLS-Konfiguration gemäss der «Intermediate»-Empfehlung von tlsref.org), Rate-Limiting zum Schutz vor Überlastung und Query-Minimierung (es werden nur die nötigsten Namensbestandteile an übergeordnete DNS-Server übermittelt).
  • Redundanz. Zwei Server mit automatischer Lastverteilung sorgen für hohe Verfügbarkeit.
  • Standort Schweiz. Wir betreiben unsere Server auf eigener Hardware in einem Schweizer Rechenzentrum. Niemand ausser unseren Admins hat Zugriff darauf.

Alles rund um den Betrieb ist öffentlich dokumentiert: Konfigurationsdateien und eine Dokumentation der Architektur findest du in unserem GitHub-Repository.

Best Effort

Als gemeinnützige Organisation möchten wir einen qualitativ hochwertigen und zuverlässigen Service bieten. Entsprechende Massnahmen wurden beim Design berücksichtigt. Dennoch weisen wir darauf hin, dass sämtliche Arbeit an den Systemen ehrenamtlich erfolgt und wir keine Verfügbarkeit garantieren können.

Konfiguration

Grundsätzlich erlauben die meisten Betriebssysteme, verschlüsseltes DNS systemweit zu aktivieren – was wir dringend empfehlen!

Daneben erlauben bestimmte Applikationen wie Webbrowser oder E-Mail-Programme festzulegen, welchen (verschlüsselten) DNS-Server sie (statt des systemweiten) nutzen sollen. Diese Option ist nur sinnvoll, wenn das Betriebssystem keine Möglichkeit für verschlüsseltes DNS bietet oder du es nicht ändern kannst oder willst.

Für verschlüsseltes DNS gibt es heute verschiedene gängige Netzwerkprotokolle. Nicht jede Software unterstützt jedes Protokoll. Im Prinzip sind unsere Server über die folgenden beiden Wege nutzbar:

 

Protokoll Adresse Port
DoH / DoH3 https://dns.digitale-gesellschaft.ch/dns-query TCP 443 (DoH)
UDP 443 (DoH3)
DoT / DoQ dns.digitale-gesellschaft.ch TCP 853 (DoT)
UDP 853 (DoQ)

 

Falls dein Client darüber hinaus erlaubt, direkt die IP-Adressen der Server zu konfigurieren:

  • IPv4: 185.95.218.42 / 185.95.218.43
  • IPv6: 2a05:fc84::42 / 2a05:fc84::43

Wir verwenden für TLS Let’s-Encrypt-Zertifikate, die alle drei Monate automatisch rotieren. Von einem allfälligen SPKI-Pinning raten wir daher ab.

Einige Konfigurationsanleitungen für gängige Software haben wir in unserem GitHub-Repository zusammengestellt.

Transparenzberichte

In Übereinstimmung mit der Mozilla DOH-Resolver Policy informieren wir periodisch über unsere DNS-Dienste.