Wenn die Namensauflösung im Router klappt, ein extern eingetragener DNS-Server aber nicht erreichbar ist, liegt die Ursache meist nicht beim Domainnamen selbst. Häufig blockiert die Router-Firewall ausgehende DNS-Anfragen, der Internetanbieter filtert bestimmte Ziele oder der gewählte Server ist über das verwendete Protokoll beziehungsweise den Anschluss nicht erreichbar. Prüfe zuerst mit einem zweiten DNS-Ziel und einem anderen Endgerät, ob nur eine Einstellung oder der gesamte externe DNS-Verkehr betroffen ist.
Wichtig ist die Unterscheidung zwischen klassischem DNS über Port 53 und verschlüsselten Varianten wie DNS-over-TLS oder DNS-over-HTTPS. Ein Router kann die Namensauflösung für seine eigenen Anfragen beherrschen, während Clients oder ein manuell eingetragener externer Dienst an Firewall-Regeln, IPv6, DNS-Rebind-Schutz oder einer Anbieterfilterung scheitern.
Die Fehlerklasse zuerst eingrenzen
Bevor du Einstellungen änderst, prüfe, welches Verhalten tatsächlich vorliegt. Öffnet sich eine Webseite über ihre IP-Adresse, aber nicht über den Namen, spricht das für ein DNS-Problem. Funktionieren dagegen auch direkte IP-Verbindungen nicht, liegt die Ursache eher bei Internetzugang, Routing, Firewall oder Anschluss.
- Nur ein Gerät betroffen: Prüfe dessen DNS-Einstellungen, VPN, Sicherheitssoftware und lokale Netzwerkdaten.
- Alle Geräte betroffen: Sieh dir Router, WAN-Verbindung, Firewall-Regeln und den Anbieterzugang an.
- Router kann Namen auflösen, Clients nicht: Prüfe DHCP, lokale DNS-Weiterleitung und Regeln für ausgehende Anfragen.
- IPv4 funktioniert, IPv6 nicht: Teste beide Protokolle getrennt. Ein externer DNS-Server kann über eine Adressfamilie erreichbar sein, über die andere jedoch nicht.
- Nur ein bestimmter DNS-Dienst scheitert: Vergleiche ihn mit einem zweiten vertrauenswürdigen Anbieter, ohne dauerhaft mehrere widersprüchliche Konfigurationen zu hinterlegen.
Notiere außerdem, seit wann der Fehler besteht und ob ein Neustart, ein Tarifwechsel, eine neue Firewall-Regel oder eine Firmwareänderung vorausging. Diese Angaben helfen später bei der Bewertung von Ereignisprotokollen.
DNS-Einstellung im Router prüfen
Öffne die Verwaltungsoberfläche des Routers und suche nach Bereichen wie Internetzugang, WAN, DNS, Namensauflösung oder Netzwerkeinstellungen. Die Bezeichnung und der genaue Menüweg unterscheiden sich je nach Hersteller und Firmware. Entscheidend ist, ob der Router DNS-Server automatisch vom Anbieter übernimmt, eigene Server verwendet oder Anfragen nur an einen lokalen DNS-Dienst weiterleitet.
Prüfe dabei folgende Punkte:
- Ist ein externer DNS-Server als primärer oder sekundärer Server eingetragen?
- Wurde die Adresse ohne Tippfehler und im passenden Format gespeichert?
- Gibt es eine Option wie „DNS-Server automatisch beziehen“, die die manuelle Einstellung überschreibt?
- Werden DNS-Anfragen der Geräte vom Router abgefangen und an einen eigenen Resolver weitergeleitet?
- Ist die Einstellung nur für IPv4 gesetzt, während Clients bevorzugt IPv6 verwenden?
Nach einer Änderung solltest du die Konfiguration speichern und zunächst nur eine neue Namensauflösung testen. Ein kompletter Werksreset ist an dieser Stelle nicht sinnvoll, weil dadurch möglicherweise Zugangsdaten, Telefonie, Portfreigaben, Mesh-Zuordnungen und individuelle Sicherheitsregeln verloren gehen.
Ausgehende DNS-Anfragen in der Firewall kontrollieren
DNS benötigt im klassischen Betrieb meist UDP über Port 53. Bei großen Antworten oder bestimmten Transportbedingungen kann auch TCP über Port 53 erforderlich sein. Eine Regel, die nur UDP erlaubt, kann deshalb einzelne Domains oder DNS-Antworten scheitern lassen, obwohl einfache Tests funktionieren.
Suche in der Routeroberfläche nach Firewall, Sicherheitsfilter, Zugriffsregeln, Kindersicherung, Jugendschutz oder Netzwerkdiensten. Prüfe, ob ausgehende Anfragen vom Router selbst und von den lokalen Clients unterschiedlich behandelt werden. Manche Geräte erlauben DNS nur an den vom Anbieter vorgegebenen Servern oder erzwingen einen lokalen Resolver.
- Erlaube aus dem internen Netz ausgehende DNS-Anfragen nur zu den gewünschten DNS-Zielen.
- Vermeide eine pauschale Freigabe beliebiger Ziele, wenn der Router Regeln für DNS-Umgehung unterstützt.
- Prüfe, ob eine Kindersicherung oder ein Sicherheitsprofil DNS-Anfragen umleitet oder blockiert.
- Kontrolliere, ob eine Regel für UDP und TCP getrennt angelegt werden muss.
- Sieh nach, ob Protokolleinträge den Zielserver, Port und Ablehnungsgrund anzeigen.
Eine Firewall-Freigabe für ausgehende DNS-Anfragen ist nicht dasselbe wie eine Portfreigabe aus dem Internet. Für DNS solltest du normalerweise keinen eingehenden Port auf den Router oder einen Rechner öffnen. Offene DNS-Dienste können missbraucht werden und gehören nicht in eine übliche Heimnetzkonfiguration.
DNS-Rebind-Schutz und Sicherheitsfilter unterscheiden
Der DNS-Rebind-Schutz soll verhindern, dass eine öffentliche Domain auf eine private Adresse im Heimnetz zeigt und dadurch interne Dienste unerwartet erreichbar werden. Diese Funktion kann bei eigenen Domains, lokalen Verwaltungsadressen oder bestimmten Fernzugriffslösungen eingreifen. Sie blockiert jedoch nicht zwangsläufig jede externe DNS-Anfrage.
Wenn das Ereignisprotokoll auf Rebind, ungültige private Antworten oder eine Sicherheitsrichtlinie hinweist, prüfe zunächst, ob tatsächlich nur eine bestimmte Domain betroffen ist. Eine Ausnahme sollte möglichst auf genau diese Domain begrenzt werden. Deaktiviere den Schutz nicht dauerhaft für das gesamte Heimnetz, nur um einen einzelnen Test erfolgreich abzuschließen.
Davon zu unterscheiden sind DNS-Filter, Werbe- und Tracking-Sperren, Jugendschutz sowie Schutzlisten gegen Schadsoftware. Diese Funktionen können gültige Antworten absichtlich verändern oder Anfragen blockieren. Deaktiviere eine solche Funktion nur vorübergehend zur Eingrenzung und aktiviere sie danach wieder.
Mit zwei Geräten und unterschiedlichen DNS-Zielen testen
Ein einzelner Test kann durch den lokalen Cache ein falsches Ergebnis liefern. Verwende deshalb möglichst ein Gerät per LAN und ein zweites über WLAN. So lässt sich erkennen, ob die Funkstrecke, ein einzelnes Endgerät oder die zentrale Routerkonfiguration beteiligt ist.
Unter Windows kannst du in der Eingabeaufforderung beispielsweise prüfen, welcher DNS-Server antwortet:
nslookup beispiel.deFür einen direkten Vergleich lässt sich ein bestimmtes DNS-Ziel angeben:
nslookup beispiel.de DNS-SERVER-ADRESSEErsetze DNS-SERVER-ADRESSE durch die tatsächlich getestete Adresse. Verwende keine Beispieladresse als allgemeingültige Empfehlung. Eine Zeitüberschreitung zeigt, dass die Anfrage oder Antwort den Weg nicht vollständig durchläuft; sie beweist allein noch nicht, dass der DNS-Anbieter ausgefallen ist.
Unter Linux und macOS stehen je nach System unter anderem dig oder nslookup zur Verfügung. Ein Vergleich über LAN, WLAN und einen zweiten Resolver liefert mehr Aussagekraft als wiederholte Abfragen desselben Servers.
Anbieterzugang und Anschlussart berücksichtigen
Einige Internetzugänge greifen in DNS-Anfragen ein, filtern bekannte Ziele oder erlauben bestimmte Transportwege nur eingeschränkt. Das kann bei Kabel-, DSL-, Glasfaser- und Mobilfunkanschlüssen unterschiedlich ausfallen. Auch ein vorgeschaltetes Modem, ein ONT oder ein zweiter Router kann DNS-Anfragen umleiten.
Prüfe im Router, ob der Internetzugang über IPv4, IPv6 oder einen geteilten Adressraum läuft. Bei IPv6 können Clients einen DNS-Server über Router Advertisements oder DHCPv6 erhalten, während die IPv4-Einstellung unverändert bleibt. Wenn nur eine Adressfamilie betroffen ist, vergleiche die DNS-Einträge und Erreichbarkeit getrennt.
Bei einem Anbieterwechsel oder einer neuen Anschlusskonfiguration solltest du außerdem kontrollieren, ob der Router im richtigen Betriebsmodus läuft. Im Access-Point-Modus übernimmt häufig ein anderes Gerät DHCP und DNS. Im Routermodus kann dagegen der vorgeschaltete Router die Namensauflösung bereits erzwingen.
Verschlüsseltes DNS nicht mit normalem DNS verwechseln
DNS-over-TLS verwendet typischerweise TCP über Port 853. DNS-over-HTTPS läuft innerhalb einer HTTPS-Verbindung und ist daher von klassischen Port-53-Regeln nicht direkt erfasst. Wenn du einen verschlüsselten Dienst im Endgerät, Browser oder Router einträgst, muss die jeweilige Funktion unterstützt und im Netzwerk erlaubt sein.
Prüfe, an welcher Stelle die verschlüsselte Auflösung eingerichtet wurde. Ein Browser kann seine eigene DNS-Funktion nutzen und damit die Routervorgaben umgehen. Umgekehrt kann ein Router verschlüsseltes DNS nur für seine eigenen Anfragen verwenden, während die Geräte weiterhin normale DNS-Server per DHCP erhalten.
- Prüfe, ob der Dienst das verwendete Protokoll tatsächlich unterstützt.
- Kontrolliere Zertifikats- oder Servernamen, sofern DNS-over-TLS eingesetzt wird.
- Beachte, dass eine Firewall-Regel für Port
53verschlüsseltes DNS nicht automatisch freigibt. - Vermeide parallele Vorgaben in Router, Betriebssystem, Browser und VPN, wenn du die Ursache suchst.
Lokale DNS-, DHCP- und Cache-Einstellungen bereinigen
DHCP verteilt unter anderem IP-Adresse, Gateway und DNS-Server. Wenn ein Endgerät alte DHCP-Daten verwendet, kann es weiterhin einen nicht mehr erreichbaren DNS-Server ansprechen. Trenne das Gerät kurz vom Netzwerk oder erneuere die Netzwerkkonfiguration, bevor du dauerhafte Änderungen vornimmst.
Leere bei Bedarf den lokalen DNS-Cache. Unter Windows kann dafür je nach Version folgender Befehl verwendet werden:
ipconfig /flushdnsDanach beziehst du die Netzwerkinformationen erneut oder verbindest das Gerät neu mit dem Netzwerk. Prüfe anschließend, ob der DNS-Server aus dem Router oder eine manuell gesetzte Adresse verwendet wird. Eine lokale statische DNS-Konfiguration kann die zentrale Routereinstellung übergehen.
Wenn im Heimnetz ein eigener DNS-Server, Pi-hole, NAS-Dienst oder eine Firewall-Appliance läuft, muss auch dieser Dienst geprüft werden. Achte auf Weiterleitungen, Erreichbarkeit des Upstream-Resolvers, Listenregeln und die Bindung an die richtige lokale IP-Adresse.
Messung, Protokoll und Rückweg
Ändere immer nur eine Einstellung und notiere den ursprünglichen Wert. So bleibt nachvollziehbar, welche Änderung eine Wirkung hatte. Nach jeder Anpassung prüfst du eine bekannte Domain, eine zweite Domain und nach Möglichkeit eine Anwendung, die zuvor betroffen war.
- DNS-Ziel und verwendetes Protokoll notieren.
- Test über LAN und WLAN wiederholen.
- IPv4 und IPv6 getrennt betrachten.
- Firewall- und Routerprotokoll zum Zeitpunkt des Tests prüfen.
- Bei Erfolg die Ursache nicht durch weitere unnötige Änderungen verwischen.
Bleibt nur der externe DNS-Dienst unerreichbar, während der automatisch bezogene Resolver funktioniert, solltest du den Dienststatus, die Erreichbarkeit aus deinem Anschluss und mögliche Filter des Anbieters prüfen. Sind sämtliche Resolver betroffen, liegt die Ursache eher bei Router, Anschluss, Firewall oder der lokalen Netzwerkkonfiguration.
Wann ein Reset oder der Support sinnvoll ist
Ein Neustart kann eine hängende DNS-Weiterleitung oder eine fehlerhafte Sitzung beseitigen. Er ersetzt jedoch keine Ursachenanalyse. Sichere vor einem Reset alle wichtigen Daten: Zugangsdaten, Telefonieparameter, WLAN-Konfiguration, Portfreigaben, VPN-Einstellungen, eigene DNS-Regeln und Mesh-Zuordnungen.
Werkseinstellungen sind erst dann angemessen, wenn die Konfiguration nachvollziehbar beschädigt ist, keine Sicherung verloren geht und die Zugangsdaten vorliegen. Nach dem Reset sollte der Router zunächst mit einer möglichst einfachen Konfiguration getestet werden. Aktiviere zusätzliche Filter, VPNs, eigene DNS-Dienste und Portfreigaben erst schrittweise wieder.
Wende dich an den Anbieter, wenn der Anschluss selbst instabil ist, mehrere Geräte unabhängig voneinander betroffen sind oder das Ereignisprotokoll wiederholt eine externe Nichterreichbarkeit zeigt. Für den Support sind Zeitpunkt, Anschlussart, getestete DNS-Ziele, IPv4- beziehungsweise IPv6-Verhalten und die Ergebnisse von LAN-Tests besonders hilfreich.
Häufige Fragen zu externem DNS und Router-Firewalls
Warum funktioniert externer DNS nur über IPv4, aber nicht über IPv6?
Der eingetragene DNS-Dienst kann über IPv4 erreichbar sein, während die IPv6-Verbindung des Anschlusses, Routers oder DNS-Servers gestört ist. Prüfe beide Adressfamilien getrennt und kontrolliere, ob der Router für IPv6 eigene DNS-Server verteilt oder Anfragen bevorzugt über IPv6 sendet.
Kann der Internetanbieter externe DNS-Server blockieren?
Ja, je nach Anschluss und Netzkonfiguration können bestimmte DNS-Ziele oder ungewöhnliche DNS-Verbindungen gefiltert oder nicht geroutet werden. Wenn der automatisch bezogene Resolver funktioniert, mehrere externe Ziele aber unabhängig voneinander scheitern, vergleiche die Ergebnisse mit dem Anbieterstatus und frage den Support nach DNS- oder Sicherheitsfiltern.
Warum klappt DNS im Router, aber auf den Geräten im Heimnetz nicht?
Der Router kann seine eigenen Anfragen über einen internen Resolver senden, während Clients per DHCP oder manueller Einstellung einen anderen DNS-Server erhalten. Prüfe deshalb die tatsächlich auf dem Endgerät verwendete DNS-Adresse und ob lokale Firewall-, VPN- oder Sicherheitssoftware eigene DNS-Regeln erzwingt.
Ist verschlüsseltes DNS eine Lösung, wenn Port 53 blockiert wird?
DNS-over-TLS und DNS-over-HTTPS verwenden andere Verbindungen als klassisches DNS über Port 53 und können deshalb in einem konkreten Netz unterschiedlich funktionieren. Sie lösen jedoch keine allgemeine Internet- oder Routingstörung und müssen von Router, Endgerät, Browser oder VPN korrekt unterstützt und konfiguriert werden.
Wann sollte ich einen externen DNS-Server wieder entfernen?
Entferne die manuelle Vorgabe vorübergehend, wenn dadurch mehrere Geräte keinen Internetzugang mehr haben oder die Ursache nicht eindeutig eingegrenzt werden kann. Funktioniert der automatisch bezogene DNS-Server zuverlässig, bleibt die Routerkonfiguration zunächst stabil; einen externen Dienst solltest du erst nach einem Vergleich mit überprüfbaren Protokoll- und Testergebnissen erneut eintragen.
