Quad9 beendet Dienst in Frankreich am 24. November: Aktualisieren Sie jetzt Ihre DNS-Konfigurationen

Quad9, der datenschutzorientierte DNS-Resolver, wird seinen Betrieb für Nutzer in Frankreich am Dienstag, den 24. November 2026, einstellen. Diese Entscheidung folgt einer französischen Gerichtsentscheidung, die den Dienst verpflichtet, bestimmte Domains im Zusammenhang mit Sport-Piraterie zu blockieren – eine Anordnung, die Quad9 nicht umsetzen will. Systemadministratoren und Betreiber von Homelabs in Frankreich müssen ihre Netzwerkkonfigurationen sofort überprüfen und Quad9-Adressen ersetzen, bevor Dienste ausfallen.

Was ist passiert?

Am 21. Oktober entschied ein französisches Gericht zugunsten des katarischen Sportsenders beIN und ordnete an, dass Quad9 die Auflösung von Domains, die piratierte Streams hosten, für französische Nutzer einstellen muss. Statt dieser Zensuranforderung nachzukommen, kündigte Quad9 an, sich vollständig vom französischen Markt zurückzuziehen. Obwohl das Gericht das tägliche Bußgeld auf 1.000 € reduzierte, nannte Quad9 etwa 20 laufende Klagen als Hauptgrund für den Rückzug und erklärte, dass es die Anhäufung potenzieller Geldstrafen nicht überleben könne.

Der Rückzug betrifft eine breite Palette von Einrichtungen, darunter große französische Institutionen wie EDF, SNCF und DINUM. Er wirkt sich auch auf einzelne Nutzer aus, die kürzlich zu Quad9 gewechselt sind, nachdem Mullvad angekündigt hatte, seinen öffentlichen verschlüsselten DNS-Dienst am 2. November 2026 einzustellen. Nutzer, die dem Rat von Mullvad gefolgt sind, stehen nun innerhalb weniger Wochen vor einer zweiten Migration. Quad9 warnte, dass IP-basiertes Geo-Blocking wirkungslos sei, da Nutzer es über VPNs umgehen könnten, was die Einhaltung der Vorschriften ohne umfassende Filterung rechtlich riskant mache.

Wichtige Details

• Frist: Quad9 stellt den Dienst für französische Nutzer am 24. November 2026 ein.
• Betroffene IPs: 9.9.9.9, 149.112.112.112, 2620:fe::fe, 2620:fe::9 und 9.9.9.10 werden für französische Verbindungen nicht mehr funktionieren.
• Rechtlicher Kontext: Quad9 sieht sich rund 20 laufenden Klagen gegenüber, die mit Domain-Blockierungsanordnungen in Frankreich zusammenhängen.
• Auswirkung auf Mullvad: Nutzer, die von Mullvad DNS (Schließung am 2. November) zu Quad9 migrieren, müssen kurz darauf erneut migrieren.
• Alternativen: Cloudflare und DNS4EU bleiben verfügbar, halten sich jedoch an französische Gerichtsbeschlüsse; selbst gehostetes Unbound bietet Unabhängigkeit, unterstützt aber standardmäßig keine verschlüsselten Upstream-Anfragen.
• Konfigurationsumfang: Änderungen sind in Routern, Pi-hole, Unbound, systemd-resolved, Docker und den DNS-over-HTTPS-Einstellungen der Browser erforderlich.

Hintergrund

DNS (Domain Name System) übersetzt menschenlesbare Domainnamen in IP-Adressen. Die meisten Nutzer verlassen sich auf öffentliche Resolver wie Quad9, Cloudflare oder Google, anstatt eigene rekursive Resolver zu betreiben. Datenschutzorientierte Resolver wie Quad9 gewannen an Popularität, indem sie versprachen, keine Nutzerdaten zu protokollieren und sich Zensuranforderungen zu widersetzen. Wenn ein Resolver jedoch innerhalb einer bestimmten Rechtsprechung operiert, unterliegt er den lokalen Gesetzen. In Frankreich haben jüngste Rechtsprechungen große Anbieter gezwungen, den Zugang zu Websites zu blockieren, denen vorgeworfen wird, piratierte Inhalte zu hosten.

Der Betrieb eines lokalen rekursiven Resolvers wie Unbound ermöglicht es einer Organisation, Root-Server direkt abzufragen. Dieser Ansatz beseitigt die Abhängigkeit von Drittanbietern, die möglicherweise gezwungen sind, Ergebnisse zu filtern. Standard-rekursive Anfragen sind jedoch unverschlüsselt, was bedeutet, dass Internetdienstanbieter weiterhin sehen können, welche Domains angefragt werden. Dieser Kompromiss zwischen Privatsphäre gegenüber dem Resolver und Sichtbarkeit gegenüber dem ISP ist eine wichtige Überlegung für Teams, die eine Ersatzstrategie festlegen.

Warum das wichtig ist

Für Teams, die selbst gehostete Infrastruktur verwalten, sind versteckte DNS-Abhängigkeiten eine häufige Ursache für plötzliche Ausfälle. Eine Konfigurationsdatei, die vor Jahren geschrieben wurde, zeigt möglicherweise immer noch auf 9.9.9.9, was dazu führt, dass interne Dienste oder externe API-Aufrufe fehlschlagen, sobald der Resolver nicht mehr antwortet. Im Gegensatz zu einem Webserver-Crash können DNS-Fehler subtil sein und zu langsamen Timeouts statt zu sofortigen Fehlern führen, was die Diagnose während eines Vorfalls erschwert.

Dieses Ereignis verdeutlicht das Risiko, kritische Infrastrukturkomponenten auf Single Points of Failure zu stützen. Selbst gemeinnützige Organisationen mit starken Datenschutzpositionen sind anfällig für rechtlichen Druck. Teams, die davon ausgingen, dass Quad9 eine stabile, neutrale Schicht sei, müssen nun erkennen, dass geopolitische und rechtliche Faktoren diese Dienste unerwartet stören können. Proaktive Audits der DNS-Einstellungen sind entscheidend, um die betriebliche Kontinuität zu gewährleisten.

Darüber hinaus fällt der Zeitpunkt mit dem Rückzug von Mullvad aus dem öffentlichen DNS-Bereich zusammen, was eine komplexe Migrationsherausforderung schafft. Administratoren, die ihre Systeme kürzlich aktualisiert haben, um Best Practices für den Datenschutz zu befolgen, finden diese Konfigurationen nun obsolet. Dies unterstreicht die Notwendigkeit flexibler, leicht anpassbarer Netzwerkkonfigurationen anstelle von hartcodierten Abhängigkeiten von spezifischen Drittanbietern.

Was Sie tun können

• Konfigurationen prüfen: Führen Sie grep-Befehle über /etc, Home-Verzeichnisse und Docker-Compose-Dateien aus, um Instanzen von 9.9.9.9, 149.112.112.112 oder quad9 zu finden.
• Aktive Resolver prüfen: Verwenden Sie resolvectl status unter Linux oder prüfen Sie die NetworkManager-Einstellungen, um aktuell aktive DNS-Server zu identifizieren.
• Router-Einstellungen aktualisieren: Loggen Sie sich in Ihr Gateway oder OpenWrt-Gerät ein und ersetzen Sie Quad9-IPs in den WAN- oder DHCP-Einstellungen durch Alternativen wie Cloudflare (1.1.1.1) oder DNS4EU.
• Lokale Resolver neu konfigurieren: Wenn Sie Pi-hole oder Unbound verwenden, entfernen Sie Forward-Zonen, die auf Quad9 zeigen, und stellen Sie neue Upstream-Server ein oder aktivieren Sie die rekursive Auflösung.
• Browser DoH aktualisieren: Prüfen Sie die Einstellungen von Firefox und Chrome auf DNS-over-HTTPS-Vorlagen und ersetzen Sie benutzerdefinierte Quad9-URLs durch unterstützte Alternativen.
• Änderungen verifizieren: Leeren Sie nach der Aktualisierung die DNS-Caches und testen Sie die Auflösung für kritische Domains, um sicherzustellen, dass die Konnektivität wiederhergestellt ist.