NextDNS, mein neuer Lieblingsblocker für Tracker und Werbung

Bei meinen Analysen von Websites und Apps lautet das Fazit oft dasselbe: Solange es keine echten Sanktionen gegen die Anbieter gibt, müssen Sie sich mit technischen Mitteln vor der Werbeüberwachung schützen. Ziel dieses Artikels ist es, meine aktuelle Konfiguration zu teilen.

Die Wahl der Tracker- und Werbeblocker ist natürlich sehr persönlich: Sie verwenden wahrscheinlich andere Apps, andere Erweiterungen, und Ihre Entscheidungen sind vielleicht wirksamer. Außerdem bin ich bei weitem nicht der Einzige, der zu diesem Thema schreibt, und ich bin kein „Adblock“-Experte – kurz gesagt, zögern Sie nicht, Ihre Erfahrungen zu teilen!

Je nach Gerät ist es mehr oder weniger einfach, Tracker und Werbung zu blockieren. Hier sind die verschiedenen Szenarien, mit denen ich konfrontiert bin.

Tracker und Werbung in einem „Desktop“-Browser blockieren: heute weit verbreitete Adblocker

Auf meinen MacBooks (privat, beruflich) verwende ich beim Surfen im Web Firefox mit der Erweiterung uBlock Origin. Unter Firefox erkennt dieser Adblocker das „CNAME-Cloaking“ und blockiert es (was unter Chrome nicht der Fall ist). „CNAME-Cloaking“ ist eine Technik, die von bestimmten Akteuren des Überwachungsmarketings eingesetzt wird, um Sie zu verfolgen, selbst wenn Sie Vorsichtsmaßnahmen getroffen haben (diese Technik wirft zudem Sicherheitsprobleme auf). Wenn Sie das Thema vertiefen möchten, lesen Sie die Erläuterungen von NextDNS (auf Englisch) und die Darstellung der Quadrature du Net (auf Französisch).

Vor allem gewährt uBlock Origin – im Gegensatz zu einem Adblock Plus, von dem ich dringend abrate – den Werbetreibenden keinerlei Sonderrechte. Das Unternehmen Eyeo, Herausgeber von Adblock Plus, steht hinter dem Programm Acceptable Ads und lässt sich von Giganten des Überwachungsmarketings wie Google, Microsoft, Amazon, Taboola, Outbrain und Criteo hohe Summen dafür zahlen, deren Werbung nicht standardmäßig zu blockieren: eine riesige Heuchelei!

Es fällt mir leicht, Firefox und uBlock Origin meinen Angehörigen zu empfehlen:

• Firefox ist einfach zu installieren und sehr schnell. Es ist eine Software, die von einem unabhängigen Akteur (Mozilla) entwickelt wird, quelloffen ist und die Privatsphäre seiner Nutzer respektiert.
• uBlock Origin ist ebenfalls einfach zu installieren und sehr wirksam.

Tracker und Werbung im Web auf einem iPhone blockieren: weniger verbreitete Content Blocker

Auf meinem iPhone verwende ich beim Surfen im Web Safari. Dank Intelligent Tracking Prevention (ITP) schützt mich dieser vor dem Cross-Site-Tracking durch Dritte (insbesondere durch das Blockieren von Drittanbieter-Cookies, aber nicht nur). Beachten Sie, dass seit iOS 14 Intelligent Tracking Prevention auch für andere Browser gilt: Auch Chrome unter iOS schützt Sie vor dem Cross-Site-Tracking durch Dritte! Nur erfüllt ITP eben nicht alle meine Bedürfnisse:

• Es blockiert keine Werbung.
• Es blockiert das Cross-Site-Tracking, verhindert aber nicht das Senden der Tracker (Safari sendet weiterhin Anfragen an zahlreiche Marketingunternehmen).
• Es lässt das Tracking zu, wenn es auf eine einzige Website beschränkt ist: Das Analysetool eines Anbieters (Google Analytics, wenn der Anbieter die Werbefunktionen nicht aktiviert hat, AT Internet, Adobe Analytics …) funktioniert weiterhin korrekt und analysiert Ihren Besuch (auch wenn die Analyse auf die besuchte Website beschränkt bleibt).

Im Gegensatz zu Android (Beispiel: Firefox für Android) erlaubt iOS einem Browser nicht, Erweiterungen zu installieren (der Browser muss zwingend die Rendering-Engine von Safari, Webkit, verwenden): Es ist daher unmöglich, direkt einen Adblocker zu installieren.

Es ist jedoch möglich, einen „Content Blocker“ zu installieren; dieser wird nur unter Safari (und nicht in den anderen Browsern) aktiviert und kann Listen von Trackern und Werbung blockieren. Ich verwende daher den Content Blocker Firefox Focus, um Werbung zu blockieren. AdGuard bietet ebenfalls einen Content Blocker für Safari an, aber bei meiner Nutzung blockierte er das Laden bestimmter Websites, was mich zwang, ihn zu deaktivieren.

Auch diese Option fällt mir leicht, meinen Angehörigen mit iOS zu empfehlen (für Android empfehle ich Firefox mit uBlock Origin):

• Safari ist der Standardbrowser, es gibt nichts zu konfigurieren.
• Firefox Focus erfordert ein Minimum an Konfiguration, das aber schnell erledigt ist.

Tracker und Werbung in nativen Apps blockieren: das Publikum ist kaum informiert, NextDNS kommt zu Hilfe

Komplizierter wird es nun bei den iPhone-Apps, wo mir eine gute Option zum Blockieren von Trackern und Werbung fehlte. Ich zahlte für ProtonVPN, doch dieses lässt sich nicht gleichzeitig mit einem Blocker wie NextDNS oder AdGuard verwenden.

Außerdem hatte ich erhebliche Akkuprobleme mit den Apps ProtonVPN, NextDNS und AdGuard und glaubte, die Ursache zu kennen: Diese Apps basierten alle auf einem VPN (sie konnten an einem Tag mitunter bis zu 50 % des Akkus meines alten iPhones verbrauchen). Vor dem Erscheinen von iOS 14 mussten NextDNS und AdGuard ein lokales VPN verwenden, um die DNS-Anfragen zu verschlüsseln.

AdGuard läuft unter iOS über ein lokales VPN

Aber mit iOS 14 fügt Apple die Möglichkeit hinzu, DNS-Anfragen nativ zu verschlüsseln. Kein Umweg mehr über den „Hack“ eines lokalen VPN und damit auch keine Auswirkungen mehr auf meinen Akku. Da NextDNS diese Option rasch umgesetzt hat, habe ich beschlossen, es durchgehend zu nutzen, und wurde nicht enttäuscht.

Mit NextDNS kann ich somit:

• Tracker und Werbung blockieren, wenn ich Apps auf meinem iPhone verwende, also über die iOS-App von NextDNS.
• Tracker und Werbung auf meinem Apple TV blockieren (tvOS ermöglicht ebenfalls die native Verschlüsselung der DNS-Anfragen), über den Generator für Apple-Konfigurationsprofile.
• Tracker und Werbung in Apps blockieren, wenn ich meinen Mac verwende. Ein Beispiel: Der Mac-Player von Spotify ist sehr geschwätzig, er gibt Ihre persönlichen Daten an Google und Comscore preis, und uBlock Origin hilft da nicht weiter. Die Mac-App von NextDNS ermöglicht es, diese Tracker zu blockieren.
• Die bereits von uBlock Origin unter Firefox (Mac) und von Firefox Focus unter Safari (iPhone) geleistete Blockierung von Trackern und Werbung durch eine zweite NextDNS-Blockierschicht ergänzen. So habe ich zahlreiche Einwilligungsbanner zum Verschwinden gebracht, was mein Surfen angenehmer macht.
• Meine Freebox so konfigurieren, dass sie das DNS von NextDNS verwendet und so die Tracker vernetzter Geräte blockiert (in meinem Fall mein Thermostat).

Diese Lösung kann ich ebenfalls problemlos meinen Angehörigen empfehlen:

• NextDNS lässt sich schnell installieren und konfigurieren (im Gegensatz zu einem Pi-hole, das sich vor allem an Bastler richtet).
• NextDNS funktioniert auch unterwegs (wiederum im Gegensatz zu einem Pi-hole, das nur im heimischen WLAN funktioniert).

Der Nutzen eines DNS-Resolvers

NextDNS ist ein DNS-Resolver (Domain Name System) unter vielen. DNS ist einer der wesentlichen Dienste des Internets: Es handelt sich um ein Verzeichnis, das die Zuordnung zwischen einem Domainnamen (Beispiel: google.fr) und einer IP-Adresse (Beispiel: 216.58.204.99) ermöglicht. Standardmäßig verwenden Sie den DNS-Server Ihres Internetanbieters. Doch da gibt es einen Haken:

• Diese DNS-Anfragen sind nicht verschlüsselt, ein Angreifer kann sie also abfangen, herausfinden, welche Websites Sie besuchen, oder diese Anfragen sogar im laufenden Betrieb verändern, um Sie beispielsweise zum Herunterladen eines Virus zu bewegen.
• Aus rechtlichen Gründen sperren Internetanbieter (ISP) auch den Zugriff auf bestimmte Websites. Beispiel: Sie möchten über die Website The Pirate Bay Torrent-Dateien (Filme, Serien, Musik) herunterladen, doch diese ist möglicherweise von Ihrem Anbieter gesperrt. Die ISPs setzen diese Sperre über den DNS-Resolver um, den sie Ihnen bereitstellen.

Damit Ihre DNS-Anfragen verschlüsselt werden und Sie auf bestimmte Websites zugreifen können, können Sie den DNS-Anbieter wechseln. Wenn Sie Tracker und Werbung nicht blockieren möchten, ist OpenDNS ein vertrauenswürdiger Resolver. Wenn Sie einfach nur einen schnellen Dienst nutzen möchten und die Allgegenwart von Google in Ihrem Leben Sie nicht beunruhigt, können Sie das Google Public DNS verwenden. Wenn Sie die fortschreitende Zentralisierung des Webs wenig kümmert und es Ihnen lediglich um die Leistung geht, können Sie ebenso das DNS von Cloudflare nutzen.

Aber es wäre schade, auf halbem Weg stehenzubleiben! Bei Trackern und Werbung kann der DNS-Resolver eine leere Antwort zurückgeben, statt die richtige IP-Adresse zu liefern. Beispiel: Wenn Sie auf Ihrem iPhone ein Spiel spielen und dieses eine Werbung ausliefern möchte, fragt es Ihren DNS-Resolver nach der Adresse von doubleclick.net (das Werbenetzwerk von Google). Wenn Sie NextDNS verwenden und die Blocker aktiviert haben, gibt dieser keine Antwort zurück: Sie werden nicht getrackt und sehen keine Werbung!

Mit NextDNS können Sie Ihre Sperrlisten auswählen

Wie bei einem „klassischen“ Adblocker wie uBlock Origin können Sie mit NextDNS Sperrlisten abonnieren:

Meine Auswahl unter den meistgenutzten Listen.

NextDNS bietet Ihnen auch Sperrlisten, um sich vor dem „nativen“ Tracking zu schützen:

Apple sammelt Nutzungsstatistiken? Ich kann diese Anfragen jetzt blockieren.

NextDNS arbeitet transparent

Wenn Sie sich entscheiden, die Protokolle (Logs) von NextDNS zu aktivieren, haben Sie große Flexibilität:

• Bei der Aufbewahrungsdauer: von 1 Stunde bis 2 Jahre. Wenn Sie nur überprüfen möchten, ob NextDNS einwandfrei funktioniert, und die blockierten Domains feinabstimmen wollen, reicht 1 Stunde.
• Beim Speicherort: insbesondere in der Europäischen Union oder, besser noch, in der Schweiz.

Anschließend können Sie die Arbeit von NextDNS über eine Online-Oberfläche „überprüfen“. So sieht die Ansicht aus, wenn ich die App L’Équipe auf meinem iPhone starte:

Wie wir bereits gesehen haben, gibt die App L’Équipe Ihre persönlichen Daten preis. Aber NextDNS verhindert diese Datenabflüsse zuverlässig (auf dem Screenshot zu ACPM und Weborama), und Sie sehen keine Werbung mehr.

Falls Sie einmal nicht blockierte Tracker bemerken, haben Sie die Wahl, neue Sperrlisten zu abonnieren oder diese Tracker einfach Ihrer Blacklist hinzuzufügen:

Einige manuell hinzugefügte Tracker

Wenn Ihre Protokolle aktiviert sind, haben Sie außerdem Zugriff auf aggregierte Statistiken:

NextDNS blockiert nahezu 20 % meiner Anfragen. In der Ansicht nach Gerät blockiert NextDNS bis zu 30 % der Anfragen auf meinem iPhone und auf meinem Apple TV (die Apps werden dort von keinem anderen Adblocker erfasst). Umgekehrt blockiert NextDNS auf meinen MacBooks nur 3 % der Anfragen, da uBlock Origin Tracker und sonstige Werbung im Web bereits blockiert.

NextDNS blockiert auch das „CNAME-Cloaking“

Das „CNAME-Cloaking“ ist eine heimtückische Art, Sie zu überwachen, indem es die Schutzmechanismen der Browser und anderer Adblocker umgeht. Seine Implementierung geht häufig mit einer schwerwiegenden Sicherheitslücke einher: dem Abfluss Ihrer Anmeldedaten an den Dritten. Hier einige ausführliche Beispiele auf diesem Blog:

• LeBonCoin nutzt es in Partnerschaft mit Criteo.
• Lemonde.fr nutzt es in Partnerschaft mit AT Internet.
• Boursorama nutzte es in Partnerschaft mit AT Internet und Smart AdServer (das Problem wurde inzwischen behoben).
• Criteo drängt diese Technik seinen Kunden aggressiv auf; mehr als 10.000 Anbieter sollen das „CNAME-Cloaking“ mit Criteo bereits implementiert haben.

Insbesondere Criteo geht bei seiner Nutzung des „CNAME-Cloaking“ sehr perfide vor: Die „Funktion“ wird nur aktiviert, wenn Sie Safari verwenden (um „Intelligent Tracking Prevention“ zu umgehen). So könnten Sie glauben, eine Website setze kein „CNAME-Cloaking“ ein, wenn Sie die Anfragen mit Firefox oder Chrome beobachten. Wenn Sie also Safari auf dem iPhone verwenden, sind Sie gegen diese Überwachungstechnik nicht geschützt.

NextDNS hat den Schutz vor dem Tracking per „CNAME-Cloaking“ bereits vor einem Jahr implementiert:

Der Schutz ist standardmäßig aktiviert.

Welches Geschäftsmodell hat NextDNS?

Bevor man einen solchen Dienst nutzt, gilt es zunächst, das Geschäftsmodell genau zu verstehen. Ein Beispiel: Das Geschäftsmodell von Google ist das Überwachungsmarketing. Wenn Sie sich Sorgen über die Allgegenwart von Google in unserem Leben machen, werden Sie das Google Public DNS wohl meiden. NextDNS hat ein „Freemium“-Modell:

• Der Dienst ist bis zu 300.000 DNS-Anfragen pro Monat kostenlos (Hinweis: In meinem ersten Nutzungsmonat habe ich dieses Limit trotz intensiver Nutzung nicht erreicht). Wenn Sie das Limit erreichen und nicht zahlen, verhält sich NextDNS bei den zusätzlichen Anfragen wie ein einfacher DNS-Resolver: kein Filter, keine Protokolle.
• Wenn Sie die Kontingente überschreiten, ist der Tarif sehr moderat: 1,99 $/Monat oder 19,90 $/Jahr (ungefähr der Gegenwert in Euro).
• NextDNS bietet zudem kostenpflichtige Tarife für Unternehmen und Schulen an.

Können Sie NextDNS vertrauen?

Wenn Sie Ihre DNS-Einstellungen nicht geändert haben, verwenden Sie wahrscheinlich den Resolver Ihres Internetanbieters. Wenn Sie auf NextDNS umsteigen, müssen Sie einem neuen Dritten vertrauen. Wie lässt sich beurteilen, ob dieser Dritte vertrauenswürdig ist? Jeder muss sich seine eigene Meinung bilden; hier sind die Argumente, die mich überzeugt haben.

Die Vorstellung der Gründer, zwei Franzosen, legt die Grundsätze von NextDNS dar:

NextDNS wurde im Mai 2019 in Delaware, USA, von den beiden französischen Gründern Romain Cointepas und Olivier Poitrey gegründet. Olivier arbeitet seit 20 Jahren an Internet-Infrastrukturen. 2005 gründete er Dailymotion, den nach YouTube größten Videosharing-Dienst und damals die weltweit beliebteste europäische Website. Derzeit ist er Director of Engineering bei Netflix und arbeitet an Open Connect, dem hauseigenen CDN von Netflix, auch bekannt als das CDN, das rund 30 % des gesamten US-Internetverkehrs bewegt. Romain und Olivier haben jahrelang bei Dailymotion eng an vielen verschiedenen Projekten zusammengearbeitet. Romain leitete schließlich die Abteilung Mobile & TV.

Wir sind echte Befürworter der Netzneutralität und des Datenschutzes im Internet. Wir glauben, dass von ISPs betriebene unverschlüsselte DNS-Resolver diesen beiden Prinzipien abträglich sind. Alternative Lösungen wie Google DNS oder Cloudflare DNS sind großartig, aber wir meinen, dass mehr Akteure in die Bresche springen und alternative Dienste anbieten müssen, um eine Machtkonzentration zu vermeiden.

Ich nutze lieber die Dienste eines Unternehmens mit diesen Grundsätzen als die meines Internetanbieters oder eines Google. Beachten Sie auch die technische Kompetenz der beiden Mitgründer (Netflix und Dailymotion), die sich ebenso in der Geschwindigkeit von NextDNS zeigt:

NextDNS war in den letzten 30 Tagen schneller als Google.

Die Datenschutzrichtlinie ist ebenfalls direkt, knapp und sehr klar:

• Die erhobenen Daten werden niemals verkauft oder weitergegeben.
• Alle Daten, die nicht protokolliert werden sollen (nach Wahl des Nutzers), werden sofort gelöscht.
• Verlangt der Nutzer nicht ausdrücklich, dass seine Daten protokolliert werden, wird nichts protokolliert. Verlangt er es (um seine Protokolle einzusehen, wie ich es tun konnte), behält er die Kontrolle über seine Daten und über die Aufbewahrungsdauer.
• NextDNS schützt Sie (es gibt Ihre IP-Adresse nicht preis), wenn es bei anderen DNS-Resolvern Informationen abfragt.

NextDNS wurde außerdem als Partner von Firefox ausgewählt, um die DNS-Anfragen seiner Nutzer zu verschlüsseln (vorerst ist das Programm nur in den Vereinigten Staaten verfügbar). Das ist ein Zeichen für Seriosität (der einzige weitere Partner ist Cloudflare).

NextDNS vs. Pi-hole?

Wenn Sie die Kontrolle behalten möchten und gern tüfteln, ist der Pi-hole eine ausgezeichnete Lösung. Beachten Sie, dass Sie dennoch dem vom Pi-hole aufgerufenen DNS-Server (Upstream-DNS) vertrauen müssen – Sie müssen also immer jemandem vertrauen. NextDNS ist eine Art „Pi-hole in der Cloud“; dieser Artikel erläutert die Vor- und Nachteile der beiden Optionen.

Wenn Sie die Option NextDNS näher ergründen möchten, empfehle ich Ihnen diesen Artikel sowie die FAQ von NextDNS. Für mich ist die Wahl schnell getroffen: Durch seine einfache Installation und die Tatsache, dass es unterwegs funktioniert, erfüllt NextDNS meine Bedürfnisse perfekt. Ich kann es auch problemlos bei Angehörigen installieren, die keine Geeks sind.

Was auch immer Ihre Vorlieben sind, ich ermutige Sie, für hochwertige Informationen zu bezahlen und Ihre Angehörigen zu schützen, indem Sie Tracker- und Werbeblocker auf ihren Geräten installieren.