Quad9 verlässt Frankreich: Warum der Resolver geht, statt zu sperren

Am 22. Oktober 2026 hat Quad9 im eigenen Blog angekündigt, den Dienst für Nutzer in Frankreich zum 24. November 2026 einzustellen. Die Adresse 9.9.9.9, die viele Betreiber und Privatanwender seit Jahren als Standard in Router und Server schreiben, steht Nutzern dort dann nicht mehr zur Verfügung. Auslöser ist ein französisches Urteil vom Vortag im Verfahren des Sportsenders beIN.

Quad9 ist ein kostenloser, öffentlicher DNS-Resolver einer Schweizer gemeinnützigen Stiftung unter 9.9.9.9, der bekannte Schad-Domains filtert und weder Anmeldung noch Nutzerkonto verlangt. Ein rekursiver Resolver übersetzt Namen in IP-Adressen. Ein Pariser Gericht verlangt von Quad9, 58 Domains für Nutzer in Frankreich nicht aufzulösen. Die Stiftung geht stattdessen aus Frankreich und sperrt nicht.

Aktualisiert am 5. November 2026: Die Aussage des Quad9-CTO zur Umsetzung ist neu, ebenso die aktuellen Zahlen von Hacker News und eine Nachprüfung unserer eigenen Sperrliste. Dieser Beitrag behandelt Urteil, Vorgeschichte und unseren eigenen Befund; wie man den eigenen Forwarder absichert, steht im Schwesterbeitrag Quad9 verlässt Frankreich: Was das für eigene DNS-Forwarder heißt.

Was das Gericht entschieden hat

Nach Quad9 hat das Gericht das Zwangsgeld auf 1.000 Euro pro Tag gesenkt. beIN hatte laut TorrentFreak 10.000 Euro pro Tag und Domain verlangt, bei 58 Domains wären das 580.000 Euro täglich gewesen. Den Sperrauftrag selbst hat das Gericht laut TorrentFreak bestätigt (Aktenzeichen RG 26/11882). Er geht auf eine Entscheidung vom Mai 2026 zurück, die mit sechs Domains begann; zwei Ergänzungen haben die Zahl nach Angabe von Quad9 auf 58 erhöht.

Alle Zahlen stammen aus Fremdquellen und sind nicht nachgemessen. Den Urteilstext haben wir nicht gelesen, nur die Berichte darüber.

Laut TorrentFreak hat das Gericht beINs Zwangsgeld-Anträge gegen Cloudflare und mehrere VPN-Anbieter im selben Monat abgewiesen, weil diese zumindest einen Teil der Domains gesperrt hatten und das Gericht darin eine zumutbare Bemühung sah. Einen entsprechenden Antrag von Canal+ gegen Cloudflare hatte das Gericht im September abgelehnt. Laut TorrentFreak sperrt Quad9 keine der Domains. Nach Reclaim The Net betraf die Mai-Anordnung neben Quad9 auch Google und den DNS4EU-Betreiber Whalebone. Was dort umgesetzt wurde, wissen wir nicht.

Das Muster ist zwei Jahre alt

Im Mai 2024 ordnete das Pariser Gericht laut TorrentFreak an, dass Google, Cloudflare und Cisco rund 117 Domains mit Streams von Champions League und Premier League für Nutzer in Frankreich sperren. Cisco stellte OpenDNS zum 28. Juni 2024 für Frankreich und Portugal ein; die Ankündigung nennt Artikel L.333-10 des französischen Sport-Code. Google hatte laut TorrentFreak zugesagt, der Anordnung zu folgen. Im Dezember 2024 kamen Canal+-Anordnungen gegen Quad9 und Vercara dazu. Quad9 sperrte die damaligen Domains vorläufig weltweit und kündigte Berufung an (TorrentFreak, 12.12.2024).

Seitdem waren Canal+ und beIN die Kläger und Google, Cloudflare, Cisco, Quad9, Vercara und Whalebone die Beklagten. Quad9 selbst hält den Ansatz für wirkungslos: Die Sperre nehme die Inhalte nicht aus dem Umlauf, Nutzer wichen auf andere offene Resolver aus. Das ist die Bewertung der Stiftung.

Warum Quad9 nicht einfach sperrt

Die Begründung der Stiftung folgt einer Kette, die man als Betreiber nachvollziehen sollte, weil sie bei jeder Sperrliste dieselbe Frage stellt.

Erstens kann Quad9 Nutzer nicht nach Staat trennen. Der Dienst verlange keine Anmeldung und ordne Nutzer keinem Land zu, schreibt die Stiftung: "we have no list of French users". Zweitens hält sie geoIP für ungeeignet und verweist auf den Fall Sony Music in Deutschland (2021 bis 2023). Dort habe Quad9 zu Beginn geoIP-basiert gesperrt, Sony habe die Sperre per VPN umgangen, und das Gericht habe Quad9 wegen Missachtung bestraft. Das Verfahren gewann Quad9 in der Berufung vor dem Oberlandesgericht Dresden (Az. 14 U 503/23, veröffentlicht am 6. Dezember 2023, Urteil als PDF), das damit das Urteil des Landgerichts Leipzig vom 1. März 2023 aufhob. Nach Quad9 hat das mehrere Jahre und sechsstellige Kosten verursacht. Die Gesellschaft für Freiheitsrechte hat die Klage unterstützt.

Drittens bliebe nur die weltweite Sperre, und die lehnt Quad9 als Anwendung französischen Rechts auf alle Nutzer ab. Viertens begründet die Stiftung den Schritt als Grundsatz: Rekursive Auflösung sei ein neutraler, passiver Dienst, und Antworten werde man nicht verfälschen. Eine Berufung ist laut Quad9 anhängig; ob sie den Rückzug ändert, ist offen.

Wie Quad9 Frankreich ab dem 24. November ausschließt

Das sagt der Blogbeitrag nicht. Der Quad9-CTO John Todd hat es in den Hacker-News-Kommentaren so formuliert: Es sei wahrscheinlich, dass man nach dem 24. November geoIP-Filter einsetze, um französische Nutzer auszuschließen, mit der Möglichkeit von Fehlern. Das widerspricht der Aussage nicht, geoIP tauge für die Domainsperre nicht: Nach Todds Argumentation darf ein grober Ausschluss Lücken haben, eine gerichtlich geforderte Einzelsperre nicht. Das ist die Aussage des CTO vom 22. Oktober 2026, keine bestätigte Umsetzung.

Bei uns im Haus blockt der Resolver selbst

Am 24. Oktober 2026 haben wir nachgemessen, weil der Fall genau die Stelle trifft, die jeder selbst betriebene Resolver selbst setzt. Auf unserem primären Technitium-Knoten stehen als Forwarder dns.quad9.net:853 und cloudflare-dns.com:853 (DNS über TLS). Dort sind 35 heruntergeladene Sperrlisten geladen, manuell gesperrt ist nichts (lesende Abfrage der Konfiguration). Welchen Anteil jeder Upstream trägt, haben wir nicht getrennt gemessen. Für uns ändert der Rückzug aus Frankreich nichts, französische Nutzer betrifft er direkt.

Der zweite Befund war unerwartet. Unser Quellen-Crawler führt zehn Quellen, die am 24. Oktober seit sieben oder mehr Läufen fehlschlugen. Bei fünf davon lag die Ursache in unserer eigenen Sperrliste: Ben's Bites, Check Point Research, Docker Blog, Full Disclosure und OSS Security. Der Resolver liefert für diese Hostnamen 0.0.0.0, also dieselbe Methode, die Quad9 ablehnt. Die Listen entscheiden pro Hostname: www.docker.com kommt als 0.0.0.0 zurück, docker.com löst normal auf.

Eigene Messung, Crawler-Stand 24.10.2026, 03:45 UTC. Die fünf Quellen sind nicht tot: Über DNS-over-HTTPS bei 1.1.1.1 liefert seclists.org am 5. November 2026 die Adresse 50.116.1.184. Über den Resolver unseres Firmennetzes antworten am selben Tag seclists.org, research.checkpoint.com und www.docker.com weiterhin mit 0.0.0.0 und ::. Der Befund bestand also am 24. Oktober und am 5. November. Bemerkt hatten wir ihn vor der Auswertung nicht.

Aufgefallen ist das nur, weil der Crawler die Antwortklassen getrennt auswertet und einen Eintrag als sinkhole statt als Fehler führt. Ein Resolver, der Antworten ändert, entscheidet still über die Sichtbarkeit fremder Dienste. Bei Quad9 schreibt das ein Gericht vor, bei uns eine Liste, die wir selbst gewählt haben.

Was Betreiber jetzt prüfen können

Sperrlisten abzuschalten wäre die falsche Folgerung. Spam-Domains, Phishing-Infrastruktur und Malware-Steuerserver verschwinden nicht von allein, und die Schutzwirkung einer Liste ist real. Wer die Liste selbst wählt, mitloggt und eine Allowlist führt, kann Fehlsperren finden und zurücknehmen. Ein filternder öffentlicher Resolver gibt beides an einen Dritten ab, dessen Antworten sich per Gerichtsbeschluss ändern können.

1. Upstreams auflisten. Nicht nur im Resolver, auch dort, wo sie fest eingetragen sind: Router, Firewall-Profile, die resolv.conf von Basismaschinen, Managed Kubernetes. Die Umstellung eines einzelnen Forwarders beschreibt unser Beitrag zu DNS-Forwardern.
2. Auflösung überwachen, nicht nur Erreichbarkeit. Ein Check auf Port 53 schlägt nicht an, wenn die Antwort falsch ist. Ein fester Satz Hostnamen mit erwarteter Antwortklasse, alle paar Stunden abgefragt, findet 0.0.0.0, :: und unerwartetes NXDOMAIN. Warum ein grüner Uptime-Check dafür nicht reicht, steht in DNS-Monitoring: Warum ein grüner Uptime-Check nichts beweist.
3. Den Ausfall des Anbieters durchspielen. Kündigt der Anbieter des eigenen Resolvers in 30 Tagen den Rückzug an, braucht man einen zweiten Weg. Mit eigener rekursiver Auflösung (Unbound, Technitium, PowerDNS Recursor), eigenen Listen und eigener Allowlist lassen sich Antwort und Grund nachvollziehen. Weitere Beiträge zu Resolvern und Netzwerk im Eigenbetrieb bündelt der Themenhub Server, Proxmox und Netzwerk.

Wer das für die eigene Umgebung aufsetzen oder prüfen lassen will, findet das Angebot unter IT-Infrastruktur und Betrieb.

Community-Stimmen

Die Meldung steht auf Hacker News bei 1.382 Punkten und 479 Kommentaren (abgerufen am 5. November 2026, Meldung vom 22. Oktober). Ein Kommentator vergleicht einen Resolver mit einem Telefonbuch: Man bestrafe damit eine Firma für eine Nummer, die sie nur nachschlage. Die wichtigste Auskunft kommt vom Quad9-CTO selbst (siehe oben). Mehr als ein Stimmungsbild ist das nicht.

Weiterführende Quellen

Dieser Beitrag beruht auf Textquellen. Ein Video haben wir nicht ausgewertet.

Primär

• Quad9, Farewell, France, Mitteilung vom 22.10.2026 mit Begründung, Zwangsgeld und Rückzugsdatum
• Hacker News, Quad9 to exit France, Kommentar des Quad9-CTO John Todd zu geoIP, 22.10.2026
• Oberlandesgericht Dresden, Urteil Az. 14 U 503/23, Sony Music gegen Quad9, geschwärzte Fassung bei Quad9

Unabhängig

• TorrentFreak, DNS Resolver Quad9 Will Leave France After Court Orders Piracy Blocking Penalty, 22.10.2026: Urteil, Aktenzeichen, Cloudflare-Vergleich
• TorrentFreak, Quad9 Rejects French Piracy Blocks, Weighs Exit, 05.10.2026: sechs plus 52 Domains, beIN-Forderung
• TorrentFreak, French Piracy Blocking Order Goes Global, 12.12.2024: Canal+ gegen Quad9 und Vercara
• TorrentFreak, OpenDNS Suspends Service in France, 29.06.2024: Ciscos Ankündigung samt Artikel L.333-10 (die Cisco-Seite selbst blockt automatische Abrufe)
• Reclaim The Net, Quad9 Considers Leaving France, 06.10.2026: Google und Whalebone
• Mike Kuketz, Frankreich: DNS-Sperren treiben Quad9 zum Rückzug, 23.10.2026: Einordnung für Nutzer in Deutschland
• Gesellschaft für Freiheitsrechte, Erfolg gegen Netzsperren, 06.12.2023

Eigene Messung

• Crawl-Status state.json und lesende Konfigurationsabfrage des primären Technitium-Knotens, 24.10.2026; Nachprüfung der Hostnamen am 05.11.2026 über DoH und den Firmen-Resolver