Kostenloses vs. kostenpflichtiges DNS-Filtering: Worauf Standorte bei kostenlosen Optionen verzichten

Nutzen Sie einen kostenlosen DNS-Filter, wenn Sie ein einzelnes Netzwerk mit geringem Risiko betreiben und keine Berichte benötigen. Nutzen Sie kostenpflichtige DNS-Filterung, wenn Sie Gast- und Mitarbeiter-VLANs segmentieren oder mehrere Standorte verwalten. Kostenlose öffentliche Resolver wenden eine einzelne, starre Richtlinie an und bieten keine Abfrage-Logs. Kostenpflichtige Dienste wie Purple Shield, DNSFilter und Cisco Umbrella bieten Richtlinien pro VLAN, Berichterstattung und Support.

Wann reicht ein kostenloser DNS-Filter für ein Standort-Netzwerk aus?

Beginnen wir dort, wo die Filterung ansetzt. Jede Verbindung beginnt mit einer DNS-Abfrage, bei der das Gerät einen Resolver nach der IP-Adresse hinter einem Domänennamen fragt. Ein schützender Resolver prüft diese Domäne anhand einer Richtlinie, bevor er antwortet. Wenn die Domäne bösartig ist oder zu einer blockierten Kategorie gehört, wird keine Adresse zurückgegeben und es kommt keine Verbindung zustande.

Diese Positionierung ist der Grund, warum DNS-Filterung das erfasst, was eine Firewall übersieht. Eine Firewall überprüft den Datenverkehr erst, nachdem die Verbindung besteht, und Verschlüsselung verbirgt immer größere Teile jeder Sitzung. Die Abfrage findet nach wie vor zuerst statt, für jede App und jedes Gerät im SSID.

Sowohl kostenlose als auch kostenpflichtige Filterung setzen an derselben Stelle an. Die Frage zwischen kostenloser und kostenpflichtiger DNS-Filterung dreht sich darum, wer die Richtlinie festlegt, wer die Ergebnisse sieht und wer antwortet, wenn etwas nicht funktioniert.

Ein kostenloser DNS-Filter reicht aus, wenn drei Bedingungen gleichzeitig erfüllt sind:

• Ein Netzwerk, eine Zielgruppe. Ein einzelnes Gast-SSID, ohne dass Mitarbeiter-, Zahlungs- oder Anwohner-Datenverkehr dieselbe Richtlinie teilt.
• Keine Nachweispflichten. Keine Regulierungsbehörde, kein Versicherer, keine Lizenzauflage und keine Jugendschutzpflicht verlangen von Ihnen den Nachweis, was Sie blockieren.
• Eine feste Blockierungsliste ist akzeptabel. Sie können mit den Kategorien des Anbieters leben und warten, wenn eine legitime Website fälschlicherweise blockiert wird.

Sobald auch nur eine dieser Bedingungen nicht mehr zutrifft, macht sich kostenpflichtige DNS-Filterung bezahlt. Eine breitere Übersicht der Optionen finden Sie in unserem Leitfaden zu Alternativen für DNS-Filterung.

Kostenlose oder kostenpflichtige DNS-Filterung: Die Entscheidung in einem Diagramm

Beantworten Sie vier Fragen der Reihe nach. Jede Frage nennt eine Bedingung, die Sie von der kostenlosen Option abbringt.

Welche Option passt zu welchem Standort-Szenario?

Die Tabelle ordnet gängigen Standort-Netzwerken eine Empfehlung und die dahinterstehende Bedingung zu.

Praxisbeispiel: Ein NHS-Trust mit Patienten-, Besucher- und Personalnetzwerken

Ausgangslage. Ein Krankenhaus-Trust betreibt WiFi für Patienten, Besucher und medizinisches Personal. Ein einziger kostenloser Resolver würde allen drei Gruppen dieselbe Richtlinie zuweisen und dem Sicherheitsteam keinerlei Aufzeichnungen über Blockierungen liefern.

Was getan wurde. Der St George's Healthcare NHS Trust nutzt Purple Shield als Schutz-DNS in seinem WiFi.

Ergebnis. Shield blockiert schädliche Bedrohungen im Trust, bevor eine Verbindung aufgebaut wird. Ein kostenloser Resolver würde möglicherweise einige derselben Domains blockieren, aber niemand im Trust hätte Einblick in die genaue Anzahl.

Praxisbeispiel: Ein 200-Zimmer-Hotel wechselt von einem kostenlosen Resolver

Ausgangslage. Ein Hotel mit 200 Zimmern leitet Gäste- und Personal-VLANs über einen kostenlosen Familienfilter-Resolver. Die Website eines Buchungspartners wird für den Empfang fälschlicherweise blockiert, und das Gästenetzwerk wird an ausgebuchten Abenden langsam.

Was getan wird. Das Hotel wechselt zu einem kostenpflichtigen Schutz-DNS mit getrennten Richtlinien für Gäste und Personal. Es setzt die Partner-Website einmalig auf die Allow-List und aktiviert die Werbeblockierung für das Gäste-VLAN.Zu erwartendes Ergebnis. Der Rezeptionsbereich wird durch eine einzige Änderung spürbar entlastet, ganz ohne Support-Ticket bei einem Anbieter ohne Ticket-Warteschlange. Nach eigenen Daten von Purple liefert die Ad-Blockierung bis zu 44 % weniger Daten und bis zu 62 % weniger DNS-Abfragen. Diese Kapazität steht Gästen zu Stoßzeiten wieder zur Verfügung.

Was bietet ein kostenloser DNS-Filter und was fehlt ihm?

Kostenlose öffentliche Resolver erledigen eine Aufgabe gut: Sie verweigern die Auflösung von Domains auf ihrer Sperrliste. Drei davon sind auf Veranstaltungs- und Standort-Netzwerken weit verbreitet:

• Cloudflare 1.1.1.1 for Families bietet zwei feste Einstellungen: Malware-Blockierung oder Malware plus Inhalte für Erwachsene (Cloudflare-Dokumentation).
• Quad9 blockiert schädliche Domains mithilfe von Threat Intelligence von Sicherheitspartnern, bietet jedoch keine Inhaltskategorien. Betrieben wird der Dienst von einer gemeinnützigen Stiftung mit Sitz in der Schweiz.
• OpenDNS FamilyShield blockiert Inhalte für Erwachsene anhand einer vorkonfigurierten Liste. Der kostenpflichtige Umbrella-Dienst von Cisco ging aus OpenDNS hervor.

Freemium-Dienste wie NextDNS und AdGuard DNS bieten in ihren kostenlosen Tarifen ein Dashboard und benutzerdefinierte Listen. Sie begrenzen jedoch die Nutzung und sind für Haushalte ausgelegt - prüfen Sie daher die Bedingungen, bevor Sie einen solchen Dienst in einem Hotel einsetzen.

Hier ist, worauf ein Unternehmensnetzwerk verzichtet, wenn es sich auf einen kostenlosen Resolver verlässt:

• Eine Richtlinie für jedes Netzwerk. Der Resolver sieht Ihre öffentliche IP-Adresse, nicht Ihr VLAN. Sie können jedes VLAN auf einen anderen kostenlosen Resolver verweisen lassen, aber dann wählen Sie nur zwischen vorgegebenen Menüs, anstatt eine eigene Richtlinie zu erstellen.
• Keine lesbaren Protokolle. Wenn ein Laptop eines Mitarbeiters eine Phishing-Domain aufruft, haben Sie keinerlei Daten zur Untersuchung. Sie können nicht sagen, welches Gerät wann angefragt hat.
• Keine Ausnahmen. Sie können die Website eines fehlerhaft blockierten Lieferanten nicht auf eine Positivliste setzen. Sie müssen warten, bis der Anbieter die Seite neu klassifiziert, oder alle auf einen anderen Resolver umstellen.
• Keine Auswahl bei den Kategorien. Glücksspiel, soziale Medien, Streaming und File-Sharing sind Ihre Entscheidungen. Kostenlose Resolver treffen diese für Sie - oder gar nicht.
• Kein Support. Es gibt kein Ticket, keinen benannten Ansprechpartner und keinen Service Level, wenn die Auflösung an einem Samstagabend langsamer wird.
• Keine Nachweise. Jugendschutz-Audits, Fragebögen von Versicherern und Lizenzprüfungen verlangen Nachweise darüber, was Sie blockieren. Ein kostenloser Resolver hinterlässt Ihnen nichts, was Sie vorlegen können.

Was bringt kostenpflichtiges DNS-Filtering für ein Unternehmensnetzwerk?

Kostenpflichtiges DNS-Filtering behält dieselbe Platzierung bei und ergänzt sie um Kontrolle, Transparenz und einen persönlichen Ansprechpartner. Fünf Erweiterungen sind für einen Standort besonders wichtig:

• Eine Richtlinie pro SSID, VLAN und Standort. Gäste erhalten Schutz vor Malware, Phishing und Inhalten für Erwachsene. Mitarbeiter erhalten eine Richtlinie, die zu ihrer Arbeit passt. Anwohner oder Dauergäste erhalten einen Zugang wie zu Hause mit Malware-Schutz - alles verwaltet über ein zentrales Dashboard.
• Berichte und Abfrageprotokolle. Sie sehen blockierte Bedrohungen pro Netzwerk und können die Suchanfragen eines Geräts nach einem Vorfall untersuchen. Legen Sie eine Speicherfrist fest, die Sie im Rahmen der GDPR rechtfertigen können.
• Positiv- und Sperrlisten. Schalten Sie einen Lieferanten einmal frei und die Änderung wird auf jeden Standort übertragen.
• Schnellere Threat Intelligence. Shield markiert Bedrohungen schneller durch aktualisierte Threat Intelligence.
• Werbeblockierung. Eigene Messungen von Purple zeigen bis zu 44 % weniger Daten und bis zu 62 % weniger DNS-Abfragen bei aktivierter Werbeblockierung. In einem überlasteten Veranstaltungs- oder Transportnetzwerk ist das Backhaul-Kapazität, die Sie zurückerhalten.

Wie sich die kostenpflichtigen Optionen unterscheiden

Cisco Umbrella ist in das breitere Sicherheitsportfolio von Cisco eingebettet. Es eignet sich für Teams, die bereits auf Cisco-Sicherheitstools standardisiert sind; unser Cisco Umbrella Preisleitfaden erklärt, wie die Preisgestaltung strukturiert ist.

DNSFilter ist ein eigenständiger protective DNS-Dienst mit einem Programm für Managed Service Provider (MSPs). Es eignet sich für IT-Teams und MSPs, die DNS-Filterung als separates Tool wünschen.

Purple Shield ist protective DNS, das speziell für Venue WiFi entwickelt wurde. Es läuft eigenständig auf jedem WiFi oder lässt sich an Purple Access anbinden, mit einer Richtlinie pro SSID, VLAN und Veranstaltungsort. Da es auf DNS-Ebene arbeitet, benötigt es keine neue Hardware. Es läuft auf Netzwerken von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Purple wird an über 80.000 Veranstaltungsorten in 90 Ländern eingesetzt.

Was kostet der Betrieb der einzelnen Optionen?

Die Lizenzgebühr ist der kleinste Posten in diesem Vergleich. Vergleichen Sie die Arbeitszeit, die jede Option im Laufe eines Jahres in Anspruch nimmt.

Kostenlose Filterung verlagert die Kosten von der Rechnung auf Ihr Team. Jedes Falsch-Positiv wird zu einem Ticket ohne Lösung außer Warten. Jeder Vorfall wird zu einer Untersuchung ohne Daten.

Ein selbst gehosteter Filter wie Pi-hole tauscht die Lizenzgebühr gegen Patching, Hardware und Verantwortung außerhalb der Arbeitszeiten ein. Pi-hole vs managed DNS filtering behandelt diesen Kompromiss ausführlich.

Kostenpflichtige Anbieter berechnen pro Standort, Netzwerk, Gerät oder Benutzer. Modellieren Sie die Einheit, die zu Ihrem Bestand passt, bevor Sie Angebote vergleichen. Für Shield siehe Purple Shield pricing, und verrechnen Sie jegliche Bandbreiteneinsparung durch Werbeblocker mit der Gebühr.

Was ändert die Antwort?

Minderjährige nutzen das Netzwerk

In England müssen Schulen und Colleges die filtering and monitoring standards des Bildungsministeriums erfüllen. Diese gelten neben Keeping Children Safe in Education (KCSIE). Es wird erwartet, dass Sie wissen, was blockiert wird, und dies regelmäßig überprüfen. Ein kostenloser Resolver ohne Protokolle kann dies nicht nachweisen, sodass die Antwort auf kostenpflichtig fällt.

Sie sind eine berechtigte öffentliche Einrichtung im Vereinigten Königreich

Das NCSC bietet seinen Protective DNS Service berechtigten Organisationen des öffentlichen Sektors kostenlos an. Er blockiert bekannte schädliche Domains in Unternehmensnetzwerken. Er bietet Ihnen jedoch keine Inhaltskategorien oder Richtlinien pro SSID für Besucher-WiFi. Eine praktikable Aufteilung ist NCSC Protective DNS in Unternehmensnetzwerken und kostenpflichtige Filterung im Gäste-WiFi.

Bandbreite ist der Engpass

In einem Stadion, an einem Bahnhof oder an einem ländlichen Standort mit geringer Backhaul-Kapazität verändert Ad-Blocking die Rechnung. Bis zu 44% weniger Daten und bis zu 62% weniger DNS-Abfragen – nach eigenen Daten von Purple – können einen Teil der Gebühr ausgleichen.

Sie bezahlen bereits für einen Security Stack

Wenn Cisco Umbrella bereits Ihren Unternehmensbestand abdeckt, kostet die Erweiterung auf das Gäste-WiFi möglicherweise weniger. Entscheidend ist, ob das Richtlinienmodell zu Gäste-Netzwerken pro SSID über viele Standorte hinweg passt. Überprüfen Sie dies in einem Testlauf, bevor Sie sich festlegen.

Sie betreiben viele Standorte oder verwalten diese für andere

Jeder kostenlose Resolver wird Standort für Standort konfiguriert, ohne gemeinsame Übersicht. Über einen gesamten Bestand hinweg ist die Konsole das eigentliche Produkt. DNS-Filterung für MSPs und Multi-Site-Bestände deckt diesen Fall ab.

Der Standort besteht aus einem Raum und einer SSID

Ein einzelnes Café mit einer Gäste-SSID ist der ehrliche Anwendungsfall für eine kostenlose Lösung. Richten Sie die SSID auf einen Resolver mit Familienfilter aus und schließen Sie die Umgehung. Überdenken Sie die Entscheidung, wenn Sie ein Mitarbeiter-Netzwerk oder einen zweiten Standort hinzufügen.

Was ist der empfohlene Standard für Veranstaltungsort-WiFi?

Ihr erster Schritt ist eine Bestandsaufnahme. Listen Sie jede SSID und jedes VLAN an jedem Veranstaltungsort auf, den derzeit verwendeten Resolver und wer eine fälschlicherweise blockierte Website bemerken würde. Führen Sie dann einen 30-Tage-Test für DNS-Filterung an einem Veranstaltungsort mit getrennten Richtlinien für Gäste und Mitarbeiter durch.

DNS-Filterung ist eine Ebene der Netzwerksicherheit. Für die zugehörigen Steuerungen, von IEEE 802.1X (portbasierte Netzwerkauthentifizierung) bis hin zu WPA3, lesen Sie unseren Sicherheitsleitfaden für Enterprise-WiFi.

Häufig gestellte Fragen

Kann ich einen kostenlosen DNS-Filter in einem geschäftlichen Gäste-WiFi-Netzwerk verwenden?

Ja, für einen einzelnen Standort mit geringem Risiko SSID, aber prüfen Sie zuerst die Bedingungen. Kostenlose öffentliche Resolver wie Quad9 und Cloudflare 1.1.1.1 for Families bieten Ihnen eine feste Richtlinie, keine Protokolle und keinen Support. Freemium-Angebote wie NextDNS begrenzen die Nutzung und sind auf Haushalte ausgelegt. Sobald sich Gäste- und Mitarbeiternetzwerke die Verbindung teilen oder Sie die Filterung nachweisen müssen, reicht ein kostenloser Resolver nicht mehr aus.

Wie viel kostet kostenpflichtige DNS-Filterung?

Kostenpflichtige DNS-Filterung ist ein Abonnement, dessen Preis je nach Anbieter pro Standort, Netzwerk, Gerät oder Arbeitsplatz berechnet wird. Wir veröffentlichen keine Preise anderer Anbieter. Bilden Sie die Einheit ab, die zu Ihrer Infrastruktur passt, bevor Sie Angebote vergleichen. Die Preise für Shield finden Sie auf der Purple Shield-Preisseite. Rechnen Sie etwaige Bandbreiteneinsparungen durch Werbeblockierung gegen die Gebühr auf.

Funktioniert Purple Shield mit den Access Points, die ich bereits besitze?

Ja. Shield arbeitet auf DNS-Ebene, benötigt also keine neue Hardware und keinen Wechsel der Access Points. Es läuft auf Netzwerken, die auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet basieren. Sie können es eigenständig auf jedem WiFi ausführen oder zu Purple Access hinzufügen, mit einer Richtlinie pro SSID, VLAN und Standort.

Wie migriere ich von einem kostenlosen Resolver zu einer kostenpflichtigen DNS-Filterung?

Migrieren Sie ein Netzwerk nach dem anderen, indem Sie den DNS-Server ändern, den Ihr DHCP-Bereich zuweist. Beginnen Sie mit dem Gäste-SSID an einem Standort und beobachten Sie eine Woche lang Blockierungen und Helpdesk-Anrufe. Verschieben Sie dann die Mitarbeiter-VLANs auf eine eigene Richtlinie. Schließen Sie dabei schrittweise die Umgehungsmöglichkeiten an der Firewall. Unser 30-Tage-Testplan beschreibt die Reihenfolge und die Prüfungen.

Hilft DNS-Filterung bei der Einhaltung von GDPR und Safeguarding-Vorgaben?

Ja, wenn sie mit Protokollen und einer klaren Aufbewahrungsrichtlinie geliefert wird. Safeguarding-Frameworks wie KCSIE erwarten von Ihnen den Nachweis, was gefiltert und überprüft wird. Abfrageprotokolle können personenbezogene Daten gemäß GDPR enthalten, bewahren Sie diese also nur so lange auf, wie Sie es rechtfertigen können. Purple ist ISO 27001- und Cyber Essentials-zertifiziert sowie GDPR-konform.

Wie schneidet Purple Shield im Vergleich zu Cisco Umbrella und DNSFilter ab?

Alle drei sind kostenpflichtige schützende DNS-Dienste, die bei der Auflösung filtern, bevor eine Verbindung hergestellt wird. Cisco Umbrella eignet sich für Teams, die bereits auf Cisco-Sicherheits-Tools standardisiert sind. DNSFilter ist ein eigenständiger Dienst mit einem MSP-Programm. Shield wurde für Standort-WiFi entwickelt, mit einer Richtlinie pro SSID, VLAN und Standort über ein einfaches Dashboard. Whitbread, AGS Airports und der St George's Healthcare NHS Trust nutzen es bereits.

Können Gäste die DNS-Filterung umgehen?

Ja, ein entschlossener Gast kann jeden DNS-Filter mit einem VPN oder einem Gerät umgehen, das auf sein eigenes verschlüsseltes DNS eingestellt ist. Verringern Sie dieses Risiko, indem Sie den ausgehenden Port 53 für jeden Resolver außer Ihrem eigenen blockieren. Blockieren Sie auch bekannte DNS over HTTPS Endpunkte an der Firewall. Bei Gäste-WiFi geht es darum, die Gelegenheitsnutzer zu schützen, und nicht darum, jeden Experten aufzuhalten.