DNSSEC validation checks whether signed DNS answers still match their cryptographic chain. DNSBunker treats broken or invalid signatures as a failed answer instead of quietly falling back to unsigned trust.

DNSSEC-Validierung prüft, ob signierte DNS-Antworten noch zu ihrer kryptografischen Kette passen. DNSBunker behandelt kaputte oder ungültige Signaturen als Fehler, statt still auf unsigniertes Vertrauen auszuweichen.

DNS rebinding tries to make a public hostname resolve to an internal address. DNSBunker blocks public names that point at private, loopback or link-local ranges.

DNS-Rebinding lässt einen öffentlichen Hostnamen auf eine interne Adresse zeigen. DNSBunker blockiert öffentliche Namen, die auf private, Loopback- oder Link-Local-Bereiche verweisen.

Some apps and malware try to ignore the configured resolver and call known DoH or DoT endpoints directly. DNSBunker includes bypass lists so those shortcuts can be blocked at DNS level.

Manche Apps und Malware ignorieren den eingestellten Resolver und rufen bekannte DoH- oder DoT-Endpunkte direkt auf. DNSBunker nutzt Bypass-Listen, damit solche Abkürzungen auf DNS-Ebene blockiert werden können.

Blocked domains are answered as non-existent (NXDOMAIN), so the connection attempt stops before an ad server, telemetry endpoint, phishing host or malware domain can respond. Wildcard and regular-expression rules cover many generated hostnames too.

Blockierte Domains werden als nicht existent beantwortet (NXDOMAIN). Dadurch endet der Verbindungsversuch, bevor Werbeserver, Telemetrie-Endpunkt, Phishing-Host oder Malware-Domain antworten können. Wildcard- und Regex-Regeln decken auch viele generierte Hostnamen ab.

• Hagezi Pro++
• Hagezi TIF (Threat Intelligence Feed)
• xRuffKez CTI (Cyber Threat Intelligence)

• Hagezi Referral Allowlist

If a legitimate domain is blocked, report it to the maintainers of the list that contains it. For Hagezi lists, the right place is the Hagezi issue tracker. If this resolver is too strict for your network, the Hagezi DNS resolvers document lighter presets.

Wenn eine legitime Domain blockiert wird, melde sie bei den Maintainern der Liste, in der sie steht. Für Hagezi-Listen ist der Hagezi Issue-Tracker der richtige Ort. Wenn dieser Resolver für dein Netzwerk zu streng ist, dokumentieren die Hagezi DNS Resolver mildere Varianten.

DNSBunker does not keep a history of requested domains. Client IPs and query contents are not written to persistent storage, so the resolver cannot build a browsing profile from them.

DNSBunker führt keinen Verlauf angefragter Domains. Client-IPs und Anfrageinhalte werden nicht dauerhaft gespeichert, dadurch kann der Resolver daraus kein Surfprofil bauen.

The infrastructure is located in Nuremberg, Germany. The project is operated under EU data protection law and the German legal pages linked below describe the processing details.

Die Infrastruktur steht in Nürnberg. Das Projekt läuft unter EU-Datenschutzrecht; die unten verlinkten Rechtstexte beschreiben die technischen Verarbeitungsvorgänge genauer.

When the resolver has to ask authoritative nameservers, it sends only the part of the name needed for that step. Higher-level servers do not receive the full hostname if it is not necessary.

Wenn der Resolver autoritative Nameserver fragen muss, sendet er nur den für diesen Schritt nötigen Teil des Namens. Höhere Ebenen bekommen nicht den vollen Hostnamen, wenn er dort nicht gebraucht wird.

DNSBunker has no ad business, investor story or analytics product attached to it. It is a private, non-commercial resolver for people who want a stricter default without running the whole stack themselves.

DNSBunker hat kein Werbegeschäft, keine Investorenerzählung und kein Analytics-Produkt im Rücken. Es ist ein privater, nicht-kommerzieller Resolver für Leute, die strengere Defaults wollen, ohne den ganzen Stack selbst zu betreiben.