DNSSEC adds cryptographic signatures to the DNS hierarchy, allowing resolvers to verify that a response genuinely originates from the authoritative nameserver and has not been modified in transit. DNSBunker enforces strict DNSSEC validation: any domain whose signature chain is broken, absent, or invalid is rejected with REFUSED, protecting against cache poisoning and man-in-the-middle attacks.

DNSSEC ergänzt die DNS-Hierarchie um kryptografische Signaturen, mit denen Resolver verifizieren können, ob eine Antwort tatsächlich vom autoritativen Nameserver stammt und nicht manipuliert wurde. DNSBunker erzwingt strikte DNSSEC-Validierung: Domains mit fehlerhafter, fehlender oder ungültiger Signaturkette werden mit REFUSED abgewiesen — Schutz gegen Cache-Poisoning und Man-in-the-Middle-Angriffe.

DNS rebinding is an attack in which a malicious website's DNS record resolves to a private IP address, allowing attacker-controlled JavaScript to communicate with internal devices such as routers and home automation systems. DNSBunker blocks any public hostname resolving to private, loopback, or link-local IP ranges, enforced both as a resolver policy and via a dedicated Hagezi rebind protection list.

DNS-Rebinding ist ein Angriff, bei dem ein DNS-Eintrag auf eine private IP-Adresse auflöst, sodass angreifer-kontrolliertes JavaScript mit internen Geräten wie Routern kommunizieren kann. DNSBunker blockiert alle öffentlichen Hostnamen, die auf private, Loopback- oder Link-Local-IP-Bereiche zeigen — sowohl als Resolver-Policy als auch über eine dedizierte Hagezi-Rebind-Schutzliste.

Some applications and malware attempt to bypass the system resolver by hardcoding alternative DoH or DoT endpoints. DNSBunker blocks known bypass endpoints to ensure all DNS resolution on the network routes through the configured resolver.

Manche Anwendungen und Malware versuchen, den System-Resolver zu umgehen, indem sie alternative DoH- oder DoT-Endpunkte hardcoden. DNSBunker sperrt bekannte Bypass-Endpunkte, damit alle DNS-Auflösungen über den konfigurierten Resolver laufen.

Advertisements, trackers, telemetry endpoints, phishing domains, and malware infrastructure are blocked at the resolver level. Blocked domains are answered with a null IP (0.0.0.0 / ::), terminating the connection before any data is transmitted. Wildcard and regular-expression rules extend coverage to dynamically generated domains. Lists are refreshed hourly. A block TTL of 1,800 seconds is applied to reduce repeated lookup overhead on mobile devices and conserve battery, while remaining short enough to propagate unblocks promptly. All other TTLs are passed through as-is per RFC.

Werbung, Tracker, Telemetrie-Endpunkte, Phishing-Domains und Malware-Infrastruktur werden auf Resolver-Ebene gesperrt. Blockierte Domains werden mit einer Null-IP (0.0.0.0 / ::) beantwortet. Wildcard- und Regex-Regeln erweitern den Schutz auf dynamisch generierte Domains. Die Listen werden stündlich aktualisiert. Eine Block-TTL von 1.800 Sekunden bremst wiederholte Anfragen auf Mobilgeräten und schont den Akku. Alle übrigen TTLs werden RFC-konform unverändert weitergegeben.

• Hagezi Pro++
• Hagezi TIF — Threat Intelligence Feed
• Hagezi TIF — IP Blocklist
• Hagezi RegEx / Wildcard Rules
• Hagezi Rebind Protection
• Hagezi Encrypted DNS Bypass Prevention

• Hagezi Referral Allowlist

All filter lists are maintained by the independent open-source Hagezi DNS project. If a legitimate domain is being blocked or an ad network is slipping through, the correct channel is the Hagezi issue tracker. If DNSBunker's filtering is too strict, the Hagezi DNS Resolvers offer lighter alternatives with comparable privacy standards.

Alle Filterlisten werden vom unabhängigen Open-Source-Projekt Hagezi DNS gepflegt. Bei falsch gesperrten Domains ist der Hagezi Issue-Tracker der richtige Weg. Wer weniger strikte Filterung benötigt, findet bei den Hagezi DNS Resolvern abgestufte Alternativen.

DNSBunker does not log, store, or analyse your DNS queries. Your IP address is never written to disk. There is no query history, no user profiling, and no data that could be handed over in response to a legal request — because none exists. This is not a policy statement; it is an infrastructure constraint.

DNSBunker protokolliert, speichert und analysiert keine DNS-Anfragen. Die IP-Adresse wird nie auf einem Datenträger gespeichert. Es gibt keinen Anfrageverlauf, kein Nutzerprofiling und keine Daten, die auf eine rechtliche Anfrage herausgegeben werden könnten — weil schlicht keine vorhanden sind. Das ist keine Policy-Aussage, sondern eine Infrastruktur-Eigenschaft.

All infrastructure is located in Nuremberg, Germany, subject to EU data protection law and the GDPR. Germany has no mandatory data retention law for this category of service — in contrast to US-based providers, which are subject to National Security Letters and FISA court orders that can compel silent data disclosure.

Die gesamte Infrastruktur befindet sich in Nürnberg, Deutschland, und unterliegt dem EU-Datenschutzrecht sowie der DSGVO. Deutschland kennt keine Vorratsdatenspeicherungspflicht für diese Dienstekategorie — im Gegensatz zu US-amerikanischen Anbietern, die National Security Letters und FISA-Court-Anordnungen unterliegen.

When a query must be forwarded to an authoritative nameserver, only the minimum required portion of the domain name is transmitted. For example, when resolving sub.example.com, the root nameserver is only asked about .com, not the full hostname. This limits what upstream nameservers can infer about browsing patterns.

Wenn eine Anfrage an einen autoritativen Nameserver weitergeleitet werden muss, wird nur der minimal notwendige Teil des Domainnamens übertragen. Beim Auflösen von sub.example.com fragt der Root-Nameserver nur nach .com. Das begrenzt, was vorgelagerte Nameserver über Browsing-Muster ableiten können.

DNSBunker is a private project with no revenue model, no investors, and no advertising relationships. There is no financial incentive to monetise user data. The service exists because public DNS infrastructure should not be controlled by companies whose core business is the sale of attention and behavioural data.

DNSBunker ist ein privates Projekt ohne Umsatzmodell, ohne Investoren und ohne Werbebeziehungen. Es gibt keinen finanziellen Anreiz, Nutzerdaten zu monetarisieren. Der Dienst existiert, weil öffentliche DNS-Infrastruktur nicht von Unternehmen kontrolliert werden sollte, deren Kerngeschäft der Verkauf von Aufmerksamkeit und Verhaltensdaten ist.