Warum die Kindersicherung manchmal nicht greift: IPv6 und DNS über HTTPS

Ihr habt den Filter im Router eingetragen, alles sah richtig aus, und dann lädt auf dem Laptop eures Kindes doch eine Seite, die gesperrt sein sollte. Das ist kein Zeichen, dass ihr etwas falsch gemacht habt. Ein Filter am Router wirkt nur, wenn jede Anfrage dort ankommt, und dafür gibt es zwei klassische Umwege.

Zur Erinnerung: Jedes Gerät fragt vor dem Laden einer Seite einen DNS-Server, das Telefonbuch des Internets, wo die Seite zu finden ist. Der Filter beantwortet gesperrte Adressen nicht. Das klappt nur, wenn das Gerät auch wirklich diesen Server fragt. Wie das Grundprinzip funktioniert, steht in Internet-Schutzschild am Router einrichten. Hier geht es um die Fälle, in denen die Anfrage einen anderen Weg nimmt. Der Internet-Schutzschild trägt den Filter am Router ein und gilt damit für die Geräte im WLAN, nicht im Mobilfunknetz.

Umweg 1: Der zweite Adressweg (IPv6)

Moderne Router verteilen zwei Arten von Adressen: das klassische IPv4 und das neuere IPv6. Für beide gibt es getrennte Einstellungen für den DNS-Server. Tragt ihr den Filter nur für IPv4 ein, kann ein Gerät, das IPv6 nutzt, den Router-eigenen oder den vom Internetanbieter vorgegebenen Server fragen und am Filter vorbeilaufen. Bei der Fritz!Box gibt sich die Box selbst als DNS-Server an die Geräte weiter und fragt dann den Filter, den ihr eingetragen habt.

Bei der Fritz!Box findet ihr beide Felder unter Internet → Zugangsdaten → DNS-Server (nach der Auswahl „Andere DNS-Server verwenden“ erscheint je ein Bereich für DNSv4 und, sofern euer Anschluss IPv6 hat, für DNSv6). Die Menünamen können je nach Modell und Version etwas abweichen. Tragt für IPv6 denselben Anbieter ein wie für IPv4. Die Anleitung des Internet-Schutzschilds führt diesen Schritt mit den passenden Adressen auf.

Noch ein Stolperstein aus unserem eigenen Familien-Netz: Die IPv6-Adressen von Geräten wechseln, bei einem Linux-Laptop mehrere pro Tag, und ein Filter am Router stört das nicht. Regeln für einzelne Geräte über deren Adresse halten dadurch aber nicht, und die Erkennung über die feste Nummer der Netzwerkkarte (MAC) funktioniert in AdGuard Home nur, wenn es die Adressen selbst verteilt, sonst braucht ihr einen Abgleich.

Umweg 2: Der Browser fragt selbst (DNS über HTTPS)

Firefox und Chrome können Adressen verschlüsselt bei einem eigenen Anbieter erfragen, statt beim Router. Das nennt sich DNS über HTTPS (DoH). Für Datenschutz ist das gedacht, für einen Filter am Router ist es ein Umweg, denn der Router bekommt die Frage nie zu sehen.

Firefox. Laut Mozilla gibt es vier Schutzstufen. Die Standardstufe schaltet DoH ab, wenn Kindersicherung oder Firmenregeln aktiv sind oder das Netz Firefox signalisiert, DoH nicht zu verwenden. Dieses Signal ist eine Adresse, die der Filter bewusst „nicht kennt“ (use-application-dns.net). Mozilla schreibt aber auch: Das Signal gilt nur, wenn DoH als Standard aktiv ist, nicht, wenn jemand es selbst eingeschaltet hat. Bei uns war die Signal-Adresse gesperrt, und Firefox fragte trotzdem über DoH. Warum, haben wir nicht abschließend geklärt. Prüft unter Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS, welche Stufe gewählt ist. Am sichersten: Aus. Die Standardstufe verlässt sich auf ein Signal des Netzes, das bei uns nicht gereicht hat.

Chrome. Chrome hat die Einstellung „Sicheres DNS verwenden“ standardmäßig an, im automatischen Modus mit dem aktuellen Anbieter. Laut Google-Hilfe verschlüsselt Chrome dann nur, wenn euer bisheriger DNS-Anbieter das unterstützt, und fällt sonst auf die unverschlüsselte Abfrage zurück. Ein selbst gewählter Anbieter („Benutzerdefiniert“) ist der Umweg. Ihr findet die Einstellung unter Einstellungen → Datenschutz und Sicherheit → Sicherheit. Laut Google lässt sie sich zudem nicht nutzen, wenn das Gerät verwaltet wird oder Jugendschutzeinstellungen aktiv sind.

Fest einstellen. Wenn ihr auf einem Linux-, Windows- oder macOS-Rechner Firefox dauerhaft festlegen wollt, bietet Mozilla eine Unternehmensrichtlinie namens DNSOverHTTPS an, mit der DoH ausgeschaltet und gesperrt wird (Felder Enabled und Locked). Ob sie bei euch greift, zeigt die Seite about:policies im Firefox. Das ist etwas für Eltern, die gern selbst Hand anlegen.

Sagt eurem Kind vorher: „Ich teste kurz, ob unser Filter funktioniert.“ Ab etwa 11 Jahren kann es mitentdecken, welcher Weg am Filter vorbeiführt. Das stärkt sein Gefühl, selbst etwas bewirken zu können (unsere Einschätzung, keine Studienaussage).

1. Test am Kindergerät. Öffnet den Schutz-Check im Browser, den euer Kind nutzt. Er zeigt, ob bekannte Erwachsenen-Seiten gesperrt sind. Wiederholt ihn in jedem Browser, den das Gerät hat, und legt dafür einen festen Anlass fest: nach jedem Router-Update und nach größeren Browser-Updates.
2. IPv6-Feld im Router. Steht dort noch ein anderer oder gar kein Eintrag? Dann denselben Anbieter wie bei IPv4 eintragen.
3. DoH im Browser. Firefox: Stufe prüfen. Chrome: „Sicheres DNS“ nicht auf einen eigenen Anbieter stellen.
4. WLAN statt Mobilfunk. Der Filter wirkt nur im Heimnetz. Mobilfunk und fremde WLANs bleiben außen vor, ebenso VPN-Apps.

Wenn danach alles gesperrt ist, was gesperrt sein soll, habt ihr Ebene 1 solide. Wo auch ein sauberer Filter Lücken lässt, zeigt Warum DNS-Schutz nicht alles ist. Für Geräteregeln pro Kind ist ein eigener Filter im Heimnetz (AdGuard Home) der richtige Weg, den der Home-Guide beschreibt. Und der Filter ersetzt nicht das Gespräch: Was gesperrt ist und warum, besprecht ihr am besten mit eurem Kind. Wer die Einstellung ändern kann, braucht eine Absprache, nicht nur ein Schloss.