Quad9 zieht sich zum 24. November aus Frankreich zurück
Ein Pariser Gericht verpflichtet Quad9 auf Antrag von beIN, Domains für französische Nutzer zu sperren. Die Schweizer Stiftung verweigert die Sperre und stellt den Dienst in Frankreich zum 24. November ein. Was das für Firewalls, Pi-hole und Resolver mit 9.9.9.9 als Upstream bedeutet.
Der öffentliche DNS-Resolver Quad9 stellt seinen Dienst für Nutzer in Frankreich zum 24. November 2026 ein. Auslöser ist ein Urteil des Tribunal Judiciaire de Paris vom 21. Oktober zugunsten des Sportsenders beIN, das Quad9 verpflichtet, die Auflösung bestimmter Domains für französische Nutzer zu sperren. Betroffen sind Netze, Firewalls, Router und Resolver mit Standort in Frankreich, die 9.9.9.9 oder andere Quad9-Adressen als Upstream eintragen. Für Standorte in Deutschland nennt Quad9 keine Einschränkung.
Sofortiger Notfall ist das nicht, die Frist läuft aber nur einen Monat. Unternehmen mit Niederlassungen, Filialen oder Kunden in Frankreich sollten die DNS-Konfiguration dort jetzt prüfen und vor dem 24. November einen alternativen Upstream eintragen, sonst drohen Auflösungsfehler.
Was ist passiert?
Laut Quad9 hat das Pariser Gericht die Schweizer Stiftung verpflichtet, eine Reihe von Domains zu sperren, über die nach Darstellung von beIN unlizenzierte Sportübertragungen laufen. heise nennt das Aktenzeichen RG 26/11882 und unlizenzierte Tennisstreams als Anlass. Das Zwangsgeld hat das Gericht laut Quad9 von 580.000 auf 1.000 Euro pro Tag gesenkt, die Sperrpflicht endet am 14. November.
Quad9 will die Sperre trotzdem nicht umsetzen. Die Stiftung argumentiert, sie führe keine Nutzerdatenbank und könne französische Nutzer nicht zuverlässig erkennen. Geoblocking per IP-Adresse habe im früheren Verfahren gegen Sony Music in Deutschland nicht gereicht: Der Kläger umging die Sperre per VPN, das Gericht verhängte ein Ordnungsgeld. Den Prozess hat Quad9 nach eigenen Angaben später gewonnen. Eine weltweite Sperre lehnt die Stiftung ab, weil französisches Recht dann für alle Nutzer gelten würde. Zudem seien in Frankreich rund 20 weitere Klagen gegen Quad9 und andere Resolver-Betreiber anhängig. Quad9 hat Rechtsmittel eingelegt, der Rückzug gilt aber unabhängig davon.
Wer ist betroffen?
- Alle Nutzer und Netze in Frankreich, die Quad9 als Resolver verwenden, sowohl die filternden Adressen wie 9.9.9.9 als auch die ungefilterte Variante 9.9.9.10.
- Laut heise auch französische Überseegebiete und Saint-Pierre-et-Miquelon, nicht aber Französisch-Polynesien, Neukaledonien sowie Wallis und Futuna.
- Quad9 listet Netze aus Verwaltung, Forschung, Energieversorgung, Kommunen und Bildung, aus denen Anfragen kommen, darunter das Forschungsnetz RENATER und die staatliche Digitaldirektion DINUM.
Nicht betroffen sind laut Quelle Nutzer außerhalb Frankreichs. Ob mobile Geräte auf Reisen nach Frankreich oder VPN-Ausgänge dort Fehler sehen, beschreibt Quad9 nicht im Detail, das bleibt offen.
Wie kritisch ist das?
Für betroffene Standorte ist es ein Verfügbarkeitsrisiko mit klarem Datum. Fällt der einzige konfigurierte Upstream weg, scheitern Namensauflösungen für Clients, Mailserver und Anwendungen. Hinzu kommt der Verlust des Malware- und Phishing-Filters, den Quad9 auf 9.9.9.9 anbietet. Wer ihn bewusst als Schutzschicht nutzt, braucht dafür Ersatz. Laut CyberInsider stellt außerdem Mullvad seinen öffentlichen DNS-over-HTTPS-Dienst am 2. November ein und verweist Nutzer an Quad9, was in Frankreich eine zweite Umstellung bedeuten kann.
Was sollten Admins jetzt tun?
- Inventar prüfen: In Firewalls, Routern, DHCP-Optionen, Pi-hole, AdGuard Home, Blocky, Unbound oder Technitium aller französischen Standorte nach 9.9.9.9, 149.112.112.112 und weiteren Quad9-Adressen sowie DoH/DoT-Einträgen suchen.
- Für betroffene Standorte einen anderen Upstream festlegen und mindestens einen zweiten Anbieter als Fallback eintragen.
- Wird der Malware-Filter von Quad9 genutzt, gleichwertigen Schutz über einen anderen filternden Resolver oder eigene Blocklisten einplanen.
- Browser- und Endgeräteeinstellungen mit fest eingetragenem DoH prüfen, etwa in MDM-Profilen.
- Umstellung vor dem 24. November testen und die Auflösung danach im Monitoring beobachten.
Einordnung für Unternehmen
Der Fall zeigt, wie stark ein scheinbar neutraler Infrastrukturdienst von nationaler Rechtsprechung abhängt. Wer DNS-Upstreams einmal einträgt und dann vergisst, hat bei solchen Rückzügen ein Problem. Eine gepflegte Liste aller Resolver je Standort und mindestens zwei unabhängige Anbieter gehören deshalb zur Grundausstattung. Für Netze ausschließlich in Deutschland besteht laut den Quellen derzeit kein Handlungsbedarf, ein Blick auf die Fallback-Konfiguration lohnt trotzdem.
Passende Anleitungen auf S-EDV
- Pi-hole mit Docker: netzwerkweiter Werbe- und Tracker-Blocker
- Blocky mit Docker Compose: schlanker DNS-Werbeblocker per YAML
- Technitium DNS Server mit Docker Compose: eigener DNS für das Firmennetz
