Internet weg? DNS, WLAN oder Leitung prüfen

Fällt das Internet aus, wird zu Hause plötzlich jeder zur Netzwerkabteilung. Dieser Guide gibt dir die Fragen in der Reihenfolge, die den Fehler am schnellsten findet, damit du nicht mehr wahllos Geräte neu startest.

Kurz gesagt

Arbeite dich vom Gerät nach außen vor: Verbindung, IP-Adresse, Gateway, Internet per Adresse, Namensauflösung, Anwendung. Der erste Schritt, der scheitert, benennt die kaputte Ebene. Ein einziger Vergleich teilt die meisten Fälle in zwei Hälften: Klappt ein Ping auf eine IP-Adresse, aber die Auflösung eines Namens nicht, hast du ein DNS-Problem. Die Microsoft-Dokumentation zu ping beschreibt dieselbe Logik [2]. Die Befehle unten gibt es für Windows, Linux und macOS. Unsere Regel zum Schluss: Kaufe nichts, bevor ein Test ein defektes Teil belegt.

So funktioniert’s

1. Beginne mit dem Umfang. Stelle vier Fragen, bevor du einen Befehl tippst. Fallen alle Geräte aus oder eines? Fallen alle Seiten aus oder eine? Tritt es per Kabel und per WLAN auf? Erreicht ein Handy mit Mobilfunk dieselbe Seite? Die Apple-Supportseite für einen Mac, der online ist, aber keine Webseiten lädt, geht denselben Weg: WLAN-Verbindung prüfen, neu starten, VPN und Sicherheitssoftware prüfen, den Router neu starten und, wenn ein anderes Netz funktioniert, beim Anbieter nach einer Störung fragen [16]. Unser Zusatz: Schreib die Antworten auf. Fällt ein Gerät aus, liegt es am Gerät. Fallen alle aus, liegt es am Router, an der Leitung oder am DNS-Server.
2. Arbeite vom Gerät nach außen. Die Apple-Handbuchseite zu ping nennt die Methode: Zuerst den eigenen Rechner anpingen, dann Gegenstellen und Gateways, die immer weiter entfernt liegen [26]. Die Tabelle „Die Leiter im Überblick“ unter der Liste macht daraus sechs Sprossen. Halte an der ersten Sprosse an, die scheitert, und behebe sie, bevor du weitersuchst.
3. Verbindung: Kabel oder WLAN. Prüfe beim Kabel, ob der Stecker sitzt und die Anschlusslampe leuchtet, und probiere ein zweites Kabel und einen zweiten Port. Prüfe beim WLAN, ob du im richtigen Netz bist. Unter Windows listet netsh wlan show interfaces die WLAN-Schnittstellen [7]. Unter Linux zeigt nmcli device wifi list Kanal, Rate und Signal jedes Netzes in Reichweite [15]. Am Mac hältst du Option gedrückt, klickst auf das WLAN-Symbol und wählst „Drahtlos-Diagnose öffnen“ beziehungsweise Open Wireless Diagnostics. Das Werkzeug analysiert eine Verbindung, die den Router erreicht, aber keine Seiten lädt, und ändert deine Einstellungen nicht [17]. Signalschwellen nennen wir nicht, weil wir keine Standardquelle für „gut genug“ gefunden haben. Vergleiche stattdessen am selben Ort mit einem zweiten Gerät. Mit dem WLAN verbunden zu sein heißt nicht, Internet zu haben, denn das Netz muss dein Gerät auch hinauslassen [16].
4. IP-Adresse. Unter Windows zeigt ipconfig /all die vollständige TCP/IP-Konfiguration aller Adapter samt DNS-Servern [1]. Unter Linux listet ip address show up die Adressen der aktiven Schnittstellen [8]. Am Mac zeigt networksetup -getinfo "Wi-Fi" IP-Adresse, Subnetzmaske und Router des Netzwerkdienstes. Der Dienstname kann abweichen, networksetup -listallnetworkservices listet sie auf [21]. Heimnetze nutzen normalerweise Adressen aus den privaten Bereichen 10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16 [32]. Eine Adresse, die mit 169.254 beginnt, ist eine Link-Local-Adresse, die ein Gerät sich selbst gibt, wenn keine Adresskonfiguration verfügbar ist, etwa weil kein DHCP-Server antwortet [33]. Microsoft nennt die Windows-Variante APIPA [1]. Dann liegt der Fehler zwischen Gerät und Router, also schau auf Kabel, WLAN und den DHCP-Server des Routers. Eine neue Adresse forderst du unter Windows mit ipconfig /release und danach ipconfig /renew an. Microsoft warnt, dass /release TCP/IP auf Adaptern abschaltet, die ihre Adresse automatisch beziehen, also führe es nicht in einer Fernwartungssitzung aus [1]. Am Mac gehst du zu Systemeinstellungen, Netzwerk, dein Dienst, Details, TCP/IP, „DHCP-Lease erneuern“ [18]. Unter Linux verbindest du die Verbindung in deinem Netzwerkmanager neu (unsere Einschätzung, ein einzelner Befehl passt nicht auf jede Distribution).
5. Gateway. Das Standardgateway ist die Routeradresse, an die dein Gerät alles schickt, was nicht lokal ist. Unter Windows zeigt ipconfig sie als Standardgateway [1]. Unter Linux steht sie in der Zeile von ip route show, die mit default via beginnt [9]. Am Mac gibt route -n get default sie aus [22]. Dann pingst du sie an: ping /n 4 <gateway> unter Windows [2], ping -c 4 <gateway> unter Linux und macOS [10][26][20]. Eine Antwort heißt: Der Weg zum Router funktioniert. Keine Antwort heißt: Das Problem liegt zwischen Gerät und Router, also bei Kabel, WLAN oder Router selbst. Ein Gerät lässt sich so einstellen, dass es nicht auf Ping antwortet. Nimm ein stummes Gateway deshalb als starken Hinweis, nicht als Beweis, und kombiniere es mit Schritt 3 und der Statusseite des Routers.
6. Internet per Adresse. Pinge einen öffentlichen Resolver über seine IP-Adresse, damit DNS nicht beteiligt ist. Cloudflare nennt 1.1.1.1 und 1.0.0.1 für seinen Resolver [27]. Eine Antwort heißt: Deine Verbindung erreicht das Internet auf IP-Ebene. Keine Antwort bei normal ladenden Seiten heißt: Etwas filtert Ping, ignoriere es. Keine Antwort und nichts lädt, dann gehst du zur Statusseite des Routers und zur Wegverfolgung. Mit -4 oder -6 (unter Windows /4 und /6) testest du IPv4 und IPv6 getrennt [2][10].
7. DNS: Systemauflösung gegen direkte Abfrage. Frage zweimal. Erst über den normalen Weg deines Systems, dann direkt bei einem öffentlichen Resolver, und vergleiche. Unter Windows nutzt nslookup example.com den Standard-DNS-Server und nslookup example.com 1.1.1.1 den von dir genannten [3]. In PowerShell erledigt Resolve-DnsName example.com -Server 1.1.1.1 den zweiten Teil [4]. Unter Linux läuft resolvectl query example.com über systemd-resolved, gibt Protokoll und Schnittstelle aus, und --cache=no überspringt den lokalen Zwischenspeicher [12]. dig @1.1.1.1 example.com fragt genau diesen Server, während dig ohne @ die Server aus /etc/resolv.conf nimmt [14], bei Systemen mit systemd-resolved oft der lokale Stub auf 127.0.0.53 [13]. Am Mac löst dscacheutil -q host -a name example.com über die Standardaufrufe des Systems auf [24]. Welche DNS-Server dein Gerät nutzt, siehst du unter Windows mit ipconfig /all [1], unter Linux mit resolvectl status [12] und am Mac mit scutil --dns [23] oder im Reiter DNS der Netzwerkeinstellungen [19]. Leere Zwischenspeicher zuletzt. ipconfig /flushdns verwirft unter Windows gespeicherte und negative Einträge [1], und unter Linux erledigt resolvectl flush-caches das [12]. Apples eigene Handbuchseite sagt, das Leeren des Caches sei nur für Extremfälle gedacht [24]. Die Tabelle „Ergebnisse lesen“ unten erklärt, was die beiden Antworten bedeuten.
8. Sicheres DNS im Browser. Browser können das DNS des Systems umgehen. In Chrome ist „Sicheres DNS“ standardmäßig im automatischen Modus an und fällt bei Problemen auf unverschlüsselte Abfragen zurück. Bei einem eigenen Anbieter gibt es diesen Rückfall nicht, und Fehlermeldungen können sagen, dass die IP-Adresse des Servers nicht gefunden wurde. Prüfe die Anbietereinstellung oder schalte Sicheres DNS aus [28]. Firefox bietet Schutzstufen, und bei „Max Protection“ laden Seiten nicht, wenn sicheres DNS nicht verfügbar ist [29]. Klappt nslookup, aber nur ein Browser versagt, teste mit ausgeschaltetem sicherem DNS, mit einem anderen Browser und ohne VPN oder Sicherheitssoftware, die auch Apple als Ursache nennt [16].
9. Pi-hole oder AdGuard Home als Ursache. Das typische Muster: Namen scheitern, der Ping auf eine IP-Adresse klappt, und alle Geräte fragen dieselbe lokale DNS-Box, die aus ist, überlastet oder von ihrem Upstream abgeschnitten. Führe Schritt 7 gegen die Box und gegen 1.1.1.1 aus: dig @<box-ip> example.com und dig @1.1.1.1 example.com. Scheitert die Box und 1.1.1.1 antwortet, liegt das Problem bei der Box. pihole status zeigt den Laufzustand von DNS und Blocking bei Pi-hole [30]. pihole disable 5m pausiert das Blocking für fünf Minuten, pihole enable schaltet es wieder an [30]. Das hilft, wenn eine Seite blockiert wird, nicht wenn der DNS-Dienst ausgefallen ist. AdGuard Home kann den Schutz laut einem Entwickler-Thread für feste Zeiträume pausieren, von 30 Sekunden bis morgen, und sein Abfrageprotokoll zeigt, was mit einem Namen passiert ist [31]. Entwurf und Reparatur behandelt unser Guide zu Pi-hole und AdGuard Home. Ein zweiter DNS-Server bei den Clients hält Namen am Laufen, wenn die Box ausfällt, aber die Clients können ihn dann jederzeit nutzen und deinen Filter umgehen. Diese Abwägung triffst du.
10. Statusseite von Router und Modem. Öffne die Gateway-Adresse aus Schritt 5 im Browser. Die Bezeichnungen unterscheiden sich je nach Marke, achte also auf: Internet- oder WAN-Status, WAN-IP-Adresse, Verbindungsdauer oder Laufzeit, die Leitungssynchronisation bei DSL, Kabel oder Glasfaser und ein Ereignisprotokoll. Ein Status „getrennt“ weist auf die Leitung oder die Anbieterseite, also schau auf die Störungsseite des Anbieters und melde dich dort. Ein Status „verbunden“, obwohl dein Gerät 1.1.1.1 nicht erreicht, weist auf Router-Einstellungen oder den Anbieter. Viele kurze Laufzeiten bedeuten wiederholte Neuverbindungen, notiere also die Uhrzeiten. Eine WAN-Adresse in den privaten Bereichen [32] oder in 100.64.0.0/10 [34] heißt, dass ein anderes Gerät, oft beim Anbieter, vor dir Adressen umsetzt. Das nennt man Carrier-Grade NAT. Es ist keine Störung, aber eingehende Verbindungen funktionieren nicht. Dazu gibt es unseren CGNAT-Guide für Gameserver. Apple rät außerdem, Firmware-Updates für den Router einzuspielen und ihn neu zu starten [16].
11. Den Weg verfolgen. Führe tracert /d 1.1.1.1 unter Windows aus [6] oder traceroute -n 1.1.1.1 unter Linux und macOS [11][25]. Beide Optionen sparen die Namensabfragen [6][11]. Die erste Zeile sollte dein Gateway sein. Endet die Verfolgung direkt danach, schau auf Router und Leitung. Eine Zeile mit Sternchen ist nicht automatisch ein Fehler: Microsoft weist darauf hin, dass manche Router die erwartete Meldung nicht zurückgeben und in der Verfolgung unsichtbar bleiben [6]. Entscheidend ist, ob die Verfolgung das Ziel erreicht und wo sie jedes Mal stehen bleibt. In PowerShell macht Test-NetConnection 1.1.1.1 -TraceRoute dasselbe [5].
12. Hardware nur mit Beleg ersetzen. Ersetze ein Kabel nur, wenn der Tausch von Kabel oder Port das Problem behebt. Verdächtige einen WLAN-Adapter nur, wenn dasselbe Gerät per Kabel funktioniert, während andere Geräte am selben Ort gutes WLAN haben. Kämpfen alle Geräte an einer Stelle, ist es ein Abdeckungsproblem, und unsere Guides zu LAN, WLAN und Powerline sowie zu Mesh, Repeater und Access Point passen. Verdächtige den Router nur, wenn sein Protokoll an mehreren Tagen wiederholte Ausfälle zeigt und dein Anbieter die Leitung geprüft hat. Gehört das Modem dem Anbieter, bitte ihn um Austausch. Wir bewerten keinen Anbieter, und kein Schritt oben verlangt einen Kauf.

Die Leiter im Überblick

Eine Befehlsfolge für alle drei Systeme

Das ist eine Methode, kein Bericht über unsere Systeme. Ersetze <gateway> durch die Adresse aus Schritt 5. example.com ist ein für Beispiele reservierter Name. Nimm eine Seite, die du wirklich brauchst, wenn du sie testen willst.

Windows (Eingabeaufforderung oder PowerShell):

ipconfig /all
ping /n 4 <gateway>
ping /n 4 1.1.1.1
nslookup example.com
nslookup example.com 1.1.1.1
tracert /d 1.1.1.1

Linux:

ip address show up
ip route show
ping -c 4 <gateway>
ping -c 4 1.1.1.1
resolvectl status
resolvectl query example.com
dig @1.1.1.1 example.com +short +tries=1 +timeout=3
traceroute -n 1.1.1.1

macOS (Terminal):

networksetup -listallnetworkservices
networksetup -getinfo "Wi-Fi"
route -n get default
ping -c 4 <gateway>
ping -c 4 1.1.1.1
scutil --dns
dscacheutil -q host -a name example.com
dig @1.1.1.1 example.com +short +tries=1 +timeout=3
traceroute -n 1.1.1.1

Ergebnisse lesen

Ein Beispiel zur dritten Zeile, als Veranschaulichung: Das Gateway antwortet, 1.1.1.1 antwortet, nslookup example.com läuft in ein Timeout, und nslookup example.com 1.1.1.1 liefert eine Adresse. Der Router verteilt einen Pi-hole als DNS-Server, und dieser Pi-hole läuft nicht. Starte ihn und entscheide dann, ob ein zweiter DNS-Server oder ein Statusmonitor sinnvoll ist. Wie du so eine Box überwachst, zeigt unser Guide zu Uptime Kuma.

Prüfliste

• Beantworte die vier Fragen zum Umfang und schreib sie auf, bevor du etwas änderst.
• Teste mit einem Kabel, auch nur für eine Minute, um WLAN vom Rest zu trennen.
• Prüfe, ob deine Adresse mit 169.254 beginnt, und erneuere sie, wenn ja.
• Pinge das Standardgateway mit begrenzter Anzahl an und notiere, ob es antwortet.
• Pinge 1.1.1.1 an und vergleiche das mit einer Namensabfrage auf demselben Gerät.
• Frage einen öffentlichen Resolver direkt ab und vergleiche die Antwort mit der deines Systems.
• Schalte sicheres DNS im Browser für einen Test aus und teste ohne VPN.
• Pausiere oder stoppe deinen Pi-hole oder AdGuard Home an einem Testgerät und lies sein Abfrageprotokoll.
• Öffne die Statusseite des Routers und notiere WAN-Status, WAN-Adresse und Laufzeit mit der Uhrzeit.
• Tausche ein Teil nach dem anderen und ersetze Hardware erst, wenn ein Tausch den Defekt belegt.