@Exilholsteiner Danke. Das ist ein guter Tipp für die Fehlersuche.
Eine Verständnisfrage: Wenn ich den Fallback auf unverschlüsselte Namensauflösung zulasse, greift die Fritzbox dann bei einem Ausfall der verschlüsselten Verbindung auch dann auf öffentliche DNS-Server zu, wenn ich (zusätzlich zur DoT-Konfiguration) IP-Adressen der Server von Control D hinterlegt habe? Control D bietet nämlich einen Modus für Geräte, die kein DoT unterstützen. Die Authentifizierung läuft dann per DynDNS ab. Das habe ich - wie gesagt, zusätzlich zur DoT-Konfiguration - in meiner Fritzbox so eingestellt. Allerdings ist es etwas “Blackbox”, was die Fritzbox wann genau macht.
Ich werde das von dir beschriebene Vorgehen unabhänigig davon in den nächsten Tagen mal testen und mich dann noch einmal melden. (Allerdings denke ich nicht, dass es an Fehlern der Server von Control D liegt. Ich habe nämlich ein paar Geräte auch direkt mittels DoT konfiguriert (also gewissermaßen an der Fritzbox vorbei). Diese Geräte machen nie Probleme. Nur die Fritzbox.)