WerbeblockerDNSHeimnetzwerk

Pi-hole: DNS-basierter Werbeblocker für das gesamte Heimnetzwerk

8 Min. Lesezeit

Browser-Erweiterungen wie uBlock Origin schützen zuverlässig auf dem PC – aber was ist mit dem Smart-TV, der Spielkonsole, dem Tablet oder dem smarten Kühlschrank? Pi-hole löst dieses Problem, indem es Werbung und Tracker bereits auf DNS-Ebene blockiert, bevor eine einzige Anfrage das Heimnetzwerk verlässt. Das Ergebnis: sämtliche Geräte im Netzwerk profitieren gleichzeitig, ohne dass auf jedem einzelnen eine Software installiert werden muss.

Das DNS-Sinkhole-Prinzip

Jedes Mal, wenn ein Gerät eine Website aufruft oder eine App eine Verbindung herstellt, fragt es zunächst einen DNS-Server nach der IP-Adresse des Zielhosts. Pi-hole schaltet sich als lokaler DNS-Resolver in diesen Prozess ein. Steht der angefragte Hostname auf einer Blockliste, gibt Pi-hole einfach eine ungültige Antwort zurück – die Verbindung kommt nie zustande. Werbebanner, Tracking-Pixel und Telemetrie-Server werden so auf Netzwerkebene zum Schweigen gebracht. Legitime Anfragen hingegen werden an einen vorgelagerten DNS-Server weitergeleitet.

Installation: Raspberry Pi und Docker

Pi-hole läuft auf nahezu jeder Linux-Hardware. Die empfohlene Methode für einen Raspberry Pi ist das offizielle Installationsskript:

curl -sSL https://install.pi-hole.net | bash

Wer lieber Docker nutzt, verwendet die folgende docker-compose.yml:

services:
  pihole:
    image: pihole/pihole:latest
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "8080:80/tcp"
    environment:
      TZ: 'Europe/Berlin'
      WEBPASSWORD: 'sicherespasswort'
    volumes:
      - './etc-pihole:/etc/pihole'
      - './etc-dnsmasq.d:/etc/dnsmasq.d'
    restart: unless-stopped

Nach der Installation wird im Router der DNS-Server auf die IP-Adresse des Pi-hole-Rechners umgestellt. Alternativ kann Pi-hole den DHCP-Dienst des Routers ersetzen und den DNS direkt an alle Geräte verteilen.

Tipp: Pi-hole lässt sich hervorragend mit Unbound kombinieren. Unbound ist ein rekursiver DNS-Resolver, der DNS-Anfragen direkt bei den autoritativen Nameservern auflöst – ohne einen vorgelagerten Anbieter wie Google (8.8.8.8) oder Cloudflare (1.1.1.1). Die Kombination Pi-hole + Unbound maximiert sowohl Werbeblockierung als auch DNS-Datenschutz.

Blocklisten verwalten

Pi-hole wird mit einer Standard-Blockliste ausgeliefert, die gängige Werbe- und Tracking-Domains enthält. Über die Weboberfläche (Gravity) lassen sich beliebig viele weitere Listen hinzufügen. Populäre Quellen sind etwa The Big Blocklist Collection (Firebog), die kuratierte Listen nach Kategorien (Werbung, Malware, Tracking, Social) anbietet. Mit einer durchschnittlichen Konfiguration werden typischerweise 10 bis 30 Prozent aller DNS-Anfragen im Heimnetzwerk blockiert.

Whitelist und Blacklist

Manchmal landen legitime Domains fälschlicherweise auf einer Blockliste. Pi-hole bietet eine einfache Whitelist-Funktion über die Weboberfläche oder die Kommandozeile (pihole -w domain.com). Umgekehrt können einzelne Domains manuell zur Blacklist hinzugefügt werden. Für Gruppen-basierte Regeln unterstützt Pi-hole ab Version 5 ein Gruppenmanagement, mit dem sich unterschiedliche Blockierungsprofile für verschiedene Geräte oder Nutzer definieren lassen.

Achtung: Pi-hole blockiert DNS-Anfragen, aber kein HTTPS. Werbung, die über dieselbe Domain wie der Inhalt ausgeliefert wird (z. B. bei YouTube oder gesponserte Suchergebnisse bei Google), kann Pi-hole nicht blockieren. Für diese Fälle bleibt eine Browser-Erweiterung wie uBlock Origin sinnvoll.

Das Dashboard

Pi-hole liefert ein übersichtliches Web-Dashboard mit, das in Echtzeit zeigt, wie viele Anfragen blockiert wurden, welche Domains am häufigsten abgefragt werden, welche Clients die meisten Anfragen stellen und wie hoch die Blockadenquote ist. Diese Transparenz hilft dabei, das Netzwerkverhalten zu verstehen und Blocklisten gezielt zu optimieren.

Vergleich: Netzwerkweite Werbeblocker im Überblick

Lösung Netzwerkweit DNS-basiert Self-Hosting Einrichtungsaufwand
Pi-hole Ja Ja Ja (Pflicht) Mittel
AdGuard Home Ja Ja Ja Gering
NextDNS Ja Ja Nein (Cloud) Sehr gering
uBlock Origin Nein (nur Browser) Nein — Sehr gering

Fazit

Pi-hole ist ein unverzichtbares Werkzeug für jeden, der sein Heimnetzwerk von Werbung und Tracking befreien möchte. Die DNS-basierte Blockierung schützt alle Geräte gleichzeitig, benötigt minimal Hardware und liefert durch das Dashboard wertvolle Einblicke in das Netzwerkverhalten. In Kombination mit Unbound entsteht eine datenschutzfreundliche DNS-Infrastruktur, die vollständig unter eigener Kontrolle liegt.

Häufig gestellte Fragen

Verlangsamt Pi-hole die Internetverbindung?
Im Gegenteil: Da Werbeanfragen blockiert werden, müssen weniger Ressourcen geladen werden, was Seiten oft schneller erscheinen lässt. Die DNS-Auflösung selbst ist durch lokales Caching sogar schneller als bei externen Anbietern.
Was passiert, wenn Pi-hole ausfällt?
Wenn der Pi-hole-Rechner nicht erreichbar ist, können alle DNS-Anfragen scheitern und das Internet erscheint unerreichbar. Daher empfiehlt es sich, einen zweiten DNS-Server als Fallback im Router zu konfigurieren oder eine zweite Pi-hole-Instanz zu betreiben.
Kann Pi-hole auch DoH (DNS over HTTPS) blockieren?
Pi-hole selbst unterstützt DoH nicht nativ, kann aber bekannte DoH-Endpunkte über Blocklisten sperren. Für echte DoH-Unterstützung als vorgelagerter Resolver empfiehlt sich cloudflared oder Unbound mit DoH-Upstream.
Unterschied zwischen Pi-hole und AdGuard Home?
Beide sind DNS-basierte Werbeblocker. AdGuard Home hat eine modernere Oberfläche, unterstützt DoH/DoT nativ und ist etwas einfacher einzurichten. Pi-hole hat die größere Community, mehr Dokumentation und ist seit Jahren bewährt. Beide sind kostenlos und Open Source.