Pi-hole vs. AdGuard Home vs. NextDNS: Werbe- und Trackingfilter im Homelab

Als Entwickler richtet man sein Homelab so ein, dass es einen beim Entwickeln unterstützt. Mein Homelab besteht mittlerweile aus mehreren Rechnern und Servern. Als Desktop nutze ich ein System mit AMD Ryzen AI Max+ 395, einer aktuellen Fedora-Version und meinen Entwicklungstools. Ein Dell OptiPlex 3050 Micro übernimmt Dienste wie Paperless und Nextcloud. Dazu kommt ein alter Mac Pro im bekannten Trashcan-Design mit 64 GB RAM, den ich für Tests und Multiagenten-Systeme verwende.

Davor sitzt ein 5G-Router. Ein ordentlicher, verwaltbarer Switch steht noch auf meiner Liste.

Damit stellte sich für mich eine sehr praktische Frage: Welche Lösung soll Werbung, Tracking und unnötige Telemetrie im Netz filtern? Zur Auswahl standen Pi-hole, AdGuard Home, NextDNS, die Filterfunktionen des Routers und klassische Browser-Blocker.

Ich habe alle fünf Ansätze ausprobiert. In diesem Artikel geht es nicht darum, möglichst viele Treffer in einer künstlichen Testseite zu erzeugen. Entscheidend ist, wie zuverlässig eine Lösung im Alltag arbeitet, welche Geräte sie schützt, wie viel Wartung sie verursacht und wie schnell ich eine fehlerhafte Sperre nachvollziehen kann.

Die wichtigste Unterscheidung: DNS-Filter und Inhaltsfilter

Pi-hole, AdGuard Home, NextDNS und viele Routerfilter entscheiden anhand von Domainnamen. Fragt ein Gerät beispielsweise eine bekannte Trackingdomain ab, liefert der Filter keine nutzbare Zieladresse zurück. Die Verbindung zum Tracker kommt dadurch nicht zustande.

Das funktioniert unabhängig davon, ob die Anfrage von einem Browser, einem Smartphone, einem Fernseher oder einem IoT-Gerät stammt. Voraussetzung ist, dass das Gerät tatsächlich den vorgesehenen DNS-Resolver verwendet.

Ein DNS-Filter sieht jedoch weder den vollständigen URL-Pfad noch den Inhalt einer Webseite. Er kann auch nicht sinnvoll zwischen Werbung und Nutzinhalt unterscheiden, wenn beides über dieselbe Domain ausgeliefert wird. Genau deshalb bleiben YouTube-Werbung, gesponserte Beiträge in sozialen Netzwerken und manche Werbung in Streaming-Apps häufig sichtbar. AdGuard Home nennt diese Einschränkung ausdrücklich in seiner offiziellen FAQ.

Ein Browser-Blocker arbeitet näher an der Webseite. Er kann einzelne Netzwerkanfragen blockieren, HTML-Elemente ausblenden und Regeln auf konkrete Pfade oder Seitenelemente anwenden. Dafür endet seine Zuständigkeit am Browserrand.

Die Lösungen sind deshalb keine vollständigen Alternativen. Für einen guten Schutz ergänzen sich ein netzweiter DNS-Filter und ein Browser-Blocker.

Der direkte Vergleich

Kategorie	Pi-hole	AdGuard Home	NextDNS	Router-DNS	Browser-Blocker
Werbe- und Trackingsperren	gut auf DNS-Ebene	gut auf DNS-Ebene	gut auf DNS-Ebene	stark vom Router abhängig	sehr gut im Browser
Geräteabdeckung	gesamtes LAN	gesamtes LAN	zu Hause und unterwegs	gesamtes LAN	nur unterstützte Browser
Installation	mittlerer Aufwand	eher einfach	sehr einfach	einfach bis mittel	sehr einfach
Datenhaltung	lokal	lokal	externer Dienst	meist lokal	lokal im Browser, Listen kommen von außen
Wartung	System und Listen	System und Listen	gering	abhängig vom Hersteller	gering
Diagnose	sehr gut	sehr gut	sehr gut	häufig eingeschränkt	gut pro Browser
Verschlüsseltes DNS	Upstream nur mit zusätzlicher Lösung	integriert	integriert	modellabhängig	browserabhängig
Schutz für Smart-TV und IoT	ja	ja	ja	ja, falls der Filter greift	nein
Kosmetische Filter	nein	nein	nein	nein	ja

Die Tabelle zeigt bereits, warum ein einfaches „Welche Lösung blockiert am meisten?“ zu kurz greift. Reichweite, Kontrolle und Filtertiefe sind unterschiedliche Eigenschaften.

Pi-hole: transparent und bewährt

Pi-hole ist eine DNS-Sinkhole-Lösung für eigene Linux-Hardware. Nach der Installation trägst Du Pi-hole im Router als DNS-Server für die Clients ein. Falls Dein Router keinen eigenen DNS-Server per DHCP verteilen kann, besitzt Pi-hole auch einen DHCP-Server. Die offizielle Dokumentation beschreibt beide Varianten im Abschnitt zur Netzwerkkonfiguration.

Mir gefällt an Pi-hole vor allem die Transparenz. Das Query Log zeigt, welches Gerät welche Domain angefragt hat und welche Regel gegriffen hat. Das ist bei Fehlersuchen wichtiger als eine hübsche Prozentanzeige. Wenn Microsoft 365, eine Banking-Seite oder eine App plötzlich nicht mehr richtig funktioniert, finde ich die verdächtige Domain schnell und kann sie gezielt freigeben.

Pi-hole unterstützt Blocklisten, exakte Domains, Wildcards und reguläre Ausdrücke. Geräte lassen sich Gruppen zuordnen, sodass beispielsweise für einen Entwicklungsrechner andere Regeln gelten können als für einen Fernseher oder ein Smart-Home-Gerät.

Die Kehrseite ist der Betrieb. Pi-hole benötigt ein dauerhaft erreichbares System, Updates, Backups und eine saubere Netzwerkkonfiguration. Fällt der einzige DNS-Server aus, wirkt das für Benutzer wie ein Ausfall des Internets. Zwei unabhängige Instanzen können die Verfügbarkeit verbessern, die Konfiguration muss dann aber auf beiden Systemen konsistent bleiben.

Auch beim Datenschutz bleibt nicht automatisch alles unsichtbar. Pi-hole protokolliert DNS-Anfragen je nach Konfiguration. Die FTL-Konfiguration bietet verschiedene Datenschutzstufen, bis hin zur Deaktivierung langfristiger Abfragelogs. Wer das System für mehrere Personen betreibt, sollte die Protokollierung bewusst festlegen und nicht einfach die Standardeinstellung übernehmen.

Pi-hole passt zu Dir, wenn

• Du Linux-Systeme selbst verwalten möchtest,
• Du detaillierte lokale Logs und flexible Gruppen brauchst,
• Du maximale Kontrolle über Daten und Listen willst,
• Du kein Problem mit regelmäßigen Updates und Backups hast.

AdGuard Home: viele Funktionen aus einem Paket

AdGuard Home verfolgt denselben Grundansatz wie Pi-hole. Es arbeitet als lokaler DNS-Server und blockiert bekannte Werbe-, Tracking- und Schadsoftwaredomains. Installation und Grundkonfiguration empfand ich als geradlinig. Die Weboberfläche führt schnell zu Clients, Filtern, Abfragelogs und Statistiken.

Der größte funktionale Unterschied liegt beim verschlüsselten DNS. AdGuard Home kann verschlüsselte Upstream-Resolver direkt über DNS over HTTPS, DNS over TLS und DNSCrypt ansprechen. Es kann außerdem selbst als verschlüsselter DNS-Server für Clients arbeiten. Bei Pi-hole benötigst Du dafür üblicherweise einen zusätzlichen lokalen Proxy. Die Gegenüberstellung stammt nicht nur aus Marketingtexten, AdGuard dokumentiert die Funktionen in der eigenen Vergleichsübersicht.

Zusätzlich bringt AdGuard Home Funktionen wie erzwungene sichere Suche und vordefinierte Schutzfunktionen für ungeeignete Inhalte mit. Das macht die Lösung interessant, wenn Du möglichst wenig aus mehreren Diensten zusammensetzen willst.

Auch hier gilt: DNS bleibt DNS. Ein modernes Dashboard verwandelt einen Domainfilter nicht in einen vollständigen Inhaltsblocker. YouTube-Werbung oder gesponserte Instagram-Beiträge werden dadurch nicht zuverlässig entfernt.

AdGuard Home passt zu Dir, wenn

• Du eine kompakte Komplettlösung bevorzugst,
• Du DoH oder DoT ohne zusätzlichen Proxy einsetzen willst,
• Du lokale Kontrolle mit einer zugänglichen Oberfläche verbinden möchtest,
• Du Schutzregeln für unterschiedliche Gerätetypen verwalten willst.

NextDNS: wenig Betrieb, gute Mobilität

NextDNS verlagert den DNS-Filter aus Deinem Homelab zu einem externen Anbieter. Du erstellst eine Konfiguration, aktivierst gewünschte Schutzlisten und bindest Geräte oder den Router über die angebotenen DNS-Verfahren an.

Der praktische Vorteil ist eindeutig: NextDNS funktioniert auch unterwegs, sofern das Smartphone oder Notebook entsprechend eingerichtet ist. Du brauchst keinen eigenen Server, keine Portfreigabe und keinen VPN-Tunnel zurück ins Heimnetz. Listen, Statistiken, Sperren und Freigaben werden zentral verwaltet.

Der Preis für diesen Komfort ist die Abhängigkeit von einem Cloud-Dienst. DNS-Anfragen verlassen Dein Netz. NextDNS erlaubt laut eigener Datenschutzerklärung, Logs zu deaktivieren und bei aktivierter Protokollierung Aufbewahrung und Speicherregion zu konfigurieren. Das ist besser als eine nicht beeinflussbare Protokollierung, bleibt aber ein anderes Vertrauensmodell als ein lokaler Resolver.

Für mobile Geräte ist NextDNS im direkten Vergleich am bequemsten. Pi-hole und AdGuard Home lassen sich zwar ebenfalls unterwegs verwenden, sinnvollerweise über ein eigenes VPN wie WireGuard oder Tailscale. Damit kommen jedoch zusätzliche Komponenten und mögliche Fehlerquellen hinzu.

NextDNS ist außerdem an Tarifgrenzen und die Verfügbarkeit des Anbieters gebunden. Preise und Freikontingente können sich ändern, deshalb nenne ich hier bewusst keine dauerhafte Zahl. Prüfe vor der Einrichtung die aktuelle Preisseite.

NextDNS passt zu Dir, wenn

• Du Geräte zu Hause und unterwegs mit demselben Profil schützen willst,
• Du keinen eigenen DNS-Dienst betreiben möchtest,
• Du wenig Wartungsaufwand bevorzugst,
• Du die externe Verarbeitung Deiner DNS-Anfragen akzeptierst.

Router-basierte Lösungen: bequem, aber nicht vergleichbar

„Router-DNS“ ist kein einzelnes Produkt. Hinter dem Begriff können einfache Domainlisten, Jugendschutzprofile, ein Herstellerdienst oder ein eingebauter Resolver mit verschlüsseltem Upstream stehen. Die Funktionen unterscheiden sich erheblich nach Hersteller, Modell und Firmware.

Der Vorteil liegt auf der Hand: Der Router ist bereits vorhanden und verteilt die Konfiguration an das Heimnetz. Für eine kleine Installation kann das ausreichen.

Bei der Fehlersuche stoßen viele Routerlösungen jedoch schnell an Grenzen. Häufig fehlen detaillierte Abfragelogs, flexible reguläre Ausdrücke, getrennte Regeln pro Client, APIs und brauchbare Exportfunktionen. Auch Listenupdates und die Dauer des Herstellersupports liegen nicht in Deiner Hand.

Ein weiterer Punkt ist die Erzwingung der DNS-Nutzung. Manche Geräte verwenden fest eingetragene Resolver oder verschlüsseltes DNS und umgehen damit die Vorgabe des Routers. Das betrifft nicht nur Routerfilter, sondern auch Pi-hole und AdGuard Home. Wer DNS zentral durchsetzen will, benötigt passende Firewallregeln. DoH lässt sich wegen der Nutzung von HTTPS nicht pauschal über einen einzelnen Port abfangen.

Eine Routerlösung passt zu Dir, wenn

• Du nur einen grundlegenden Schutz brauchst,
• Dein Router nachvollziehbare Logs und aktuelle Filter bietet,
• Du keinen zusätzlichen Dienst betreiben willst,
• Du die konkreten Funktionen Deines Modells geprüft hast.

Browser-Blocker: im Browser weiterhin unverzichtbar

Ein guter Browser-Blocker ist keine veraltete Ergänzung, sondern die zweite Filterebene. Er kann kosmetische Regeln anwenden, leere Werbeflächen entfernen und Anfragen anhand vollständiger URLs blockieren. Das kann ein DNS-Resolver technisch nicht leisten.

Für Firefox ist uBlock Origin für mich die naheliegende Wahl. Bei Chromium-basierten Browsern ist die Erweiterungsplattform durch Manifest V3 stärker reglementiert. Dort muss konkret geprüft werden, welche Version und welcher Funktionsumfang im jeweiligen Browser verfügbar sind. Eine allgemeine Aussage für alle Chromium-Browser wäre nicht belastbar.

Browser-Blocker schützen allerdings weder native Apps noch Fernseher, Konsolen, Drucker oder Sprachassistenten. Sie bieten auch keinen zentralen Überblick über die DNS-Kommunikation aller Geräte.

Ein Browser-Blocker passt zu Dir, wenn

• Du Werbung und Seitenelemente im Browser möglichst gründlich filtern willst,
• Du einzelne Regeln direkt für eine Webseite untersuchen möchtest,
• Du ihn als Ergänzung zu einem DNS-Filter einsetzt.

Mein Testaufbau

Ein fairer Vergleich benötigt dieselben Clients, dieselben Upstream-Resolver, dieselben Testzeiten und möglichst ähnliche Filterlisten. Sonst misst Du nicht die Software, sondern unterschiedliche Listen oder Netzwerkwege.

Ich teile den Test in zwölf Bereiche. Prozentwerte von Testseiten verwende ich nur als Einzelmessung. Sie sind kein allgemeiner Beweis für Schutzwirkung.

1. Blockierqualität

Ich prüfe klassische Banner, Tracking-Skripte, Social Widgets, Affiliate-Tracker und Telemetrie. Zusätzlich verwende ich folgende Testseiten:

• d3ward Adblock Test
• EFF Cover Your Tracks
• BrowserLeaks
• AdBlock Tester

Dabei muss klar sein, was eine Seite misst. Cover Your Tracks untersucht unter anderem Browser-Fingerprinting. Ein DNS-Filter allein kann den Fingerprint eines Browsers nicht beseitigen. Ein hoher Adblock-Testwert sagt außerdem wenig darüber aus, ob eine Banking-App, ein Smart-TV und Microsoft 365 weiterhin störungsfrei funktionieren.

Ich notiere daher:

• Anteil blockierter Testanfragen,
• erkannte Tracker,
• sichtbare Werbung,
• leere oder ausgeblendete Werbeflächen,
• reproduzierbare Fehlfunktionen.

2. DNS-Leistung

Für Einzelmessungen reichen dig und drill. Lasttests können mit dnsperf durchgeführt werden. namebench würde ich für einen aktuellen reproduzierbaren Test nicht mehr als Hauptwerkzeug verwenden, da das ursprüngliche Projekt seit langer Zeit nicht mehr regulär gepflegt wird.

# Erste Abfrage, möglicher Cache-Miss
dig @192.168.1.2 example.org A +stats

# Unmittelbare Wiederholung, typischer Cache-Hit
dig @192.168.1.2 example.org A +stats

# DNSSEC-Antwort prüfen
dig @192.168.1.2 cloudflare.com A +dnssec +multi

# IPv6-Auflösung prüfen
dig @192.168.1.2 example.org AAAA +stats

Für aussagekräftige Werte führe ich jede Messung mehrfach aus und notiere Median sowie 95. Perzentil. Eine einzelne Millisekundenangabe ist wertlos, wenn WLAN, Mobilfunk oder ein kalter Cache das Ergebnis bestimmen.

Zu messen sind:

• Antwortzeit beim Cache-Miss,
• Antwortzeit beim Cache-Hit,
• Fehlerrate,
• DNSSEC-Validierung,
• IPv4 und IPv6,
• Verhalten bei Ausfall des Upstreams,
• DoH, DoT und gegebenenfalls DoQ.

3. Webseiten-Kompatibilität

Ich öffne etwa 50 Seiten aus unterschiedlichen Kategorien. Dazu gehören YouTube, Reddit, Amazon, Microsoft, Spiegel, Netflix, Twitch, LinkedIn, Instagram, Facebook und mehrere Nachrichtenseiten.

Geprüft werden Layout, Bilder, Video, Login, Kommentare, Suchfunktionen und Bezahlvorgänge. Cookie-Banner werte ich getrennt. Das Entfernen eines Banners ist nicht automatisch gleichbedeutend mit einer abgelehnten Einwilligung.

4. Smart-TV und Streaming

Dieser Test zeigt den Vorteil der netzweiten Filter. Ich prüfe, soweit entsprechende Geräte vorhanden sind, Samsung TV, LG TV, Android TV, Fire TV und Apple TV mit YouTube, Twitch, Pluto TV, Rakuten TV und Spotify.

Ich erwarte dabei keine vollständige Werbefreiheit. Viele Streamingdienste liefern Werbung und Inhalte über gemeinsame Infrastrukturen aus. Entscheidend ist, welche Telemetrie blockiert wird und ob Wiedergabe, Anmeldung und Geräteaktivierung funktionieren.

5. App-Tracking

Auf Android und iOS teste ich typische Apps wie Facebook, Instagram, TikTok, Reddit, Spotify, Wetter-Apps und Spiele. Ich protokolliere:

• kontaktierte Domains,
• blockierte DNS-Anfragen,
• weiterhin sichtbare Werbung,
• Funktionsfehler nach der Sperre,
• Unterschiede zwischen Start, Anmeldung und normaler Nutzung.

Die Anzahl blockierter Anfragen darf nicht als Anzahl verhinderter Trackingvorgänge ausgegeben werden. Eine App kann dieselbe gesperrte Domain wiederholt anfragen und damit den Zähler künstlich erhöhen.

6. IoT-Geräte

Alexa, Google Home, Philips Hue, Drucker, Steckdosen und Kameras erzeugen oft auch dann Netzwerkverkehr, wenn niemand sie aktiv bedient. Ich erfasse die DNS-Anfragen über mindestens 24 Stunden und prüfe auffällige Telemetriedomains.

Danach sperre ich nicht wahllos alles. Bei Kameras, Sprachassistenten und Cloud-Steckdosen können Zeitabgleich, Anmeldung, Push-Benachrichtigungen oder Fernzugriff von Herstellerdiensten abhängen.

7. Ressourcenverbrauch

Bei Pi-hole und AdGuard Home messe ich RAM, CPU-Last, Datenbankgröße, Antwortzeiten und verarbeitete DNS-Abfragen. Unter Linux liefern beispielsweise diese Befehle reproduzierbare Momentaufnahmen:

systemctl status pihole-FTL
systemctl status AdGuardHome

systemd-cgtop
ps -eo pid,comm,%cpu,%mem,rss --sort=-rss

Container müssen mit denselben Limits, demselben Host und vergleichbarer Protokollierung getestet werden. Umfangreiche Logs und lange Aufbewahrungszeiten beeinflussen Speicherverbrauch und Datenbankgröße.

8. Verwaltung

Im Alltag bewerte ich Dashboard, Abfragelogs, Suche, Statistiken, Gruppen, Clientregeln, Zeitpläne, Kinderschutz, Allowlisten, Blocklisten, Konfigurationsexport und API-Zugriff.

Für mich ist die schnelle Ursachenanalyse wichtiger als die Zahl der Diagramme. Eine Lösung ist gut administrierbar, wenn ich von einer kaputten Funktion in wenigen Minuten zur verursachenden Regel komme.

9. Datenschutz

Ich prüfe:

• Wo liegen die Abfragelogs?
• Lassen sich Logs deaktivieren oder anonymisieren?
• Wie lang werden Daten gespeichert?
• Ist ein Cloudkonto notwendig?
• Wird der Upstream verschlüsselt angesprochen?
• Wird DNSSEC validiert?
• Ist EDNS Client Subnet deaktivierbar?
• Wer kann die Administrationsoberfläche erreichen?

Verschlüsseltes DNS und lokale Datenhaltung sind zwei verschiedene Fragen. DoH schützt den Transport zum Resolver. Der Resolver selbst sieht die Anfragen weiterhin.

10. Fehlalarmquote

Mehr Sperren sind nicht automatisch besser. Ich teste Banking, Microsoft 365, Google Workspace, Teams, Zoom, Steam, Epic Games und Discord. Jede notwendige Freigabe wird mit Domain, Ursache, betroffener Funktion und Filterliste dokumentiert.

Eine Allowlist sollte so eng wie möglich sein. Eine komplette Herstellerdomain freizugeben, obwohl nur ein einzelner Host benötigt wird, schwächt den Filter unnötig.

11. Mobilität

Situation	Pi-hole	AdGuard Home	NextDNS	Browser-Blocker
Zuhause	5/5	5/5	4/5	2/5
Unterwegs ohne eigene Zusatztechnik	1/5	1/5	5/5	5/5
Unterwegs mit VPN ins Heimnetz	5/5	5/5	5/5	5/5 im Browser
Smartphone inklusive Apps	3/5	4/5	5/5	2/5
Smart Home	5/5	5/5	5/5	0/5

Diese Werte bewerten die Eignung für die jeweilige Situation, nicht die gemessene Blockierquote. Bei Pi-hole und AdGuard Home steigt die mobile Bewertung nur mit zusätzlichem VPN. Ein Browser-Blocker erreicht in der Zeile „unterwegs“ fünf Punkte für Browserinhalte, nicht für native Apps.

12. Erweiterte Funktionen

Für einen tieferen technischen Vergleich prüfe ich:

• DNS over HTTPS,
• DNS over TLS,
• DNS over QUIC,
• DNSSEC-Validierung,
• EDNS Client Subnet,
• Caching-Effizienz,
• Wildcard- und Regex-Regeln,
• CNAME-basierte Umgehungsversuche,
• EDNS0-Verhalten,
• Failover,
• Startzeit nach einem Neustart,
• Backup und Wiederherstellung,
• API-Funktionen,
• automatische Listenupdates.

Nicht jede Funktion ist bei jeder Lösung sinnvoll messbar. Ein Browser-Blocker ist kein DNS-Resolver. NextDNS läuft nicht auf meiner Hardware, deshalb kann ich dessen serverseitigen RAM-Verbrauch nicht mit Pi-hole vergleichen.

Gewichtete Bewertungsmatrix

Für eine nachvollziehbare Gesamtwertung verwende ich eine Skala von eins bis fünf und folgende Gewichtung:

Kategorie	Gewicht
Blockierqualität	25 %
Geschwindigkeit	15 %
Kompatibilität	15 %
Datenschutz	15 %
Bedienbarkeit	10 %
Wartungsaufwand	10 %
Geräteabdeckung	5 %
Zusatzfunktionen	5 %

Die Berechnung ist einfach:

Gesamtwertung = Summe aus Einzelwertung × Gewicht

Beispiel für eine Tabellenkalkulation:

=SUMMENPRODUKT(B2:B9;C2:C9)/SUMME(C2:C9)

Ich würde trotzdem keine einzige globale Rangliste veröffentlichen. Die Gewichtung hängt vom Einsatz ab. Wer häufig unterwegs ist, muss Mobilität stärker gewichten. Wer sensible lokale Geräte betreibt, wird Datenschutz und lokale Protokollierung höher bewerten. Für ein Familiennetz können Zeitpläne und getrennte Profile wichtiger sein als eine API.

Meine Bewertung aus Administrator- und Entwicklersicht

Pi-hole bietet mir die größte Nähe zu einem klassischen Linux-Dienst. Die Konfiguration ist nachvollziehbar, die Community ist groß und das System lässt sich gut in ein bestehendes Homelab einordnen. Dafür muss ich den Dienst selbst verfügbar halten und verschlüsseltes Upstream-DNS bei Bedarf ergänzen.

AdGuard Home ist für mich die rundere Einzelanwendung. Verschlüsseltes DNS, Clientverwaltung und Schutzfunktionen sind eng integriert. Wenn ich heute ohne bestehende Pi-hole-Infrastruktur einen lokalen DNS-Filter neu aufsetzen müsste, wäre AdGuard Home mein erster Kandidat für einen direkten Test.

NextDNS gewinnt bei Mobilität und geringem Wartungsaufwand. Für ein Notebook und Smartphone, die regelmäßig außerhalb des Heimnetzes genutzt werden, ist das überzeugend. Ich gebe dafür jedoch lokale Kontrolle auf und muss dem Anbieter meine DNS-Verarbeitung anvertrauen.

Routerfilter sind brauchbar, wenn der konkrete Router gute Protokolle, aktuelle Listen und Clientregeln bereitstellt. Eine pauschale Empfehlung ist nicht möglich, weil die Produkte zu unterschiedlich sind.

Ein Browser-Blocker bleibt auf meinen Entwicklungsrechnern installiert. Er entfernt Seitenelemente und blockiert genauer als jeder reine DNS-Filter. Allein reicht er nicht, weil Apps, Fernseher und IoT-Geräte ungeschützt bleiben.

Meine praktische Empfehlung

Für mein Homelab ist eine zweistufige Lösung am sinnvollsten:

1. Pi-hole oder AdGuard Home als lokaler DNS-Filter für das gesamte Netz.
2. Ein guter Browser-Blocker auf Desktop und Notebook für URL-basierte und kosmetische Filter.
3. Bei Bedarf ein VPN ins Heimnetz oder NextDNS für Geräte, die häufig unterwegs sind.

Zwischen Pi-hole und AdGuard Home entscheidet nicht die reine Blockierquote. Bei identischen Listen liegen beide auf derselben technischen Ebene. Entscheidend sind Bedienung, verschlüsseltes DNS, Gruppenverwaltung, Backup und die Frage, welche Oberfläche Dir bei einer Störung schneller die Ursache zeigt.

Wer möglichst wenig administrieren will und Cloud-DNS akzeptiert, ist mit NextDNS besser bedient. Wer die Daten lokal halten und sein Homelab selbst kontrollieren will, nimmt Pi-hole oder AdGuard Home. Wer nur eine Browser-Erweiterung installiert, schützt den Browser gut, aber nicht das Netz.

Genau diese nüchterne Aufgabenteilung ist für mich wichtiger als ein Testsiegel mit einer möglichst hohen Prozentzahl.

Quellen und weiterführende Dokumentation

• Pi-hole, offizielle Dokumentation
• Pi-hole, Netzwerkkonfiguration nach der Installation
• Pi-hole, FTL-Konfiguration und Datenschutzstufen
• AdGuard Home, offizielles Projekt
• AdGuard Home, Funktionsvergleich
• AdGuard Home, bekannte Grenzen von DNS-Blockierung
• NextDNS, Datenschutz
• NextDNS, Preise und Nutzungslimits
• EFF, Cover Your Tracks

FAQ Pi-hole vs. AdGuard Home vs. NextDNS: Typische Prüfungsfragen