senn-techDNS-Adblocking im Eigenbetrieb: Pi-hole vs. AdGuard Home
Werbung blockiert man nicht am Browser, sondern am DNS. Beide Tools — Pi-hole und AdGuard Home — tun das zuverlässig, aber sie unterscheiden sich in Details, die im Alltag relevant werden.
Das Prinzip: DNS-Sinkhole
Ein DNS-Server, der Anfragen an bekannte Werbe- und Tracking-Domains ins Leere laufen lässt. Der Client fragt ads.doubleclick.net an — und bekommt 0.0.0.0 zurück. Keine Werbung, kein Tracking, netzwerkweit, für alle Geräte.
Pi-hole
Der Platzhirsch. Leichtgewichtig, stabil, riesige Community. Das Setup ist in 10 Minuten erledigt:
curl -sSL https://install.pi-hole.net | bash
Pi-hole bringt ein aufgeräumtes Web-Interface, DHCP-Option, Query-Log, Whitelist/Blacklist und Groups. Die Stärke liegt in der Transparenz: Sie sehen live, welche Clients welche Domains anfragen — nützlich für Fehlersuche und forensische Fragen.
Lange galt: Pi-hole kann DoH/DoT nur über Hilfskonstruktionen (etwa cloudflared), und die Oberfläche fühlte sich nach 2018 an. Mit Pi-hole v6 hat sich das deutlich gewandelt: Das Projekt ersetzte den alten lighttpd/PHP-Unterbau durch einen eingebetteten Webserver, brachte eine native REST-API, integriertes HTTPS/TLS und eine TOML-basierte Konfiguration mit. Das modernisiert genau die Punkte, an denen AdGuard Home früher vorne lag.
AdGuard Home
AdGuard Home tut dasselbe, bringt aber DoH/DoT seit jeher out of the box mit. Die Filterlisten-Verwaltung ist komfortabel, das Deployment einfach — Docker-Image, ein Befehl.
docker run -d --name adguardhome -p 53:53/tcp -p 53:53/udp adguard/adguardhome
AdGuard Home kann mehr als DNS-Filterung: es bringt einen DHCP-Server mit, Client-Identifizierung und ein simples, aber brauchbares Parental-Control-Feature.
Was Pi-hole nach wie vor stark macht: die schiere Menge an dokumentierten Edge Cases. Wenn Pi-hole läuft, läuft es.
Rekursives DNS mit unbound
Wer Tracking konsequent vermeiden will, hängt hinter den Filter einen rekursiven Resolver: unbound fragt direkt die Root- und autoritativen Server, statt Anfragen an Google oder Cloudflare weiterzureichen. Beide Tools spielen problemlos mit unbound zusammen — der DNS-Verlauf bleibt dann vollständig im eigenen Haus.
Redundanz: DNS ist kritisch
Ein einzelner DNS-Resolver ist ein Single Point of Failure — fällt er, steht das halbe Netz. In Betrieben fahren wir deshalb zwei Instanzen (primär/sekundär per DHCP verteilt) und halten deren Blocklisten und Einstellungen synchron (etwa per Gravity Sync für Pi-hole bzw. AdGuard-Sync). Beide laufen als Container auf dem Proxmox-Host oder auf einem Raspberry Pi.
Direkter Vergleich
| Kriterium | Pi-hole (v6) | AdGuard Home |
|---|---|---|
| Setup | Sehr einfach | Sehr einfach |
| DoH / DoT | Integriert (v6) | Out of the box |
| REST-API | Nativ (v6) | Nativ |
| Oberfläche | Modernisiert (v6) | Modern, aufgeräumt |
| DHCP-Server | Ja | Ja |
| Parental Control | Nein | Ja (einfach) |
| Reife & Stabilität | Sehr hoch | Hoch |
| Community | Riesig | Wachsend |
Unsere Empfehlung
Mit v6 ist der frühere Vorsprung von AdGuard Home weitgehend dahin — Pi-hole ist wieder vollumfänglich konkurrenzfähig. Für bestehende Pi-hole-Setups: kein Migrationsdruck, einfach auf v6 heben. Für neue Installationen sind beide eine gute Wahl; AdGuard Home punktet mit Parental Control, Pi-hole mit Reife und Community. Netzwerkweites Adblocking gehört in jede Infrastruktur, die wir betreuen.
Pi-hole oder AdGuard Home — was empfehlen Sie für eine Neuinstallation?+
Mit Pi-hole v6 ist der frühere Vorsprung von AdGuard Home weitgehend dahin: Pi-hole bekam einen eingebetteten Webserver, eine native REST-API, integriertes HTTPS/TLS und eine TOML-basierte Konfiguration. Für Neuinstallationen sind beide eine gute Wahl. AdGuard Home punktet mit einfachem Parental Control, Pi-hole mit grösserer Reife und einer riesigen Community. Netzwerkweites Adblocking gehört ohnehin in jede Infrastruktur.
Vermeiden wir damit Tracking vollständig, oder braucht es noch unbound?+
DNS-Adblocking blockt bekannte Werbe- und Tracking-Domains netzwerkweit, leitet Anfragen aber noch an Upstreams wie Google oder Cloudflare weiter. Wer Tracking konsequenter vermeiden will, hängt einen rekursiven Resolver dahinter: unbound fragt direkt die Root- und autoritativen Server. Beide Tools spielen problemlos mit unbound zusammen, sodass der DNS-Verlauf vollständig im eigenen Haus bleibt.
Wie sichern wir das DNS gegen einen Ausfall ab, da es kritisch ist?+
Ein einzelner DNS-Resolver ist ein Single Point of Failure — fällt er, steht das halbe Netz. Wir fahren deshalb zwei Instanzen, primär und sekundär per DHCP verteilt, und halten deren Blocklisten und Einstellungen synchron, etwa per Gravity Sync für Pi-hole oder AdGuard-Sync. Beide laufen als Container auf dem Proxmox-Host oder einem Raspberry Pi, sodass die Redundanz ohne grossen Aufwand gegeben ist.