Pi-hole vs. AdGuard Home: Welcher DNS-Filter passt zu dir?

Kurz gesagt: Beide filtern Werbung netzwerkweit per DNS, beide sind kostenlos und ausgereift. AdGuard Home ist die bequemere Alles-in-einem-Lösung mit eingebautem verschlüsseltem DNS, Pro-Client-Regeln und Zeitplänen — die klare Wahl für Familien-Setups. Pi-hole plus Unbound ist die architektonisch sauberste Lösung für alle, die maximale Souveränität wollen und gern basteln.

Netzwerkweiter Werbefilter per DNS — dafür gibt es zwei etablierte Selfhosting-Kandidaten: Pi-hole, den Klassiker mit riesiger Community, und AdGuard Home, den funktionsreicheren Herausforderer. Beide sind kostenlos, beide erledigen den Kernjob zuverlässig. Die Unterschiede liegen im Drumherum — und die entscheiden, welcher zu dir passt.

Das Grundprinzip (bei beiden identisch) #

Der Filter wird DNS-Server fürs ganze Netz (per DHCP verteilt). Fragt ein Gerät nach werbung-tracker.example, antwortet der Filter mit „gibt es nicht“ — die Werbung lädt gar nicht erst. Das wirkt auf jedem Gerät ohne Software-Installation, auch auf Smart-TVs und IoT. Grenzen haben beide gleichermaßen: YouTube- und Twitch-Werbung kommt vom selben Host wie der Inhalt und ist per DNS praktisch nicht filterbar.

Der Vergleich #

Die Philosophie dahinter #

Pi-hole ist Unix-Denke: ein Werkzeug, ein Job. Es filtert DNS — die Auflösung selbst delegiert es an einen Upstream deiner Wahl, ideal an ein lokales Unbound. Das ergibt die architektonisch sauberste Lösung (Filterung + rekursive Auflösung, alles im Haus), verlangt aber zwei Komponenten.

AdGuard Home ist die Alles-in-einem-Box: Filterung, DoH/DoT in beide Richtungen, Client-Verwaltung, Zeitpläne — eine Binary, eine Oberfläche. Bequemer, dafür bleibt es konzeptionell ein Forwarder: Deine Anfragen gehen (verschlüsselt) an einen Upstream-Anbieter deiner Wahl.

Empfehlung nach Nutzertyp #

• Du willst maximale Souveränität und bastelst gern: Pi-hole + Unbound. Kein Dritter sieht deine DNS-Historie — Anleitung: Pi-hole mit Unbound einrichten.
• Du willst eine Lösung in 15 Minuten mit allem drin: AdGuard Home. Gerade die Pro-Client-Regeln und eingebautes DoH sind stark.
• Familien-Setup mit Kinder-Zeitplänen: AdGuard Home, eindeutig.
• OPNsense vorhanden: Erst überlegen, ob Unbound auf der Firewall plus Blocklisten dort nicht schon reicht — ein Gerät weniger, das DNS-Infrastruktur spielt.

Falsch machst du mit keinem der beiden etwas: Beide sind ausgereift, aktiv entwickelt und in fünf Minuten wieder deinstalliert, wenn dir der andere besser gefällt. Wichtiger als die Wahl ist der Betrieb: DNS ist kritische Infrastruktur. Plane einen zweiten Resolver ein (zweite Instanz oder die Firewall als Fallback), sonst ist bei jedem Update des Filter-Hosts „das Internet kaputt“.

Betriebs-Tipps (für beide) #

• Host mit statischer IP, per DHCP als einziger DNS verteilen — sonst laufen Anfragen am Filter vorbei
• Mit den Standard-Blocklisten starten; erst nachschärfen, wenn die Familie eine Woche beschwerdefrei war
• Whitelist-Kandidaten Nummer 1: Klick-Tracker aus Newslettern und Shop-Links — das Query-Log zeigt sofort, woran es hakt
• Läuft der Filter in einer VM/einem Container auf dem Proxmox-Host: Autostart-Reihenfolge prüfen, damit DNS vor allen anderen Diensten steht