Pi-hole einrichten 2026: Werbung netzwerkweit blockieren

Pi-hole einrichten heißt: Du setzt einen kleinen Server in dein Heimnetz, der als zentraler DNS-Filter Werbung, Tracker und viele Schaddomains blockiert – und zwar für jedes Gerät im Netzwerk gleichzeitig. Kein Plugin, keine App auf dem Handy, keine Erweiterung pro Browser. Sobald der Filter läuft und dein Router ihn nutzt, profitieren Smart-TV, Konsole, Tablet und Gäste-Smartphone automatisch mit. In diesem Tutorial gehe ich Schritt für Schritt durch die Installation, die Router-Umstellung und das Feintuning – und sage dir ehrlich, wo die Grenzen liegen.

Was ist Pi-hole eigentlich?

Pi-hole ist ein sogenanntes DNS-Sinkhole. Jedes Mal, wenn ein Gerät eine Internetadresse aufruft, fragt es zuerst einen DNS-Server: „Welche IP-Adresse gehört zu dieser Domain?“ Pi-hole schaltet sich als dieser DNS-Server dazwischen. Fragt ein Gerät nach einer bekannten Werbe- oder Tracking-Domain, antwortet Pi-hole nicht mit der echten Adresse, sondern schickt die Anfrage ins Leere. Das Werbeelement kann so gar nicht erst geladen werden.

Der große Vorteil gegenüber einem klassischen Browser-Adblocker: Die Filterung passiert netzwerkweit, unabhängig vom Endgerät. Auch dein Fernseher, der keine Browser-Erweiterung kennt, oder die App, die im Hintergrund Telemetrie sendet, laufen über denselben Filter. Nebenbei bekommst du eine hübsche Statistik, wie viele Anfragen dein Netz überhaupt stellt und wie viele davon geblockt werden – oft ein echter Aha-Moment.

Worauf läuft Pi-hole?

Der Name verrät den Klassiker: ein Raspberry Pi. Schon ein Raspberry Pi 3 oder ein Pi Zero 2 W reicht locker, weil DNS-Anfragen kaum Rechenleistung kosten. Wie du einen Pi als sparsamen Dauerläufer aufsetzt, zeige ich dir im Detail im Beitrag Raspberry Pi als Homeserver. Du musst aber keinen extra Pi kaufen: Läuft bei dir schon ein Server, kannst du Pi-hole genauso als LXC-Container auf Proxmox oder als Docker-Container betreiben. Für dieses Tutorial nehme ich den Raspberry Pi als Beispiel, weil er am wenigsten Vorwissen verlangt und mit wenigen Watt läuft.

Vorbereitung: Raspberry Pi OS Lite headless aufsetzen

Wir brauchen keine grafische Oberfläche auf dem Pi – der Kasten steht später ohne Bildschirm neben dem Router. Deshalb nehmen wir Raspberry Pi OS Lite (64-Bit) und richten SSH ein, also den Fernzugriff über die Kommandozeile.

1. Lade den Raspberry Pi Imager auf deinen normalen Rechner und starte ihn.
2. Wähle als Betriebssystem „Raspberry Pi OS Lite (64-bit)“ und deine microSD-Karte aus.
3. Öffne vor dem Schreiben die erweiterten Einstellungen (Zahnrad bzw. „Einstellungen bearbeiten“). Aktiviere dort SSH, vergib einen Benutzernamen mit Passwort und trage direkt dein WLAN ein, falls der Pi nicht per Kabel hängt. Ein Kabel ist für einen DNS-Server aber die stabilere Wahl.
4. Schreibe das Image, stecke die Karte in den Pi und verbinde ihn mit Strom und Netzwerk.

Nach etwa einer Minute ist der Pi erreichbar. Verbinde dich von deinem Rechner aus per SSH. Unter Windows geht das mit dem eingebauten Terminal, unter Linux und macOS ebenso:

ssh [email protected]

Klappt der Hostname nicht, findest du die IP-Adresse im Router unter der Geräteliste. Fehlen dir die Grundlagen zu Router und Netzwerk, hilft dir vorher der Beitrag Heimnetzwerk einrichten.

Statische IP vergeben

Ein DNS-Server muss immer unter derselben Adresse erreichbar sein – sonst zeigen deine Geräte irgendwann ins Leere. Am saubersten löst du das im Router: Weise dem Pi dort eine feste Adresse zu (bei der FRITZ!Box unter „Heimnetz → Netzwerk → Gerätedetails“ die Option „Diesem Gerät immer die gleiche IPv4-Adresse zuweisen“). Notiere dir diese IP, zum Beispiel 192.168.178.2. Sie brauchst du gleich mehrfach.

Pi-hole einrichten mit dem offiziellen Installer

Jetzt kommt der eigentliche Teil, und der ist erfreulich kurz. Das Pi-hole-Team stellt einen Ein-Zeilen-Installer bereit. Tippe in der SSH-Sitzung:

curl -sSL https://install.pi-hole.net | bash

Ein Skript aus dem Netz direkt an die Shell zu übergeben, solltest du generell mit Vorsicht genießen. Der Pi-hole-Installer ist quelloffen und weit verbreitet, gehört also zu den vertrauenswürdigen Ausnahmen. Wer ganz sicher gehen will, lädt das Skript erst herunter, liest es und führt es danach aus.

Der Installer startet einen Assistenten, der dich durch ein paar Fragen führt:

• Statische IP bestätigen: Der Assistent schlägt die aktuelle Adresse vor. Bestätige die IP, die du dem Pi fest zugewiesen hast.
• Upstream-DNS wählen: Hier legst du fest, wen Pi-hole selbst fragt, wenn eine Domain nicht geblockt ist. Gute, datenschutzfreundliche Optionen sind Cloudflare (1.1.1.1) oder Quad9 (9.9.9.9). Wenn du Wert auf einen deutschen Anbieter legst, ist auch die DNS-Auflösung deines Providers möglich. Du kannst das später jederzeit ändern.
• Blocklisten: Übernimm die Standardliste – sie deckt schon einen Großteil bekannter Werbe- und Trackingdomains ab.
• Weboberfläche und Logging: Lass das Admin-Interface und das Query-Logging aktiviert. Ohne Logs siehst du nichts in der Statistik.

Am Ende zeigt der Installer eine Zusammenfassung mit der Adresse der Weboberfläche und einem generierten Admin-Passwort. Schreibe dieses Passwort sofort auf. Falls du es verpasst, setzt du auf dem Pi mit pihole setpassword einfach ein neues.

Weboberfläche öffnen

Ruf im Browser http://192.168.178.2/admin auf (mit deiner IP) und melde dich mit dem Passwort an. Du landest im Dashboard mit Live-Statistiken. Wichtig: An diesem Punkt blockt Pi-hole noch für kein einziges Gerät, denn niemand nutzt ihn bisher als DNS-Server. Das ändern wir jetzt.

Pi-hole netzwerkweit als DNS eintragen

Es gibt zwei Wege, deine Geräte zu Pi-hole zu schicken. Der bequeme Weg läuft über den Router, der punktuelle über einzelne Geräte.

Variante A: Über den Router (empfohlen)

Trägst du Pi-hole im Router als DNS-Server ein, bekommt jedes Gerät den Filter automatisch per DHCP mitgeteilt. Bei der FRITZ!Box ist der Weg etwas versteckt, weil sie keinen direkten „lokalen DNS“-Eintrag anbietet. So geht es:

1. Öffne die FRITZ!Box-Oberfläche unter fritz.box.
2. Gehe zu „Heimnetz → Netzwerk → Netzwerkeinstellungen“ und klicke auf „weitere Einstellungen“.
3. Unter „IPv4-Adressen“ trägst du bei „Lokaler DNS-Server“ die IP deines Pi ein (192.168.178.2).
4. Speichere und starte zur Sicherheit die betroffenen Geräte neu, damit sie die neue DNS-Zuweisung ziehen.

Bei anderen Routern heißt die Option meist schlicht „DNS-Server“ in den DHCP- oder Interneteinstellungen. Trage dort die Pi-IP als primären DNS ein. Lass das Feld für einen zweiten, alternativen DNS möglichst leer oder ebenfalls auf den Pi zeigen – sonst umgehen Geräte den Filter, sobald sie den Zweit-DNS befragen.

Variante B: Pro Gerät

Zum Testen oder wenn dein Router keine DNS-Änderung erlaubt, kannst du Pi-hole auch einzeln eintragen: in den Netzwerkeinstellungen des jeweiligen Geräts den DNS-Server manuell auf die Pi-IP setzen. Das ist ideal, um Pi-hole erst mal an einem Rechner auszuprobieren, bevor du das ganze Netz umstellst.

Ob es funktioniert, siehst du im Dashboard: Sobald Geräte über Pi-hole laufen, steigt die Anzahl der Anfragen, und der Block-Prozentsatz wächst.

Feintuning: Blocklisten und Whitelisting

Die Standardliste ist ein solider Start, lässt aber Luft nach oben. Unter „Lists“ (bzw. „Adlists“) im Menü kannst du weitere Blocklisten per URL hinzufügen. Bewährt haben sich kuratierte Sammlungen wie die Listen von Hagezi oder OISD, die es in verschiedenen Härtegraden gibt – von „nur Werbung“ bis „aggressiv“. Nach dem Hinzufügen musst du die Gravity-Datenbank aktualisieren, entweder über den Button in der Oberfläche oder auf dem Pi mit pihole -g.

Mehr Filter bedeutet aber auch mehr Fehlalarme. Wenn plötzlich eine Webseite kaputtgeht, ein Login nicht klappt oder ein Bild fehlt, liegt das oft an einer zu strengen Liste. Dafür gibt es das Whitelisting: Öffne in der Weboberfläche unter „Domains“ die Freigabeliste und trage die betroffene Domain ein. Noch schneller findest du den Übeltäter über „Query Log“ – dort siehst du in Echtzeit, welche Domain gerade geblockt wurde, und kannst sie mit einem Klick freigeben. Fang mit einer moderaten Liste an und verschärfe erst, wenn alles stabil läuft.

Optional: DHCP über Pi-hole

Pi-hole kann auch die IP-Vergabe im Netz übernehmen. Das lohnt sich vor allem, wenn dein Router die DNS-Zuweisung nicht sauber durchreicht und einzelne Geräte den Filter umgehen. Dazu deaktivierst du den DHCP-Server im Router und aktivierst ihn stattdessen unter „Settings → DHCP“ in Pi-hole. Achtung: Das ist ein Eingriff, der bei Fehlkonfiguration dein ganzes Netz lahmlegen kann. Mach das nur, wenn du weißt, was du tust, und du im Zweifel schnell wieder an den Router-DHCP kommst.

Ehrlich bleiben: Was Pi-hole nicht kann

So praktisch der Filter ist – er ist kein Allheilmittel, und das solltest du wissen:

• Keine In-Stream-YouTube-Werbung: YouTube liefert seine Werbung von denselben Servern wie die Videos aus. Blockt Pi-hole diese Domain, ist das Video gleich mit weg. Deshalb bleiben die Anzeigen vor und in YouTube-Videos bestehen.
• Kein vollwertiger Ersatz für Browser-Adblocker: Werbung, die direkt in die Seite eingebettet ist oder von derselben Domain wie der Inhalt kommt, kann Pi-hole nicht kosmetisch entfernen. Ein Browser-Adblocker wie uBlock Origin filtert auf Element-Ebene und ergänzt Pi-hole sinnvoll – beide zusammen sind stärker als jeder für sich.
• Nur DNS-Ebene: Wer verschlüsseltes DNS (DoH) fest im Browser oder in einer App aktiviert hat, umgeht Pi-hole komplett, weil die Anfrage gar nicht mehr an deinen lokalen DNS geht.

Trotz dieser Grenzen ist der Gewinn spürbar: weniger Tracker, weniger Datenabfluss durch Apps, schnellere Ladezeiten und ein aufgeräumtes Netz. Als nächstes Homelab-Projekt bietet sich übrigens Home Assistant an – auf demselben Pi oder Server läuft beides prima nebeneinander.

Troubleshooting: Häufige Stolperfallen

Kein Internet nach der Umstellung. Fast immer ist der Pi nicht erreichbar oder hat keine feste IP. Prüfe, ob der Pi läuft und ob im Router wirklich die richtige Pi-IP als DNS steht. Als Sofortmaßnahme trägst du im Router vorübergehend wieder einen öffentlichen DNS ein – dann ist das Netz sofort zurück, und du kannst in Ruhe suchen.

Pi-hole blockt nichts, obwohl er läuft. Dann nutzen deine Geräte ihn noch nicht als DNS. Kontrolliere die Router-Einstellung und starte ein Testgerät neu, damit es die DHCP-Werte neu bezieht. Im Query Log siehst du sofort, ob überhaupt Anfragen ankommen.

Ein Gerät umgeht den DNS. Manche Geräte – vor allem Smart-TVs, Chromecast und Android – haben feste DNS-Server wie 8.8.8.8 fest verdrahtet oder nutzen DoH. Solche Geräte ignorieren deine Router-Vorgabe. Abhilfe schafft eine Firewall-Regel im Router, die ausgehende DNS-Anfragen (Port 53) an fremde Server umleitet oder blockt. In der FRITZ!Box ist das nur eingeschränkt möglich; mit OPNsense oder einem eigenen Router hast du hier mehr Kontrolle.

Fazit

Einen Pi-hole einrichten kostet dich eine gute halbe Stunde und einen kleinen Rechner. Der Lohn ist ein netzwerkweiter Filter, der Werbung und Tracker für jedes Gerät reduziert – vom Fernseher bis zum Gäste-Smartphone. Wenn du die Grenzen kennst und den Filter mit einem Browser-Adblocker ergänzt, bekommst du ein deutlich ruhigeres, schnelleres und privateres Heimnetz.

Häufige Fragen

Verlangsamt Pi-hole meine Internetverbindung?

Im Gegenteil – meist wird das Surfen sogar etwas schneller, weil geblockte Anfragen gar nicht erst geladen werden und Pi-hole häufige Antworten zwischenspeichert. Der zusätzliche Weg über den Pi im lokalen Netz kostet nur Bruchteile von Millisekunden.

Was passiert, wenn der Pi ausfällt?

Dann kann kein Gerät mehr Domains auflösen, und das Internet scheint „weg“ zu sein. Deshalb sollte der Pi zuverlässig laufen. Wer auf Nummer sicher geht, betreibt einen zweiten DNS-Server als Fallback oder trägt im Notfall schnell wieder einen öffentlichen DNS im Router ein.

Brauche ich zwingend einen Raspberry Pi?

Nein. Pi-hole läuft genauso gut als LXC-Container auf Proxmox, in einem Docker-Container oder auf einem NAS. Der Raspberry Pi ist nur die günstigste und stromsparendste Einstiegsvariante.

Ist Pi-hole legal und sicher?

Ja. Du filterst ausschließlich in deinem eigenen Netzwerk auf DNS-Ebene, das ist völlig legitim. Pi-hole ist quelloffen, wird aktiv gepflegt und gilt als vertrauenswürdig. Wichtig ist nur, die Weboberfläche mit einem starken Passwort zu schützen.

Kann ich Pi-hole auch unterwegs nutzen?

Ja, über einen VPN-Zugang zu deinem Heimnetz. Verbindest du dich von unterwegs per VPN mit deinem Router, kannst du Pi-hole als DNS mitnehmen und bist auch mobil werbefrei unterwegs – ohne den Filter offen ins Internet zu stellen.