AdGuard Home einrichten 2026: Werbung netzwerkweit blocken

AdGuard Home ist ein DNS-basierter Werbe- und Trackerblocker für dein ganzes Netzwerk: Er sitzt als DNS-Server im Heimnetz, prüft jede Namensauflösung und lässt Anfragen an Werbe- und Tracking-Domains einfach ins Leere laufen. Vom Prinzip her also das, was Pi-hole macht — nur mit einer deutlich moderneren Oberfläche und mit eingebauter Verschlüsselung, für die du bei Pi-hole zusätzliche Software brauchst.

Ich hatte beide über Jahre parallel laufen und nutze inzwischen AdGuard Home als Haupt-DNS. Warum, und wie du es in einer halben Stunde eingerichtet hast, steht hier — samt der Stolpersteine.

Was AdGuard Home besonders macht

AdGuard Home ist ein einziges, statisch kompiliertes Go-Binary — kein Webserver, kein PHP, keine Datenbank, keine Abhängigkeiten. Das klingt nach einem Detail, ist aber der Grund, warum es praktisch überall läuft: Raspberry Pi, alter Mini-PC, NAS, Container. Kopieren, starten, fertig; Updates macht es auf Knopfdruck selbst.

Der zweite echte Vorteil ist Verschlüsselung, und zwar in beide Richtungen. AdGuard Home spricht DNS-over-HTTPS, DNS-over-TLS und DNS-over-QUIC upstream zu den öffentlichen Resolvern — und bietet dieselben Protokolle auch downstream für deine Clients an. Du kannst dein Handy also unterwegs per verschlüsseltem DNS auf deinen eigenen Filter zeigen lassen, ohne Extra-Dienst dazwischen. Bei Pi-hole brauchst du dafür cloudflared oder stubby als Beiwagen.

Dazu kommen Funktionen, die Pi-hole von Haus aus nicht hat: Kindersicherung mit erzwungener SafeSearch bei Google, Bing, DuckDuckGo und YouTube, fertige Sperrschalter für einzelne Dienste (TikTok, Instagram, Discord …) und vor allem Regeln pro Client. Jedes Gerät kann seine eigenen Blocklisten, seinen eigenen Upstream und seine eigenen Einschränkungen haben. Genau das ist der Punkt, an dem AdGuard Home in einem Haushalt mit Kindern gewinnt.

Fair bleiben gehört dazu: Pi-hole hat die größere Community, mehr Fremd-Tools und über seine FTL-Datenbank die feinkörnigere Langzeit-Statistik — wer Verläufe über Monate auswerten will, ist dort besser aufgestellt. Beide Projekte sind quelloffen, aktiv gepflegt und blocken dieselben Domains gleich gut. Kennst du Pi-hole schon oder willst die etabliertere Lösung, ist meine Anleitung zu Pi-hole einrichten der Startpunkt.

AdGuard Home installieren — drei Wege

Weg 1: Einzeiler auf Linux oder Raspberry Pi

Der offizielle Installer erkennt Architektur und Init-System selbst und richtet den Dienst gleich mit ein. Auf dem Zielgerät:

curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v

Das landet unter /opt/AdGuardHome und legt einen systemd-Service an. Das passt gut neben andere Dienste auf einem Raspberry Pi als Homeserver — ein Pi 4 mit 2 GB langweilt sich dabei.

Weg 2: Docker

Für alle, die schon einen Container-Host haben. Wichtig: Port 53 muss auf dem Host frei sein, deshalb hier bewusst kein network_mode: host, sondern explizite Ports.

services:

  adguardhome:

    image: adguard/adguardhome:latest

    container_name: adguardhome

    restart: unless-stopped

    ports:

      - "53:53/tcp"

      - "53:53/udp"

      - "3000:3000/tcp"

      - "80:80/tcp"

    volumes:

      - ./adguard/work:/opt/adguardhome/work

      - ./adguard/conf:/opt/adguardhome/conf

Beide Volumes sind Pflicht — ohne sie sind Konfiguration und Statistik nach dem nächsten Image-Update weg. Port 3000 ist der Assistent, Port 80 später das Dashboard.

Weg 3: Home-Assistant-Add-on

Läuft bei dir Home Assistant OS, ist der bequemste Weg das Community-Add-on „AdGuard Home“ aus dem Add-on-Store. Es bringt eine Integration mit, über die du das Blocken per Automatisierung schalten kannst — praktisch für einen „Kinderzeit“-Modus. Die Basis dafür beschreibe ich unter Home Assistant. Nachteil: Fällt Home Assistant aus, ist der DNS im ganzen Haus weg.

Ersteinrichtung

Egal welcher Weg: Ruf danach http://IP-DES-GERÄTS:3000 auf. Der Assistent fragt nach dem Interface für die Weboberfläche (Port 3000 oder 80) und für den DNS-Server — dort muss Port 53 stehen. Danach Admin-Konto anlegen, mit einem richtigen Passwort: Das Ding entscheidet ab jetzt über dein komplettes Netz.

Router einbinden: einmal richtig, dann ruhig

Damit alle Geräte gefiltert werden, muss der Router AdGuard Home als DNS-Server verteilen. Zwei Dinge vorher:

1. Statische IP ist Pflicht. Gib dem AdGuard-Host eine feste Adresse — entweder im Betriebssystem oder als DHCP-Reservierung im Router. Ändert sich die IP, ist das ganze Netz offline.
2. Erst testen, dann umstellen. Prüfe mit nslookup mytech-home.de IP-DES-GERÄTS, ob AdGuard Home überhaupt auflöst.

In der FRITZ!Box findest du die Einstellung unter Heimnetz → Netzwerk → Netzwerkeinstellungen → IP-Adressen → IPv4-Einstellungen. Dort im Bereich „Lokaler DNS-Server“ die IP deines AdGuard-Hosts eintragen. Achtung, das ist nicht derselbe Punkt wie „DNS-Server“ unter Internet — der betrifft den Upstream der FRITZ!Box selbst. Bei anderen Routern heißt die Option meist „DNS-Server“ innerhalb der DHCP-Einstellungen des LAN. Wenn du bei den Grundlagen unsicher bist, hilft mein Artikel zum Heimnetzwerk beim Sortieren.

Lässt dein Router das nicht zu — manche Provider-Boxen sind zugenagelt —, gibt es zwei Auswege: DNS pro Gerät manuell setzen (Fleißarbeit, greift bei Gästen nicht), oder den DHCP-Server von AdGuard Home unter Einstellungen → DHCP-Einstellungen aktivieren und das Router-DHCP abschalten. Funktioniert gut, macht dich aber noch abhängiger von diesem einen Gerät — Plan B, nicht Standard.

Vergiss IPv6 nicht: Verteilt der Router weiterhin einen IPv6-DNS, umgehen moderne Geräte deinen Filter darüber. Also auch dort den AdGuard-Host eintragen.

Upstream-DNS: verschlüsselt und schnell

Standardmäßig fragt AdGuard Home die AdGuard-eigenen Resolver. Das funktioniert, aber hier lohnt sich Handarbeit. Unter Einstellungen → DNS-Einstellungen trägst du eigene Upstreams ein, einen pro Zeile. Bewährt:

• https://dns.quad9.net/dns-query — Quad9 per DoH, filtert zusätzlich Malware-Domains, Schweizer Datenschutz
• tls://one.one.one.one — Cloudflare per DoT, meist die schnellste Antwortzeit in Deutschland
• https://dns10.quad9.net/dns-query — Quad9 ohne eigene Filter, falls du nur AdGuard Home entscheiden lassen willst

Darunter der Modus: Parallele Anfragen fragt alle Upstreams gleichzeitig und nimmt die erste Antwort — spürbar schneller, dafür sieht jeder Anbieter jede Anfrage. Load-Balancing ist der datenschutzfreundlichere Kompromiss und die Voreinstellung.

Ins Feld Bootstrap-DNS-Server gehören unverschlüsselte Resolver, die nur die Hostnamen deiner DoH-Upstreams auflösen — 9.9.9.10 und 1.1.1.1 genügen. Bleibt das leer, startet AdGuard Home mit DoH-Upstreams nicht. Und schalte DNSSEC ein: kostet ein paar Millisekunden, verhindert DNS-Spoofing.

Blocklisten und Filterregeln

Unter Filter → DNS-Sperrlisten ist AdGuard DNS filter schon aktiv und deckt den Großteil ab. Zwei Ergänzungen, mit denen die Blockrate deutlich steigt, ohne dass ständig etwas kaputtgeht:

• HaGeZi Multi PRO — die aktuell beste gepflegte Liste, gutes Verhältnis aus Abdeckung und Fehlalarmen. Die „Ultimate“-Variante ist aggressiv, damit fängt man nicht an.
• OISD Big — sehr breit, extrem konservativ bei Fehlalarmen, überschneidet sich stark mit den anderen. Genau das ist okay, doppelte Domains kosten nichts.

Mehr ist nicht besser: Zwanzig Listen sind zwanzig Chancen, dass ein Onlineshop nicht mehr lädt — und du weißt hinterher nicht, welche schuld war. Drei gute Listen reichen für Jahre.

Die eigene Syntax unter Filter → Eigene Filterregeln ist der Punkt, an dem AdGuard Home reine Hosts-Listen klar hinter sich lässt. Ein paar Muster:

• ||beispiel-tracker.de^ — blockt die Domain und alle Subdomains
• @@||shop.beispiel.de^ — Ausnahme, hebt eine Blockade aus einer Liste wieder auf
• ||werbung.beispiel.de^$client=192.168.1.42 — blockt nur für ein bestimmtes Gerät
• /^ad[sx]?[0-9]*\./ — reguläre Ausdrücke sind erlaubt, sparsam einsetzen

Geht eine Seite nicht mehr, ist das Query-Log dein Werkzeug: Seite neu laden, im Log die rot markierte Domain suchen, per Klick auf „Entsperren“ freigeben. Zwanzig Sekunden, und ehrlicher als vorsorglich Listen zu deaktivieren.

Pro-Client-Einstellungen: die Killer-Funktion

Unter Einstellungen → Client-Einstellungen legst du Geräte als benannte Clients an — per IP, MAC oder Client-ID. Und dann wird es interessant: Für jeden Client kannst du eigene Regeln setzen.

Konkret bei mir: Die Tablets der Kinder sind eigene Clients mit Kindersicherung, erzwungenem SafeSearch für Google und YouTube und gesetzten Häkchen für TikTok und einige Spieleplattformen. Die Geräte der Erwachsenen laufen im selben Netz ohne diese Einschränkungen — kein zweites WLAN, keine VLANs, keine Filter-App, die das Kind nach zwei Wochen ausgetrickst hat. Gruppen kennt Pi-hole auch, aber SafeSearch-Erzwingung und Dienste-Schalter musst du dir dort zusammenbasteln.

Ehrlich bleiben: Ein Jugendlicher mit Motivation stellt am Handy einen anderen DNS ein. Das hier ist eine Leitplanke, keine Mauer.

DNS-Rewrites für lokale Dienste

Mein liebster Nebeneffekt: Unter Filter → DNS-Rewrites mappst du eigene Namen auf lokale IPs. Statt 192.168.1.50:2283 tippst du immich.home — Name plus Server-IP eintragen, fertig, gilt sofort für jedes Gerät im Netz. Ein Wildcard-Eintrag wie *.home auf deinen Reverse Proxy spart dir alle Einzeleinträge.

Nimm .home oder .lan, nicht .local — das ist für mDNS reserviert und führt zu merkwürdigen Aussetzern. Willst du unterwegs auf dieselben Namen zugreifen, kombiniere das mit Tailscale und nimm Filter samt lokaler Namen ins Mobilfunknetz mit.

Was AdGuard Home nicht kann

Es filtert DNS. Daraus folgen dieselben harten Grenzen wie bei Pi-hole:

• YouTube-Werbung bleibt. Die kommt vom selben Hostnamen wie das Video. Blockst du den, ist YouTube weg. Kein DNS-Filter der Welt löst das.
• Geräte mit eigenem DoH umgehen dich. Chrome, Firefox und viele Smart-TVs bringen verschlüsseltes DNS mit und fragen an dir vorbei. Im Browser abschaltbar, beim Fernseher oft nicht — dort hilft nur, ausgehendes DNS auf der Firewall zu blockieren.
• Kosmetisches Blocken fehlt. Leere Werbeflächen, Cookie-Banner und Newsletter-Overlays bleiben, weil sie aus derselben Quelle wie die Seite kommen. Dafür brauchst du weiterhin uBlock Origin im Browser. Netzwerkfilter und Browser-Adblocker ergänzen sich, sie ersetzen sich nicht.
• Es ist ein Single Point of Failure. Ist das Gerät aus, ist das Internet aus. Trag als zweiten Router-DNS lieber nichts ein, sonst wird bei Aussetzern unbemerkt ungefiltert aufgelöst.

Troubleshooting

Port 53 ist belegt. Der Klassiker auf Ubuntu, Debian 12 und Raspberry Pi OS: systemd-resolved hört schon auf 53. Prüfen mit sudo ss -tulpn | grep :53. Lösung: In /etc/systemd/resolved.conf die Zeile DNSStubListener=no setzen, dann sudo systemctl restart systemd-resolved. Danach zeigt /etc/resolv.conf ins Nichts — einmalig neu verlinken oder einen festen Nameserver eintragen, sonst löst der Host selbst nichts mehr auf.

Nach der Umstellung kein Internet. Fast immer eine falsche IP im Router oder ein blockierender Firewall-Regelsatz auf dem AdGuard-Host. Teste direkt: nslookup mytech-home.de IP-DES-GERÄTS. Kommt eine Antwort, liegt es am Router. Kommt keine, prüfe unter Einstellungen → DNS-Einstellungen, ob das Lauschinterface auf „Alle Schnittstellen“ steht, und ob Bootstrap-DNS gesetzt ist.

Eine einzelne Seite ist kaputt. Query-Log öffnen, nach der Domain filtern, blockierte Einträge suchen, entsperren. Häufige Kandidaten sind Zahlungsdienstleister, Login-Redirects und Newsletter-Tracking-Links.

Die Statistik bleibt leer. Dann greift der Router-DNS nicht. Prüfe am Client, welcher DNS ankommt (Windows: ipconfig /all). Steht dort ein Provider-DNS, hat der Client seine DHCP-Lease noch nicht erneuert — Gerät neu verbinden.

Alle Anfragen kommen von einer IP. Normal bei FRITZ!Box-Setups, weil der Router als DNS-Proxy davorsitzt. Für echte Pro-Client-Statistik und -Regeln muss die AdGuard-IP per DHCP direkt an die Clients gehen, nicht die Router-IP.

Fazit

AdGuard Home ist die pragmatischste Art, Werbung und Tracking im ganzen Haushalt loszuwerden: ein Binary, eine halbe Stunde Arbeit, und jedes Gerät im Netz profitiert — auch der Fernseher und die Waschmaschine, auf denen du keinen Adblocker installieren kannst. Gegenüber Pi-hole gewinnt es bei verschlüsseltem DNS ohne Zusatzsoftware, bei den Regeln pro Gerät und bei der Bedienung; Pi-hole gewinnt bei Community-Größe und Langzeit-Statistik.

Erwarte kein Wunder: YouTube-Werbung bleibt, Cookie-Banner bleiben, und einmal im Monat schaltest du eine Domain frei. Aber die Menge an Tracking, die dein Netz nicht mehr verlässt, ist beeindruckend — bei mir stabil um 20 Prozent aller Anfragen. Auf einem alten Pi aufsetzen, feste IP geben, vergessen. So soll Infrastruktur sein.

Häufige Fragen

AdGuard Home oder Pi-hole — was ist besser?

Beide blocken gleich gut, weil sie dieselben Listen nutzen. Nimm AdGuard Home für verschlüsseltes DNS ohne Zusatzsoftware, Regeln pro Gerät und Kindersicherung; nimm Pi-hole für größere Community und detaillierte Langzeit-Statistik. Falsch machst du mit keinem etwas.

Ist AdGuard Home kostenlos?

Ja, vollständig und ohne Funktionslimit. AdGuard Home ist Open Source unter GPLv3 und hat keine Pro-Version. Nicht verwechseln mit AdGuard DNS (dem gehosteten Dienst der Firma) und der AdGuard-Browser- bzw. App-Lösung — die kosten Geld. Die selbstgehostete Variante nicht.

Auf welcher Hardware läuft AdGuard Home?

Auf allem, was Linux, Windows, macOS oder FreeBSD kann, inklusive ARM. Ein Raspberry Pi 3 oder Zero 2 W genügt für ein Einfamilienhaus, RAM-Bedarf liegt bei rund 100 bis 200 MB, CPU-Last praktisch bei null. Auch ein NAS, ein alter Thin Client oder ein bereits laufender Docker-Host sind gute Plätze. Für SD-Karten-Betrieb nimm eine A2-Karte, das Query-Log schreibt regelmäßig.

Blockt AdGuard Home YouTube-Werbung?

Nein, und das kann kein DNS-Filter. YouTube liefert Werbung über dieselben Hostnamen wie die Videos aus, eine Sperre würde YouTube komplett lahmlegen. Für werbefreies YouTube brauchst du einen Browser-Adblocker, eine Alternativ-App oder ein Abo. Werbung in normalen Apps und auf Webseiten blockt AdGuard Home dagegen sehr zuverlässig.

Kann ich AdGuard Home und Pi-hole parallel betreiben?

Technisch ja, sinnvoll meist nicht. Trägst du beide im Router ein, wählen die Clients frei und du hast zwei halbvolle Statistiken plus unvorhersehbares Verhalten beim Whitelisting. Sauber ist die Kaskade: Pi-hole als Upstream von AdGuard Home oder umgekehrt. Für echte Ausfallsicherheit ist eine zweite identisch konfigurierte Instanz derselben Software die bessere Lösung.