Wer sein Heimnetz oder seinen Self-Hosted-Stack betreibt, kommt früher oder später an einem Thema nicht vorbei: Werbeblocker auf DNS-Ebene. Pi-hole und AdGuard Home sind die beiden bekanntesten Open-Source-Lösungen in diesem Bereich – und beide verfolgen denselben Grundansatz: Statt Werbung im Browser zu blockieren, werden Anfragen an bekannte Werbe- und Tracking-Domains direkt im DNS abgewiesen, noch bevor eine Verbindung entsteht. Das schützt nicht nur Browser, sondern auch Smart-TVs, Smartphones, IoT-Geräte und sämtliche andere Netzwerkteilnehmer.

Ich habe beide Systeme im echten Betrieb eingesetzt – Pi-hole seit 2020, AdGuard Home seit 2022 – und möchte in diesem Artikel ehrlich aufzeigen, wo die Unterschiede liegen, welche Lösung sich für welches Szenario eignet und was ich heute empfehlen würde.

Was ist DNS-basiertes Blocking überhaupt?

Wenn dein Browser werbung.example.com aufrufen möchte, fragt er zunächst einen DNS-Server: „Welche IP-Adresse hat diese Domain?" Sowohl Pi-hole als auch AdGuard Home setzen hier an: Sie agieren als DNS-Server im lokalen Netzwerk und beantworten Anfragen für bekannte Werbe- oder Tracking-Domains mit 0.0.0.0 oder einer NXDOMAIN-Antwort. Der Browser bekommt keine IP-Adresse zurück – die Verbindung kommt nie zustande.

Der große Vorteil gegenüber klassischen Browser-Blockern: Es funktioniert netzwerkweit, für jedes Gerät, ohne Browser-Extensions. Der Nachteil: Komplexere Werbeinhalte, die über dieselbe Domain wie echte Inhalte ausgeliefert werden (z. B. bei YouTube), lassen sich so nicht blockieren.

Pi-hole: Der Klassiker unter den DNS-Blockern

Pi-hole existiert seit 2014 und wurde ursprünglich für den Raspberry Pi entwickelt – daher der Name. Heute läuft es auf nahezu jeder Linux-Distribution, in Docker-Containern oder direkt auf einem Heimserver. Das Projekt ist battle-tested, hat eine riesige Community und eine umfangreiche Dokumentation.

Installation ist wahlweise über ein Curl-Skript, einen Docker-Container oder manuelle Paketinstallation möglich. Mit Docker:

version: "3"
services:
  pihole:
    image: pihole/pihole:latest
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "80:80/tcp"
    environment:
      TZ: 'Europe/Berlin'
      WEBPASSWORD: 'MeinSicheresPasswort'
    volumes:
      - './etc-pihole:/etc/pihole'
      - './etc-dnsmasq.d:/etc/dnsmasq.d'
    restart: unless-stopped

Pi-hole nutzt intern dnsmasq als DNS-Backend und FTL (Faster Than Light) als Datenbank für Query-Logs und Statistiken. Das Web-Interface ist funktional, aber nicht sonderlich modern – es erledigt seinen Job zuverlässig, wirkt aber optisch wie aus dem Jahr 2018.

Pi-holes großer Stärken liegen in der Blocklist-Verwaltung und der FTLDNS-Datenbank: Alle DNS-Anfragen werden mit Timestamp, Client-IP und Blockinggrund protokolliert. Über das Admin-Interface kann man sehen, welche Domains wie oft abgefragt werden, welche geblockt wurden und welcher Client im Netzwerk am meisten Traffic verursacht. Das ist für Netzwerkanalysen äußerst wertvoll.

AdGuard Home: Der modernere Herausforderer

AdGuard Home erschien 2019 als Open-Source-Projekt der AdGuard-Firma (die auch kommerzielle Browser-Extensions und VPNs anbietet). Der Start-up-Charme der ersten Versionen ist längst verblasst: Heute ist AdGuard Home ein ausgereiftes Produkt, das Pi-hole in vielen Bereichen übertrifft.

Die Installation über Docker ist minimal:

version: "3"
services:
  adguardhome:
    image: adguard/adguardhome
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "3000:3000/tcp"
      - "80:80/tcp"
    volumes:
      - './workdir:/opt/adguardhome/work'
      - './confdir:/opt/adguardhome/conf'
    restart: unless-stopped

AdGuard Home bringt ab sofort DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) und DNS-over-QUIC (DoQ) mit – als Server UND als Client. Alle DNS-Anfragen, die AdGuard Home an Upstream-Server weiterleitet, können verschlüsselt erfolgen. Das ist ein deutlicher Sicherheitsvorteil, besonders wenn man öffentliche Upstream-Resolver wie Cloudflare (1.1.1.1) oder Quad9 nutzt.

Das Web-Interface ist deutlich moderner als Pi-holes: Responsive, übersichtlich, mit echtzeitfähigen Grafiken. Besonders das Dashboard überzeugt – man sieht auf einen Blick, wie viele Anfragen in den letzten 24 Stunden blockiert wurden, welche Top-Domains geblockt werden und wie die Latenz des DNS-Upstreams ist.

Direkt-Vergleich: Die wichtigsten Funktionen

Blocklisten: Beide Systeme unterstützen das Hinzufügen externer Blocklisten-URLs und zeigen an, wie viele Domains aktuell geblockt werden. Pi-hole ist in dieser Hinsicht reifer – die Community pflegt hunderte von Blocklisten, und Tools wie Pihole-Regex oder Gravity erleichtern die Verwaltung. AdGuard Home unterstützt zusätzlich das AdGuard-eigene Filterformat, das auch Element-Hiding ermöglicht (im Browser). Für reine DNS-Blockierung macht das keinen Unterschied.

DNS-over-HTTPS / DNS-over-TLS: AdGuard Home gewinnt hier klar. Pi-hole unterstützt DoH/DoT nur als Client (via cloudflared oder Unbound), nicht nativ. AdGuard Home hat das out-of-the-box – sowohl als Client als auch als Server. Wer seinen Smartphones gegenüber vertrauenswürdigem DNS haben möchte, kann AdGuard Home direkt als DoH-Server nutzen.

DHCP-Server: Beide bieten einen integrierten DHCP-Server. Das ist praktisch für Heimnetzwerke ohne separaten Router, der DHCP beherrscht. Pi-holes DHCP ist ausgereifter und stabiler in Edge Cases.

Client-Management: AdGuard Home ermöglicht die Definition von Clients mit unterschiedlichen Blocking-Profilen – ein Feature, das bei Pi-hole deutlich komplizierter umzusetzen ist. So kann man z. B. für Kinderprofile aggressivere Listen aktivieren oder für bestimmte Geräte bestimmte Dienste zulassen.

Query-Logging: Pi-hole hat hier die Nase leicht vorn: Die FTL-Datenbank ermöglicht detailliertere Auswertungen und ist über die API gut abfragbar. AdGuard Home protokolliert ebenfalls alle Anfragen, die Oberfläche ist dabei aber weniger analytisch.

Kubernetes/Docker-Integration: Beide laufen stabil in Kubernetes. AdGuard Home ist etwas ressourceneffizienter (ein einzelnes Binary ohne dnsmasq-Abhängigkeit), was bei begrenzten Ressourcen relevant ist.

Performance und Ressourcenverbrauch

AdGuard Home läuft als einzelnes Binary in Go geschrieben – ohne externe Abhängigkeiten wie dnsmasq. Pi-hole ist eine Sammlung aus Shell-Skripten, PHP (Web-UI), dnsmasq und der FTL-Datenbank. Der Unterschied im RAM-Verbrauch ist real: AdGuard Home braucht typisch 30–60 MB RAM, Pi-hole mit allem drumherum 80–150 MB.

Bei der Antwortlatenz sind beide im gleichen Bereich: Sub-Millisekunden für gecachte Anfragen, die Upstream-Latenz dominiert den Rest. Für den Heimgebrauch ist das unerheblich.

Hochverfügbarkeit und Clustering

Wer zwei DNS-Server für Redundanz betreiben möchte, steht vor einem klassischen Problem: Wie synchronisiert man die Blocklisten? Pi-hole bietet Gravity Sync – ein Community-Tool, das Blocklisten, Custom-DNS-Einträge und Whitelist zwischen zwei Pi-hole-Instanzen synchronisiert. Es funktioniert, ist aber nicht offiziell unterstützt.

AdGuard Home hat bislang keine offizielle Sync-Lösung. Es gibt das Community-Projekt adguardhome-sync, das ähnlich funktioniert wie Gravity Sync, aber ebenfalls außerhalb des Mainstreams liegt. Wer Redundanz braucht, muss in beiden Fällen auf Community-Tools zurückgreifen.

Sicherheit und Datenschutz

Beide Projekte sind Open Source und damit grundsätzlich auditierbar. Ein Unterschied: Pi-hole ist vollständig Community-driven ohne kommerziellen Hintergrund. AdGuard Home kommt von einem Unternehmen, das auch kommerzielle Produkte verkauft – was für manche ein Vertrauensproblem darstellt, obwohl der Code auf GitHub öffentlich ist und die Self-Hosted-Version keine Telemetrie sendet.

Für DSGVO-konforme Umgebungen bietet DNS-Blocking auf Netzwerkebene einen echten Mehrwert: Tracking-Domains von Google Analytics, Meta Pixel oder Doubleclick werden blockiert, bevor sie Daten sammeln können. Das gilt für alle Geräte im Netzwerk, ohne dass dort Browser-Extensions installiert sein müssen.

Wann welches System?

Pi-hole ist die richtige Wahl, wenn:

  • Du eine große Community und ausgereifte Dokumentation bevorzugst
  • Du detaillierte Netzwerkanalysen über die FTL-Datenbank benötigst
  • Du Gravity Sync für Hochverfügbarkeit nutzen möchtest
  • Du bereits viel in Pi-hole-spezifische Konfigurationen investiert hast

AdGuard Home ist die bessere Wahl, wenn:

  • Du DNS-over-HTTPS oder DNS-over-TLS out-of-the-box brauchst
  • Du unterschiedliche Blockingprofile für verschiedene Clients konfigurieren möchtest
  • Du ein moderneres, responsives Web-Interface bevorzugst
  • Du wenig RAM zur Verfügung hast (ressourcenärmere Geräte)
  • Du einen frischen Start ohne Legacy-Komplexität bevorzugst

Fazit: Zwei sehr gute Tools mit unterschiedlichen Stärken

Pi-hole ist der bewährte Klassiker – stabil, gut dokumentiert, mit einer riesigen Community und ausgezeichneten Analysefunktionen. AdGuard Home ist der modernere Ansatz – schlanker, mit nativer Unterstützung für verschlüsseltes DNS und besserem Client-Management.

Meine persönliche Empfehlung für 2026: Wer heute neu anfängt, sollte AdGuard Home wählen. Die DoH/DoT-Unterstützung ist in einer Zeit, in der Internetprovider zunehmend DNS-Traffic überwachen, kein Nice-to-have mehr, sondern ein grundlegender Sicherheitsvorteil. Für alle, die bereits mit Pi-hole arbeiten und zufrieden sind: Es gibt keinen zwingenden Grund zu wechseln.

In meiner eigenen Infrastruktur betreibe ich heute AdGuard Home auf meinem Kubernetes-Cluster als primären DNS-Resolver für alle Netzwerke. Pi-hole läuft noch als Legacy-System auf einem alten Raspberry Pi – aber das ist Nostalgie, keine Notwendigkeit.

Weiterführende Artikel