Pi-hole und Quad9 am Raspberry Pi – netzwerkweites Blockieren von Werbung und Trackern

Werbung und Tracker folgen uns durchs gesamte Internet – auf dem Laptop, dem Smartphone, sogar auf dem Smart TV. Browser-Erweiterungen helfen, aber sie schützen nur ein einzelnes Gerät. Pi-hole geht einen Schritt weiter: Es blockiert Werbung und Tracking auf DNS-Ebene und damit für jedes Gerät im Netzwerk, ohne dass du auf jedem einzelnen etwas installieren musst. Kombiniert mit Quad9 als Upstream-DNS-Resolver bekommst du zusätzlich eine kostenlose Schicht Malware-Schutz dazu.

In diesem Artikel schauen wir uns an, wie Pi-hole funktioniert, was Quad9 beiträgt, welche Nachteile es gibt, was du am Router einstellen musst und ob das wirklich jeder mit einem Raspberry Pi umsetzen kann.

Wenn dich das größere Thema Datenschutz und digitale Selbstbestimmung interessiert, passt dazu auch der Beitrag Zwischen Komfort und Privatsphäre.

• Was ist Pi-hole?
• Was ist Quad9?
• Welche Vorteile bringt das?
• Netzwerkweiter Schutz
• Weniger Werbung und Tracking
• Das Log als Augenöffner
• Zusätzlicher Malware-Schutz durch Quad9
• Datenschutzfreundlich
• Geringer Ressourcenbedarf
• Welche Nachteile gibt es?
• Nicht alles wird blockiert
• Manche Webseiten funktionieren nicht mehr
• Kein Filter auf Inhaltsebene
• Kein Ersatz für einen Virenscanner
• Eine neue Abhängigkeit
• Alternativen zu Pi-hole
• AdGuard Home
• NextDNS
• Technitium DNS
• Browser-Erweiterungen als Ergänzung
• Kann das jeder umsetzen?
• Was du brauchst
• Pi-hole installieren
• Die besten Blocklisten
• Quad9 verschlüsselt nutzen
• Was am Router wichtig ist
• DNS-Server im Router setzen
• Wo du das im Router findest
• Statische IP für den Pi
• Manuelle DNS-Einträge an Geräten
• Fazit

Was ist Pi-hole?

Pi-hole ist ein DNS-basierter Werbeblocker, der als eigener kleiner Dienst im Netzwerk läuft. Statt dass deine Geräte direkt den DNS-Server deines Internetanbieters fragen, laufen alle DNS-Anfragen über Pi-hole. Erkennt Pi-hole, dass eine Domain zu einem Werbe- oder Tracking-Netzwerk gehört, liefert es keine IP-Adresse zurück – die Verbindung kommt gar nicht erst zustande.

Das funktioniert geräteübergreifend und anwendungsunabhängig: Webbrowser, Apps, Smart TVs, Spielekonsolen – alles, was DNS nutzt, profitiert davon. Auf dem Smartphone funktionieren so auch In-App-Werbung und Tracker in Apps, die sich sonst kaum blockieren lassen.

Technisch ist Pi-hole kein Filter auf Inhaltsebene, sondern ein Filter auf Namensebene. Es prüft nicht, was geladen wird, sondern wohin die Verbindung gehen will. Genau das macht es schnell und ressourcenschonend.

Was ist Quad9?

Quad9 ist ein kostenloser DNS-Resolver, der von einer schweizerischen Stiftung betrieben wird. Seine Besonderheit: Er prüft jede angefragte Domain gegen eine kontinuierlich aktualisierte Liste bekannter Malware- und Phishing-Domains. Ist eine Domain darauf gelistet, liefert Quad9 keine IP-Adresse zurück – die Verbindung wird blockiert.

Quad9 speichert zudem keine IP-Adressen der Anfragenden und betreibt kein Logging, das für Tracking genutzt werden könnte. Neben klassischem DNS über Port 53 unterstützt Quad9 auch verschlüsselte Anfragen über DoH (DNS over HTTPS) und DoT (DNS over TLS) – verschlüsselt wird allerdings nur, wenn der Client das auch nutzt (dazu später mehr).

Im Zusammenspiel mit Pi-hole ergibt sich eine sinnvolle Kombination: Pi-hole blockiert Werbung und Tracker, Quad9 blockiert Malware. Pi-hole nutzt Quad9 als Upstream-Resolver – alles, was Pi-hole selbst nicht blockiert, wird an Quad9 weitergeleitet und dort geprüft.

Welche Vorteile bringt das?

Netzwerkweiter Schutz

Der wichtigste Vorteil: Pi-hole schützt jedes Gerät im Netzwerk, ohne dass du auf jedem einzelnen etwas installieren musst. Einmal eingerichtet, profitieren Laptop, Smartphone, Tablet, Smart TV und IoT-Geräte gleichermaßen. Gerade Geräte, auf denen sich keine Browser-Erweiterungen installieren lassen – Smart TVs, Streaming-Boxen, Smart-Home-Komponenten – sind damit abgedeckt.

Weniger Werbung und Tracking

Pi-hole blockiert Anfragen an bekannte Werbe- und Tracking-Netzwerke. Das bedeutet weniger Werbung in Webseiten und Apps, weniger Tracker im Hintergrund und spürbar schnelleres Laden von Inhalten, weil unnötige Anfragen gar nicht erst rausgehen.

Das Log als Augenöffner

Theoretisch weiß man, dass im Hintergrund getrackt wird. Praxis ist aber: Erst wenn du im Pi-hole-Query-Log siehst, was deine Geräte in den ersten Minuten nach dem Einschalten alles kontaktieren, wird klar, wie krass das wirklich ist. Smart TVs funken Dutzende Domains an, bevor überhaupt ein Sender gewählt wurde. Smartphones kontaktieren Tracker, während sie einfach nur im Hintergrund liegen. Webseiten schicken Anfragen an zehn verschiedene Analyse-Dienste, bevor der Inhalt überhaupt geladen ist.

Das Query-Log zeigt jede einzelne DNS-Anfrage mit Zeitstempel, Quelle und Status – blockiert oder zugelassen. Wer das zum ersten Mal sieht, ist meist erschrocken, wie viele Anfragen pro Minute ins Netz gehen, von denen man nichts mitbekommen hat. Besonders Amazon ist ein eigenes Kapitel: Fire-TV-Sticks, Echo-Lautsprecher, Kindle-Geräte und selbst die Amazon-App auf dem Smartphone funken praktisch ununterbrochen Amazon-Server an – Telemetrie, Nutzungsmetriken, Empfehlungs-Tracking, Werbe-Pings. Bei mir ist api.amazonalexa.com nach einer Stunde die mit Abstand meistangefragte Domain – ein Echo-Gerät, das scheinbar nur im Standby steht, pollt ununterbrochen Alexa-Server. Allein ein Fire-TV-Stick kann in einer Stunde hunderte Anfragen produzieren, ohne dass du ihn aktiv bedienst. Allein dieser Einblick ändert oft das Verständnis davon, was “im Hintergrund” eigentlich bedeutet.

Zusätzlicher Malware-Schutz durch Quad9

Quad9 ergänzt den Werbeblocker um eine Sicherheitskomponente. Wer versehentlich auf einen Link zu einer bekannten Malware-Domain klickt, bekommt gar keine Verbindung – der DNS-Lookup wird bereits blockiert. Das ersetzt keinen Virenscanner, ist aber eine zusätzliche Hürde, die viele Angriffe ins Leere laufen lässt.

Datenschutzfreundlich

Sowohl Pi-hole als auch Quad9 arbeiten datenschutzfreundlich. Pi-hole läuft lokal bei dir, Quad9 speichert keine IP-Adressen und betreibt kein Tracking. Statt den DNS-Server deines Internetanbieters zu nutzen, der deine Anfragen mitprotokollieren könnte, bleiben deine DNS-Anfragen weitgehend privat.

Geringer Ressourcenbedarf

Pi-hole ist sparsam. Ein Raspberry Pi reicht völlig aus, um ein ganzes Heimnetz zu versorgen. Die CPU-Last ist minimal, der Arbeitsspeicherbedarf gering. Der Pi läuft leise, verbraucht kaum Strom und kann unauffällig irgendwo stehen.

Welche Nachteile gibt es?

Pi-hole ist keine Wunderwaffe. Ein paar Punkte solltest du realistisch sehen.

Nicht alles wird blockiert

Pi-hole blockiert nur Domains, die auf seinen Blocklisten stehen. Tracker, die über First-Party-Domains laufen – also dieselbe Domain wie die Webseite selbst –, lassen sich auf DNS-Ebene nicht blockieren, ohne die Webseite gleich mit zu blockieren. Das gleiche Problem haben Browser-Erweiterungen auch, aber Pi-hole hat hier noch weniger Feinsteuerung.

Manche Webseiten funktionieren nicht mehr

Gelegentlich blockiert Pi-hole Domains, die für die Funktion einer Webseite nötig sind – etwa CDN-Domains, die sowohl Inhalte als auch Tracker ausliefern. In solchen Fällen lädt die Webseite nicht richtig. Das lässt sich durch Whitelisting beheben, erfordert aber manuellen Eingriff und etwas Geduld.

Kein Filter auf Inhaltsebene

Pi-hole blockiert auf DNS-Ebene. Was darüber hinausgeht – etwa Tracking innerhalb einer First-Party-Verbindung –, sieht es nicht. Für tiefgreifenden Schutz brauchst du zusätzlich Browser-Erweiterungen wie uBlock Origin. Pi-hole und Browser-Erweiterungen ergänzen sich, sie ersetzen sich nicht.

Kein Ersatz für einen Virenscanner

Quad9 blockiert bekannte Malware-Domains. Das schützt vor einem Teil der Angriffsvektoren, ersetzt aber keinen Virenscanner und keine Vorsicht bei E-Mail-Anhängen oder Downloads. Es ist eine zusätzliche Schicht, keine alleinige Lösung.

Eine neue Abhängigkeit

Läuft Pi-hole nicht – etwa weil der Raspberry Pi ausfällt oder das Netzwerk falsch konfiguriert ist –, funktioniert die Namensauflösung im gesamten Netzwerk nicht mehr. Keine DNS-Auflösung bedeutet: keine Verbindungen zu Webseiten, keine App-Funktionen, die online arbeiten.

Alternativen zu Pi-hole

Pi-hole ist der bekannteste DNS-basierte Werbeblocker, aber nicht die einzige Option. Je nach Anforderungen und Vorlieben kann eine Alternative die bessere Wahl sein.

AdGuard Home

AdGuard Home ist die direkteste Alternative zu Pi-hole. Es bietet den gleichen Grundansatz – DNS-basiertes Blocken im Netzwerk –, kommt aber mit einigen Unterschieden:

• Native DoH- und DoT-Unterstützung – AdGuard Home unterstützt DoH und DoT seit jeher nativ und intuitiv. Pi-hole unterstützt bislang weder DoT noch DoH nativ als Upstream – dafür brauchst du zusätzliche Software wie unbound, stubby oder cloudflared. Native Unterstützung ist bei Pi-hole in Entwicklung, aber noch nicht in einer stabilen Version angekommen.
• Eingebautes verschlüsseltes DNS für Clients – AdGuard Home kann selbst als DoH/DoT-Server für deine Geräte fungieren, nicht nur als Client Richtung Upstream.
• Moderneres Webinterface – die Oberfläche ist aufgeräumter und bietet mehr Funktionen out-of-the-box, etwa detailliertere Statistiken und einfachere Verwaltung von Blocklisten.
• Kein dnsmasq – AdGuard Home bringt eine eigene DNS-Implementierung mit, was es unabhängiger macht, aber in manchen Netzwerken zu anderen Edge Cases führt.

Wer Pi-hole schon nutzt und zufrieden ist, muss nicht wechseln. Wer neu einsteigt und Wert auf verschlüsseltes DNS und ein moderneres Interface legt, sollte AdGuard Home zumindest ausprobieren.

NextDNS

NextDNS ist ein Cloud-basierter DNS-Resolver mit integriertem Werbe- und Tracker-Blocking. Statt eines eigenen Pi brauchst du nur die DNS-Server von NextDNS im Router einzutragen.

• Keine Hardware nötig – alles läuft in der Cloud, kein Raspberry Pi, kein Stromverbrauch, kein Wartungsaufwand.
• Konfigurierbare Blocklisten – im Webinterface wählst du aus einer großen Auswahl an Blocklisten und kannst eigene hinzufügen.
• Analytics – NextDNS zeigt detailliert, welche Domains blockiert wurden und welche Geräte wie viele Anfragen gestellt haben.
• Kostenlos bis 300.000 Anfragen/Monat – darüber wird es kostenpflichtig. In einem normalen Haushalt reicht das kostenlose Kontingent meist aus.

Der Nachteil: Deine DNS-Anfragen laufen über einen externen Dienst. NextDNS hat eine datenschutzfreundliche Politik, aber es ist dennoch eine Cloud-Lösung – wer alles lokal halten will, ist mit Pi-hole besser bedient.

Technitium DNS

Technitium DNS ist ein vollwertiger DNS-Server mit eingebautem Werbeblocker. Er richtet sich eher an Nutzer, die mehr Kontrolle über ihr DNS wollen – etwa mit lokalen Zonen, Conditional Forwarding und Plugin-System. Für den einfachen Werbeblocker-Einsatz ist er überdimensioniert, für technisch Versierte aber eine interessante Alternative.

Browser-Erweiterungen als Ergänzung

Unabhängig von der gewählten DNS-Lösung bleibt eine Browser-Erweiterung wie uBlock Origin sinnvoll. du blockiert Tracker, die über First-Party-Domains laufen, und bietet Feinsteuerung, die auf DNS-Ebene nicht möglich ist. Pi-hole und uBlock Origin ergänzen sich ideal.

Kann das jeder umsetzen?

Kurz: Ja, mit etwas Grundwissen im Umgang mit Linux und dem eigenen Router. Du brauchst keine Programmierkenntnisse, aber du solltest dich trauen, eine Kommandozeile zu bedienen und in die Router-Einstellungen zu gehen.

Was du brauchst

• Einen Raspberry Pi – ein Pi 3, 4 oder 5 ist völlig ausreichend, auch ältere Modelle funktionieren. WLAN ist möglich, aber LAN ist die bessere Wahl: stabiler, geringere Latenz und keine Aussetzer bei WLAN-Störungen – und da jedes Gerät im Netz auf den Pi als DNS-Server angewiesen ist, wirkt sich jede Unterbrechung sofort auf das gesamte Netzwerk aus.
• Eine SD-Karte mit einem aktuellen Raspberry Pi OS (Lite reicht völlig).
• Zugriff auf den Router – du musst dort den DNS-Server ändern können.
• Eine feste IP-Adresse für den Pi – entweder am Pi selbst oder besser per DHCP-Reservierung im Router.

Pi-hole installieren

Die Installation ist unkompliziert. Nach dem Start des Pi und einem Update installierst du Pi-hole mit einem einzigen Befehl:

1

curl -sSL https://install.pi-hole.net | bash

Das Installationsskript führt dich durch die Einrichtung. Du wählst den Upstream-DNS-Resolver – hier trägst du Quad9 ein:

• IPv4: 9.9.9.9 (sekundär: 149.112.112.112)
• IPv6: 2620:fe::fe (sekundär: 2620:fe::9)

Danach wählt Pi-hole eine Standard-Blockliste aus, die Werbung und Tracker abdeckt. Das Webinterface ist anschließend unter http://<IP-des-Pi>/admin erreichbar. Ab Pi-hole v6 bringt der integrierte Webserver nativ HTTPS-Unterstützung mit – beim ersten Aufruf meldet der Browser ein selbstsigniertes Zertifikat, was normal ist und bestätigt werden kann.

Die besten Blocklisten

Pi-hole kommt mit einer Standard-Blockliste, aber der eigentliche Schutz entsteht durch die Blocklisten, die du aktivierst. Mehr ist dabei nicht automatisch besser – zu viele Listen verlangsamen die Auflösung und erhöhen das Risiko falscher Treffer. Eine durchdachte Auswahl ist sinnvoller als ein maximales Sammelsurium.

Die bewährtesten Listen für den Einstieg:

• StevenBlack’s Unified Hosts – die meistgenutzte Liste überhaupt. du fasst mehrere bekannte Hosts-Listen zusammen und deckt Werbung, Tracker und Malware ab. Wer nur eine Liste aktivieren will, nimmt diese.
• AdAway Default Blocklist – fokussiert auf mobile Werbung und In-App-Tracker. Besonders nützlich für Smartphones, auf denen sich Werbung sonst schwer blockieren lässt.
• OISD Big – eine kuratierte Liste mit Fokus auf minimale Fehlalarme. du ist etwas konservativer als andere, dafür blockiert sie seltener Domains, die für Webseiten nötig sind. Wer Probleme mit zu aggressiven Listen hat, findet hier eine entspanntere Alternative.
• HaGeZi Normal – Teil eines mehrstufigen Blocklisten-Sets von HaGeZi. Die Stufe “Normal” ist ein guter Kompromiss aus Abdeckung und Verträglichkeit. Wer mehr Blockierung will, greift zur Stufe “Pro” oder “TIF” (Threat Intelligence Feeds), die zusätzlich Malware- und Phishing-Domains abdeckt.
• WindowsSpyBlocker – blockiert Telemetrie- und Tracking-Domains, die Windows im Hintergrund kontaktiert. Sinnvoll, wenn im Netz Windows-Geräte laufen.

Eine bewährte Kombination für den Anfang: StevenBlack’s Unified Hosts als Basis, AdAway für mobile Werbung und HaGeZi Normal als Ergänzung. Das deckt den Großteil der Werbung und Tracker ab, ohne Webseiten unnötig kaputtzumachen.

Blocklisten fügst du im Pi-hole-Webinterface unter Lists in der Seitenleiste hinzu. In Pi-hole v6 heißt die Funktion schlicht Lists – nicht mehr Adlists wie in v5. Du trägst die URL ein und klickst auf Add blocklist. Nach dem Eintragen aller Listen gehst du auf Tools → Update Gravity, damit Pi-hole die Listen lädt und aktiviert.

Quad9 verschlüsselt nutzen

Ein wichtiger Punkt vorweg: Trägst du Quad9 einfach als Upstream-IP (9.9.9.9) in Pi-hole ein, laufen die Anfragen unverschlüsselt über den klassischen DNS-Port 53. Innerhalb deines Heimnetzes ist das unkritisch, aber auf der Strecke vom Router zu Quad9 könnte dein Internetanbieter theoretisch mitlesen.

Wichtig zu wissen: Pi-hole unterstützt in den aktuell veröffentlichten Versionen weder DoT (DNS over TLS) noch DoH (DNS over HTTPS) nativ als Upstream. Der Grund liegt in der Technik: Pi-hole basiert auf dnsmasq, und dnsmasq kann kein TLS zu Upstream-Servern sprechen. Native Unterstützung für verschlüsselte Upstreams ist beim Pi-hole-Team in aktiver Entwicklung, aber Stand heute noch nicht in einer stabilen Version verfügbar.

Wer die Strecke zu Quad9 verschlüsseln will, braucht deshalb einen lokalen Helfer auf dem Pi, an den Pi-hole seine Anfragen weiterreicht:

• stubby – ein schlanker DoT-Client. Er nimmt Anfragen lokal entgegen und leitet sie per DNS over TLS (Port 853) an Quad9 weiter. In Pi-hole trägst du dann 127.0.0.1#5353 (bzw. den konfigurierten Port) als Upstream ein.
• cloudflared oder dnscrypt-proxy – lokale Proxys, die Anfragen per DoH (Port 443) verschlüsselt weiterleiten. Auch hier zeigt Pi-hole auf den lokalen Proxy statt direkt auf Quad9.
• unbound – ein anderer Ansatz: Statt Quad9 zu fragen, löst unbound die Namen selbst rekursiv bei den autoritativen Nameservern auf. Damit entfällt der zentrale Resolver komplett – allerdings dann auch der Malware-Filter von Quad9.

Für die meisten Heimnetze ist stubby mit Quad9 der einfachste Weg: DoT bietet dieselbe Verschlüsselung wie DoH, nur über einen anderen Port (853 statt 443). So bleibt auch der letzte Abschnitt – von deinem Pi zu Quad9 – vor Mitlesen geschützt.

Wer sich die Zusatzkonfiguration sparen will, kann auch bewusst bei unverschlüsseltem Port 53 bleiben – der Werbe- und Malware-Schutz funktioniert damit genauso, nur die Vertraulichkeit gegenüber dem Internetanbieter fehlt.

Was am Router wichtig ist

Pi-hole funktioniert nur, wenn die Geräte im Netzwerk es auch als DNS-Server nutzen. Dafür gibt es zwei Wege.

DNS-Server im Router setzen

Der sauberste Weg: Du trägst im Router als primären DNS-Server die IP-Adresse deines Pi-hole ein. Alle Geräte, die ihre DNS-Einstellungen per DHCP beziehen – und das ist die Mehrheit –, nutzen dann automatisch Pi-hole.

Ein wichtiger Haken: Viele Geräte fragen nicht strikt primär und nur bei Ausfall sekundär – sie verteilen ihre Anfragen teils auf beide Server. Das bedeutet, dass ein Teil der DNS-Anfragen an Quad9 vorbeiläuft und Pi-holes Blocklisten umgeht. Wer konsequent blocken will, trägt Pi-hole als primären und sekundären DNS-Server ein und verzichtet auf den Fallback. Wer Verfügbarkeit wichtiger nimmt als 100%ige Blockwirksamkeit, nimmt Quad9 als sekundären Server. Beides ist ein bewusster Kompromiss. Allerdings ist das eine Art Load Balancing, wo nicht immer der erste DNS-Server genutzt wird sondern auch mal der zweite. Das kann dazu führen, dass Anfragen an Quad9 vorbeilaufen und nicht blockiert werden. Wer konsequent blocken will, trägt Pi-hole als primären und sekundären DNS-Server ein und verzichtet auf den Fallback. Wer Verfügbarkeit wichtiger nimmt als 100%ige Blockwirksamkeit, nimmt Quad9 als sekundären Server. Beides ist ein bewusster Kompromiss.

Wo du das im Router findest

Die Einstellung heißt je nach Router unterschiedlich:

• Fritz!Box: Heimnetz → Netzwerk → Netzwerkeinstellungen → IPv4-Adressen → DNS-Server
• Speedport: Netzwerk → DHCP-Einstellungen
• Ubiquiti / UniFi: Networks → entsprechendes Netzwerk → DHCP Name Server
• OpenWrt: Network → Interfaces → DHCP Server → Advanced Settings → DHCP-Options (Option 6,<IP-des-Pi>)

Statische IP für den Pi

Der Pi braucht eine feste IP-Adresse, damit die Geräte im Netzwerk ihn zuverlässig als DNS-Server erreichen. Am einfachsten richtest du das per DHCP-Reservierung im Router ein: Der Pi bekommt immer dieselbe IP, ohne dass du sie am Pi selbst konfigurieren musst.

Manuelle DNS-Einträge an Geräten

In manchen Fällen – etwa bei Geräten, die ihre eigenen DNS-Server nutzen (Google 8.8.8.8, Cloudflare 1.1.1.1) –, greift Pi-hole nicht. Hier hilft nur, die DNS-Einstellungen am Gerät selbst zu ändern oder festzulegen, dass nur der Router als DNS-Server zulässig ist. Manche Router können DNS-Anfragen an andere Server blockieren und so erzwingen, dass ausschließlich der eingetragene DNS-Server genutzt wird.

Fazit

Pi-hole und Quad9 am Raspberry Pi sind eine der einfachsten und wirkungsvollsten Maßnahmen, um Werbung, Tracker und Malware netzwerkweit zu blockieren. Einmal eingerichtet, schützt die Kombination jedes Gerät im Heimnetz – auch solche, auf denen sich keine zusätzlichen Tools installieren lassen.

Der entscheidende Punkt ist einfach: Statt jede App und jedes Gerät einzeln abzusichern, läuft der Schutz zentral auf DNS-Ebene. Wer möchte, verschlüsselt mit einem DoT-Client wie stubby zusätzlich die Strecke zu Quad9. Wer einen Raspberry Pi und Zugriff auf den Router hat, kann das in einer Stunde umsetzen – und der Effekt ist spürbar.