Pi-hole vs. AdGuard Home

Passende Hardware im Überblick

Boards – beide Werbeblocker laufen auf allem:
Raspberry Pi Zero 2 W – reicht für Pi-hole und AdGuard Home (Link)*
Raspberry Pi 5 mit 4GB – wenn weitere Dienste dazukommen (Link)*
Raspberry Pi 5 mit 8GB RAM – die Allzweck-Empfehlung (Link)*
Raspberry Pi 5 mit 16GB RAM – für den Server, der alles macht (Link)*
Raspberry Pi 4 Starter-Set mit 4GB (Link)*
db-tronic Pi 5 Komplett-Set mit Gehäuse, Kühler und Netzteil (Link)*

Speicher – die Abfrage-Datenbank schreibt ständig:
SanDisk Extreme A2 128GB – haltbare Karte für Dauerläufer (Link)*
32GB-Karte – wenn es günstig sein soll (Link)*
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Intenso M.2 NVMe SSD 500GB – Schluss mit Karten-Verschleiß (Link)*

Dauerbetrieb, Strom und Gehäuse:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Offizielles Netzteil für den Pi 4 (Link)*
Geekworm X1200 USV – ohne DNS steht sonst das ganze Netz (Link)*
PoE-HAT – Strom und Netzwerk in einem Kabel (Link)*
Offizielles Zero-Gehäuse (Link)*
Passives Alu-Gehäuse – lautlos im Regal (Link)*
GeeekPi-Gehäuse-Set mit Lüfter (Link)*

Kurz gesagt: Was ist besser – Pi-hole oder AdGuard Home?

Die Kurzfassung:

• Beide machen dasselbe: Sie sind der DNS-Server im Heimnetz und beantworten Anfragen an Werbe- und Trackerdomains nicht. Der Effekt gilt sofort für jedes Gerät – auch für Fernseher, Konsole und Smart-Home-Kram ohne Adblocker.
• AdGuard Home für alle, die wenig basteln wollen: Verschlüsseltes DNS, Elternsicherung, sichere Suche und ein DHCP-Server sind eingebaut, die Oberfläche ist aufgeräumt.
• Pi-hole für Tüftler: Größere Community, mehr Anleitungen, sehr feine Gruppen- und Regex-Regeln, Langzeitstatistik in einer eigenen Datenbank.
• Verschlüsselung: AdGuard Home spricht DNS-over-HTTPS und DNS-over-TLS von Haus aus, Pi-hole braucht dafür unbound oder cloudflared als Zusatz.
• Filterlisten: Zwei bis drei gepflegte Listen genügen. Millionen von Domains bringen keinen besseren Schutz, sondern kaputte Shops und fehlende Push-Nachrichten.
• Kein Fehlkauf möglich: Beide sind kostenlos, laufen auf einem Zero 2 W unter einem Watt und sind in einer Viertelstunde gegeneinander getauscht.

Werbe- und Trackerfilter im ganzen Netz: so arbeitet ein DNS-Blocker

Bevor Pi-hole vs. AdGuard Home überhaupt zur Frage wird, lohnt ein Blick auf das gemeinsame Prinzip. Jedes Mal, wenn ein Gerät eine Adresse aufruft, fragt es zuerst einen DNS-Server nach der zugehörigen IP-Adresse. Genau an dieser Stelle setzen beide Programme an: Steht die angefragte Domain auf einer Filterliste, kommt keine Adresse zurück – der Werbebanner, der Tracker oder die Telemetrieverbindung läuft ins Leere. Die Anfrage wird nicht umgeleitet, sie wird schlicht nicht beantwortet.

Der große Vorteil gegenüber einem Browser-Adblocker: Der Filter greift vor dem Gerät und damit überall. Der Smart-TV, der alle paar Minuten nach Hause funkt, das Tablet der Kinder, die Konsole, der Saugroboter – nichts davon lässt sich mit einer Browser-Erweiterung bändigen. Ein DNS-Filter im Netz erwischt sie alle gleichzeitig, ohne dass auf einem einzigen Endgerät etwas installiert werden muss.

Beide Projekte sind quelloffen, kostenlos und in aktiver Entwicklung. Pi-hole steht 2026 bei Version 6.4.3 und hat mit dem Sprung auf Version 6 den früher nötigen Webserver lighttpd samt PHP über Bord geworfen – die Oberfläche liefert das Programm jetzt selbst aus, konfiguriert wird über /etc/pihole/pihole.toml. AdGuard Home liegt bei Version 0.107.78 und ist ein einzelnes Go-Programm ohne jede Abhängigkeit. Beide belegen im Betrieb deutlich unter 100 MB Arbeitsspeicher.

Ein Punkt vorweg: Fällt der DNS-Server aus, funktioniert im Netz gar nichts mehr. Deshalb gehören zu diesem Projekt von Anfang an eine feste IP-Adresse und ein ordentliches Netzteil.

Pi-hole vs. AdGuard Home im direkten Vergleich

Die Tabelle zeigt das Muster: AdGuard Home bringt mehr mit, Pi-hole lässt sich weiter treiben. Wer verschlüsseltes DNS, Zeitpläne für die Geräte der Kinder und eine sichere Suche ohne Zusatzsoftware will, ist mit AdGuard Home schneller am Ziel. Wer gern in Konfigurationsdateien arbeitet, Regex-Regeln schreibt und Auswertungen über Monate hinweg auf die einzelne Domain herunterbrechen möchte, bleibt bei Pi-hole – dazu kommt der schlichte Vorteil, dass zu Pi-hole für jedes erdenkliche Problem bereits eine Anleitung existiert.

Beim Ressourcenbedarf gibt es keinen ernsthaften Unterschied. Beide bedienen ein Heimnetz mit zwanzig Geräten auf einem Zero 2 W, ohne ins Schwitzen zu kommen. Wer beide ausprobieren will, installiert sie nacheinander als Docker-Container – dann ist der Test in Minuten erledigt und rückstandslos wieder entfernt.

Installation und Einrichtung – Schritt für Schritt

1. Grundsystem aufsetzen: Raspberry Pi OS Lite genügt, SSH aktivieren und dem Pi eine feste Adresse geben. Diese Adresse tragen später alle Geräte als DNS-Server ein, sie darf sich niemals ändern.
2. Pi-hole installieren: curl -sSL https://install.pi-hole.net | bash. Der Assistent fragt nach Netzwerkkarte, Upstream-Server und Blockliste und zeigt am Ende das Passwort für die Oberfläche unter http://<IP>/admin.
3. Oder AdGuard Home installieren: curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v. Die Ersteinrichtung läuft im Browser unter http://<IP>:3000, danach ist die Oberfläche auf dem gewählten Port erreichbar.
4. Achtung bei Port 80: Beide wollen einen Webserver betreiben. Läuft auf demselben Pi bereits ein Webserver oder eine andere Weboberfläche, muss einer von beiden auf einen anderen Port ausweichen – sonst startet der Dienst gar nicht erst.
5. Upstream festlegen: Als vorgeschalteten Resolver kann man einen öffentlichen Anbieter wählen oder mit unbound einen eigenen rekursiven Resolver betreiben. Letzteres bedeutet: Kein fremder Dienstleister sieht mehr, welche Adressen im Haushalt aufgerufen werden.
6. Ersten Test machen: Auf einem Rechner den DNS-Server manuell auf die Pi-Adresse setzen und eine werbefinanzierte Seite aufrufen. Bleiben die Anzeigenflächen leer und zählt das Dashboard blockierte Anfragen mit, arbeitet der Filter.
7. Erst dann das Netz umstellen: Wenn ein Gerät sauber funktioniert, kommt der Router an die Reihe. Nie umgekehrt – sonst sitzt das ganze Haus ohne Namensauflösung da, während man noch sucht.
8. Absichern und aktualisieren: Ein starkes Passwort für die Oberfläche, keine Freigabe des DNS-Ports nach außen und regelmäßige Updates. Weitere Härtungsschritte stehen im Beitrag zum Absichern des Raspberry Pi.

DNS-over-HTTPS und DNS-over-TLS im Heimnetz

Ein DNS-Filter sieht jede Anfrage im Klartext – und ohne Verschlüsselung sieht der Internetanbieter sie ebenfalls. Genau hier liegt der deutlichste Unterschied im Vergleich Pi-hole vs. AdGuard Home: AdGuard Home kann verschlüsselte Upstreams direkt eintragen, etwa per DNS-over-HTTPS oder DNS-over-TLS, und bringt sogar einen eigenen verschlüsselten Server mit, den man unterwegs über WireGuard oder Tailscale nutzen kann.

Pi-hole braucht dafür einen Helfer: cloudflared baut einen verschlüsselten Tunnel zu einem Anbieter auf, unbound geht den anderen Weg und fragt die zuständigen Nameserver selbst – unverschlüsselt, dafür ohne einen einzigen Dienstleister, der alles mitliest. Welcher Weg besser ist, ist Geschmackssache: Verschlüsselung schützt vor dem Provider, ein eigener Resolver schützt vor der Datensammlung beim DNS-Anbieter.

Wichtiger als beides ist ein Detail auf der Gegenseite: Moderne Browser bringen eigenes DNS-over-HTTPS mit und umgehen damit den Filter im Netz komplett. Wer sich wundert, warum auf dem Notebook trotzdem Werbung erscheint, sollte zuerst dort nachsehen und die Browserfunktion abschalten. AdGuard Home bietet für Firefox zusätzlich die Möglichkeit, die dafür zuständige Prüf-Domain zu blockieren, sodass der Browser von selbst auf das Netz-DNS zurückfällt.

Filterlisten richtig wählen – mehr ist nicht besser

Der häufigste Anfängerfehler ist der Ehrgeiz. Beide Programme starten mit einer soliden Standardliste von etwa 100.000 bis 200.000 Domains, und genau dabei sollte es im Wesentlichen bleiben. Wer stattdessen ein Dutzend Listen einträgt und auf mehrere Millionen Einträge kommt, blockiert nicht mehr Werbung, sondern zunehmend Dinge, die er eigentlich braucht.

Typische Kollateralschäden: Bestellbestätigungen mit Weiterleitungs-Links funktionieren nicht mehr, Push-Nachrichten kommen nicht an, Bezahlvorgänge brechen ab, Preisvergleiche laden nicht. Der Ärger tritt Tage später auf und lässt sich dann kaum noch dem Werbeblocker zuordnen – das ist der eigentliche Grund, warum Listen-Sammelwut in Haushalten mit mehreren Nutzern zum Problem wird.

• Zwei bis drei gepflegte Listen genügen – gute Sammlungen wie die Listen von OISD oder Hagezi bündeln bereits Dutzende Quellen und sind aufeinander abgestimmt.
• Nicht mehrere große Sammellisten stapeln – sie überschneiden sich zu 90 Prozent und addieren nur die Fehler.
• Gezielt nachschärfen statt pauschal filtern: Stört eine einzelne Domain, kommt sie manuell auf die Sperrliste.
• Ausnahmen dokumentieren: Jede Freigabe kurz kommentieren, sonst weiß nach einem halben Jahr niemand mehr, warum sie dort steht.
• Blockrate im Blick behalten: Werte zwischen 5 und 15 Prozent sind normal. Deutlich mehr deutet auf zu scharfe Listen oder ein extrem gesprächiges Gerät hin.

Router anbinden und DHCP übernehmen

Damit der Filter für alle gilt, muss der Router mitspielen. In der FRITZ!Box gehört die Pi-Adresse unter Heimnetz > Netzwerk > Netzwerkeinstellungen in das Feld für den lokalen DNS-Server – nicht in die DNS-Einstellungen unter den Internet-Zugangsdaten, denn das ist der Upstream der Box selbst. Andere Router verstecken die Einstellung meist in den DHCP- oder LAN-Optionen; entscheidend ist immer, dass die Clients den Pi als DNS bekommen.

Einige Router geben ihre eigene Adresse als DNS-Server aus und lassen sich davon nicht abbringen. Dann bleibt der zweite Weg: DHCP im Router abschalten und vom Pi übernehmen lassen. Beide Programme können das. Der Gewinn geht über den Filter hinaus – im Dashboard erscheinen statt IP-Adressen die echten Gerätenamen, Regeln lassen sich pro Gerät vergeben, und ganz nebenbei kann der DHCP-Dienst auch den eigenen Zeitserver im Netz bekannt machen.

Ein Punkt wird dabei fast immer übersehen: IPv6. Viele Router kündigen sich per Router Advertisement selbst als IPv6-DNS-Server an. Die Geräte nehmen dieses Angebot an und umgehen den Filter, ohne dass es jemandem auffällt – die Werbung ist einfach wieder da. Entweder trägt man auch für IPv6 die Adresse des Pi ein oder man schaltet die IPv6-DNS-Ankündigung im Router ab.

Ausfallsicherheit mit einem zweiten DNS-Server

Ein Werbeblocker im Netz macht das ganze Haus von einem einzigen Gerät abhängig. Steckt jemand den Pi zum Aufräumen aus oder stirbt die Speicherkarte, funktioniert nichts mehr – und die Ursache erkennt man selten sofort, weil sich das wie ein Internetausfall anfühlt. Wer nicht als Erster verdächtigt werden will, plant den Ausfall mit ein.

1. Zweite Instanz aufsetzen: Ein zweiter Pi – ein Zero 2 W genügt – bekommt dieselbe Software und dieselbe Konfiguration.
2. Beide verteilen lassen: Im DHCP werden beide Adressen als DNS-Server bekannt gegeben. Fällt einer aus, wechseln die Clients selbstständig zum zweiten.
3. Konfiguration abgleichen: Für Pi-hole gibt es Werkzeuge aus der Community wie Nebula Sync, für AdGuard Home das Projekt AdGuardHome-Sync. Beide halten Listen, Ausnahmen und Einstellungen zwischen zwei Instanzen gleich.
4. Erreichbarkeit überwachen: Ein Blick von Uptime Kuma auf beide DNS-Dienste meldet den Ausfall, bevor die Familie es tut.

Eine Einschränkung überrascht dabei viele: Zwei eingetragene DNS-Server sind kein sauberes Ausfallkonzept. Betriebssysteme wechseln nicht streng nach Reihenfolge, manche fragen beide parallel. Wer als zweiten Eintrag einen öffentlichen Server hinterlegt, hebelt seinen Filter also gelegentlich selbst aus. Der zweite Eintrag sollte deshalb immer ein eigener, ebenfalls filternder Server sein – sonst lässt man ihn besser ganz weg. Eine kleine USV senkt das Risiko ohnehin deutlich.

Was ein DNS-Filter nicht kann

Realistische Erwartungen ersparen viel Frust. Ein DNS-Blocker entscheidet nur anhand des Domainnamens – er sieht nicht, was auf einer Seite passiert, und kann nichts blockieren, was von derselben Adresse kommt wie der gewünschte Inhalt. Daraus folgen die bekannten Lücken:

• YouTube-Werbung bleibt: Die Anzeigen kommen von denselben Servern wie die Videos. Wer sie sperrt, sperrt YouTube. Daran ändert auch keine Spezialliste etwas.
• Werbung in sozialen Netzwerken bleibt: Bei Facebook, Instagram und TikTok wird die Werbung aus derselben Quelle ausgeliefert wie die Beiträge.
• Manche App-Werbung bleibt: Apps, die Anzeigen über die eigene Domain nachladen, sind für einen DNS-Filter nicht von normalem Inhalt zu unterscheiden. Viele andere Apps trifft es dagegen sehr wohl – gerade Spiele mit eingeblendeten Bannern werden oft spürbar ruhiger.
• Geräte mit fest eingebautem DNS: Streaming-Sticks und manche Smart-TVs fragen einen fest programmierten Server ab. Nur eine Umleitungsregel im Router, etwa unter OpenWrt, hilft dagegen.
• Kein Ersatz für Schutzsoftware: Ein DNS-Filter blockiert bekannte Schadserver, aber er ersetzt weder Virenschutz noch gesunden Menschenverstand.

Zuverlässig verschwinden dagegen: Bannerwerbung auf Webseiten, Tracker und Analysedienste, Telemetrie von Smart-Home-Geräten und ein großer Teil der Werbung in Apps. Ein Inhaltsblocker im Browser ergänzt das sinnvoll – das eine filtert Verbindungen, das andere Bildschirmflächen.

Fehler und Stolpersteine

• Wechselnde IP-Adresse: Bekommt der Pi per DHCP eine neue Adresse, steht das Netz. Feste Adresse vergeben, bevor der Router umgestellt wird.
• IPv6 vergessen: Der Klassiker – über IPv6 läuft alles am Filter vorbei und die Werbung erscheint scheinbar grundlos wieder.
• Zu viele Filterlisten: Kaputte Shops, ausbleibende Push-Nachrichten und rätselhafte Fehler in Apps sind fast immer eine Folge übertriebener Listen.
• Browser mit eigenem DoH: Verschlüsseltes DNS im Browser umgeht den Filter vollständig. Auf jedem Rechner einmal prüfen und abschalten.
• Filter nur beim Router eingetragen: Wenn der Router seine eigene Adresse als DNS ausgibt, zeigt das Dashboard nur einen einzigen Client – nämlich den Router. Regeln pro Gerät sind dann nicht mehr möglich.
• Speicherkarte am Anschlag: Das Abfrageprotokoll schreibt dauernd. Auf einer SSD ist das kein Thema, auf einer billigen Karte endet es früher oder später im Datenverlust.
• DNS-Port nach außen offen: Ein aus dem Internet erreichbarer DNS-Server wird für Angriffe missbraucht. Der Dienst hat ausschließlich im lokalen Netz erreichbar zu sein.

Häufige Fragen zu Pi-hole und AdGuard Home

Kann ich Pi-hole und AdGuard Home gleichzeitig betreiben?
Auf demselben Gerät nur mit Klimmzügen, weil beide den DNS-Port belegen. Sinnvoll ist die Reihenschaltung ohnehin nicht – ein Filter genügt, der zweite bringt keinen zusätzlichen Nutzen.

Wird das Internet dadurch langsamer?
Nein, eher im Gegenteil. Antworten kommen aus dem lokalen Cache statt aus dem Netz, und Seiten ohne Werbeelemente laden spürbar schneller.

Welcher Raspberry Pi reicht dafür?
Jedes Modell ab dem Zero 2 W. Wer den Pi ohnehin für Home Assistant oder ein NAS betreibt, hängt den DNS-Filter einfach mit dazu.

Kann ich einzelne Geräte vom Filter ausnehmen?
Ja. Pi-hole regelt das über Gruppen mit eigenen Listen, AdGuard Home über Client-Einträge mit individuellen Einstellungen und Zeitplänen – praktisch etwa für ein Arbeitsnotebook oder das Tablet der Kinder.

Wie wechsle ich von einem zum anderen?
Filterlisten und Ausnahmen notieren, den alten Dienst stoppen, den neuen installieren und die Adresse beibehalten. Der Wechsel ist in einer Viertelstunde erledigt, die Clients merken nichts davon.

Sehe ich, welches Gerät wohin funkt?
Ja, und das ist oft der eigentliche Gewinn. Im Abfrageprotokoll wird sichtbar, wie oft ein Fernseher oder ein günstiges Smart-Home-Gerät nach Hause telefoniert – manchmal im Minutentakt.

Brauche ich zusätzlich unbound?
Nötig ist es nicht. Es lohnt sich für alle, die keinem öffentlichen DNS-Anbieter ihre komplette Aufrufhistorie überlassen möchten – der Pi fragt dann selbst bei den zuständigen Nameservern nach.

Fazit

Bei Pi-hole vs. AdGuard Home gibt es keinen Verlierer, aber eine klare Reihenfolge der Empfehlung: Für die meisten Haushalte ist AdGuard Home heute die bessere erste Wahl – verschlüsseltes DNS, sichere Suche, Zeitpläne und DHCP sind eingebaut, statt aus drei Zusatzprogrammen zusammengesteckt zu werden, und die Oberfläche erklärt sich von selbst. Pi-hole bleibt die Empfehlung für alle, die tiefer eingreifen wollen: Regex-Regeln, Gruppen bis ins Detail, Auswertungen über Monate und eine Community, die jede Frage schon beantwortet hat. Wichtiger als die Entscheidung selbst sind ohnehin drei andere Dinge: eine feste IP-Adresse, IPv6 nicht vergessen und die Finger von der Listen-Sammelwut lassen. Wer diese drei Punkte beachtet, hat in einer Viertelstunde ein Heimnetz, in dem Werbung und Tracker auf jedem Gerät gleichzeitig verschwinden – und kann die beiden Kandidaten am Wochenende in Ruhe gegeneinander antreten lassen.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)