Pi-hole im Heim- und SOHO-Netz
In meinem Heim- und Arbeitsnetzwerk nutze ich Pi-hole zur zentralen DNS-Filterung. Ziel ist es, DNS-basierte Kommunikation kontrollierbar zu machen und datenschutzrelevante Verbindungen frühzeitig zu unterbinden.
Pi-hole ist dabei kein Werbeblocker im klassischen Sinne, sondern ein fest eingeplanter Bestandteil der Netzwerkarchitektur.
Ich nutze Pi-hole nicht als „Werbeblocker“, sondern als zentralen DNS-Resolver mit Filterfunktion im lokalen Netzwerk. Ziel ist es, DNS-basierte Metadatenflüsse transparenter zu machen, Tracking- und Werbe-Domains frühzeitig zu blockieren und die Namensauflösung als Architekturbaustein bewusst zu kontrollieren.
DNS (Domain Name System) übersetzt Domainnamen in IP-Adressen. Unabhängig davon, ob die spätere Verbindung über HTTPS verschlüsselt ist, ist DNS meist die erste technisch sichtbare Stufe, auf der erkennbar wird, welche Dienste kontaktiert werden sollen. Damit ist DNS eine hochwertige Metadatenquelle und gleichzeitig ein wirksamer Ansatzpunkt für eine netzwerkweite Policy.
Pi-hole wird so betrieben, dass alle Geräte im Netzwerk es als DNS-Server nutzen:
Clients → Pi-hole → Upstream-DNS (Forwarder oder Unbound) → Internet-DNSDer Router bleibt Gateway und Firewall, Pi-hole ergänzt diese Architektur als zentraler Resolver.
NXDOMAIN oder Sinkhole-IPPi-hole blockiert Domains, keine Inhalte. Es findet keine Deep Packet Inspection statt.
Pi-hole → externer DNSPi-hole → Unbound → Root → TLD → Authoritative DNSDNS-Logs sind personenbezogene Metadaten, sobald Geräte zuordenbar sind. Pi-hole erlaubt eine differenzierte Steuerung.
Bei der Auswahl der Blocklisten folge ich konsequent dem Prinzip „weniger ist mehr“. Ziel ist keine maximale Blockquote, sondern eine stabile, nachvollziehbare DNS-Filterung mit möglichst wenigen Fehlblockaden.
Ich nutze daher nur wenige, etablierte Quellen mit klarer Ausrichtung:
Zusätzliche Blocklisten würden in der Praxis meist nur noch geringe Zugewinne bringen, erhöhen jedoch:
Durch die bewusste Beschränkung bleibt das DNS-Verhalten erklärbar: Wenn etwas blockiert wird, ist auch nachvollziehbar warum. Das ist aus Betriebssicht wichtiger als eine möglichst hohe Blockzahl.
Pi-hole läuft bei mir nicht auf dedizierter Hardware, sondern als Container auf einer Synology NAS. Diese Entscheidung ist bewusst getroffen und folgt denselben Prinzipien wie die reduzierte Blocklistenstrategie: Stabilität, Wartbarkeit und klare Zuständigkeiten.
Die NAS ist ohnehin als dauerhaft betriebene Infrastrukturkomponente ausgelegt und in meinem Umfeld 24/7 verfügbar. Sie übernimmt bereits zentrale Aufgaben wie Datenspeicherung, Backup und weitere Netzwerkdienste. Pi-hole fügt sich hier als zusätzlicher, logisch abgegrenzter Dienst ein – ohne zusätzliche Hardware, Netzteile oder separate Systeme.
Der Betrieb im Docker-Umfeld bietet dabei mehrere technische Vorteile:
Aus Sicht der Verfügbarkeit ist diese Architektur sinnvoll: Die NAS ist bereits auf Dauerbetrieb ausgelegt, überwacht und abgesichert. Ein zusätzlicher Einplatinenrechner oder separater Mini-Server würde die Anzahl potenzieller Fehlerquellen erhöhen, ohne einen echten Mehrwert zu liefern.
Auch der Ressourcenbedarf von Pi-hole spricht für diesen Ansatz. DNS-Auflösung ist technisch leichtgewichtig: CPU-Last und Speicherbedarf sind gering, selbst bei mehreren hunderttausend geblockten Domains. Im Docker-Betrieb beansprucht Pi-hole nur einen sehr kleinen, klar begrenzten Teil der verfügbaren Systemressourcen.
Pi-hole ist damit kein leistungskritischer Dienst, sondern ein stabiler Basisdienst, der zuverlässig im Hintergrund arbeitet. Der Container-Betrieb unterstützt genau diesen Charakter: isoliert, ressourcenschonend und kontrollierbar, ohne die übrigen Funktionen der NAS zu beeinträchtigen.
Pi-hole ist in meiner Netzarchitektur ein strategischer Kontrollpunkt. Der Nutzen entsteht nicht durch maximales Blocken, sondern durch saubere Architektur, bewusste Upstream-Wahl, kontrolliertes Logging und gepflegte Regeln.
Damit ist Pi-hole keine Spielerei, sondern solide, nachvollziehbare Netztechnik.
Eric BeuchelOldtimer-Golf: Warum ich keine Dauer-Schutzplane nutze