Eigene Domain fürs Heimnetz: DNS sauber aufsetzen

Wer im Homelab nicht mehr 192.168.178.50:8443 tippen will, sondern nas.meinedomain.de, landet schnell bei einer eigenen Domain fürs Heimnetz. Mit einer sauberen DNS-Einrichtung (DNS ist das Telefonbuch des Netzwerks: es übersetzt Namen in IP-Adressen) klappt das ohne Bastelei. Hier steht, welche Endung sich lohnt, wie du Namen intern auflöst, wie die Zertifikate laufen und wo die FRITZ!Box dazwischenfunkt.

Welche Domain-Endung fürs Heimnetz?

Früher galten .home, .lan und .local als gute Heimnetz-Endungen (TLD, also der letzte Teil eines Domainnamens). Das ist überholt. .home leakte massenhaft an die Root-Server, das ist die oberste Ebene des Internet-DNS. Deshalb reserviert RFC 8375 (Mai 2018) home.arpa. für Namen, die nur im eigenen Heimnetz gelten. .local gehört Multicast DNS (mDNS), einem Verfahren, mit dem Geräte sich ohne DNS-Server im Netz finden. Laufen beides parallel, gibt es Konflikte.

Endung	Status	Öffentliches Zertifikat	Einschätzung
.home	leakt an die Root-Server	nicht belegt	meiden
.local	für mDNS reserviert	nicht belegt	für normales DNS ungeeignet
home.arpa	RFC 8375, für Heimnetze reserviert	nein	sauber, aber nur ohne öffentliche Zertifikate
.internal	von ICANN für private Nutzung von der Delegation ausgenommen (2024)	nein	sauber, gleiche Einschränkung
eigene Domain	global eindeutig	ja	Empfehlung, wenn du HTTPS willst

Beim Datum der .internal-Reservierung widersprechen sich unsere Quellen (Januar 2024 gegenüber Board-Resolution 2024.07.29.06). Deshalb nennen wir nur das Jahr.

Für Zertifikate von öffentlichen Zertifizierungsstellen (CAs, also Stellen, deren Bestätigung Browser anerkennen) brauchst du eine global eindeutige Domain. Wer ohne Warnmeldung im Browser arbeiten will, kauft sich also eine eigene Domain.

Split-Horizon: Namen intern auflösen

Die Domain muss nicht öffentlich auf deine Dienste zeigen. Beim Split-Horizon-Muster beantwortet ein lokaler Resolver (der Server, den deine Geräte nach IP-Adressen fragen) Anfragen an *.domain.tld intern mit der privaten IP deines Reverse Proxys. Das ist ein Server, der Anfragen an die passenden Dienste weiterleitet. Alles andere geht an den Upstream, also den übergeordneten DNS-Server, oder an Unbound. Unbound ist ein rekursiver Resolver. Er lässt sich hinter Pi-hole einsetzen, wenn du keinen externen Upstream willst.

Pi-hole, AdGuard Home oder Technitium?

• Pi-hole (v6): DNS-Filter mit eigenem Web-UI und einem DNS-Server namens FTL (ein dnsmasq-Fork). Großes Blocklisten-Ökosystem, kombinierbar mit Unbound.
• AdGuard Home: einzelnes Programm, natives verschlüsseltes DNS, Filter pro Gerät und eingebaute DNS-Rewrites für Split-Horizon. Mehrere Vergleiche empfehlen es 2026 für neue Setups. Das ist eine Blog-Meinung, kein Beleg.
• Technitium DNS Server (v15, April 2026): vollwertiger autoritativer und rekursiver DNS-Server mit Split-Horizon, RPZ (Filterlisten auf DNS-Ebene) und DNS-over-QUIC. Sinnvoll, wenn der Filter zugleich die DNS-Verwaltung für deine interne Domain übernehmen soll.

Bei AdGuard Home haben Regeln aus Hosts-Dateien seit 0.107.0 Vorrang vor Blocklisten-Regeln. Seit 0.107.68 lassen sich Rewrites zudem einzeln abschalten (Feld enabled, globale Option filtering.rewrites_enabled).

Bei Pi-hole gilt: aktuell halten. Der neueste uns bekannte Stand ist FTL 6.7 (Juli 2026). Schon die v6-Version FTL 6.6 (April 2026) schloss unter anderem XSS-Lücken, einen Authorization-Bypass beim Teleporter-Import und eine Newline-Injection mit RCE-Möglichkeit (Schadcode-Ausführung). Ältere v6-Stände sind verwundbar, ein Update ist dringend. Den DNS-Server erreicht schließlich jedes Gerät im Haus.

Zertifikate: DNS-01, Wildcards und kürzere Laufzeiten

Für HTTPS im Heimnetz holt man Zertifikate meist bei Let’s Encrypt, einer CA. Die Challenge (der Nachweis, dass die Domain dir gehört) läuft bei Diensten im Heimnetz über DNS-01: Ein ACME-Client, also die Automatik, die Zertifikate anfragt und erneuert, legt dafür einen Eintrag in deiner öffentlichen DNS-Zone an. Deshalb muss dein DNS-Anbieter eine API haben, eine Schnittstelle, über die Programme Einträge setzen. Wildcard-Zertifikate (ein Zertifikat für *.domain.tld) gibt es nur per DNS-01. Ein häufiger Irrtum ist, das ginge auch per HTTP-01. Auch Traefik macht hier keine Ausnahme.

Als kostenloser Weg mit API wird in unseren Quellen am häufigsten Cloudflare genannt, auch für dynamische DNS-Updates, wenn sich deine öffentliche IP ändert.

Der Reverse Proxy kann die Zertifikate gleich mitverwalten:

• Caddy (2.11.x): automatisches HTTPS, DNS-01 per Plugin, etwa im Cloudflare-Build.
• Traefik (3.7.x): findet Docker-Container selbst und unterstützt DNS-01, HTTP-01 und TLS-ALPN-01.
• Nginx Proxy Manager (2.15.x): Weboberfläche mit DNS-Plugins für Let’s Encrypt.

Was sich bei Let’s Encrypt geändert hat

Der Satz „Let’s-Encrypt-Zertifikate gelten 90 Tage“ stimmt nicht mehr. Laut den Ankündigungen stellt das Opt-in-Profil tlsserver seit 13.05.2026 auf 45 Tage um. Das Standardprofil classic folgt am 10.02.2027 mit 64 Tagen. Eine Sekundärquelle nennt für das Standardprofil 45 Tage bis 2028. Das ist nicht primär belegt. Wir konnten die Let’s-Encrypt-Seiten selbst nicht öffnen und stützen uns auf Zusammenfassungen. Prüf die Daten also bei Bedarf dort nach.

Die Konsequenz gilt unabhängig davon: Manuelles Erneuern wird unpraktikabel, Automatisierung ist Pflicht. Dazu kommt, dass Let’s Encrypt seit 04.06.2025 keine Ablauf-Mails mehr verschickt und alle hinterlegten Adressen gelöscht hat. Wer nicht merkt, dass die Erneuerung hängt, merkt es erst, wenn der Browser warnt. Ein eigenes Monitoring lohnt sich. OCSP (die Online-Abfrage, ob ein Zertifikat widerrufen wurde) ist eingestellt. Mit OCSP-Stapling ist bei Let’s Encrypt also nichts mehr zu holen.

Kurzlebige Zertifikate (160 Stunden) und IP-Adress-Zertifikate gibt es seit 15.01.2026, aber nur über das Profil shortlived. Sie setzen öffentliche Erreichbarkeit voraus und helfen bei privaten Heimnetz-IPs nicht. Wer mTLS mit Let’s-Encrypt-Zertifikaten nutzt, sollte wissen, dass im Standardprofil seit 11.02.2026 die Erweiterung „TLS Client Authentication“ fehlt.

Angekündigt ist außerdem die Challenge DNS-PERSIST-01 (Februar 2026). Ein einmaliger TXT-Eintrag würde CA und ACME-Account dauerhaft verbinden, sodass keine DNS-API-Zugangsdaten mehr auf dem Server liegen müssten. Nach Sekundärquellen ist sie in Produktion noch nicht nutzbar, und ein Start vor Ende 2026 gilt dort als unwahrscheinlich. Verlass dich noch nicht darauf.

Domain kaufen: worauf du achten solltest

Der Registrar (der Anbieter, bei dem du die Domain registrierst) ist wichtiger, als er wirkt. Cloudflare Registrar verlangt Cloudflare als autoritativen DNS-Server (Full Setup). Bei dort registrierten Domains kannst du also keinen anderen DNS-Anbieter nutzen. Ob Cloudflare Registrar .de unterstützt, konnten wir nicht belegen.

Bei .de-Domains nennen Vergleichsseiten für 2026 folgende Preise: IONOS 0,08 €/Monat im ersten Jahr, danach 1,30 €/Monat, STRATO regulär etwa 12 €/Jahr. INWX gilt als günstiger im Dauerpreis. Diese Zahlen stammen nicht von den Anbietern und sind teils Lockpreise. Schau vor dem Kauf auf den Preis ab dem zweiten Jahr.

Die FRITZ!Box und der DNS-Rebind-Schutz

Das häufigste Symptom: Die Domain funktioniert mobil, aber nicht im eigenen WLAN. Der Grund liegt oft nicht im Reverse Proxy. Die FRITZ!Box hat einen DNS-Rebind-Schutz, der Antworten unterdrückt, in denen ein öffentlicher Hostname auf eine private Heimnetz-IP zeigt. Genau das tut dein Split-Horizon-Eintrag.

1. Ausnahme eintragen: Trag den Hostnamen unter Heimnetz > Netzwerk > Netzwerkeinstellungen > erweiterte Netzwerkeinstellungen > DNS-Rebind-Schutz ein. Der Menüpfad stammt aus Forum und Blog („in vielen Setups“), nicht von AVM.
2. Lokalen DNS-Server eintragen: Trägst du Pi-hole oder einen ähnlichen Server als DNS-Server ein, sind laut unseren Quellen keine Ausnahmen nötig.

Nicht geklärt

Nicht recherchiert haben wir Besonderheiten einzelner NAS-Systeme wie Unraid, Synology, QNAP oder TrueNAS, außerdem DNSSEC, DoH/DoT, IPv6 und Fernzugriff per Tailscale oder WireGuard. Prüf das für dein Setup selbst.

Fazit

Eine eigene Domain fürs Heimnetz besteht aus wenigen Bausteinen: Domain mit API-fähigem DNS, lokaler Resolver mit Rewrite auf den Reverse Proxy, DNS-01 für ein Wildcard-Zertifikat, dazu die Rebind-Ausnahme oder der lokale DNS-Server in der FRITZ!Box. Lass die Erneuerung automatisch laufen und bau dir ein eigenes Monitoring, denn Erinnerungen von Let’s Encrypt kommen nicht mehr.