- Pi-hole blockiert Werbung und Tracker per DNS – netzwerkweit, für jedes Gerät, ohne Browser-Add-ons.
- Läuft klassisch auf einem Raspberry Pi, genauso gut aber als Docker-Container auf NAS-Systemen wie Synology, QNAP oder Unraid.
- Seit Pi-hole v6 (Februar 2025) gibt es eine komplett überarbeitete Architektur mit eingebautem Webserver und einer einzigen Konfigurationsdatei – aktuell ist Core 6.4.3 (Stand Juli 2026).
- Pi-hole ist kein VPN und blockiert nicht jede Werbung – für lückenlosen Schutz braucht es zusätzliche Maßnahmen.
Was Pi-hole eigentlich macht
Pi-hole ist eine quelloffene Software, die als DNS-Sinkhole arbeitet. Anstatt Werbung im Browser wegzufiltern, beantwortet Pi-hole Anfragen an bekannte Werbe- und Tracking-Domains selbst – meist mit „0.0.0.0″ oder einer NXDOMAIN-Antwort – und verhindert so, dass die eigentlichen Inhalte überhaupt geladen werden. Das passiert auf DNS-Ebene, bevor eine Verbindung zum Werbeserver zustande kommt. Der Vorteil: Es ist egal, ob die Anfrage von einem Laptop, dem Smart-TV oder dem Handy kommt – sobald das Gerät Pi-hole als DNS-Server nutzt, greift die Filterung, ganz ohne Adblocker-Plugin pro Browser.
Wo Pi-hole einrichten: Raspberry Pi oder Docker auf dem NAS
Der Name legt es nahe, aber ein Raspberry Pi ist längst nicht mehr die einzige Option. Pi-hole läuft ebenso in Docker auf Synology, QNAP oder Unraid, in einer VM oder auf praktisch jedem Linux-Host. Wer bereits ein Homelab oder eine NAS am Laufen hat, kommt damit ohne zusätzliche Hardware aus. Für alle, die lieber ein eigenständiges, stromsparendes Gerät wollen, bleibt der Raspberry Pi die klassische Wahl – ein Pi 4 gilt hier weiterhin als solide Basis und ist auch die Grundlage vieler fertiger Pi-hole-Kits. Ein Pi 5 ist für die reine Pi-hole-Aufgabe eher überdimensioniert.
db-tronic Raspberry Pi 4 4GB Starter Set
Komplett-Set mit 64GB Speicherkarte, Netzteil, Gehäuse und Kühlkörpern – alles dabei, um direkt mit der Pi-hole-Installation loszulegen, ohne Einzelteile zusammensuchen zu müssen.
Pi-hole v6: Was sich grundlegend geändert hat
Im Februar 2025 erschien mit Pi-hole v6 laut Projekt das größte Release der Projektgeschichte. lighttpd und PHP wurden komplett entfernt, Webserver und REST-API stecken jetzt direkt im FTL-Binary, und statt vieler Textdateien gibt es eine einzige TOML-Konfigurationsdatei. Die Weboberfläche wurde in einen „Basic“- und einen „Expert“-Modus aufgeteilt, außerdem kam native HTTPS-Unterstützung für die Admin-Oberfläche dazu. Seit Oktober 2025 laufen die selbstsignierten TLS-Zertifikate der Weboberfläche standardmäßig nur noch 47 Tage und erneuern sich automatisch – vorher liefen Nutzer eher in abgelaufene Zertifikate.
Die Entwicklung ist seither zügig weitergegangen: Bis Juli 2026 folgten mehrere Core-, FTL- und Web-Updates, aktuell (Stand August 2026) ist Core 6.4.3 mit FTL 6.7 und Web 6.6, veröffentlicht am 6. Juli 2026. Wichtig dabei: Im April 2026 wurden mit FTL 6.6 / Web 6.5 / Core 6.4.1 mehrere gespeicherte und reflektierte XSS- sowie HTML-Injection-Schwachstellen geschlossen, unter anderem in der Query-Ansicht, der Netzwerk-Seite und dem Dashboard. Wer Pi-hole einrichtet, sollte deshalb grundsätzlich zur aktuellen Version greifen und Updates zeitnah einspielen, statt auf einer älteren v6.x stehenzubleiben.
Stolperfallen beim Umstieg von v5 auf v6
Wer eine ältere Installation aktualisiert, sollte ein paar Änderungen kennen: Praktisch alle alten Umgebungsvariablen wurden entfernt und durch neue FTLCONF_*-Äquivalente ersetzt, das Verzeichnis /etc/dnsmasq.d/ wird standardmäßig nicht mehr eingelesen, und der frühere CLI-Befehl für Teleporter-Backups (pihole -a -t) existiert nicht mehr – Export und Import laufen jetzt nur noch über die Web-Oberfläche. Bei benutzerdefinierten Datenbankpfaden gibt es dabei Berichte über Fehler beim Wiederherstellen von Adlists und Domainlisten. Vor einem Upgrade lohnt sich deshalb ein Blick in die offizielle Migrationsdokumentation.
DNS im Router umstellen
Damit Pi-hole tatsächlich für das ganze Heimnetz greift, muss es als DNS-Server im Router hinterlegt werden – bei den meisten Routern findet sich diese Option in den Netzwerk- beziehungsweise Internet-Einstellungen. Da sich Router-Menüs von Hersteller zu Hersteller und von Firmware-Version zu Firmware-Version unterscheiden, lohnt sich ein Blick in die aktuelle Anleitung des eigenen Routers, statt sich auf ältere Screenshots zu verlassen.
Verschlüsseltes Upstream-DNS: Vorsicht bei alten cloudflared-Anleitungen
Pi-hole selbst spricht weiterhin nur klassisches, unverschlüsseltes DNS – DNS-over-HTTPS oder DNS-over-TLS zum Upstream-Server war nie eingebaut und ist es auch mit v6 nicht. Wer verschlüsseltes Upstream-DNS will, braucht einen vorgeschalteten Dienst wie Unbound, cloudflared oder dnscrypt-proxy. Für 2026 wichtig: Cloudflare hat das „proxy-dns“-Feature deprecated, auf dem die verbreitete Anleitung „cloudflared vor Pi-hole“ beruht. Bestehende Installationen laufen zwar weiter, werden aber nur noch rund zwölf Monate ab Release unterstützt – wird cloudflared nach dem 2. Februar 2026 aktualisiert, funktioniert die klassische Anleitung nicht mehr. Wer neu einrichtet, ist mit Unbound als lokalem rekursiven Resolver oder einem anderen aktuellen DoH-Proxy besser beraten.
Häufige Irrtümer
Pi-hole ist kein VPN und verbirgt den Datenverkehr nicht vor dem Internetanbieter – gefiltert werden nur DNS-Anfragen, der eigentliche Traffic läuft unverändert weiter. Auch blockiert Pi-hole nicht automatisch jede Werbung: In-App-Werbung, die über dieselbe Domain wie der reguläre App-Traffic läuft, etwa viele YouTube-Anzeigen, lässt sich per DNS-Blocking grundsätzlich nicht sauber heraustrennen. Und wer Pi-hole nur im Router einträgt, übersieht leicht, dass Geräte mit fest hinterlegtem DNS-Server oder Apps mit eigenem DNS-over-HTTPS – etwa Firefox oder Android mit aktiviertem „Privates DNS“ – Pi-hole umgehen können. Dagegen helfen nur zusätzliche Firewall-Regeln, die Port 53 zwingend umleiten oder alternative DNS-Ports blockieren.
Pi-hole oder AdGuard Home?
Als direkte Alternative wird 2025/2026 zunehmend AdGuard Home genannt. Beide Lösungen verfolgen dasselbe Grundprinzip, unterscheiden sich aber in Details:
| Kriterium | Pi-hole | AdGuard Home |
|---|---|---|
| Architektur | Seit v6 ein einzelnes FTL-Binary mit eingebautem Webserver | Ebenfalls ein einzelnes Binary, ohne separate Webserver-Konfiguration |
| Verschlüsseltes Upstream-DNS | Nur mit Zusatzwerkzeug (Unbound, cloudflared, dnscrypt-proxy) | Nativ mit DoH, DoT und DoQ |
| Zusatzfunktionen | Fokus auf DNS-Blocking, große Blocklist-Community | Geräte-eigene Regeln, „Service Blocking“ für einzelne Dienste wie TikTok oder Discord |
| Docker-Integration | Tief und breit dokumentiert | Vorhanden, aber weniger verbreitet in Anleitungen |
Fazit
Pi-hole einrichten lohnt sich für alle, die Werbung und Tracker im ganzen Heimnetz loswerden wollen, ohne jedes Gerät einzeln zu konfigurieren. Wichtig ist, mit einer aktuellen v6-Version zu starten, Updates im Blick zu behalten – gerade wegen der im April 2026 geschlossenen Sicherheitslücken – und sich bewusst zu sein, dass Pi-hole eine DNS-Filterung ist, kein Rundum-Schutz. Ob auf dedizierter Raspberry-Pi-Hardware oder als Docker-Container auf der ohnehin vorhandenen NAS: Der Aufwand für die Einrichtung ist überschaubar, der Effekt im Alltag sofort spürbar.