Pi-hole für Familien einrichten: Werbung & Tracker netzwerkweit blocken

Wenn du den FRITZ!Box-Filter schon ausgereizt hast und trotzdem das Gefühl hast, dass auf den Geräten deiner Kinder zu viel Werbung und Tracking läuft, dann ist Pi-hole der nächste sinnvolle Schritt. Es ist ein kleiner Filter-Server für dein Heimnetz, der jede Anfrage an Werbe- und Tracker-Domains blockiert, bevor sie überhaupt das Gerät erreicht.

Das Wirkprinzip: Pi-hole läuft als DNS-Server im lokalen Netz. Wenn ein YouTube-Video auf dem Tablet eine Werbung laden will, fragt das Tablet zuerst Pi-hole nach der Werbe-Adresse. Pi-hole antwortet schlicht: „Diese Adresse gibt’s nicht.” Die Werbung erscheint nicht, und das gilt für alle Geräte im WLAN, vom Smart-TV bis zum Smartphone, ohne dass auf jedem Gerät einzeln etwas installiert werden muss.

Diese Anleitung führt dich in fünf Schritten durch das Setup. Plane etwa 60 Minuten ein und etwas Geduld für die Router-Einstellung am Ende.

Voraussetzungen

Bevor du startest, brauchst du:

• Einen Raspberry Pi als kleinen Heim-Server. Empfehlung für Familien: Raspberry Pi 5 mit 4 GB RAM (~ ab 80 €) als Komplett-Set mit Netzteil, microSD-Karte und Gehäuse. Günstiger geht es mit dem Raspberry Pi Zero 2 W (~ ab 20 €), leistet auch genug für 10–15 Geräte
• Eine microSD-Karte mit mindestens 16 GB (im Komplett-Set meist dabei)
• Ein Netzwerkkabel (Pi am Router anschließen ist stabiler als WLAN für einen DNS-Server)
• Einen PC oder Mac mit dem Raspberry Pi Imager installiert
• Zugriff auf das Admin-Interface deines Routers (z.B. fritz.box bei FRITZ!Box)
• Etwa 60 Minuten Zeit beim ersten Mal

🐧 Tipp vom Netzpinguin: Wenn dir „Raspberry Pi” und „Router-Konfiguration” zu technisch klingen, ist die FRITZ!Box-Kindersicherung der bessere Einstieg, sie deckt 80 % der Schutzwirkung mit 20 % des Aufwands. Pi-hole lohnt sich, wenn du zusätzlich Werbung und Tracker blocken willst und dich technisch zutraust.

Schritt 1: Raspberry Pi vorbereiten

Zuerst bekommt der Pi sein Betriebssystem. Raspberry Pi OS Lite reicht völlig, es ist ressourcen-schonend und hat keine grafische Oberfläche, die du eh nicht brauchst.

1. microSD-Karte in den PC einlegen und den Raspberry Pi Imager öffnen
2. Bei Betriebssystem → Raspberry Pi OS (other) → „Raspberry Pi OS Lite (64-bit)” wählen
3. Vor dem Schreiben auf das Zahnrad-Symbol klicken und im Konfigurations-Dialog Folgendes einstellen:
   • Hostname: pihole
   • SSH aktivieren ✓
   • Benutzername und Passwort vergeben (merken!)
   • WLAN-Daten falls du kein Kabel nutzt
4. Auf Schreiben klicken, dauert 5–10 Minuten
5. Karte in den Pi stecken, Netzwerkkabel anschließen, Strom dran. LED leuchtet, der Pi bootet

Nach 1–2 Minuten ist der Pi im Netz erreichbar. Auf deinem Mac/PC öffnest du ein Terminal (Windows: PowerShell) und gibst ein:

ssh pi@pihole.local

Beim ersten Verbinden bestätigst du den Schlüssel mit yes, dann das Passwort, und du bist auf dem Pi.

Schritt 2: Pi-hole installieren

Auf dem Pi reicht ein einziger Befehl:

curl -sSL https://install.pi-hole.net | bash

Der Installer läuft etwa 5 Minuten und stellt dir eine Reihe von Fragen. Die Standard-Antworten passen in den meisten Fällen:

• Upstream-DNS-Provider: Cloudflare (1.1.1.1) oder Quad9 (9.9.9.9, datenschutzfreundlich), beide sind eine sinnvolle Wahl
• Blocklists: Standard übernehmen (kannst du später ergänzen)
• Web-Interface installieren: Ja (brauchst du zum Verwalten)
• Web-Server installieren: Ja
• Logfiles: Ja, wichtig, sonst siehst du nicht, was geblockt wurde

Am Ende zeigt der Installer dir das Admin-Passwort für das Web-Interface an. Notiere es sofort, das wird nicht nochmal angezeigt.

Du erreichst das Dashboard jetzt im Browser unter http://pihole.local/admin und meldest dich mit dem Passwort an. Es zeigt aber noch keine Statistiken, dafür muss erst der Router umgestellt werden.

Schritt 3: Router auf Pi-hole als DNS umstellen

Das ist der entscheidende Schritt: Du sagst deinem Router, dass alle Geräte im WLAN den Pi als DNS-Server nutzen sollen.

Bei einer FRITZ!Box:

1. Im Browser fritz.box öffnen, anmelden
2. Heimnetz → Netzwerk → Netzwerkverbindungen
3. Den Raspberry Pi in der Liste suchen und seine IP-Adresse notieren (z.B. 192.168.178.42)
4. Internet → Zugangsdaten → DNS-Server
5. Bei „Bevorzugter DNSv4-Server” die Pi-IP eintragen, beim alternativen einen Backup-DNS (z.B. 1.1.1.1 von Cloudflare)
6. Übernehmen, die FRITZ!Box bootet kurz neu

Bei anderen Routern (TP-Link, Netgear, AVM-Repeater im Bridge-Mode) ist das Vorgehen analog: meist unter „LAN-Einstellungen” oder „DHCP-Einstellungen” einen Eintrag für „DNS-Server” mit der Pi-IP.

Nach 2–3 Minuten siehst du auf dem Pi-hole-Dashboard die ersten geblockten Anfragen, typisch sind in den ersten Sekunden bereits 20–30 % geblockte Requests, die Tracker und Werbung waren.

Schritt 4: Family-Blocklists hinzufügen

Die Standard-Liste blockt die häufigsten Werbe- und Tracker-Domains. Für Familien lohnen sich zusätzliche Listen:

1. Im Pi-hole-Dashboard auf Adlists klicken
2. Im Feld Address nacheinander folgende Listen einfügen und Add drücken:
   • https://big.oisd.nl/, sehr umfassende, gepflegte Allzweck-Liste
   • https://raw.githubusercontent.com/hagezi/dns-blocklists/main/hosts/multi.txt. Hagezi „Multi” mit Tracking, Malware und Phishing
   • https://raw.githubusercontent.com/hagezi/dns-blocklists/main/hosts/nsfw.txt. Hagezi NSFW, blockt nicht-jugendfreie Inhalte
3. Anschließend in Tools → Update Gravity einmal manuell aktualisieren

Die NSFW-Liste ist kein Wunder-Filter, sie deckt einen großen Teil bekannter Pornoseiten ab, aber ist kein Ersatz für ein Gespräch über Mediennutzung. Wenn dein Kind alt genug ist, dass das Thema relevant wird, ist Reden wirksamer als jede Blocklist.

Mit den Pi-hole-Gruppen (Reiter Group Management) kannst du auch unterschiedliche Filter pro Gerät fahren, z.B. NSFW nur fürs Kinder-Tablet, nicht fürs Eltern-Notebook. Das ist optional und sehr fortgeschritten.

Was Pi-hole nicht kann

Damit du keine falsche Sicherheit hast:

• Apps mit eigenem DNS umgehen Pi-hole. Firefox nutzt standardmäßig DNS-over-HTTPS (DoH) und fragt direkt bei Cloudflare an, nicht bei Pi-hole. Das gleiche gilt für viele iOS-Apps und einige Smart-TV-Apps. Du müsstest DoH im Router blockieren oder am Gerät deaktivieren
• Außer Haus wirkt Pi-hole nicht. Sobald das Smartphone deines Kindes im Mobilfunk oder fremden WLAN ist, sind Werbung und Tracker wieder voll dabei. Eine VPN-Lösung mit Pi-hole als DNS hilft, ist aber zusätzlicher Aufwand
• Pi-hole filtert keine Inhalte, nur Domains. YouTube selbst lässt sich nicht blocken (oder gar nicht erst nutzen), nur die Werbung darin
• HTTPS-Inhalte werden nicht geprüft. Pi-hole sieht nur, welche Domain angefragt wird, nicht was übertragen wird
• Wartung gehört dazu. Blocklists werden gelegentlich überaggressiv und blocken legitime Dienste. Wenn etwas nicht funktioniert, ist „auf der Whitelist hinzufügen” ein häufiger Fix

Was tun bei Problemen?

• Internet ist plötzlich weg: Pi ist abgestürzt oder ausgesteckt. Im Router-DNS temporär wieder auf Standard (z.B. 1.1.1.1) zurück, Pi neu starten
• Eine Webseite/App funktioniert nicht mehr: Im Pi-hole-Dashboard Query Log öffnen, die letzte Anfrage zur betreffenden Domain suchen → Whitelist. Nach 1–2 Minuten geht’s wieder
• Updates: Etwa monatlich pihole -up per SSH ausführen, das aktualisiert sowohl Pi-hole als auch die Blocklists

Fazit

Pi-hole ist die nächste Stufe nach FRITZ!Box-Kindersicherung, kein Ersatz, sondern eine Ergänzung. Für werbefreies Surfen für die ganze Familie, weniger Tracking auf den Smart-TVs und einen kleineren Daten-Fußabdruck im gesamten Heimnetz ist es eine der wirkungsvollsten Investitionen, die du mit ~ 80 € Hardware machen kannst. Die Einrichtung ist technisch, aber kein Hexenwerk, wenn du diese Anleitung durcharbeitest, hast du den Großteil hinter dir.

Beachte aber: Hardware-Preise und auch die genannten Blocklists ändern sich. Plane einmal pro Jahr eine kurze Pi-hole-Inspektion ein, neue Modelle, aktualisierte Listen, ggf. Wechsel auf einen leistungsstärkeren Pi.

Wenn du nach diesem Setup auch außerhalb des Hauses schützen willst, ist als nächster Schritt eine VPN-Lösung mit Pi-hole als interner DNS sinnvoll, oder die sichere Suchmaschine für Kinder auf den mobilen Geräten als zusätzliche Schicht. Für Eltern, die technische Limits mit Familienregeln kombinieren wollen, ist unser Artikel zu Bildschirmzeit und Schlaf die bessere Anschluss-Lektüre.

Wer Pi-hole als ein Baustein im Gesamt-Plan für die Familie einordnen will, bekommt im Family-Tech-Konfigurator eine priorisierte Liste der weiteren Schritte.