Mit FRITZ!OS 8.40 bekommt die FRITZ!Box eine Funktion, auf die viele Nutzer vermutlich schon lange gewartet haben: einen DNS-Filter mit Unterstützung für externe Blocklisten.
Damit lassen sich Werbung, Tracking-Dienste, bekannte Malware-Domains und andere unerwünschte Internetadressen direkt auf der FRITZ!Box blockieren – und zwar für das gesamte Heimnetz.
Das Prinzip kennt man bereits von Lösungen wie Pi-hole oder AdGuard Home. Der große Unterschied: Für die neue FRITZ!-Lösung benötigt man weder einen Raspberry Pi noch einen zusätzlichen Server oder Container.
Aktuell befindet sich die Funktion noch in der FRITZ!Labor-Version 8.40 und damit ausdrücklich im Beta-Stadium.
Was macht der neue DNS-Filter?
Wenn beispielsweise eine Webseite geladen wird, besteht sie normalerweise nicht nur aus Inhalten des eigentlichen Webseitenbetreibers. Häufig werden zusätzlich Server von Werbenetzwerken, Analyseplattformen oder Tracking-Anbietern kontaktiert.
Bevor sich ein Gerät mit einem solchen Server verbinden kann, muss dessen Domain über das Domain Name System (DNS) in eine IP-Adresse aufgelöst werden.
Genau hier setzt der neue Filter an.
Steht eine Domain auf einer hinterlegten Blockliste, kann die FRITZ!Box die DNS-Anfrage blockieren. Das Gerät bekommt dadurch gar nicht erst die Adresse des Werbe- oder Trackingservers.
Das hat einen großen Vorteil:
Die Filterung findet zentral im Netzwerk statt.
Dadurch profitieren beispielsweise:
- PCs und Notebooks
- Smartphones und Tablets
- Smart-TVs
- Streaming-Geräte
- Spielekonsolen
- Smart-Home-Geräte
- IoT-Geräte
von der Filterung, ohne dass auf jedem einzelnen Gerät ein eigener Werbeblocker installiert werden muss.
FRITZ beschreibt als mögliche Anwendungsfälle ausdrücklich das Filtern von Werbung, Trackern und Malware. Die Filterung kann sowohl auf DNS-Anfragen aus dem Heimnetz als auch aus dem Gastnetz angewendet werden.
Eine Art „Pi-hole light“ direkt in der FRITZ!Box
Damit kommt die FRITZ!Box funktional ein gutes Stück näher an Lösungen wie Pi-hole und AdGuard Home.
Ein vollständiger Ersatz sind die Systeme derzeit allerdings nicht unbedingt.
Pi-hole und AdGuard Home bieten wesentlich umfangreichere Verwaltungs- und Analysefunktionen. Wer beispielsweise detailliert sehen möchte, welcher Client welche Domain aufgerufen hat, umfangreiche Statistiken benötigt oder komplexe Filterregeln verwenden möchte, bekommt dort weiterhin deutlich mehr Möglichkeiten.
Wer dagegen hauptsächlich möchte:
„Blockiere Werbung und Tracker für mein gesamtes Heimnetz, ohne dass ich dafür einen zusätzlichen Server betreiben muss“
bekommt mit dem DNS-Filter der FRITZ!Box eine ausgesprochen interessante Lösung.
Gerade für Nutzer, denen ein Raspberry Pi, Docker, virtuelle Maschinen oder ein zusätzlicher DNS-Server bisher zu aufwendig waren, dürfte das Feature interessant sein.
Welche FRITZ!Boxen können FRITZ!OS 8.40 testen?
FRITZ stellt die Labor-Version derzeit für verschiedene aktuelle Modelle bereit. Dazu gehören zum Zeitpunkt dieses Artikels unter anderem Modelle aus den Bereichen DSL, Kabel, Glasfaser und reine Netzwerkrouter.
Beispielsweise stehen Labor-Versionen für Modelle wie
- FRITZ!Box 5690 Pro
- FRITZ!Box 5590 Fiber
- FRITZ!Box 7690
- FRITZ!Box 7590 AX
- FRITZ!Box 7590
- FRITZ!Box 7530 AX
- FRITZ!Box 6690 Cable
- FRITZ!Box 6670 Cable
- FRITZ!Box 6660 Cable
- FRITZ!Box 4690
- FRITZ!Box 4050
zur Verfügung.
Da sich das Labor-Programm laufend verändert, sollte man direkt bei FRITZ prüfen, ob die eigene FRITZ!Box unterstützt wird.
FRITZ!Labor herunterladen:
https://fritz.com/pages/fritz-labor-frisch-aus-der-entwicklung
Wichtig: Eine Labor-Version ist eine Beta-Version. Sie kann Fehler enthalten und sollte deshalb insbesondere in geschäftskritischen Netzwerken nicht unüberlegt eingesetzt werden.
Vor der Installation empfiehlt es sich außerdem, eine Sicherung der aktuellen FRITZ!Box-Konfiguration anzulegen.
HaGeZi DNS Blocklists für die FRITZ!Box
Der DNS-Filter alleine weiß natürlich noch nicht, welche Domains blockiert werden sollen.
Dafür benötigen wir sogenannte DNS-Blocklisten.
Eine sehr umfangreiche und bekannte Sammlung solcher Listen findet man im GitHub-Projekt HaGeZi DNS Blocklists:
https://github.com/hagezi/dns-blocklists
Das Projekt stellt unterschiedliche Filterstufen zur Verfügung.
Dazu gehören unter anderem:
Multi Light
Eine eher vorsichtige Liste mit geringem Risiko, dass legitime Dienste blockiert werden.
Multi Normal
Eine ausgewogene Variante für den normalen Einsatz.
Multi PRO
Eine umfangreichere Filterung von Werbung, Trackern, Telemetrie, Phishing, Malware, Scams und weiteren unerwünschten Domains.
Multi PRO++
Aggressivere Filterung mit höherem Risiko für Fehlblockierungen.
Multi Ultimate
Die aggressivste Variante. Hier kann es deutlich häufiger passieren, dass legitime Dienste nicht mehr richtig funktionieren.
Meine Empfehlung: Multi PRO
Ich selbst verwende aktuell die Variante:
Multi PRO – extended protection (recommended)
Auch HaGeZi bezeichnet PRO als eine gute Standardempfehlung für einen starken Schutz bei gleichzeitig noch überschaubarem Risiko für Fehlblockierungen.
Zum Zeitpunkt dieses Artikels umfasst die vollständige PRO-Liste bereits mehr als 200.000 Einträge.
Sie blockiert unter anderem Domains aus den Bereichen:
- Werbung
- Tracking
- Telemetrie
- Analyse-Dienste
- Phishing
- Malware
- Scam
- Fake-Seiten
- Cryptojacking
Für die FRITZ!Box ist dabei ein Detail besonders wichtig.
Unbedingt „Wildcard Domains“ verwenden
HaGeZi stellt seine Listen in verschiedenen Formaten bereit.
Für die FRITZ!Box ab FRITZ!OS 8.40 ist das Format
Wildcard → Domains only
vorgesehen.
HaGeZi führt die FRITZ!Box ab FRITZ!OS 8.40 ausdrücklich als kompatibles System für dieses Format auf.
Man sollte also nicht einfach irgendeinen der angebotenen Links kopieren.
Für meine Konfiguration verwende ich:
Multi PRO → Wildcard → Domains
Dadurch kann die FRITZ!Box die Liste direkt verarbeiten.
Schritt-für-Schritt: DNS-Adblocker auf der FRITZ!Box einrichten
Kommen wir zur eigentlichen Einrichtung.
Schritt 1: FRITZ!OS 8.40 Labor installieren
Zunächst muss die eigene FRITZ!Box die neue Funktion unterstützen.
Die passende Labor-Version findet man auf der offiziellen FRITZ!-Seite:
https://fritz.com/pages/fritz-labor-frisch-aus-der-entwicklung
Dort wählt man sein FRITZ!Box-Modell aus und lädt die entsprechende Labor-Version herunter.
Ich empfehle vorher unbedingt:
System → Sicherung → Sichern
und dort eine aktuelle Sicherung der FRITZ!Box-Konfiguration zu erstellen.
Anschließend kann die Labor-Firmware entsprechend der Anleitung von FRITZ installiert werden.
Schritt 2: HaGeZi Multi PRO öffnen
Nun öffnen wir die HaGeZi-DNS-Blocklists:
https://github.com/hagezi/dns-blocklists
Dort suchen wir nach:
Multi PRO – extended protection (recommended)
In diesem Abschnitt werden verschiedene Formate angeboten.
Für die FRITZ!Box benötigen wir:
Wildcard → Domains
beziehungsweise Wildcard (Domains only).
Den zugehörigen Link kopieren wir in die Zwischenablage.
Schritt 3: DNS-Filter in der FRITZ!Box öffnen
Nun öffnen wir die Benutzeroberfläche der FRITZ!Box:
Anschließend gehen wir zu:
Heimnetz → Netzwerk → Netzwerkeinstellungen
Auf der Seite scrollen wir nach unten und öffnen:
Erweiterte Netzwerkeinstellungen ändern
Dort befindet sich mit FRITZ!OS 8.40 der neue Bereich:
DNS-Filter
Schritt 4: DNS-Filterliste hinzufügen
Nun wählen wir:
Filterliste hinzufügen
Als Namen kann beispielsweise
HaGeZi Multi PRO
eingetragen werden.
Als URL wird anschließend der zuvor kopierte Link der
Multi PRO → Wildcard Domains
Liste eingefügt.
Danach speichern wir die neue Filterliste.
Die FRITZ!Box lädt die Liste herunter und verarbeitet die enthaltenen Domains.
Ist der Import erfolgreich, wird die Filterliste in der FRITZ!Box entsprechend angezeigt.
Schritt 5: Aktualisierung einstellen
Ein besonders wichtiger Vorteil gegenüber einer statischen Sperrliste ist die automatische Aktualisierung.
Filterlisten ändern sich ständig. Neue Tracking-, Werbe- oder Malware-Domains kommen hinzu, andere verschwinden.
FRITZ!OS kann die eingebundenen Listen deshalb regelmäßig neu herunterladen.
Nach Angaben von heise sind unter anderem Aktualisierungsintervalle von
- 8 Stunden
- täglich
- wöchentlich
- monatlich
möglich.
Dadurch bleibt die Blockliste automatisch aktuell, ohne dass man regelmäßig neue Dateien importieren muss.
Die Listen können bei Bedarf auch manuell aktualisiert werden.
Funktioniert der Filter wirklich?
heise hat die neue Funktion unter anderem auf einer FRITZ!Box 7590 AX ausprobiert.
Dabei funktionierte die Filterung nach dem Hinzufügen mehrerer Listen grundsätzlich wie vorgesehen. Viele Webseiten verhielten sich anschließend ähnlich wie bei aktiviertem Werbeblocker im Browser.
Die FRITZ!Box zeigt außerdem Informationen zu den geladenen Filterlisten an. Nach erfolgreichem Laden kann beispielsweise die Anzahl der enthaltenen beziehungsweise blockierten Einträge angezeigt werden.
Außerdem lässt sich erkennen, wie viele DNS-Anfragen von den aktiven Listen blockiert wurden.
Da es sich aktuell noch um eine Labor-Version handelt, wurden im Test allerdings auch kleinere Probleme beobachtet. Das ist bei Beta-Firmware nicht ungewöhnlich.
Wichtig: DNS-Filter ersetzt keinen Browser-Adblocker vollständig
Man sollte allerdings keine Wunder erwarten.
Ein DNS-Filter arbeitet ausschließlich auf Domain-Ebene.
Angenommen eine Webseite lädt ihre eigentlichen Inhalte und ihre Werbung von derselben Domain. Dann kann der DNS-Filter die Werbung nicht einfach blockieren, ohne gleichzeitig die eigentliche Webseite zu sperren.
Browser-Erweiterungen wie beispielsweise uBlock Origin können Inhalte dagegen deutlich gezielter analysieren und einzelne Elemente einer Webseite entfernen.
Die beste Kombination kann deshalb sein:
DNS-Filter auf der FRITZ!Box + Content-Blocker im Browser
Auch HaGeZi weist darauf hin, dass DNS-Blocking mit einem Browser-Content-Blocker kombiniert werden kann.
Der DNS-Filter hat dafür einen anderen großen Vorteil: Er schützt Geräte, auf denen sich überhaupt kein Browser-Adblocker installieren lässt.
Achtung bei DNS-over-HTTPS
Damit die Filterung funktioniert, müssen DNS-Anfragen auch tatsächlich über die FRITZ!Box laufen.
FRITZ selbst weist darauf hin, dass die Filterung für Geräte funktioniert, welche die IP- beziehungsweise DNS-Einstellungen der FRITZ!Box übernehmen – was im normalen Heimnetz üblicherweise der Fall ist.
Einige Browser, Betriebssysteme oder Anwendungen können allerdings einen eigenen DNS-Dienst verwenden.
Insbesondere DNS-over-HTTPS (DoH) kann dazu führen, dass DNS-Anfragen direkt beispielsweise an Cloudflare, Google oder einen anderen Anbieter geschickt werden.
Damit würde die Anfrage den DNS-Filter der FRITZ!Box möglicherweise umgehen.
Sollte die Filterung auf einem bestimmten Gerät nicht funktionieren, lohnt sich deshalb ein Blick auf die DNS-Einstellungen des Gerätes und des verwendeten Browsers.
Was tun, wenn eine Webseite nicht mehr funktioniert?
Je umfangreicher eine Filterliste ist, desto höher ist grundsätzlich auch die Wahrscheinlichkeit eines sogenannten False Positive.
Dabei wird eine Domain blockiert, die eigentlich benötigt wird.
Genau deshalb verwende ich persönlich Multi PRO und nicht direkt PRO++ oder Ultimate.
Multi PRO bietet meiner Meinung nach einen guten Kompromiss zwischen:
Werbeblockierung + Datenschutz + Sicherheit + Alltagstauglichkeit.
Sollte eine Webseite nach Aktivierung des Filters nicht mehr funktionieren, sollte man zunächst testen, ob tatsächlich der DNS-Filter dafür verantwortlich ist.
HaGeZi bietet außerdem Möglichkeiten, einzelne Domains gegen die verschiedenen Listen zu prüfen.
Bei sehr aggressiven Listen muss man entsprechend häufiger mit Ausnahmen arbeiten.
Optional: Noch mehr Schutz mit HaGeZi TIF
HaGeZi empfiehlt zusätzlich zu einer der Multi-Listen die sogenannte
Threat Intelligence Feeds – TIF
Liste.
Diese konzentriert sich stärker auf aktuelle Bedrohungen wie:
- Malware
- Phishing
- Command-and-Control-Server
- bekannte schädliche Domains
HaGeZi empfiehlt beispielsweise die Kombination:
Multi PRO + TIF
für einen starken und ausgewogenen Schutz.
Für den Anfang würde ich allerdings zunächst mit Multi PRO alleine starten und beobachten, ob alle regelmäßig verwendeten Dienste problemlos funktionieren.
Danach kann man die Konfiguration bei Bedarf erweitern.
Mein Fazit
Der neue DNS-Filter gehört für mich zu den interessantesten Neuerungen von FRITZ!OS 8.40.
Bisher musste man für eine netzwerkweite Filterung meistens zusätzliche Systeme wie Pi-hole oder AdGuard Homebetreiben.
Mit FRITZ!OS 8.40 wandert die wichtigste Grundfunktion direkt in den Router.
Gerade in Kombination mit einer gepflegten Blockliste wie HaGeZi Multi PRO lässt sich damit mit wenigen Klicks ein netzwerkweiter Werbe-, Tracking- und Malware-Filter aufbauen.
Besonders interessant finde ich dabei, dass kein zusätzlicher Raspberry Pi, Server oder Docker-Container benötigt wird.
Für Nutzer, die umfangreiche Statistiken, detaillierte Logs und komplexe Regeln benötigen, bleiben Pi-hole und AdGuard Home weiterhin die mächtigeren Lösungen.
Wer allerdings einfach und unkompliziert Werbung, Tracking und bekannte schädliche Domains im gesamten Heimnetz reduzieren möchte, bekommt mit dem neuen FRITZ!OS-DNS-Filter eine sehr interessante Alternative.
Ich werde die Funktion in der Labor-Version weiter testen. Bisher macht insbesondere die Kombination aus FRITZ!OS 8.40 und HaGeZi Multi PRO einen sehr interessanten Eindruck.
Links zum Thema
FRITZ!Labor 8.40:
https://fritz.com/pages/fritz-labor-frisch-aus-der-entwicklung
HaGeZi DNS Blocklists:
https://github.com/hagezi/dns-blocklists
Verwendete Liste:
Multi PRO – extended protection (recommended) → Wildcard Domains