Damit lassen sich Werbung, Tracking-Dienste, bekannte Malware-Domains und andere unerwünschte Internetadressen direkt auf der FRITZ!Box blockieren – und zwar für das gesamte Heimnetz.

Das Prinzip kennt man bereits von Lösungen wie Pi-hole oder AdGuard Home. Der große Unterschied: Für die neue FRITZ!-Lösung benötigt man weder einen Raspberry Pi noch einen zusätzlichen Server oder Container.

Aktuell befindet sich die Funktion noch in der FRITZ!Labor-Version 8.40 und damit ausdrücklich im Beta-Stadium.

Was macht der neue DNS-Filter?

Wenn beispielsweise eine Webseite geladen wird, besteht sie normalerweise nicht nur aus Inhalten des eigentlichen Webseitenbetreibers. Häufig werden zusätzlich Server von Werbenetzwerken, Analyseplattformen oder Tracking-Anbietern kontaktiert.

Bevor sich ein Gerät mit einem solchen Server verbinden kann, muss dessen Domain über das Domain Name System (DNS) in eine IP-Adresse aufgelöst werden.

Genau hier setzt der neue Filter an.

Steht eine Domain auf einer hinterlegten Blockliste, kann die FRITZ!Box die DNS-Anfrage blockieren. Das Gerät bekommt dadurch gar nicht erst die Adresse des Werbe- oder Trackingservers.

Das hat einen großen Vorteil:

Die Filterung findet zentral im Netzwerk statt.

Dadurch profitieren beispielsweise:

• PCs und Notebooks
• Smartphones und Tablets
• Smart-TVs
• Streaming-Geräte
• Spielekonsolen
• Smart-Home-Geräte
• IoT-Geräte

von der Filterung, ohne dass auf jedem einzelnen Gerät ein eigener Werbeblocker installiert werden muss.

FRITZ beschreibt als mögliche Anwendungsfälle ausdrücklich das Filtern von Werbung, Trackern und Malware. Die Filterung kann sowohl auf DNS-Anfragen aus dem Heimnetz als auch aus dem Gastnetz angewendet werden.

Eine Art „Pi-hole light“ direkt in der FRITZ!Box

Damit kommt die FRITZ!Box funktional ein gutes Stück näher an Lösungen wie Pi-hole und AdGuard Home.

Ein vollständiger Ersatz sind die Systeme derzeit allerdings nicht unbedingt.

Pi-hole und AdGuard Home bieten wesentlich umfangreichere Verwaltungs- und Analysefunktionen. Wer beispielsweise detailliert sehen möchte, welcher Client welche Domain aufgerufen hat, umfangreiche Statistiken benötigt oder komplexe Filterregeln verwenden möchte, bekommt dort weiterhin deutlich mehr Möglichkeiten.

Wer dagegen hauptsächlich möchte:

„Blockiere Werbung und Tracker für mein gesamtes Heimnetz, ohne dass ich dafür einen zusätzlichen Server betreiben muss“

bekommt mit dem DNS-Filter der FRITZ!Box eine ausgesprochen interessante Lösung.

Gerade für Nutzer, denen ein Raspberry Pi, Docker, virtuelle Maschinen oder ein zusätzlicher DNS-Server bisher zu aufwendig waren, dürfte das Feature interessant sein.

Welche FRITZ!Boxen können FRITZ!OS 8.40 testen?

FRITZ stellt die Labor-Version derzeit für verschiedene aktuelle Modelle bereit. Dazu gehören zum Zeitpunkt dieses Artikels unter anderem Modelle aus den Bereichen DSL, Kabel, Glasfaser und reine Netzwerkrouter.

Beispielsweise stehen Labor-Versionen für Modelle wie

• FRITZ!Box 5690 Pro
• FRITZ!Box 5590 Fiber
• FRITZ!Box 7690
• FRITZ!Box 7590 AX
• FRITZ!Box 7590
• FRITZ!Box 7530 AX
• FRITZ!Box 6690 Cable
• FRITZ!Box 6670 Cable
• FRITZ!Box 6660 Cable
• FRITZ!Box 4690
• FRITZ!Box 4050

zur Verfügung.

Da sich das Labor-Programm laufend verändert, sollte man direkt bei FRITZ prüfen, ob die eigene FRITZ!Box unterstützt wird.

FRITZ!Labor herunterladen:
https://fritz.com/pages/fritz-labor-frisch-aus-der-entwicklung

Wichtig: Eine Labor-Version ist eine Beta-Version. Sie kann Fehler enthalten und sollte deshalb insbesondere in geschäftskritischen Netzwerken nicht unüberlegt eingesetzt werden.

Vor der Installation empfiehlt es sich außerdem, eine Sicherung der aktuellen FRITZ!Box-Konfiguration anzulegen.

HaGeZi DNS Blocklists für die FRITZ!Box

Der DNS-Filter alleine weiß natürlich noch nicht, welche Domains blockiert werden sollen.

Dafür benötigen wir sogenannte DNS-Blocklisten.

Eine sehr umfangreiche und bekannte Sammlung solcher Listen findet man im GitHub-Projekt HaGeZi DNS Blocklists:

https://github.com/hagezi/dns-blocklists

Das Projekt stellt unterschiedliche Filterstufen zur Verfügung.

Dazu gehören unter anderem:

Multi Light
Eine eher vorsichtige Liste mit geringem Risiko, dass legitime Dienste blockiert werden.

Multi Normal
Eine ausgewogene Variante für den normalen Einsatz.

Multi PRO
Eine umfangreichere Filterung von Werbung, Trackern, Telemetrie, Phishing, Malware, Scams und weiteren unerwünschten Domains.

Multi PRO++
Aggressivere Filterung mit höherem Risiko für Fehlblockierungen.

Multi Ultimate
Die aggressivste Variante. Hier kann es deutlich häufiger passieren, dass legitime Dienste nicht mehr richtig funktionieren.

Meine Empfehlung: Multi PRO

Ich selbst verwende aktuell die Variante:

Multi PRO – extended protection (recommended)

Auch HaGeZi bezeichnet PRO als eine gute Standardempfehlung für einen starken Schutz bei gleichzeitig noch überschaubarem Risiko für Fehlblockierungen.

Zum Zeitpunkt dieses Artikels umfasst die vollständige PRO-Liste bereits mehr als 200.000 Einträge.

Sie blockiert unter anderem Domains aus den Bereichen:

• Werbung
• Tracking
• Telemetrie
• Analyse-Dienste
• Phishing
• Malware
• Scam
• Fake-Seiten
• Cryptojacking

Für die FRITZ!Box ist dabei ein Detail besonders wichtig.

Unbedingt „Wildcard Domains“ verwenden

HaGeZi stellt seine Listen in verschiedenen Formaten bereit.

Für die FRITZ!Box ab FRITZ!OS 8.40 ist das Format

Wildcard → Domains only

vorgesehen.

HaGeZi führt die FRITZ!Box ab FRITZ!OS 8.40 ausdrücklich als kompatibles System für dieses Format auf.

Man sollte also nicht einfach irgendeinen der angebotenen Links kopieren.

Für meine Konfiguration verwende ich:

Multi PRO → Wildcard → Domains

Dadurch kann die FRITZ!Box die Liste direkt verarbeiten.

Schritt-für-Schritt: DNS-Adblocker auf der FRITZ!Box einrichten

Kommen wir zur eigentlichen Einrichtung.

Schritt 1: FRITZ!OS 8.40 Labor installieren

Zunächst muss die eigene FRITZ!Box die neue Funktion unterstützen.

Die passende Labor-Version findet man auf der offiziellen FRITZ!-Seite:

https://fritz.com/pages/fritz-labor-frisch-aus-der-entwicklung

Dort wählt man sein FRITZ!Box-Modell aus und lädt die entsprechende Labor-Version herunter.

Ich empfehle vorher unbedingt:

System → Sicherung → Sichern

und dort eine aktuelle Sicherung der FRITZ!Box-Konfiguration zu erstellen.

Anschließend kann die Labor-Firmware entsprechend der Anleitung von FRITZ installiert werden.

Schritt 2: HaGeZi Multi PRO öffnen

Nun öffnen wir die HaGeZi-DNS-Blocklists:

https://github.com/hagezi/dns-blocklists

Dort suchen wir nach:

Multi PRO – extended protection (recommended)

In diesem Abschnitt werden verschiedene Formate angeboten.

Für die FRITZ!Box benötigen wir:

Wildcard → Domains

beziehungsweise Wildcard (Domains only).

Den zugehörigen Link kopieren wir in die Zwischenablage.

Schritt 3: DNS-Filter in der FRITZ!Box öffnen

Nun öffnen wir die Benutzeroberfläche der FRITZ!Box:

http://fritz.box

Anschließend gehen wir zu:

Heimnetz → Netzwerk → Netzwerkeinstellungen

Auf der Seite scrollen wir nach unten und öffnen:

Erweiterte Netzwerkeinstellungen ändern

Dort befindet sich mit FRITZ!OS 8.40 der neue Bereich:

DNS-Filter

Schritt 4: DNS-Filterliste hinzufügen

Nun wählen wir:

Filterliste hinzufügen

Als Namen kann beispielsweise

HaGeZi Multi PRO

eingetragen werden.

Als URL wird anschließend der zuvor kopierte Link der

Multi PRO → Wildcard Domains

Liste eingefügt.

Danach speichern wir die neue Filterliste.

Die FRITZ!Box lädt die Liste herunter und verarbeitet die enthaltenen Domains.

Ist der Import erfolgreich, wird die Filterliste in der FRITZ!Box entsprechend angezeigt.

Schritt 5: Aktualisierung einstellen

Ein besonders wichtiger Vorteil gegenüber einer statischen Sperrliste ist die automatische Aktualisierung.

Filterlisten ändern sich ständig. Neue Tracking-, Werbe- oder Malware-Domains kommen hinzu, andere verschwinden.

FRITZ!OS kann die eingebundenen Listen deshalb regelmäßig neu herunterladen.

Nach Angaben von heise sind unter anderem Aktualisierungsintervalle von

• 8 Stunden
• täglich
• wöchentlich
• monatlich

möglich.

Dadurch bleibt die Blockliste automatisch aktuell, ohne dass man regelmäßig neue Dateien importieren muss.

Die Listen können bei Bedarf auch manuell aktualisiert werden.

Funktioniert der Filter wirklich?

heise hat die neue Funktion unter anderem auf einer FRITZ!Box 7590 AX ausprobiert.

Dabei funktionierte die Filterung nach dem Hinzufügen mehrerer Listen grundsätzlich wie vorgesehen. Viele Webseiten verhielten sich anschließend ähnlich wie bei aktiviertem Werbeblocker im Browser.

Die FRITZ!Box zeigt außerdem Informationen zu den geladenen Filterlisten an. Nach erfolgreichem Laden kann beispielsweise die Anzahl der enthaltenen beziehungsweise blockierten Einträge angezeigt werden.

Außerdem lässt sich erkennen, wie viele DNS-Anfragen von den aktiven Listen blockiert wurden.

Da es sich aktuell noch um eine Labor-Version handelt, wurden im Test allerdings auch kleinere Probleme beobachtet. Das ist bei Beta-Firmware nicht ungewöhnlich.

Wichtig: DNS-Filter ersetzt keinen Browser-Adblocker vollständig

Man sollte allerdings keine Wunder erwarten.

Ein DNS-Filter arbeitet ausschließlich auf Domain-Ebene.

Angenommen eine Webseite lädt ihre eigentlichen Inhalte und ihre Werbung von derselben Domain. Dann kann der DNS-Filter die Werbung nicht einfach blockieren, ohne gleichzeitig die eigentliche Webseite zu sperren.

Browser-Erweiterungen wie beispielsweise uBlock Origin können Inhalte dagegen deutlich gezielter analysieren und einzelne Elemente einer Webseite entfernen.

Die beste Kombination kann deshalb sein:

DNS-Filter auf der FRITZ!Box + Content-Blocker im Browser

Auch HaGeZi weist darauf hin, dass DNS-Blocking mit einem Browser-Content-Blocker kombiniert werden kann.

Der DNS-Filter hat dafür einen anderen großen Vorteil: Er schützt Geräte, auf denen sich überhaupt kein Browser-Adblocker installieren lässt.

Achtung bei DNS-over-HTTPS

Damit die Filterung funktioniert, müssen DNS-Anfragen auch tatsächlich über die FRITZ!Box laufen.

FRITZ selbst weist darauf hin, dass die Filterung für Geräte funktioniert, welche die IP- beziehungsweise DNS-Einstellungen der FRITZ!Box übernehmen – was im normalen Heimnetz üblicherweise der Fall ist.

Einige Browser, Betriebssysteme oder Anwendungen können allerdings einen eigenen DNS-Dienst verwenden.

Insbesondere DNS-over-HTTPS (DoH) kann dazu führen, dass DNS-Anfragen direkt beispielsweise an Cloudflare, Google oder einen anderen Anbieter geschickt werden.

Damit würde die Anfrage den DNS-Filter der FRITZ!Box möglicherweise umgehen.

Sollte die Filterung auf einem bestimmten Gerät nicht funktionieren, lohnt sich deshalb ein Blick auf die DNS-Einstellungen des Gerätes und des verwendeten Browsers.

Was tun, wenn eine Webseite nicht mehr funktioniert?

Je umfangreicher eine Filterliste ist, desto höher ist grundsätzlich auch die Wahrscheinlichkeit eines sogenannten False Positive.

Dabei wird eine Domain blockiert, die eigentlich benötigt wird.

Genau deshalb verwende ich persönlich Multi PRO und nicht direkt PRO++ oder Ultimate.

Multi PRO bietet meiner Meinung nach einen guten Kompromiss zwischen:

Werbeblockierung + Datenschutz + Sicherheit + Alltagstauglichkeit.

Sollte eine Webseite nach Aktivierung des Filters nicht mehr funktionieren, sollte man zunächst testen, ob tatsächlich der DNS-Filter dafür verantwortlich ist.

HaGeZi bietet außerdem Möglichkeiten, einzelne Domains gegen die verschiedenen Listen zu prüfen.

Bei sehr aggressiven Listen muss man entsprechend häufiger mit Ausnahmen arbeiten.

Optional: Noch mehr Schutz mit HaGeZi TIF

HaGeZi empfiehlt zusätzlich zu einer der Multi-Listen die sogenannte

Threat Intelligence Feeds – TIF

Liste.

Diese konzentriert sich stärker auf aktuelle Bedrohungen wie:

• Malware
• Phishing
• Command-and-Control-Server
• bekannte schädliche Domains

HaGeZi empfiehlt beispielsweise die Kombination:

Multi PRO + TIF

für einen starken und ausgewogenen Schutz.

Für den Anfang würde ich allerdings zunächst mit Multi PRO alleine starten und beobachten, ob alle regelmäßig verwendeten Dienste problemlos funktionieren.

Danach kann man die Konfiguration bei Bedarf erweitern.

Mein Fazit

Der neue DNS-Filter gehört für mich zu den interessantesten Neuerungen von FRITZ!OS 8.40.

Bisher musste man für eine netzwerkweite Filterung meistens zusätzliche Systeme wie Pi-hole oder AdGuard Homebetreiben.

Mit FRITZ!OS 8.40 wandert die wichtigste Grundfunktion direkt in den Router.

Gerade in Kombination mit einer gepflegten Blockliste wie HaGeZi Multi PRO lässt sich damit mit wenigen Klicks ein netzwerkweiter Werbe-, Tracking- und Malware-Filter aufbauen.

Besonders interessant finde ich dabei, dass kein zusätzlicher Raspberry Pi, Server oder Docker-Container benötigt wird.

Für Nutzer, die umfangreiche Statistiken, detaillierte Logs und komplexe Regeln benötigen, bleiben Pi-hole und AdGuard Home weiterhin die mächtigeren Lösungen.

Wer allerdings einfach und unkompliziert Werbung, Tracking und bekannte schädliche Domains im gesamten Heimnetz reduzieren möchte, bekommt mit dem neuen FRITZ!OS-DNS-Filter eine sehr interessante Alternative.

Ich werde die Funktion in der Labor-Version weiter testen. Bisher macht insbesondere die Kombination aus FRITZ!OS 8.40 und HaGeZi Multi PRO einen sehr interessanten Eindruck.

Links zum Thema

FRITZ!Labor 8.40:
https://fritz.com/pages/fritz-labor-frisch-aus-der-entwicklung

HaGeZi DNS Blocklists:
https://github.com/hagezi/dns-blocklists

Verwendete Liste:
Multi PRO – extended protection (recommended) → Wildcard Domains