Ihr lokaler DNS-Filter wird wahrscheinlich gerade umgangen — und Sie wissen es nicht einmal
Es gibt eine bestimmte Art von Genugtuung, die daher rührt, sich seinen eigenen DNS-Filter aufzusetzen. Sie installieren AdGuard Home. Sie laden sorgfältig kuratierte Blocklisten. Sie richten DHCP auf Ihren Resolver aus. Sie sehen den Anfragen beim Vorbeiziehen zu und denken: Jetzt kontrolliere ich mein Netzwerk.
Nur dass Sie es nicht tun. Nicht mal annähernd.
Das ist die Pointe, die hart trifft. Geräte, die DHCP stillschweigend ignorieren. Ein Google Home, das DNS direkt an 8.8.8.8 sendet. Browser, die DNS über HTTPS tunneln, sodass Ihr Resolver die Anfrage nie zu sehen bekommt. Android-Apps, die die Hostname-Auflösung komplett überspringen und sich direkt mit hartkodierten IPs verbinden.
Diese blockierte Domain, auf deren Erfassung Sie stolz waren? Sie hat Ihren DNS-Server vielleicht nie berührt.
Und sobald man das erkennt, gerät die ganze Geschichte vom „Ich habe mein Netzwerk dichtgemacht“ ins Wanken.
Die Illusion der Kontrolle
Das Setup wirkte zunächst wasserdicht. AdGuard Home läuft lokal. Blocklisten sind aktiv. Alles zeigt auf Ihren DNS-Server. Es fühlt sich zentralisiert an. Sauber. Deterministisch.
Dann schleicht sich die Realität ein.
Hartkodierte DNS-Server. DoH auf Port 443. DoT auf Port 853. DoQ über UDP 853. Verschlüsselte Anfragen, die durch denselben Port gleiten, den Ihr normaler HTTPS-Traffic nutzt. Apps, die ihre eigenen Resolver einbetten. Geräte, die so tun, als seien Ihre DHCP-Einstellungen eher ein Vorschlag als eine Regel.
Und plötzlich sitzt Ihr Resolver einfach nur ungenutzt da. „Niemand hat mich etwas gefragt.“
Das ist der beunruhigende Teil. DNS-Filterung funktioniert nur, wenn Clients Ihren DNS-Server tatsächlich nutzen. Sobald sie es nicht tun, bricht Ihre Kontrolle zu einem Theaterstück zusammen.
Die Fünf-Schichten-Verteidigung
Statt die Niederlage zu akzeptieren, folgte eine Eskalation.
Eine fünfschichtige Verteidigung, aufgebaut auf OPNsense, AdGuard Home und Unbound.
Es waren nicht mehr nur Blocklisten. Es gab NAT-Redirects, um DNS-Anfragen zurück zum lokalen Resolver zu zwingen. Port-Blockaden, um gängige verschlüsselte DNS-Ports abzuschalten. HaGeZis DoH-Blockliste, um bekannte verschlüsselte DNS-Endpunkte zu identifizieren. Firewall-Regeln auf IP-Ebene, um Traffic abzufangen, der versucht, direkt zu entkommen.
Das war kein beiläufiges Homelab-Basteln mehr. Das war aktive Eindämmung.
Und selbst dann musste das Wort „alles“ gestrichen und durch „das meiste“ ersetzt werden.
Denn nichts ist je vollständig dicht.
„Wir haben 8.8.8.8 zu Hause“
Die Kommentare entwickelten ein Eigenleben.
Eine der meistgevoteten Antworten machte die ganze Situation zu einem Meme: „Wir haben 8.8.8.8 zu Hause.“
Eine andere ergänzte: „Sie wollen 8.8.8.8? Klar, hier gibt es eine, nur ein paar Hops entfernt.“
Hier wird es clever. Wenn Geräte darauf bestehen, mit 8.8.8.8 zu sprechen, gut — dann geben Sie ihnen 8.8.8.8. Sorgen Sie nur dafür, dass diese IP tatsächlich in Ihrem eigenen Netzwerk lebt.
Manche Nutzer beschrieben, dass sie 8.8.8.8/32 und 8.8.4.4/32 direkt dem Loopback-Interface ihres Routers zuwiesen. Andere schlugen vor, ein VLAN mit 8.8.8.8/30 anzulegen und es statisch zu routen, sodass der Router es als lokalen Next-Hop sieht.
Das ist elegant. Ein bisschen frech. Und zutiefst befriedigend.
Das Gerät denkt, es spricht mit Google. Tatsächlich spricht es mit Ihrem Resolver.
Internet-Superhelden-Energie, wie es ein Kommentator formulierte.
Der Widerspruch: Das kann Dinge kaputt machen
Aber hier ändert sich der Ton.
Nicht jeder behandelt DNS-Umleitung wie einen harmlosen Trick.
Ein Nutzer warnte, dass die interne Nutzung zufälliger öffentlicher IPv4-Adressen manchmal Dinge kaputt machen kann. Ein anderer sagte, das Umleiten von Traffic habe spürbare Verzögerungen und Unterbrechungen bei Google-Geräten wie Google Home und Chromecast verursacht.
Das ist der Trade-off.
Erzwungene Interception kann Latenz erzeugen. Smarte Geräte könnten aggressiv erneut versuchen. Manche Dienste erwarten, bestimmte Infrastruktur zu erreichen, und verhalten sich seltsam, wenn sie es nicht tun.
Und dann gibt es die nukleare Option: ausgehenden WAN-Traffic zu 8.8.8.8 komplett blockieren.
Das klingt sauber. Einfach an der Firewall verweigern. Aber verschlüsselte DNS-Anbieter sind nicht auf eine einzige IP beschränkt. Und sobald sich DoH im regulären HTTPS-Traffic versteckt, wird IP-Blocking stumpf und riskant.
Was uns zur unbequemen Wahrheit bringt.
Meta, CDNs und die Grenzen des Blockierens
Der ursprüngliche Beitrag gab nicht vor, dies sei eine perfekte Lösung. Er benannte explizit, was er nicht erfasst.
Meta bündelt sein DoH innerhalb der regulären Facebook-CDN-Infrastruktur. Das bedeutet, es sauber zu blockieren, ohne Facebook und verwandte Apps zu beschädigen, ist nahezu unmöglich.
Und das ist das größere Muster.
Verschlüsseltes DNS ist keine Randerscheinung mehr, um es zu umgehen. Es wird zum Standard. Browser setzen standardmäßig auf DoH. Betriebssysteme experimentieren mit verschlüsselten Resolvern. Große Plattformen integrieren DNS-Auflösung eng in ihre eigenen Traffic-Flows.
Je verschlüsselter und multiplexter alles wird, desto schwerer wird chirurgisch präzises Filtern.
Sie blockieren nicht mehr nur DNS. Sie greifen möglicherweise in das Kernverhalten von Apps ein.
Das größere Argument: Privacy vs. Kindersicherung vs. Autonomie
Unter dem technischen Hin und Her liegt eine philosophische Debatte.
Manche Leute sehen verschlüsseltes DNS als Angriff auf die lokale Kontrolle. Wenn Sie einen DNS-Filter für Werbeblocker, Malware-Schutz oder Kindersicherung betreiben, fühlt sich DoH wie Sabotage an.
Andere sehen verschlüsseltes DNS als Gewinn für die Privatsphäre. Es verhindert, dass ISPs und lokale Netzwerkbetreiber Anfragen mitlesen. Aus dieser Perspektive ist das Umgehen eines lokalen Resolvers nicht böswillig — es ist schützend.
Und dann gibt es die pragmatische Fraktion. Ihnen ist die Ideologie egal. Sie wollen einfach, dass Werbung verschwindet und die Geräte stabil laufen.
Ein Kommentator scherzte, dass wir durch die lokale Kollokation von DNS im Grunde Internet-Superhelden seien, so wie Netflix Caching-Server bei ISPs platziert. Ein anderer witzelte, wir würden Google helfen, Peering-Datenkosten zu senken.
Es ist Humor, aber er verdeckt eine echte Spannung: Wer sollte die DNS-Auflösung kontrollieren? Der Gerätehersteller? Der Browser? Der ISP? Der Nutzer?
Im Homelab antworten die meisten von uns: der Nutzer.
Das moderne Internet ist nicht immer dieser Meinung.
Die Zerbrechlichkeit von „standardmäßig sicher“
Es liegt etwas fast Poetisches in der Idee, dass es umso schwerer wird, lokale Richtlinien durchzusetzen, je sicherer und privater Protokolle werden.
DoH versteckt DNS in HTTPS. Das ist großartig, um ISP-seitige Überwachung zu verhindern. Es ist schrecklich für lokale Filterung, es sei denn, Sie fangen an, TLS zu inspizieren — was eine völlig andere ethische und technische Büchse der Pandora öffnet.
Also eskalieren Sie. NAT-Regeln. Firewall-Blockaden. Redirects. IP-Tricks. Blocklisten bekannter DoH-Endpunkte.
Und trotzdem geben Sie zu, dass es nur „das meiste“ erfasst.
Diese Ehrlichkeit zählt.
Denn die Illusion totaler Kontrolle ist gefährlicher als die Realität einer partiellen Kontrolle.
Was das wirklich lehrt
Wenn diese ganze Geschichte eines offenlegt, dann, dass DNS-Filterung längst kein Ein-Schicht-Problem mehr ist.
DHCP auf Ihren Resolver zu richten ist die Grundvoraussetzung. Moderne Geräte behandeln das als optional. Browser behandeln es als Empfehlung. Apps ignorieren es manchmal komplett.
Wenn Sie eine wirksame Durchsetzung wollen, brauchen Sie Interception auf Netzwerkebene. Port-Kontrolle. IP-Bewusstsein. Laufende Pflege von DoH-Endpunktlisten.
Und selbst dann akzeptieren Sie Unvollkommenheit.
Die Überschrift war kein Clickbait. Ihr lokaler DNS-Filter wird wahrscheinlich gerade umgangen.
Nicht, weil Sie etwas falsch gemacht haben. Nicht, weil AdGuard oder Unbound versagt haben.
Sondern weil sich das Internet weiterentwickelt hat und lokale DNS-Kontrolle nicht der Standard geblieben ist.
Die eigentliche Frage ist nicht, ob es Umgehungen gibt. Die gibt es.
Die Frage ist, wie viel Aufwand Sie bereit sind zu investieren, um die Kontrolle zurückzugewinnen — und wie viel Bruch Sie dabei zu tolerieren bereit sind.
Denn DNS im Jahr 2026 dichtzumachen bedeutet nicht, einen Filter zu installieren.
Es bedeutet, zu entscheiden, wem die Auflösung in Ihrem Netzwerk wirklich gehört.
Und dann dafür zu kämpfen.