Ihr lokaler DNS-Filter wird wahrscheinlich gerade umgangen, ohne dass Sie es merken
Einen eigenen DNS-Filter aufzusetzen, hat etwas sehr Befriedigendes. Sie installieren AdGuard Home, laden sorgfältig kuratierte Blocklisten, richten DHCP auf Ihren Resolver aus und sehen den Anfragen beim Vorbeiziehen zu, in dem Gefühl, jetzt Ihr Netzwerk zu kontrollieren. Davon sind Sie in Wahrheit ziemlich weit entfernt.
Diese Pointe trifft hart. Manche Geräte ignorieren DHCP einfach, ein Google Home schickt DNS direkt an 8.8.8.8, und Browser tunneln DNS über HTTPS, sodass Ihr Resolver die Anfrage nie zu sehen bekommt. Android-Apps überspringen die Hostname-Auflösung manchmal ganz und verbinden sich direkt mit hartkodierten IPs. Die blockierte Domain, auf deren Erfassung Sie so stolz waren, hat Ihren DNS-Server womöglich nie erreicht, und wer das einmal erkannt hat, glaubt nicht mehr so recht daran, das eigene Netzwerk dichtgemacht zu haben.
Die Illusion der Kontrolle
Anfangs wirkte das Setup wasserdicht. AdGuard Home läuft lokal, die Blocklisten sind aktiv, und alles zeigt auf Ihren DNS-Server. Das fühlt sich zentral, sauber und deterministisch an.
Dann holt Sie die Realität ein, in Form von hartkodierten DNS-Servern, DoH auf Port 443, DoT auf Port 853 und DoQ über UDP 853. Verschlüsselte Anfragen gleiten durch denselben Port wie Ihr normaler HTTPS-Traffic, Apps bringen ihre eigenen Resolver mit, und manche Geräte behandeln Ihre DHCP-Einstellungen eher als Vorschlag denn als Regel. Ihr Resolver sitzt dann ungenutzt herum, weil ihn schlicht niemand gefragt hat.
Das ist der beunruhigende Teil. DNS-Filterung funktioniert nur, wenn Clients Ihren DNS-Server tatsächlich nutzen. Tun sie es nicht, ist Ihre Kontrolle nur noch Theater.
Die Fünf-Schichten-Verteidigung
Statt aufzugeben, folgte eine Eskalation: eine fünfschichtige Verteidigung, aufgebaut auf OPNsense, AdGuard Home und Unbound. Zu den Blocklisten kamen NAT-Redirects, die DNS-Anfragen zurück zum lokalen Resolver zwingen, und Port-Blockaden für die gängigen verschlüsselten DNS-Ports. HaGeZis DoH-Blockliste erkennt bekannte Endpunkte für verschlüsseltes DNS, und Firewall-Regeln auf IP-Ebene fangen Traffic ab, der direkt entkommen will.
Mit beiläufigem Basteln im Homelab hatte das nichts mehr zu tun, das war aktive Eindämmung. Und selbst dann musste das Wort „alles“ gestrichen und durch „das meiste“ ersetzt werden, weil nichts jemals vollständig dicht ist.
„Wir haben 8.8.8.8 zu Hause“
Die Kommentare entwickelten ein Eigenleben. Eine der meistgevoteten Antworten machte aus der Situation ein Meme: „Wir haben 8.8.8.8 zu Hause.“ Eine andere ergänzte: „Sie wollen 8.8.8.8? Klar, hier gibt es eine, nur ein paar Hops entfernt.“
Daraus wird tatsächlich ein cleverer Ansatz. Wenn Geräte darauf bestehen, mit 8.8.8.8 zu sprechen, geben Sie ihnen eben 8.8.8.8 und sorgen nur dafür, dass diese IP in Ihrem eigenen Netzwerk wohnt. Manche Nutzer beschrieben, wie sie 8.8.8.8/32 und 8.8.4.4/32 direkt dem Loopback-Interface ihres Routers zuweisen. Andere schlugen vor, ein VLAN mit 8.8.8.8/30 anzulegen und statisch zu routen, damit der Router es als lokalen Next-Hop sieht.
Das ist elegant, ein bisschen frech und ungemein befriedigend. Das Gerät glaubt, mit Google zu sprechen, und redet in Wahrheit mit Ihrem Resolver. Ein Kommentator nannte das Internet-Superhelden-Energie.
Der Widerspruch: Das kann Dinge kaputt machen
An dieser Stelle kippt die Stimmung, denn nicht jeder hält DNS-Umleitung für einen harmlosen Trick. Ein Nutzer warnte, dass die interne Nutzung beliebiger öffentlicher IPv4-Adressen manchmal Dinge kaputt macht. Ein anderer berichtete, dass das Umleiten bei Google-Geräten wie Google Home und Chromecast spürbare Verzögerungen und Unterbrechungen verursacht habe.
Das ist der Preis. Erzwungene Interception kann Latenz erzeugen, smarte Geräte versuchen es womöglich aggressiv erneut, und manche Dienste erwarten bestimmte Infrastruktur und benehmen sich seltsam, wenn sie sie nicht erreichen.
Dann gibt es noch die nukleare Option, ausgehenden WAN-Traffic zu 8.8.8.8 komplett zu blockieren. Das klingt sauber, einfach an der Firewall verweigern. Anbieter von verschlüsseltem DNS hängen aber nicht an einer einzigen IP, und sobald sich DoH im regulären HTTPS-Traffic versteckt, wird IP-Blocking zu einem stumpfen und riskanten Werkzeug. Damit kommen wir zum unbequemen Teil.
Meta, CDNs und die Grenzen des Blockierens
Der ursprüngliche Beitrag gab nicht vor, eine perfekte Lösung zu sein, und nannte ausdrücklich, was er nicht erfasst. Meta liefert sein DoH über die reguläre Facebook-CDN-Infrastruktur aus. Es sauber zu blockieren, ohne Facebook und verwandte Apps zu beschädigen, ist deshalb nahezu unmöglich.
Dahinter steckt ein größeres Muster. Verschlüsseltes DNS ist längst keine Randerscheinung mehr, die man einfach umgehen könnte, es wird zum Standard. Browser nutzen standardmäßig DoH, Betriebssysteme experimentieren mit verschlüsselten Resolvern, und große Plattformen verweben die DNS-Auflösung eng mit ihren eigenen Traffic-Flows.
Je mehr verschlüsselt und gebündelt wird, desto schwerer wird präzises Filtern. Wer heute DNS blockiert, greift womöglich auch in das Kernverhalten von Apps ein.
Das größere Argument: Privacy vs. Kindersicherung vs. Autonomie
Unter dem technischen Hin und Her liegt eine philosophische Debatte. Manche sehen verschlüsseltes DNS als Angriff auf die lokale Kontrolle. Wer einen DNS-Filter für Werbeblockade, Malware-Schutz oder Kindersicherung betreibt, empfindet DoH schnell als Sabotage.
Andere sehen darin einen Gewinn für die Privatsphäre, weil ISPs und lokale Netzbetreiber die Anfragen nicht mehr mitlesen können. Aus dieser Sicht ist es eher Schutz als böse Absicht, wenn ein Gerät den lokalen Resolver umgeht. Und dann gibt es die Pragmatiker, denen die Ideologie egal ist, solange die Werbung verschwindet und die Geräte stabil laufen.
Ein Kommentator scherzte, dass wir mit lokal kollokiertem DNS im Grunde Internet-Superhelden seien, so wie Netflix Caching-Server bei ISPs platziert. Ein anderer meinte, wir hülfen Google damit, Peering-Kosten zu sparen.
Hinter dem Humor steckt eine echte Spannung: Wer sollte die DNS-Auflösung kontrollieren, der Gerätehersteller, der Browser, der ISP oder der Nutzer? Im Homelab sagen die meisten von uns: der Nutzer. Das moderne Internet sieht das nicht immer so.
Die Zerbrechlichkeit von „standardmäßig sicher“
Es hat fast etwas Poetisches, dass lokale Richtlinien umso schwerer durchzusetzen sind, je sicherer und privater die Protokolle werden. DoH versteckt DNS in HTTPS, was gegen Überwachung durch den ISP großartig ist und für lokale Filterung schrecklich. Es sei denn, Sie fangen an, TLS zu inspizieren, und öffnen damit eine ganz andere ethische und technische Büchse der Pandora.
Also eskalieren Sie weiter mit NAT-Regeln, Firewall-Blockaden, Redirects, IP-Tricks und Blocklisten bekannter DoH-Endpunkte, und müssen trotzdem zugeben, dass Sie nur „das meiste“ erwischen. Diese Ehrlichkeit ist wichtig, denn die Illusion totaler Kontrolle ist gefährlicher als eine teilweise Kontrolle, von der man weiß.
Was das wirklich lehrt
Wenn diese Geschichte eines zeigt, dann dass DNS-Filterung sich längst nicht mehr mit einer einzigen Schicht lösen lässt. DHCP auf Ihren Resolver zu richten ist nur die Grundlage. Moderne Geräte betrachten das als optional, Browser als Empfehlung, und Apps ignorieren es manchmal ganz.
Für eine wirksame Durchsetzung brauchen Sie Interception auf Netzwerkebene, Kontrolle über Ports, ein Auge auf IP-Adressen und laufend gepflegte Listen von DoH-Endpunkten. Selbst dann bleibt es unvollkommen.
Die Überschrift war kein Clickbait: Ihr lokaler DNS-Filter wird wahrscheinlich gerade umgangen. Das liegt weder an einem Fehler Ihrerseits noch an einem Versagen von AdGuard oder Unbound. Das Internet hat sich weiterentwickelt, und lokale DNS-Kontrolle ist dabei nicht der Standard geblieben.
Dass es Umgehungen gibt, steht fest. Offen ist, wie viel Aufwand Sie investieren wollen, um die Kontrolle zurückzugewinnen, und wie viel kaputte Funktionalität Sie dafür in Kauf nehmen. DNS im Jahr 2026 dichtzumachen heißt deshalb vor allem, zu entscheiden, wem die Auflösung in Ihrem Netzwerk gehören soll, und dann dafür zu kämpfen.