AdGuard Home: netzwerkweiter Werbe- und Tracking-Blocker

Werbung und Tracker blockt man am wirkungsvollsten nicht im Browser, sondern im DNS – dort, wo jedes Gerät nachfragt, welche IP zu einer Domain gehört. AdGuard Home ist ein selbstgehosteter DNS-Server, der Anfragen an bekannte Werbe-, Tracking- und Schad-Domains einfach ins Leere laufen lässt. Ein Server, alle Geräte – Handy, Fernseher, Laptop – ohne eine einzige App auf dem Client.

Was bauen wir?

Am Ende läuft AdGuard Home v0.107.78 als DNS-Server auf deinem VPS. Er beantwortet DNS-Anfragen, filtert dabei Werbung/Tracker/Malware anhand von Sperrlisten heraus und zeigt dir in einer Weboberfläche live, was blockiert wurde. Konkret:

• ein DNS-Filter mit über 150.000 Regeln (Standard-Blockliste), erweiterbar um beliebige Listen,
• eine Web-Oberfläche mit Statistik und Abfrageprotokoll, abgesichert hinter deinem Reverse Proxy,
• der DNS-Dienst ausschließlich über deinen WireGuard-Tunnel erreichbar – nicht offen im Internet.

Der letzte Punkt ist entscheidend und der Grund, warum dieses Tutorial WireGuard voraussetzt: Ein offener DNS-Resolver im Internet wird binnen Stunden für DNS-Amplification-Angriffe missbraucht. Deshalb binden wir den DNS-Port an das VPN-Interface, und nur deine eigenen Geräte sprechen ihn über den Tunnel an.

Voraussetzungen

• Ein Server mit Docker und einem laufenden Traefik-Reverse-Proxy (für die Weboberfläche unter einer eigenen Domain mit TLS).
• Ein eingerichtetes WireGuard-VPN mit dem Server-Interface wg0 unter 10.8.0.1. Darüber erreichen deine Geräte später den DNS-Server.
• Grundverständnis von DNS (Domain → IP) hilft, ist aber kein Muss.

AdGuard Home ist extrem genügsam – es kommt mit wenigen zehn MB RAM aus. Der kleinste Tarif reicht locker, zumal er bei dir vermutlich ohnehin neben anderen Diensten läuft.

Schritt für Schritt

Schritt 1: Ist Port 53 frei?

AdGuard Home braucht Port 53 – den DNS-Port. Auf manchen Systemen belegt ihn bereits systemd-resolved. Prüfe das:

ss -tulpn | grep ":53 "

Auf dem hier verwendeten netcup-Debian-13-Image war der Port frei (kein systemd-resolved aktiv), die Ausgabe also leer. Bekommst du stattdessen eine Zeile mit systemd-resolve, musst du dessen Stub-Listener abschalten – sonst startet AdGuard nicht („address already in use"):

sudo mkdir -p /etc/systemd/resolved.conf.d
echo -e "[Resolve]\nDNSStubListener=no" | sudo tee /etc/systemd/resolved.conf.d/adguard.conf
sudo systemctl restart systemd-resolved

Schritt 2: Docker-Compose anlegen

Leg den Projektordner an:

mkdir -p /opt/adguardhome/work /opt/adguardhome/conf && cd /opt/adguardhome

Erstelle die compose.yaml:

services:
  adguardhome:
    image: adguard/adguardhome:v0.107.78
    container_name: adguardhome
    restart: unless-stopped
    volumes:
      - ./work:/opt/adguardhome/work
      - ./conf:/opt/adguardhome/conf
    ports:
      - "10.8.0.1:53:53/tcp"
      - "10.8.0.1:53:53/udp"
    networks:
      - proxy
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.adguard.rule=Host(`DEINE_DOMAIN`)"
      - "traefik.http.routers.adguard.entrypoints=websecure"
      - "traefik.http.routers.adguard.tls.certresolver=le"
      - "traefik.http.services.adguard.loadbalancer.server.port=3000"

networks:
  proxy:
    external: true

Das Wichtigste:

• ports: "10.8.0.1:53:53" – der DNS-Port wird nur an die WireGuard-Adresse gebunden, nicht an 0.0.0.0. Damit ist der Resolver ausschließlich über den VPN-Tunnel erreichbar und niemals offen im Internet. Diese eine Zeile ist der Unterschied zwischen „sicher" und „wird für Angriffe missbraucht".
• Die Web-Oberfläche läuft auf Container-Port 3000 und wird über die vier Traefik-Labels unter DEINE_DOMAIN mit TLS veröffentlicht. Ersetze DEINE_DOMAIN durch deine echte Domain.
• Beide volumes (work, conf) machen Konfiguration und Statistik dauerhaft.

Starte den Container:

docker compose up -d

Prüfe, dass er läuft:

docker compose ps

Du solltest Up sehen und dass Port 53 an 10.8.0.1 gebunden ist.

Schritt 3: Die Ersteinrichtung

Rufe deine Domain im Browser auf – du landest im Einrichtungsassistenten. Rechts unten kannst du die Sprache auf Deutsch stellen.

Klick dich durch die fünf Schritte. Zwei Angaben sind wichtig:

• Admin-Weboberfläche: Als Port musst du 3000 eintragen (Alle Schnittstellen, Port 3000) – denn genau dorthin leitet Traefik. Der Vorschlag ist oft Port 80; änderst du ihn nicht, ist die Oberfläche nach dem Setup über Traefik nicht mehr erreichbar.
• DNS-Server: Port 53 (Alle Schnittstellen). Die Beschränkung auf das VPN-Interface erledigt bereits die Port-Bindung aus der Compose – innerhalb des Containers darf AdGuard ruhig auf allen Schnittstellen lauschen.

Danach legst du Benutzername und ein starkes Passwort für die Anmeldung an. Fertig – du wirst zur Anmeldung weitergeleitet.

Schritt 4: Das Dashboard

Nach dem Login siehst du die Übersicht: Zahl der Anfragen, wie viele davon gesperrt wurden, die am häufigsten angefragten und die am häufigsten gesperrten Domains.

Anfangs ist alles auf null – das füllt sich, sobald das erste Gerät AdGuard als DNS nutzt (Schritt 6).

Schritt 5: Sperrlisten verwalten

Unter Filter → DNS-Sperrlisten siehst du die aktiven Blocklisten. Standardmäßig ist der AdGuard DNS filter aktiv – bei uns mit 159.173 Regeln.

Über Blockliste hinzufügen kannst du weitere kuratierte Listen einbinden (AdGuard bringt einen Katalog mit, z. B. AdAway oder OISD). Weniger ist oft mehr: Ein, zwei gute Listen blocken das meiste, ohne dass ständig legitime Seiten kaputtgehen. Mit Nach Updates suchen aktualisierst du die Regeln manuell; AdGuard hält sie sonst automatisch aktuell (siehe „Wartung").

Schritt 6: Geräte auf AdGuard umstellen

Damit deine Geräte den Filter nutzen, müssen sie AdGuard als DNS-Server verwenden. Über den WireGuard-Tunnel geht das am elegantesten zentral in der Client-Konfiguration: Trag in der [Interface]-Sektion deiner WireGuard-Clients die Server-Tunneladresse als DNS ein:

[Interface]
# ... deine bestehenden Zeilen ...
DNS = 10.8.0.1

Sobald der Tunnel steht, schickt das Gerät alle DNS-Anfragen an AdGuard – egal ob unterwegs im WLAN oder im Mobilfunknetz. Kein Eingriff am Router nötig, und der Schutz wirkt auch von unterwegs.

Schritt 7: Funktioniert es wirklich?

Prüf den Resolver direkt auf dem Server über die VPN-Adresse. Eine normale Domain muss auflösen:

dig @10.8.0.1 +short example.com

172.66.147.243

Eine bekannte Tracking-Domain muss geblockt werden – AdGuard antwortet dann mit 0.0.0.0:

dig @10.8.0.1 +short doubleclick.net

0.0.0.0

Zur Gegenprobe, dass der Resolver nicht offen lauscht, fragst du ihn über die Loopback-Adresse an – das muss scheitern:

dig @127.0.0.1 +time=2 +tries=1 example.com

;; communications error to 127.0.0.1#53: connection refused

Genau so soll es sein: erreichbar über 10.8.0.1 (den Tunnel), abgewiesen auf allen anderen Adressen. Ein Blick ins Abfrageprotokoll in der Weboberfläche zeigt dieselben Anfragen live – gesperrte Einträge sind rot markiert und nennen die Liste, die gegriffen hat:

Wenn es nicht funktioniert

Wartung & Backups

Sperrlisten-Updates. AdGuard aktualisiert die Listen automatisch (Standard: alle 24 Stunden). Du musst hier nichts tun; ein manuelles Nach Updates suchen geht bei Bedarf jederzeit.

Backups. Die gesamte Konfiguration steckt in /opt/adguardhome/conf/AdGuardHome.yaml – Admin-Login, DNS-Einstellungen, Listen, Ausnahmen. Diese Datei (plus den work-Ordner mit der Statistik) sicherst du regelmäßig mit, z. B. per restic. Damit ist ein Server-Umzug in Minuten erledigt: Container hochziehen, conf zurückspielen, fertig.

Updates. Neue Versionen holst du dir wie bei jedem Compose-Stack. Pinne den Tag bewusst (nicht latest), damit Updates kontrolliert passieren:

cd /opt/adguardhome
docker compose pull && docker compose up -d

Datenschutz. Das Abfrageprotokoll speichert, welches Gerät welche Domain angefragt hat – das ist für die Fehlersuche Gold wert, aber auch sensibel. Unter Einstellungen → Allgemeine Einstellungen kannst du die Aufbewahrungsdauer des Protokolls verkürzen oder das Logging ganz abschalten. Gerade wenn andere Personen deinen DNS mitnutzen, ist eine kurze Aufbewahrung fair.