Pi-hole

1 Pi-hole (Netzwerkweiter Werbe- und Tracker-Blocker)

Der Name leitet sich vom Raspberry Pi ab, für den die Software ursprünglich entwickelt wurde. Technisch gesehen arbeitet Pi-hole als sogenanntes DNS-Sinkhole (Schwarzes Loch für DNS-Anfragen).

1.1 🔬 Wie funktioniert Pi-hole? (Das DNS-Prinzip)

Um die Funktionsweise von Pi-hole zu verstehen, muss man die Namensauflösung (DNS) im Internet betrachten:

1. Die Anfrage:
   Wenn ein Gerät im Netzwerk eine Webseite aufruft, schickt es eine Anfrage an das DNS (z. B.: „Unter welcher IP-Adresse ist http://www.beispiel.de erreichbar?“).
2. Die Filterung:
   Pi-hole fängt diese DNS-Anfrage ab und gleicht sie in Millisekunden mit einer internen Blockliste (Gravity) ab.
3. Zwei mögliche Wege:
   • Erlaubte Domain:
     Befindet sich die Adresse nicht auf der Liste, leitet Pi-hole die Anfrage an einen echten Upstream-DNS-Server im Internet (z. B. Quad9 oder den DNS-Server des Providers) weiter. Die Webseite lädt ganz normal.
   • Werbe-/Tracker-Domain:
     Versucht die Webseite im Hintergrund, ein Werbebanner von einem bekannten Werbeserver zu laden (z. B. adserver.marketing.com), blockiert Pi-hole die Antwort und schickt eine leere Antwort zurück. Das Werbebanner auf der Webseite bleibt einfach unsichtbar oder verschwindet komplett.

1.2 🌐 Das Web-Dashboard: Alles im Blick

Pi-hole bringt eine komfortable, grafische Weboberfläche mit, die standardmäßig im lokalen Netzwerk über http://pi.hole/admin oder die IP-Adresse des Servers erreichbar ist.

Über dieses Dashboard kann man:

• In Echtzeit sehen, welches Gerät im Netzwerk wie viele Anfragen stellt.
• Erkennen, wie viel Prozent des gesamten Datenverkehrs im Netzwerk reine Werbung oder Tracker waren (oft zwischen 10 % und 30 %).
• Eigene Domänen manuell auf eine Whitelist (immer erlauben) oder Blacklist (immer blockieren) setzen.
• Neue, vorgefertigte Blocklisten aus der Community hinzufügen, um den Schutz zu erhöhen.

1.3 📥 Installation unter Linux

Pi-hole lässt sich auf fast jedem Debian- oder Ubuntu-basierten System (wie auch Armbian oder Raspberry Pi OS) mit einem einzigen, offiziellen Terminal-Befehl installieren. Für Arch Linux oder openSUSE empfiehlt sich meist der Betrieb in einem Docker-Container.

1.3.1 1. Native Installation (Debian / Ubuntu / Raspberry Pi OS):

curl -sSL https://install.pi-hole.net | bash

Hinweis: Dieser Befehl startet einen interaktiven Text-Installer. Hierbei wird der Nutzer durch die Einrichtung geführt und muss dem Server eine statische (feste) IP-Adresse zuweisen, damit er im Netzwerk dauerhaft erreichbar bleibt. Am Ende wird das generierte Admin-Passwort für die Weboberfläche angezeigt.

1.4 2. Besondere native Installation unter Fedora

Unter Fedora funktioniert der obige curl-Befehl ebenfalls, allerdings blockieren hier ab "Werk" die Firewall (firewalld) und das Sicherheitssystem SELinux den Betrieb. Im Foren-Support müssen daher vor und nach dem Skript folgende Schritte angewiesen werden:

1. SELinux anpassen:
   Pi-hole benötigt weitreichende Rechte für den DNS-Dienst, die SELinux standardmäßig blockiert. Für einen reibungslosen Betrieb muss SELinux in den Permissive-Modus versetzt werden (in der Datei /etc/selinux/config den Wert auf SELINUX=permissive ändern und das System neu starten).

2. Skript ausführen:

   Code

   curl -sSL https://install.pi-hole.net | bash

3. Firewall für Pi-hole öffnen:
   Fedora sperrt eingehende DNS- und Webanfragen. Die Ports müssen manuell dauerhaft freigegeben werden:

   Code

   sudo firewall-cmd --add-service=http --add-service=dns --permanent
   sudo firewall-cmd --reload

1.4.1 3. Die sauberste Empfehlung für openSUSE & Fedora: Docker

Da openSUSE vom offiziellen Installationsskript nicht nativ unterstützt wird (und man über die Community-Repositories im Open Build Service oft auf veraltete Versionen stößt), lautet die offizielle Empfehlung für openSUSE und Fedora:
Der Betrieb als Docker-Container.

Das hält das Grundsystem absolut sauber, umgeht jegliche SELinux- oder Paketmanager-Konflikte und läuft innerhalb von Sekunden.

Voraussetzung:
Docker und Docker-Compose müssen installiert sein (sudo zypper in docker docker-compose-switch bzw. sudo dnf install docker docker-compose-plugin).

Erstelle eine Datei namens docker-compose.yml:

version: "3"

services:
  pihole:
    container_name: pihole
    image: pihole/pihole:latest
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "80:80/tcp"
    environment:
      TZ: 'Europe/Vienna'
      WEBPASSWORD: 'DeinSicheresPasswort'
    volumes:
      - './etc-pihole:/etc/pihole'
      - './etc-dnsmasq.d:/etc/dnsmasq.d'
    cap_add:
      - NET_ADMIN
    restart: unless-stopped

Danach den Container einfach im selben Ordner starten:

sudo docker-compose up -d

Wichtiger openSUSE-Hinweis:
Auch hier muss danach die Firewall geöffnet werden, damit die Geräte im Netzwerk das Pi-hole erreichen können:

sudo firewall-cmd --permanent --add-service=dns
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

1.5 ⚠️ Die klassischen Stolpersteine

Damit Pi-hole im gesamten Haus funktioniert, reicht die reine Installation nicht aus. Das ist der Punkt, an dem im Forum die meisten Fragen auftauchen:

1.5.1 1. "Ich habe Pi-hole installiert, aber ich sehe immer noch Werbung!"

• Die Ursache:
  Die Geräte im Netzwerk wissen noch gar nicht, dass sie Pi-hole fragen sollen. Sie schicken ihre DNS-Anfragen weiterhin direkt an den Internet-Router (z. B. die Fritz!Box).
• Die Lösung: Der Nutzer muss im Konfigurationsmenü seines Routers (z. B. unter Heimnetzwerk -> Netzwerkeinstellungen) die lokale IP-Adresse des Pi-hole als primären DNS-Server via DHCP eintragen. Sobald sich die Geräte neu mit dem WLAN verbinden, nutzen sie automatisch das Pi-hole.

1.5.2 2. "Warum sehe ich auf YouTube trotzdem noch Werbung?"

Ein absoluter Klassiker: Nutzer beschweren sich, dass Pi-hole keine Werbung auf YouTube oder in der Twitch-App blockiert.

• Die Aufklärung:
  Pi-hole kann Werbung nur blockieren, wenn sie von einem separaten Werbeserver ausgeliefert wird. Plattformen wie YouTube streamen die Werbevideos jedoch von denselben Servern wie die eigentlichen Videos. Würde Pi-hole den Werbeserver blockieren, würde auch das Hauptvideo nicht mehr starten. Gegen diese Art von Werbung helfen auf dem PC weiterhin nur klassische Browser-Erweiterungen wie uBlock Origin.

1.5.3 3. "Eine wichtige Webseite/App funktioniert plötzlich nicht mehr"

Manchmal sperrt eine restriktive Blockliste versehentlich eine Domain, die für die Funktion einer bestimmten App (z. B. einer Banking-App oder Smart-Home-Steuerung) notwendig ist (False Positive).

• Der Rat:
  Das Pi-hole-Dashboard öffnen und im Query Log (Anfrage-Protokoll) nach rot markierten (blockierten) Einträgen des betroffenen Geräts suchen, die zeitlich exakt zum Fehler passen. Über den Button „Whitelist“ kann die blockierte Adresse mit einem Klick freigeschaltet werden.