Es gibt eine kleine Webseite im Internet, die einem schonungslos die Wahrheit über das eigene Heimnetzwerk verrät: adblock.turtlecute.org.
Man öffnet die Seite, klickt auf Start, und innerhalb weniger Sekunden rattert ein Test durch, der simuliert, wie viel Werbung und Tracking-Skripte auf dem aktuellen Gerät tatsächlich geblockt werden. Als ich den Test das erste Mal ohne jegliche Schutzmaßnahmen machte, war das Ergebnis ernüchternd. Man realisiert erst dann, wie unfassbar viel Datenmüll bei jedem normalen Webseitenbesuch im Hintergrund geladen wird.
Heute, wenn ich den gleichen Test in meinem Netzwerk starte, spuckt mir die Seite ein anderes Ergebnis aus: 97 %. Fast perfekte Stille im Hintergrundrauschen des Internets.
Wie ich von einer völlig ungeschützten Leitung zu diesem Wert gekommen bin, ist die Geschichte meines zweiten Self-Hosting-Projekts. Nachdem ich mit Paperless mein Papierchaos besiegt und den ersten Raspberry Pi in Betrieb genommen hatte, war ich auf den Geschmack gekommen. Wenn man einmal merkt, wie viel Lebensqualität einem so ein kleiner Mini-Computer im Netzwerk bringen kann, fragt man sich unweigerlich: Was geht da noch?
Egal ob auf dem Smartphone, dem Smart-TV oder dem Tablet der Kinder – man wird permanent mit Werbung und Trackern bombardiert. Auf dem PC kann man sich noch mit Browser-Erweiterungen behelfen, aber auf dem Fernseher oder im restlichen Netzwerk? Keine Chance.
Bis ich von einer Software namens Pi-hole hörte.
Das Prinzip: Den Stecker ziehen, bevor die Werbung lädt
Die Idee hinter Pi-hole ist genial einfach. Es fungiert als netzwerkweiter Werbeblocker. Statt auf jedem einzelnen Gerät einen Blocker zu installieren, setzt man Pi-hole direkt an der Wurzel an: beim DNS.
Um das kurz technisch einzuordnen: DNS (Domain Name System) ist quasi das Telefonbuch des Internets. Wenn du awemedia.de in deinen Browser tippst, weiß dein Gerät nicht, wo das liegt. Es fragt den DNS-Server nach der "Telefonnummer" (der IP-Adresse) und verbindet dich dann.
Normalerweise macht das der Router deines Internetanbieters. Wenn du stattdessen Pi-hole in deinem Heimnetzwerk als DNS-Server einträgst, läuft jede Telefonbuch-Anfrage über diesen kleinen Dienst. Und Pi-hole hat sogenannte Blocklisten – riesige, von der Community gepflegte Verzeichnisse von bekannten Werbe- und Tracking-Servern.
Fragt dein Fernseher also nach dem eigentlichen Film, gibt Pi-hole die Nummer brav weiter. Fragt dein Fernseher im nächsten Moment nach der IP-Adresse für den Werbe-Einspieler, schaut Pi-hole auf die Liste und sagt: "Treffer! Diese Adresse steht auf der schwarzen Liste. Zugriff verweigert."
Das Ergebnis? Die Werbung läuft ins Leere und wird schlichtweg nicht geladen. Keine Ladezeit, kein Ruckeln, einfach ein schwarzer Bildschirm für den Bruchteil einer Sekunde – oder gar nichts.
Ein Blick hinter die Kulissen: Das Eigenleben der Smart-Geräte
Als ich Pi-hole in Betrieb nahm, offenbarte das Dashboard eine weitere, ziemlich gruselige Wahrheit. Man sieht dort nämlich live, welches Gerät im Heimnetzwerk welche Anfragen sendet. Und das ist bei den ganzen modernen Smart-Home-Geräten (IoT) – von der WLAN-Steckdose über die Glühbirne und den Saugroboter bis zur Überwachungskamera – oft erschreckend.
Viele dieser Geräte senden ununterbrochen Anfragen ins Internet, teilweise im Sekundentakt. Besonders mein Samsung Smart-TV fiel hier negativ auf: Selbst im Standby-Modus versuchte das Gerät permanent, Verbindungen zu Trackingservern aufzubauen, die für den eigentlichen Betrieb des Fernsehers absolut null Funktion haben. Diese dauerhaften Ping-Anfragen tragen massiv zum Tracking bei.
Dank Pi-hole und AdGuard sehe ich diese Anfragen nicht nur, ich kann sie auch blockieren. Das Gerät funktioniert weiterhin tadellos, aber die Spionage-Versuche im Hintergrund laufen ins Leere. Dass an manchen Tagen über 50 % des gesamten Traffics in meinem Netzwerk gefiltert wurden, liegt oft genau an diesen geschwätzigen Smart-Home-Geräten.
Der Pi 2 und mein neuer Lieblingssport
Für dieses Projekt brauchte ich nicht viel Power. Ich kaufte mir günstig einen älteren Raspberry Pi 2. Der reichte für die paar DNS-Anfragen eines Haushalts absolut locker aus.
Der Effekt war gewaltig. Webseiten auf dem Handy luden rasend schnell, weil der ganze Tracking-Müll im Hintergrund gar nicht erst heruntergeladen wurde — und selbst der Smart-TV wirkte plötzlich spürbar aufgeräumter und leiser im Netzwerk. Es war ein massives Upgrade meiner Lebensqualität bei minimalem Hardware-Einsatz.
Irgendwann wurde es für mich regelrecht zu einem Sport. Wenn mir irgendwo doch noch eine Werbung begegnete, suchte ich im Dashboard nach der Domain und setzte sie manuell auf die schwarze Liste.
Die Grenzen der Filterung (Das Katz-und-Maus-Spiel)
Natürlich ist dieses System nicht perfekt. Die Betreiber großer Plattformen – wie Amazon, Netflix oder YouTube – sind zunehmend bemüht, die Werbung direkt in ihren eigentlichen Content einzupflegen. Die Werbe-Inhalte werden dann von denselben Servern ausgeliefert wie der eigentliche Film. In so einem Fall geht die DNS-Anfrage ungehindert durch, da es keine Drittanbieter-Domain mehr ist, die blockiert werden könnte. Der Trend zeigt leider, dass es immer schwieriger wird, jede Werbung zu unterdrücken.
Aber: Auf regulären Webseiten beim Surfen oder bei vielen anderen Videodiensten erfährt man nach wie vor eine spürbare Geschwindigkeitssteigerung, weil die Werbebanner und Skripte schlichtweg nicht mehr laden.
Evolution: Von fünf Raspberries zu Mini-PCs und AdGuard
Die Jahre vergingen und das Homelab wuchs. Aus dem einen Pi wurden am Ende fünf Stück — vier stapelten sich im Netzwerkschrank, der fünfte wohnt bis heute am 3D-Drucker und betreibt dort OctoPrint. Heute habe ich mein System deutlich effizienter aufgestellt: Alle Dienste laufen nun zentral auf leistungsstarken Mini-PCs, anstatt die Aufgaben über viele kleine Raspberries zu verteilen.
Mit diesem Umbau habe ich mich auch von Pi-hole verabschiedet und bin auf AdGuard Home umgestiegen.
Das Prinzip ist exakt das gleiche, aber AdGuard schien mir noch etwas bedienerfreundlicher zu sein. Vor allem aber macht es eine bestimmte Einstellung extrem einfach: DoH (DNS over HTTPS).
Die Kür: DNS-Anfragen verschlüsseln mit DoH
Was bedeutet das schon wieder? Nun, klassische DNS-Anfragen sind unverschlüsselt. Das heißt, dein Internetanbieter (oder jeder, der im Netzwerkschrank deines Mehrfamilienhauses herumschnüffelt) kann zwar vielleicht nicht sehen, was genau du auf einer Webseite machst, aber er sieht jede einzelne Webseite, nach der du im "Telefonbuch" fragst.
DoH verschlüsselt genau diese Anfragen: Die Suche im Telefonbuch findet ab sofort in einem abhörsicheren Tunnel statt. Ganz unsichtbar wird man dadurch übrigens nicht — welche Server man ansteuert, kann der Provider technisch weiterhin erkennen, etwa über die IP-Adressen der Verbindungen. Aber das bequeme Mitlesen des kompletten Surfverhaltens über die DNS-Anfragen ist damit vorbei. Ein ordentliches Stück Privatsphäre zurück.
Ein angenehmer Nebeneffekt: Man ist nicht mehr davon abhängig, wie der eigene Provider sein DNS betreibt. Ausfälle, Umleitungen auf Werbeseiten bei Tippfehlern oder sonstige Eigenheiten auf Provider-Seite gehen an einem schlicht vorbei — die Namensauflösung liegt komplett in der eigenen Hand.
Rückblickend war dieser netzwerkweite Blocker eines der dankbarsten Projekte überhaupt. Es erfordert kaum Pflege, läuft unauffällig im Hintergrund, aber man merkt sofort, wenn es mal ausfällt. Wer einmal ein wirklich sauberes, werbefreies Heimnetzwerk erlebt hat, will nie wieder zurück.
Henryk Awe - awemedia. In dieser Reihe teile ich meine persönlichen Erfahrungen mit Self-Hosting und Homelab — kein Tutorial, sondern echte Geschichten aus der Praxis.