Im Pi-hole-Dashboard gibt es eine Zahl mit eingebauter Kränkung: Total queries: 0. Die Blocklisten sind geladen, der Dienst läuft, alles leuchtet grün. Nur fragt eben niemand.

Schuld daran ist so gut wie nie Pi-hole, sondern der Router. Der heißt in deutschen Haushalten meistens FritzBox, und die verteilt über DHCP nicht nur IP-Adressen, sondern auch die Ansage, wen deine Geräte bei Namensfragen anrufen sollen. Solange dort nicht Pi-hole steht, läuft dein schöner Filter im Leerlauf. Heute stellen wir die FritzBox richtig ein: über IPv4, über IPv6 und mit einer ehrlichen Antwort auf die Frage, was eigentlich mit dem Gastnetz passiert.

Kurz gesagt: Am Ende schickt deine FritzBox jedes Gerät im Heimnetz zu Pi-hole, über IPv4 und IPv6 und ohne Schlupflöcher. Dauer: rund 15 Minuten plus einmal WLAN aus und an. Schwierigkeitsgrad: Einsteiger. Fast alles passiert per Klick in zwei Web-Oberflächen, die Shell brauchst du nur für eine Adresse und den Test. Stand: FritzOS 8.x und Pi-hole v6, geprüft am 02-09-2026.
Schaubild: FritzBox auf Pi-hole umstellen in drei Schritten: lokaler DNS-Server für IPv4, IPv6 nachziehen, neu verbinden und testen
Der ganze Weg auf einen Blick. Schritt 2 ist der, der in den Foren am häufigsten fehlt.

Was du brauchst

  • Ein laufendes Pi-hole mit fester IP-Adresse, egal ob auf dem Raspberry Pi, in Docker oder als LXC-Container auf Proxmox.
  • Zugang zur FritzBox-Oberfläche: http://fritz.box im Browser, dazu das Gerätekennwort.
  • Ein halbwegs aktuelles FritzOS. Die Menüpfade hier sind Stand FritzOS 8.x; die Pi-hole-Doku beschreibt denselben Weg seit Version 7.21; nur die Beschriftungen wandern gelegentlich.
  • 15 Minuten und die Bereitschaft, einmal kurz das WLAN zu trennen.

Mit diesen Beispielwerten rechnet die Anleitung. Wo sie auftauchen, setzt du deine eigenen ein:

  • IP-Adresse des Pi-hole: 192.168.178.53
  • FritzBox (Gateway): 192.168.178.1
  • Heimnetz: 192.168.178.0/24
  • Lokale Domain der FritzBox: fritz.box
  • IPv6-Adresse des Pi-hole: beginnt mit fd; die ermitteln wir in Schritt 2
So liest du diese Anleitung: Alles, was du selbst tun sollst, steht in einem farbigen Kasten. [ per klick ] heißt: Das erledigst du mit der Maus in einer Web-Oberfläche, hier die FritzBox-Oberfläche oder das Pi-hole-Dashboard. [ über die shell ] heißt: Den Befehl kopieren, ins Terminal einfügen, Enter. Stehen beide Kästen direkt untereinander, führen sie zum selben Ergebnis. Du gehst EINEN davon, nicht beide.

Die wichtigste Voraussetzung aus der Liste kannst du sofort prüfen: ob dein Pi-hole überhaupt DNS-Fragen beantwortet.

Auf einem beliebigen Rechner im Heimnetz, im Terminal (unter Windows: Eingabeaufforderung):

nslookup pi.hole 192.168.178.53

Kommt eine Antwort mit der Adresse deines Pi-hole, läuft der Filter und wartet nur auf Kundschaft. Kommt ein Timeout, klemmt es schon beim Pi-hole selbst, und du suchst zuerst dort, nicht in der FritzBox.

Schritt 1: Pi-hole als lokalen DNS-Server eintragen

DHCP? Der Empfangstresen deines Netzwerks: Jedes Gerät, das sich anmeldet, bekommt dort eine Adresse zugewiesen, und einen Zettel dazu, wen es anrufen soll, wenn es einen Namen wie sakis.tech in eine IP übersetzen will. Genau diesen Zettel schreiben wir jetzt um.
Gerät→ „wer ist mein DNS?“ →FritzBox→ „frag die .53“ →Pi-hole

Die FritzBox hat zwei Stellen für DNS-Server, und die falsche ist prominenter platziert als die richtige. Für Pi-hole gehört die Adresse ins Heimnetz-Menü, nicht unter „Internet“.

  1. fritz.box im Browser öffnen und anmelden. Unten links muss Erweiterte Ansicht aktiv sein. Steht dort noch „Standard“, einmal draufklicken.
  2. Heimnetz → Netzwerk, dann oben der Reiter Netzwerkeinstellungen.
  3. Nach unten zum Abschnitt IP-Adressen scrollen und die Schaltfläche IPv4-Einstellungen anklicken.
  4. Im Feld Lokaler DNS-Server die Pi-hole-IP eintragen: 192.168.178.53, dann Übernehmen.

Stand FritzOS 8.x. Je nach Version heißt die Schaltfläche auch „IPv4-Konfiguration“ oder „IPv4-Adressen“. Warum AVM den Knopf immer wieder umbenennt, weiß ich nicht; ich habe aufgehört, danach zu suchen. Das Feld dahinter heißt zum Glück immer „Lokaler DNS-Server“.

Ob die Box den Eintrag genommen hat, siehst du sofort: Nach dem Übernehmen steht die .53 im Feld „Lokaler DNS-Server“. Bei deinen Geräten kommt sie erst in Schritt 3 an, wenn die sich neu anmelden.

Jedes Gerät, das sich ab jetzt per DHCP anmeldet, bekommt Pi-hole als DNS-Server genannt und fragt direkt dort an. Das ist der ganze Trick. Und er hat einen Nebeneffekt: Im Pi-hole-Dashboard taucht jedes Gerät einzeln auf, und du siehst, wer die Anfrage gestellt hat.

Genau deshalb gehört die Adresse hierhin und nicht in das Feld unter Internet → Zugangsdaten → DNS-Server. Dort stellst du ein, wen die FritzBox selbst fragt. Deine Geräte würden weiter die Box fragen, die reicht alles gesammelt an Pi-hole weiter, und im Dashboard steht als einziger Kunde: die FritzBox.

Ein Werbefilter mit genau einem anonymen Großkunden ist beim Fehlersuchen ungefähr so hilfreich wie gar keiner.

Schritt 2: IPv6 nachziehen und das Schlupfloch schließen

Hier trennt sich die schnelle Anleitung von der, die funktioniert. Deine FritzBox spricht längst IPv6, und über diesen Weg verteilt sie sich selbst als DNS-Server, unabhängig davon, was du eben bei IPv4 eingetragen hast. Viele Geräte bevorzugen den IPv6-Weg sogar. Ergebnis: Die halbe Werbung läuft an Pi-hole vorbei.

Der große FritzBox-Thread im Pi-hole-Forum füllt seit Jahren Seite um Seite, und ein Fall nach dem anderen endet dort mit derselben Auflösung: IPv6 vergessen.

ULA? „Unique Local Address“, die IPv6-Ausgabe der guten alten 192.168er-Adresse: gilt nur in deinem Netz, bleibt stabil und funktioniert selbst dann, wenn dein Provider gerade kein IPv6 liefert. Du erkennst sie am Anfang fd…
  1. Wieder Heimnetz → Netzwerk → Netzwerkeinstellungen, Abschnitt IP-Adressen, diesmal IPv6-Einstellungen.
  2. Bei den Unique Local Addresses die Option ULA immer zuweisen aktivieren, Übernehmen.

Jetzt braucht Pi-hole einen Moment, um sich seine neue fd…-Adresse zu holen, dann fragen wir sie ab:

Im Terminal des Pi-hole-Rechners (beim LXC: pct enter, beim Pi: SSH):

ip address | grep "inet6 fd"

Die Ausgabe zeigt die ULA deines Pi-hole, etwa fd00:abcd:…:53. Kommt nichts: eine Minute warten oder das Netzwerk des Pi-hole einmal neu starten, die Adresse kommt per Ankündigung von der FritzBox.

  1. Zurück in den IPv6-Einstellungen zum Abschnitt DNSv6-Server im Heimnetz.
  2. Dort die eben ermittelte fd…-Adresse des Pi-hole als lokalen DNSv6-Server eintragen.
  3. Den Haken bei DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006) setzen, Übernehmen.

Auch hier siehst du den Erfolg direkt auf der Seite: Nach dem Übernehmen steht die fd…-Adresse als lokaler DNSv6-Server in den IPv6-Einstellungen. Damit erzählt die FritzBox auch auf dem IPv6-Kanal: Namensfragen beantwortet ab sofort die .53. Beide Türen führen jetzt zum selben Türsteher.

Schritt 3: Neu verbinden und testen

Deine Geräte halten an ihren alten DHCP-Infos fest, bis sie sich neu anmelden. Der schnellste Weg, das zu erzwingen: Verbindung einmal trennen.

Am Handy oder Laptop WLAN aus- und wieder einschalten (Kabelgeräte: Stecker kurz ziehen). Danach das Pi-hole-Dashboard öffnen (im Beispiel http://192.168.178.53/admin): Unter Query Log sollten jetzt Anfragen einlaufen, mit deinem Gerät als Absender.

Der eindeutige Test, vom frisch verbundenen Gerät aus:

nslookup pi.hole

Kommt als Antwort 192.168.178.53, ist alles richtig: Den Namen pi.hole kennt nur Pi-hole selbst; beantworten kann die Frage also nur dein Filter. Kommt ein Fehler, nutzt das Gerät noch den alten DNS. Unter Windows hilft dann oft ein ipconfig /flushdns nach dem Neuverbinden.

Steht die Zahl im Dashboard nach ein paar Minuten immer noch auf null, geh zurück zu Schritt 1. In neun von zehn Fällen ist es die falsche der beiden DNS-Stellen in der FritzBox.

Die ersten Einstellungen

Eingetragen ist Pi-hole damit, vernünftig eingerichtet noch nicht ganz. Drei Dinge, die jetzt den Unterschied machen:

1. Conditional Forwarding: Gerätenamen statt IP-Salat. Ohne diese Einstellung zeigt dein Query Log nur nackte Adressen wie 192.168.178.34. Viel Spaß beim Raten, welche davon der Fernseher ist. Mit ihr fragt Pi-hole für lokale Namen bei der FritzBox nach, und aus den Nummern werden Klarnamen. Nebeneffekt: fritz.box und deine Gerätenamen bleiben im ganzen Netz auflösbar.

Pi-hole-Dashboard: Settings → DNS, oben rechts von Basic auf Expert schalten, Abschnitt Conditional forwarding (Stand Pi-hole v6; in der Konfigdatei heißt das Ganze dns.revServers): aktivieren, dann 192.168.178.0/24 als lokales Netz, 192.168.178.1 als DHCP-Server und fritz.box als Domain, dann Save.

2. Der Verlockung „zweiter DNS“ widerstehen. Es klingt nach Vorsicht, neben Pi-hole noch 8.8.8.8 als Reserve einzutragen. Tatsächlich baust du damit eine Umleitung um deinen eigenen Filter: Geräte dürfen jeden genannten DNS benutzen und tun das auch. Das Ergebnis ist Werbung, die nur manchmal durchkommt. Die mit Abstand nervigste Sorte Fehlerbild. Wer Ausfallsicherheit will, stellt ein zweites Pi-hole daneben oder sorgt wenigstens dafür, den Ausfall als Erster zu bemerken, etwa mit Uptime Kuma.

3. Das Gastnetz bewusst entscheiden. Dem Gastnetz gibt die FritzBox stur sich selbst als DNS mit; eine eigene Einstellung dafür gibt es nicht. Sollen auch Gäste gefiltert werden, muss die Box selbst durch Pi-hole fragen:

Unter Internet → Zugangsdaten → DNS-Server die Pi-hole-IP 192.168.178.53 als bevorzugten DNSv4-Server eintragen. Dann läuft alles, was die Box selbst weiterreicht, ebenfalls durch den Filter.

Zwei Haken laut Pi-hole-Doku: In Pi-hole darf dann die FritzBox nicht als Upstream stehen, sonst fragen sich beide endlos im Kreis. Und der DNS-Rebind-Schutz der Box kann Antworten mit lokalen IPs schlucken; Ausnahmen dafür pflegst du unter Heimnetz → Netzwerk → Netzwerkeinstellungen → DNS-Rebind-Schutz. Ich würde das Gastnetz ungefiltert lassen: Gäste bleiben Gäste, dein Query Log bleibt deins, und du ersparst dir beide Haken.

Häufige Stolpersteine

Ein Gerät schert hartnäckig aus. In den Foren der Dauergast unter den Fehlermeldungen: Alles wird gefiltert, nur ein Gerät nicht. Meist hat es seinen eigenen DNS fest verdrahtet: Android nennt das „Privates DNS“, manche Smart-TVs und Streaming-Sticks kommen ab Werk mit 8.8.8.8. Am Handy schaltest du das in den Verbindungseinstellungen ab; auch Browser mit aktiviertem „sicherem DNS“ (DoH) tunneln am Filter vorbei. Für die ganz Sturen beschreibt die Pi-hole-Doku einen FritzBox-Filter, der Port 53 für alle außer Pi-hole sperrt. Wirksam, aber ein eigenes Bastelprojekt.

Die DNS-Schleife. Pi-hole hat die FritzBox als Upstream, die FritzBox hat Pi-hole als DNS-Server: Beide reichen jede Frage höflich an den anderen weiter, bis das Internet gefühlt weg ist. Die Pi-hole-Doku warnt ausdrücklich davor: Eine der beiden Richtungen muss raus.

Eingetragen, aber nichts passiert. Fast immer Geduld plus Cache: Das Gerät hängt noch am alten DHCP-Lease (neu verbinden), Windows hortet DNS-Antworten, und Browser bringen zusätzlich einen eigenen DNS-Cache mit.

Den Windows-DNS-Speicher leerst du in der Eingabeaufforderung:

ipconfig /flushdns

Erst wenn all das durch ist und nslookup pi.hole weiter ins Leere läuft, lohnt die Fehlersuche in der FritzBox.

Fazit

Fünfzehn Minuten Klickarbeit, und aus einem Dashboard mit Nullen wird ein Filter, durch den wirklich jedes Gerät läuft, inklusive der IPv6-Hintertür, an der die meisten Anleitungen aufhören.

Nebenbei: AVM testet im Labor von FritzOS 8.50 gerade einen eigenen DNS-Filter, bislang auf zwei Boxen und mit Startschwierigkeiten bei größeren Blocklisten. Schön, dass die Idee nach einem Jahrzehnt Pi-hole auch in Berlin angekommen ist. Ein Ersatz mit Query Log, eigenen Listen und Statistik pro Gerät ist es absehbar nicht. Applaus gibt es, wenn es final läuft.

Schritt 1 und 2 zusammen sind die Konfiguration, die ich jedem FritzBox-Haushalt mit Pi-hole empfehlen würde. Der IPv4-Eintrag allein ist nur die halbe Baustelle. Das Gastnetz würde ich bewusst offen lassen und die gesparte Zeit in ein Teleporter-Backup der Pi-hole-Einstellungen stecken; Router-Umbauten ohne Backup sind Mutproben, keine Anleitungsschritte.

Und bei dir: Gastnetz ungefiltert lassen oder müssen auch Besucher durch den Filter? Und welches Gerät in deinem Haushalt klammert sich am hartnäckigsten an Google-DNS? Schreib's in die Kommentare.

Der nächste Ausbau dieses Setups steht hier schon auf dem Plan: Pi-hole mit Unbound als komplett eigener Auflöser, ganz ohne fremden Upstream. Der Newsletter unter dem Beitrag meldet sich, sobald er online ist.

Quellen