FritzBoxBlacklist

DNS-Sicherheit und Filterung fuer die FRITZ!Box — dual-stack, DoT auf der Box, Filter als eigene Entscheidung.

Quick Start · Anbieter · Pruefen · Quellen

Worum es hier geht

Ein Leitfaden, der nicht nur sagt, wo du klickst, sondern warum eine Einstellung die andere nicht ersetzt.

IPv4-DNS, IPv6-DNS, Router-DNS, Client-DNS, DoT, DoH und Filterlisten sind keine gemeinsame Kontrollebene. Wer nur 1.1.1.1 eintraegt und IPv6 dem Provider ueberlaesst, hat das Netz nicht umgestellt — er hat die halbe Tabelle ausgefuellt.

Important

Eine funktionierende IPv4-Aufloesung beweist nicht, dass Anfragen verschluesselt sind, und nicht, dass IPv6 denselben Resolver nutzt.

Das urspruengliche Produkt war eine kurze Domainliste unter dem 500-Eintraege-Limit der Kindersicherung. Das bleibt unter legacy/ als Historie. Der aktuelle Weg ist: verschluesselter Upstream plus optionaler Filter, nicht das Abtippen von 500 Namen.

Die technische Review steht in review.md.

Der Bildungsweg

Stufe	Dokument	Was du danach kannst
0	Standard-DNS (Vanilla)	Den Provider-Resolver als Risiko benennen (Logs, CUII, Klartext).
1	Alternative DNS	IPv4 und IPv6 eines unabhaengigen Resolvers eintragen.
2	DNS verschluesseln	DoT auf der FRITZ!Box aktivieren, Fallback verstehen.
3	Quick Start Adblock	Einen filternden DoT-Hostnamen waehlen — bewusst, nicht "irgendwas mit Privacy".
4	Cloud-Adblocker	Persoenlichen Hostnamen (NextDNS, Control D, AdGuard) anbinden.
5	Self-Hosting	Pi-hole / AdGuard Home per DHCPv4 und DNSv6/RA verteilen.
6	Setup testen	Verschluesselung und IPv6-Pfad nachweisen, nicht nur "Internet geht".
7	Quellen	Tabelle gegen Kuketz / Privacy-Handbuch / Operator halten.

Zusaetzlich:

FRITZ!Box-Grundlagen — Menuepfade IPv4, IPv6, DoT, DHCP
Manuelles Client-Setup — nur wenn derselbe Resolver wie im Heimnetz gilt

Quick Start

Ziel in fuenf Minuten: dieselbe Policy auf IPv4 und IPv6, Transport DoT, Filter nur wenn du ihn willst.

FRITZ!Box oeffnen: http://fritz.box
Oben rechts Erweiterte Ansicht aktivieren.
Pfad: Internet → Zugangsdaten → DNS-Server
Andere DNSv4-Server und Andere DNSv6-Server setzen (siehe Tabelle unten).
DNS-over-TLS aktivieren. Feld Aufloesungsnamen von sicheren DNS-Servern: nur den Hostnamen, z. B. dnsforge.de. Mehrere Namen mit Semikolon: dnsforge.de;dns.quad9.net
Unverschluesseltes Fallback nur belassen, wenn Verfuegbarkeit wichtiger ist als immer TLS.
Kontrolle: Internet → Online-Monitor → Genutzte DNS-Server muss (DoT verschluesselt) fuer v4 und v6 zeigen.

Tip

Keine Theorie jetzt? Nimm dnsforge.de (Filter + DE) oder dns.digitale-gesellschaft.ch (kein Filter, CH). Beide gehoeren in v4-Feld, v6-Feld und DoT-Hostname.

Warning

Trage keine https://-URLs und keine Pfade wie /dns-query in das DoT-Feld.

IPv4-Resolver gesetzt
IPv6-Resolver gesetzt
DoT-Hostname gesetzt
Online-Monitor zeigt DoT fuer beide Familien
Browser-DoH zeigt nicht auf einen dritten Anbieter

Eine Kontrollebene — nicht fuenf

flowchart TD
  C[LAN-Geraet]
  C -->|UDP/TCP 53| B[FRITZ!Box oder Pi-hole]
  B -->|DoT 853| U[Upstream-Resolver]
  C -->|IPv6 RA / DHCPv6| P{v6-DNS gesetzt?}
  P -->|ja| B
  P -->|nein| I[ISP-Resolver = Leak]
  C -->|DoH 443 im Browser/OS| X[Dritter Betreiber = Bypass]

Ebene	Was sie steuert	Was sie nicht steuert
IPv4-DNS in der Box	DHCPv4-Clients	SLAAC-only Handys
IPv6-DNS + RA	Dual-Stack- und v6-Clients	Apps mit festem DoH
DoT auf der WAN-Seite	Uplink der Box	LAN-Mitschnitt, Gastnetz-Bypass
DoH im Browser	Dieses eine Profil	Den Rest des Haushalts
Filterliste / Pi-hole	Namen, die dort ankommen	Direkte IPs, DoH, Gast-SSID ohne Weg B

Caution

IPv6 "testweise deaktivieren" ist eine Isolationsprobe von einer Minute, keine Dauerloesung. Auf DS-Lite-Anschluessen ist IPv6 oft Pflicht.

DoT auf der Box und DoH im Firefox sind nicht austauschbar.

Anbieter: kopieren, nicht raten

Note

Werte vom 2026-09-05, aus der Kuketz-Empfehlungsecke und Privacy-Handbuch Kap. 93d. Danach Betreiberseite. DNS bleibt eine Vertrauensfrage.

Einstieg — unzensiert, ohne Werbefilter

Anbieter	IPv4	IPv6	DoT-Name	DoH	Bemerkung
Digitale Gesellschaft (CH)	`185.95.218.42` `185.95.218.43`	`2a05:fc84::42` `2a05:fc84::43`	`dns.digitale-gesellschaft.ch`	`https://dns.digitale-gesellschaft.ch/dns-query`	Kein Filter. IPv6-Praefix am Operator pruefen.
Digitalcourage (DE)	`5.9.164.112`	`2a01:4f8:251:554::2`	`dns3.digitalcourage.de`	—	Nur DoT, kein DoH.
ffmuc / Freifunk Muenchen	`5.1.66.255` `185.150.99.255`	`2001:678:e68:f000::` `2001:678:ed0:f000::`	`dot.ffmuc.net`	`https://doh.ffmuc.net/dns-query`	Das ist nicht Digitalcourage.

Einstieg — mit Filter

Anbieter	IPv4	IPv6	DoT-Name	DoH	Filter
dnsforge.de	`176.9.93.198` `176.9.1.117`	`2a01:4f8:151:34aa::198` `2a01:4f8:141:316d::117`	`dnsforge.de`	`https://dnsforge.de/dns-query`	Werbung / Tracker
dnsforge hard	`49.12.222.213` `88.198.122.154`	`2a01:4f8:c17:2c61::213` `2a01:4f8:c013:5ec0::154`	`hard.dnsforge.de`	`https://hard.dnsforge.de/dns-query`	Sehr streng
AdGuard (Filter)	`94.140.14.14` `94.140.15.15`	`2a10:50c0::ad1:ff` `2a10:50c0::ad2:ff`	`dns.adguard-dns.com`	`https://dns.adguard-dns.com/dns-query`	Werbung / Tracker
AdGuard (ohne Filter)	`94.140.14.140` `94.140.14.141`	`2a10:50c0::1:ff` `2a10:50c0::2:ff`	`unfiltered.adguard-dns.com`	`https://unfiltered.adguard-dns.com/dns-query`	Keiner
Quad9	`9.9.9.9` `149.112.112.112`	`2620:fe::fe` `2620:fe::9`	`dns.quad9.net`	`https://dns.quad9.net/dns-query`	Malware / Phishing, kein Adblock

Weitere Hostnamen

Anbieter	IPv4	IPv6	DoT-Name	Rolle
Mullvad unfiltered	`194.242.2.2`	`2a07:e340::2`	`dns.mullvad.net`	Kein Filter
Mullvad base	`194.242.2.4`	`2a07:e340::4`	`base.dns.mullvad.net`	Ads/Tracker milde
Mullvad adblock	`194.242.2.3`	`2a07:e340::3`	`adblock.dns.mullvad.net`	Ads/Tracker
dismail fdns1	`116.203.32.217`	`2a01:4f8:1c1b:44aa::1`	`fdns1.dismail.de`	Ads/Tracker, DE
dismail fdns2	`159.69.114.157`	`2a01:4f8:c17:739a::2`	`fdns2.dismail.de`	Ads/Tracker, DE
Cloudflare	`1.1.1.1` `1.0.0.1`	`2606:4700:4700::1111` `2606:4700:4700::1001`	`one.one.one.one` oder `cloudflare-dns.com`	Speed. Logs ~25 h. Kein Privacy-Default.
Google Public DNS	`8.8.8.8` `8.8.4.4`	`2001:4860:4860::8888` `2001:4860:4860::8844`	`dns.google`	Stabil. Nicht fuer Datenschutz.

Hostnamen sind verschiedene Produkte. 194.242.2.2 ist nicht "Mullvad allgemein".

- Digitalcourage  5.1.66.255
+ Digitalcourage  5.9.164.112 / 2a01:4f8:251:554::2 / dns3.digitalcourage.de
+ ffmuc           5.1.66.255 / 185.150.99.255 / dot.ffmuc.net

- dnsforge        94.16.114.222
+ dnsforge        176.9.93.198 / 176.9.1.117 + IPv6 + dnsforge.de

- Cloudflare      Privacy-first in der Anfaengerzeile
+ Cloudflare      Speed-Option, kein Privacy-Default

DoT            != keine Logs
DoH            != keine Logs
DNSSEC         != Verschluesselung
Verschluesselung != Malware-Filter
Malware-Filter != Werbeblocker
DNS-Filter     != Blockade direkter IPs

So pruefst du, ob es wirklich sitzt

Gewoehnliches dig example.com zeigt nur, wer auf Port 53 geantwortet hat.

Schicht	Frage	Werkzeug	Pass
1	Wer antwortet im LAN?	`dig example.com` / `nslookup`	Server ist die Box oder der Pi-hole
2	IPv4-Pfad	`dig A example.com`	derselbe Resolver
3	IPv6-Pfad	`dig -6 AAAA example.com`	nicht der ISP-Cache
4	Transport	Online-Monitor; `kdig +tls-ca +tls-host=...`	`(DoT verschluesselt)`
5	Zertifikat	dieselbe `kdig`-Zeile	Name = Aufloesungsname
6	Draht (optional)	`tcpdump -ni any 'port 53 or port 853'`	kein unerwartetes WAN-UDP/53

dig example.com
dig -6 AAAA example.com
kdig -d @dnsforge.de +tls-ca +tls-host=dnsforge.de example.com

flowchart LR
  L1[1 LAN-dig] --> L2[2 dig A]
  L2 --> L3[3 dig -6 AAAA]
  L3 --> L4[4 Online-Monitor / kdig +tls]
  L4 --> L5[5 Zertifikat = Hostname]
  L5 --> L6[6 optional tcpdump 53/853]

Warning

Resolve-DnsName unter Windows beweist kein TLS.

Mehr: Stufe 6.

Self-Hosting ohne IPv4-Blindheit

Stufe 5 Weg B bleibt richtig — unvollstaendig, solange nur IPv4-Konfiguration dokumentiert ist.

Resolver eine ULA geben (fd00::/8).
Dieselbe Adresse unter Heimnetz → Netzwerk → IPv6-Adressen als DNSv6-Server im Heimnetz eintragen.
Ankuendigung per Router Advertisement (RFC 5006).
Upstream des Pi-hole / AdGuard Home per DoT/DoH.
Gastnetz extra pruefen.

Legacy

Die Top-500-Listen liegen in legacy/. Sie sind veraltet. Das Limit von 500 gilt nur fuer die native FRITZ!Box-Liste.

Mitwirken

Adressen nicht aus dem Gedaechtnis — Kuketz, Privacy-Handbuch, dann Operator.
Jede neue Tabellenzeile mit Datum.
IPv6 und DoT-Namen nicht in Stufe 2 nachreichen.
"IPv6 aus" nicht als Fix in Stufe 6 formulieren.

Review: review.md.

Schreibweise

Nicht genutzt: <details> / <summary>.

Lizenz

MIT License.

Name		Name	Last commit message	Last commit date
docs		docs
legacy		legacy
.gitignore		.gitignore
LICENSE		LICENSE
README.alternative.md		README.alternative.md
README.md		README.md
review.md		review.md

Navigation Menu

Repository files navigation

FritzBoxBlacklist

Worum es hier geht

Der Bildungsweg

Quick Start

Eine Kontrollebene — nicht fuenf

Anbieter: kopieren, nicht raten

Einstieg — unzensiert, ohne Werbefilter

Einstieg — mit Filter

Weitere Hostnamen

So pruefst du, ob es wirklich sitzt

Self-Hosting ohne IPv4-Blindheit

Legacy

Mitwirken

Schreibweise

Lizenz

Quellen

About

Contributors

Latest commit

History

Folders and files

Repository files navigation

FritzBoxBlacklist

Worum es hier geht

Der Bildungsweg

Quick Start

Eine Kontrollebene — nicht fuenf

Anbieter: kopieren, nicht raten

Einstieg — unzensiert, ohne Werbefilter

Einstieg — mit Filter

Weitere Hostnamen

So pruefst du, ob es wirklich sitzt

Self-Hosting ohne IPv4-Blindheit

Legacy

Mitwirken

Schreibweise

Lizenz

Quellen

About

Resources

Stars

Watchers

Forks

Contributors