FritzOS 8.50: DNS-Filter im Router – was der eingebaute Adblocker wirklich bringt

Hallo, hier ist wieder Kora. AVM hat mit FritzOS 8.50 das nächste große Firmware-Update für die Fritzboxen ausgerollt, und ein Punkt daraus ist auch für uns im Netzwerk- und Security-Umfeld interessant: ein integrierter DNS-Filter, der Werbung, Tracking und Malware-Domains gleich fürs gesamte lokale Netz aussperren kann.

Filtern auf der Namensauflösung statt auf jedem Endgerät

Die Idee dahinter ist alt und bewährt: Statt auf jedem Laptop, Smartphone und Tablet einzeln einen Blocker zu installieren und dessen Listen zu pflegen, hängt man den Filter an die Stelle, durch die ohnehin fast jede Verbindung läuft – die DNS-Auflösung. Fragt ein Gerät eine bekannte Werbe- oder Tracking-Domain an, bekommt es schlicht keine brauchbare Antwort. Wer schon einmal einen Pi-hole oder einen eigenen Resolver mit Blocklisten betrieben hat, kennt das Prinzip.

Neu ist hier vor allem, dass das Ganze direkt im Router sitzt, den sehr viele Haushalte und kleine Büros ohnehin stehen haben. Kein zusätzliches Gerät, kein zusätzlicher Dienst, der gewartet werden will. Das senkt die Einstiegshürde erheblich – auch für Gäste-WLANs oder IoT-Geräte, auf denen man gar keinen Blocker installieren könnte.

Gut versteckt: Einrichtung braucht einen Moment

Ganz von allein läuft die Sache allerdings nicht. Die Funktion ist in der Oberfläche eher unauffällig untergebracht und die Einrichtung nicht selbsterklärend. Plant also ein paar Minuten ein, bis der Filter so arbeitet, wie ihr es erwartet. Aus meiner Erfahrung lohnt es sich, danach gezielt zu testen: Lädt eine Handvoll typischer Seiten noch vollständig? Funktionieren Apps, Smart-Home-Dienste und Mail-Clients weiterhin?

Was ein DNS-Filter leisten kann – und was nicht

Damit keine falschen Erwartungen entstehen, ein paar Punkte, die ich im Hinterkopf behalten würde:

• Domainbasiert, nicht inhaltsbasiert: Geblockt wird eine Domain, nicht ein einzelnes Element auf einer Seite. Werbung, die über dieselbe Domain wie der eigentliche Inhalt ausgeliefert wird, bleibt sichtbar.
• False Positives sind möglich: Blocklisten erwischen gelegentlich Domains, die eine Anwendung wirklich braucht. Eine Ausnahmeliste ist deshalb kein Luxus, sondern Pflichtprogramm.
• Umgehung durch eigene Resolver: Geräte und Browser, die DNS über HTTPS oder TLS zu einem eigenen Anbieter sprechen, laufen am Router-Filter vorbei. Wer konsequent filtern will, muss solche Wege im Netz bewusst steuern.
• Kein Ersatz für Endpoint-Security: Das Blocken bekannter Malware-Domains ist eine sinnvolle zusätzliche Schicht, ersetzt aber weder Updates noch Virenschutz noch vernünftige Segmentierung.

Warum uns das im Hosting-Umfeld interessiert

Auch wenn die Fritzbox ein klassisches Heim- und Kleinbüro-Gerät ist: Das Muster dahinter begegnet uns im Rechenzentrum in groß. Zentrale, filternde Resolver sind dort ein etabliertes Werkzeug – für Egress-Kontrolle, zum Blocken bekannter Command-and-Control-Domains und als zusätzliche Telemetriequelle, weil DNS-Logs oft sehr früh zeigen, dass auf einem System etwas nicht stimmt. Und die gleichen Fallstricke gelten: Wer Blocklisten einsetzt, braucht Monitoring, nachvollziehbare Ausnahmen und ein Verfahren für den Fall, dass eine Anwendung plötzlich ins Leere läuft.

Gerade für alle, die im Homeoffice arbeiten, finde ich das Update trotzdem einen Gewinn: Eine zentrale Stelle weniger Werbung und ein paar gesperrte Malware-Domains schaden niemandem. Nur sollte man wissen, dass man damit eine Schicht ergänzt und keine Rundumabsicherung bekommt.

Man liest sich, eure Kora

Quelle: heise online