DNS-Filter sind eine tolle Sache: Weniger Werbeanzeigen, Webseiten laden schneller und auch in Smart-TV- und Mobile-Apps wird Werbung geblockt. Bisher ließ sich sowas mit Tools wie AdGuard Home oder Pi-hole auf dem Homeserver oder Raspi mit mehr oder weniger Gefrickel einrichten. Deutlich einfacher geht es mit der neuen Fritzhole-Funktion im Beta-Update von FritzOS. c’t 3003 zeigt, wie das geht und welche Nachteile das Fritzhole gegenüber etablierten Tools noch hat.

Transkript des Videos

(Hinweis: Dieses Transkript ist für Menschen gedacht, die das Video oben nicht schauen können oder wollen. Der Text gibt nicht alle Informationen der Bildspur wieder.)

Guck mal hier, ich hab keine Werbung mehr. Keine im Browser, keine auf dem Smart-TV und sogar bei Mobile Games kommt fast nichts mehr durch. Tracking-Dienste und Malware-Verteilseiten werden gar nicht erst geladen. Das liegt daran, dass in meinem Netz ein DNS-Filter läuft. Ja, und ihr denkt euch jetzt vielleicht, hä, ja, Pi-hole oder AdGuard auf dem Home-Server? Nee, dieser Blocker läuft direkt auf meiner ganz normalen Fritzbox. Dafür gibt’s nämlich jetzt die sogenannte Fritz-Hole-Funktion, und ich garantiere euch, das ist in weniger als 5 Minuten eingerichtet. Also jetzt im Ernst, ich hab die Zeit gestoppt: Vom Herunterladen des Beta-Updates, bis dass der Filter aktiv ist, hat es 4 Minuten und 37 Sekunden gedauert. Und das ist ziemlich schnell. In diesem Video zeigen wir euch, wie das geht, wo man die Filterlisten herbekommt, und als kleiner Bonus hab ich mir noch zwei weitere Funktionen der Fritzbox angeguckt, die ich so nicht auf dem Schirm hatte. Bleibt dran!

Liebe Hackerinnen, liebe Internet-Surfer, herzlich willkommen hier bei…

Also, es gibt eine neue Beta-Version von FritzOS, das ist das Betriebssystem der Fritzbox, und die kann man auch schon ausprobieren. Und da lässt sich direkt ein DNS-Filter einrichten. Und das ist wirklich super einfach und geht megaschnell. Und ich hatte eh schon länger Bock, mal ein paar Extra-Funktionen der Fritzbox auszuchecken, weil das Teil steht ja eh hier rum und läuft den ganzen Tag. Und ein paar von diesen Funktionen hatte ich halt auch noch nicht auf dem Schirm, beispielsweise Priorisierung im Netzwerk für bestimmte Geräte oder eine NAS-Funktion direkt im Router. Okay, aber eins nach dem andern.

Ganz kurz, bevor wir loslegen: Wichtig, wir haben hier ab und zu Werbung von FRITZ! auf dem Kanal, aber dieses Video ist natürlich nicht gesponsert oder irgendwie anders von FRITZ! unterstützt. Wir machen das Thema, weil die Funktion wirklich praktisch und halt total idiotensicher zu installieren ist. Und wenn ihr hier öfter auf dem Kanal seid, ist die Chance hoch, dass ihr auch eine Fritzbox habt, auch wenn die Teile echt teuer sind, meiner Meinung nach. Also bei der Konkurrenz kriegt man für das Geld RAM-mäßig, CPU-mäßig schon noch mehr.

Was macht ein DNS-Filter?

Okay, das Fritzhole, was ist das? Das Fritzhole ist ein DNS-Filter, der direkt im Router läuft. Im Prinzip ist die Funktionsweise die gleiche wie beim Pi-hole oder AdGuard Home, darüber hatten wir ja vor Ewigkeiten schon mal ein Video. Und viele von euch wissen bestimmt schon grob, wie das funktioniert. Für alle, die es noch nicht wissen, sag ich’s aber noch einmal. Also erstmal: Was ist DNS? Wenn sich beispielsweise ein Browser mit einer Website verbinden will, braucht er dafür eine IP-Adresse. Die tippt man ja aber in der Regel nicht einfach ein, sondern sowas wie das hier: google.com. DNS sorgt jetzt aber dafür, dass der Browser trotzdem die richtige IP-Adresse bekommt, um sich mit der Seite verbinden zu können. DNS steht für Domain Name System und ist sehr verkürzt gesagt das System, was eine ausgeschriebene Adresse wie beispielsweise heise.de in eine IP-Adresse, also in Zahlen, übersetzt. Also, man gibt heise.de im Browser ein, das geht dann an einen DNS-Server und wird dann automatisch in die richtige IP aufgelöst. Die geht dann wieder zurück an den Client, in dem Fall der Browser, und es wird die korrekte Seite aufgerufen.

Der Trick von einem Filter ist es jetzt, dass diese Umwandlung bei ungewollten Domains, wie beispielsweise Werbung, einfach blockiert wird. Das Ergebnis: Die Werbung wird nicht angezeigt. Hier, schaut mal, da steht zwar überall Anzeige, aber darunter wird nichts angezeigt. Und wenn man sich hier auch die Konsole im Browser anzeigen lässt, sieht man auch, dass hier ganz viel Tracking- und Werbeanfragen nicht durchkommen. Und das sorgt auch dafür, dass der Browser weniger Kram laden muss und sich dadurch Seiten auch schneller aufbauen. Hier mal der Unterschied mit und ohne DNS-Filter: Um das zu testen, gibt’s so ’n paar, ja, ein bisschen zwielichtige Seiten, die primär dafür ausgelegt sind, Adblocker zu testen. Wie zuverlässig das jetzt ist, weiß ich nicht, aber ausprobieren kann man’s ja trotzdem. Hier beispielsweise is‘ so ein Adblock-Test von Turtle Cute, also Schildkröten süß. Ohne eingeschalteten Filter werden hier nur 7 Prozent der Anzeigen und Tracker blockiert. Mit eingeschaltetem DNS-Filter werden laut diesem Test 95 Prozent geblockt.

Okay, schon mal nice. Ich hab noch was anderes ausprobiert, und zwar hab ich in Chrome, natürlich ohne installierten Adblock, ein Incognito-Tab geöffnet, da dann die DevTools gestartet und eingestellt, dass in diesem Modus kein Cache verwendet wird. Das ist dann so, als wenn man quasi zum ersten Mal auf der Seite ist. Wenn ich jetzt ohne aktivierten DNS-Filter diese Seite hier lade: Ohne Filter zeigt mir Chrome 833 Requests an. Das sind Netzwerkanfragen, die die Seite beim Laden erstellt. Dabei werden insgesamt 8379 KB übertragen. Mit Filter sind es nur noch 166 Requests und 2159 KB. Also ja, der Browser hat deutlich weniger Kram, der geladen werden muss. Und wenn weniger geladen werden muss, wirkt sich das auch auf die Geschwindigkeit beim Surfen aus.

Hier sieht man’s richtig gut: Wenn man auf golem.de ohne Filter oder Adblock auf die Seite geht, dann dauert es grob 6 Sekunden, bis sich alle Werbeanzeigen aufgebaut haben. Und man sieht auch, dass der Browser weiterhin die ganze Zeit neue Daten empfängt und quasi nie fertig damit ist, den Werbe- und Tracking-Kram zu laden. Also, das geht einfach die ganze Zeit so weiter. Mit aktiviertem Filter dauert der Aufbau der Seite nur 300 Millisekunden und danach kommen keine weiteren Netzwerkanfragen dazu. Also, es lädt nichts mehr weiter. Und das ist doch ziemlich nice, oder nicht? Also, ein DNS-Filter ist auf jeden Fall eine feine Sache, und normalerweise lief das bisher bei mir immer über ein Pi-hole, was ich entweder auf dem Raspi oder auf meinem Homeserver eingerichtet hatte. Ja, aber dafür braucht man halt auch Zusatzhardware, die man ins Netz hängen muss. Also in dem Fall der Server oder ein Raspi. Und die Einrichtung ist zwar nicht super aufwendig, aber ein bisschen muss man schon fummeln, bis das Ganze läuft. Ganz im Gegensatz zum Fritzhole: Das zu aktivieren ist wirklich kinderleicht und man braucht keine zusätzliche Hardware.

Einrichtung und Filterlisten

Aber wie geht das? Die neue Funktion kann man aktuell auf diesen Modellen hier verwenden, und bisher ist die Nummer nur in der Beta-Version 8.4 von FritzOS verfügbar. Beta-Versionen lassen sich im Gegensatz zu normalen Updates nicht hier direkt in der Fritzbox-Oberfläche installieren. Die manuelle Installation ist aber auch super einfach. Man muss nur hier auf diese Seite, das sogenannte FRITZ! Labor, dann die passende Box auswählen und das Update herunterladen. Die ZIP einmal entpacken und dann wieder die Fritzbox ansteuern, also entweder über fritz.box oder 192.168.178.1 oder wie auch immer das bei euch eingerichtet ist. Dann auf System, Update, hier dann bei FritzOS-Datei auf Update aus Datei starten.

Hier wird einem dann direkt angeboten, ein Backup zu erstellen, und ja, das sollte man schon mal machen, ist ja eh nur ein Klick. Naja, dann auf Datei auswählen und in den Ordner navigieren, den man eben entpackt hat. Da dann die Image-Datei auswählen, Update starten, dann rödelt er kurz rum und fertig: Die Beta ist installiert. Die Fritzhole-Funktion findet man jetzt über Heimnetz, Netzwerk, Netzwerkeinstellungen, runterscrollen und dann auf Erweiterte Netzwerkeinstellungen ändern. Hier sollte dann der Reiter DNS-Filter aufkreuzen. Da dann einmal das Häkchen setzen und ja, jetzt kann man Filterlisten eintragen.

Diese Listen sind Sammlungen von Domain-Namen, die der Filter blocken soll, also Werbung, Tracking und so weiter. Fürs Fritz-Hole kann man die gleichen verwenden, die man auch fürs Pi-hole oder für AdGuard Home benutzt. Aber wo findet man die? Ich hab in die Beschreibung einen Link zu einer großen Sammlung von Filterlisten auf GitHub gepackt. Die sind quasi danach sortiert, wie streng die sind. Weil: Je dicker diese Blocklisten sind, desto eher kann’s auch sein, dass mal eine Website auch nicht mehr richtig funktioniert, wenn zu viel geblockt wird. Also, wenn man noch entspannt weitersurfen will, dann sollte die Liste auch nicht unbedingt zu krass sein.

Ich hab bei mir die Multi PRO Extended Protection von HaGeZi eingetragen. In der Dokumentation steht, dass die relativ ausgewogen ist, aber man gegebenenfalls auch mal eingreifen muss, falls irgendwas Bestimmtes blockiert wird, was man nicht will. Wie man dann eingreift, zeig ich gleich noch. Ach so, und nicht davon verwirren lassen, dass hier mehrere Links stehen. Das ist theoretisch alles die gleiche Liste, aber jeweils in einem anderen Format. Praktischerweise steht direkt daneben, für welchen Blocker das Format geeignet ist. Hier neben Wildcard Domains steht FRITZ!Box. Also Rechtsklick drauf, Linkadresse kopieren und zurück in die Fritzbox-Oberfläche. Dann hier auf Filterliste hinzufügen, irgendeinen Namen vergeben und Link reinkopieren. Ja, fertig, das war’s. Mehr muss man nicht machen. Und ich teste das mal direkt hier auf Golem: Jap, ich seh einfach keine Werbung mehr. Und das läuft jetzt normalerweise übers gesamte Netzwerk so, also nicht nur im Browser, sondern teilweise auch bei Dingen, wo man mal nicht so eben einen Adblock installieren könnte, wie beispielsweise Mobile- oder Smart-TV-Apps. Das ist doch super und mega einfach. Also, sich ein Pi-hole oder AdGuard Home zu installieren ist auch kein Hexenwerk, aber man braucht schon ein Gerät und Server, und man muss dann trotzdem in die Fritzbox, um den DNS-Server richtig einzustellen und so weiter.

Einschränkungen und alternative Funktionen

Aber wie ich eben meinte: Es kann passieren, dass durch den Filter irgendwelche Dinge blockiert werden, bei denen man das nicht will. Also ab und zu funktionieren einfach irgendwelche Seiten oder Pop-ups nicht richtig. Was auch oft nicht funktioniert, ist, wenn jemand einen Link mit eingebautem Tracking schickt. Das passiert, wenn man in irgendeiner App, wie beispielsweise ImmoScout oder so, den Link über die Teilen-Funktion generiert. Okay, Links mit Tracking sind nicht geil, aber manchmal will man auch einfach schnell draufklicken und ja. Und genau dafür kann man Ausnahmen hinzufügen. Das geht direkt hier unter der eingetragenen Filterliste. Einfach auf Eigene Domain hinzufügen und dann die Seite eintragen, die der Filter ignorieren soll. Hat man das gemacht, sollte die Seite wieder ordentlich funktionieren.

Aber das klingt alles einfacher, als es ist, weil dabei gibt es ein dickes Problem: Man weiß halt leider nicht genau, welche DNS-Anfrage jetzt genau das Problem war, wenn irgendwas nicht funktioniert. Und das ist auch mein größter Kritikpunkt am Fritzhole gegenüber AdGuard Home und Pi-hole, weil die beiden haben ein Query-Log. Also man sieht direkt in der Oberfläche, welche DNS-Anfragen blockiert wurden oder nicht. Damit lässt sich natürlich viel leichter nachvollziehen, welche davon jetzt Probleme gemacht hat. Beim Fritz-Hole geht das bisher nur übers Ausprobieren, leider. Also, wenn ich mir was wünschen dürfte, dann bitte doch noch so ein Log hier in der Fritzbox-Oberfläche. Vielen Dank!

Aber ich meinte ja auch schon, ich hab mir noch so ein paar andere kleine versteckte Funktionen der Fritzbox angeschaut. Und eine davon ist Priorisierung von Geräten und Anwendungen. Also anders gesagt: Wenn die Leitung ausgelastet ist, kann die Fritzbox den Upstream-Datenverkehr bestimmter Geräte bevorzugen. Als Beispiel: Auf meinem Gaming-PC wird irgendein Online-Game gezockt, wo man natürlich keine Lags mitten im Match haben will. Wenn jetzt jemand im Netzwerk irgendwas Unwichtiges, wie beispielsweise ein Bewerbungsgespräch führt oder sowas, kann es sein, dass das in den Upstream beim Gaming mit reinrödelt und man Lags hat. Ungeil. Aber genau das kann man mit Priorisierung verhindern, und das ist super leicht eingestellt.

Die Funktion findet man unter Internet, Filter und dann über den Reiter Priorisierung. Da gibt’s dann drei Möglichkeiten, wie doll Geräte bevorzugt werden sollen. Einmal: Echtzeitanwendungen. Wenn man hier jetzt ein Gerät einträgt, bekommt das quasi so viel Upload-Bandbreite bereitgestellt, wie es braucht, auch wenn dadurch andere Geräte im Netz gar keine Daten mehr übertragen können. Also das ist quasi die härteste Option der Priorisierung. Unter Priorisierte Anwendungen bekommen eingetragene Geräte bis zu 90 Prozent des Uploads. Sofern das priorisierte Gerät die Leitung voll auslastet, haben andere Geräte zumindest noch ein bisschen Daten, die sie benutzen dürfen. Bei Hintergrundanwendungen kann man Geräte eintragen, die quasi immer benachteiligt werden, wenn die Leitung ausgelastet ist.

Ja, und damit mein Windows-PC, mit dem ich quasi nur Multiplayer-Spiele spiele, immer Priorität bekommt, gehe ich hier auf Priorisierte Anwendungen, dann auf Neue Regel, wähle ihn hier in der Liste aus und bei Netzwerkanwendungen wähle ich Alle Netzwerkanwendungen. Fertig. Jetzt kann ein Gerät im Netzwerk noch so viele Meetings gleichzeitig starten, mein Rechner bekommt weiterhin bis zu 90 Prozent des Uploads, wenn er es braucht.

Was auch noch eine praktische Funktion ist, ist die Fritz-NAS-Funktion. NAS steht für Network Attached Storage und ist ein Datenspeicher, der im Netzwerk erreichbar ist. Also ich kann da beispielsweise an meinem Windows-Rechner einfach was reinwerfen, um das dann am Mac zwei Räume weiter wieder rauszuholen. Praktisch. Normalerweise bastelt man sich sowas beispielsweise mit einem Raspi und ein paar Festplatten selbst oder man kauft gleich so fette fertige NAS-Systeme. Aber, und das hatte ich nicht auf dem Schirm, es gibt auch eine integrierte NAS-Funktion direkt in der Fritzbox. Mein 6660-Cable-Modell hier hat einen USB-2.0-Anschluss und da könnte ich theoretisch eine USB-Festplatte oder einen Stick anschließen. Und den Speicher könnte ich dann gleich im Heimnetz nutzen. Zusätzlich hat das Ding eh schon 3,4 GByte internen Speicher, also wenn ich die Funktion einschalte, kann ich direkt kleine Daten hin- und herschieben, ohne Extra-Hardware.

Das ist auch super easy eingestellt: Einfach in der Fritzbox-Oberfläche unter Heimnetz auf USB/Speicher und hier den NAS-Schalter umlegen. Das war’s. Jetzt läuft der Speicher im Netzwerk. Um jetzt darauf zuzugreifen, muss man sich im Dateimanager über SMB mit smb://fritz.nas verbinden und aha, hier ist der Speicher. Easy, oder? Also ja, die NAS-Funktion ist sehr langsam, eignet sich jetzt nicht, um fette Daten rüberzuschieben, aber für mal eben so im Netzwerk irgendwas hin und her ist doch entspannt.

Ja, also aber man merkt irgendwie, die Fritzbox kann schon deutlich mehr, als man vielleicht denkt. Was sagt ihr? Praktisch, wenn Router immer mehr Funktionen bekommen oder sagt ihr: Mich nervt der Bloat? Schreibt es in die Kommentare. Bis zum nächsten Mal. Tschüss!

c’t 3003 ist der YouTube-Channel von c’t. Die Videos auf c’t 3003 sind eigenständige Inhalte und unabhängig von den Artikeln im c’t Magazin. Die Redakteure Jan-Keno Janssen, Lukas Rumpler, Sahin Erengil und Pascal Schewe veröffentlichen jede Woche ein Video.

(sahe)