FRITZ!Box DNS-Schutz einrichten

Werbung, Tracking, Malware und Phishing im gesamten Heimnetz blockieren
_{(Sichert eure Privaten und Coding Rechner)}

Mehr Sicherheit für das Heimnetz – ohne zusätzliche Hardware, kostenpflichtige Abonnements oder separate Filtersoftware.

Mit den neuen DNS-Filterfunktionen von FRITZ!OS lässt sich die Sicherheit des eigenen Heimnetzes deutlich verbessern. Durch die Kombination aus einem sicherheitsorientierten DNS-Server und zwei leistungsfähigen Open-Source-Blocklisten können zahlreiche unerwünschte Verbindungen bereits auf Routerebene unterbunden werden.

Das betrifft nicht nur Windows-PCs und Notebooks, sondern auch Smartphones, Smart-TVs und viele andere Geräte im Heimnetz.

Wir zeigen euch, wie ihr die kostenlosen DNS-Filterlisten von HaGeZi zusammen mit dem Malware-Schutz von Cloudflare in eurer FRITZ!Box einrichtet.

Die Konfiguration wurde mit einer FRITZ!Box 5690 Pro und FRITZ!OS 8.40 Labor praktisch getestet.

---

1. Was ist DNS und warum ist eine DNS-Filterung sinnvoll?

Das Domain Name System (DNS) ist vereinfacht gesagt das Telefonbuch des Internets.

Wenn ihr beispielsweise eine Internetseite aufruft, muss zunächst die zugehörige IP-Adresse ermittelt werden. Dafür stellt euer Gerät eine Anfrage an einen DNS-Server.

Genau an dieser Stelle setzt die DNS-Filterung an.

Bevor die FRITZ!Box eine Domain auflösen lässt, kann sie diese mit einer Sperrliste abgleichen. Ist die Domain als unerwünscht eingetragen, wird die DNS-Auflösung blockiert.

Das kann unter anderem folgende Verbindungen betreffen:

• Bekannte Malware- und Phishing-Domains
• Command-and-Control-Server (C2) von Schadsoftware
• Werbenetzwerke und Trackingdienste
• Betrügerische Webseiten und gefälschte Onlineshops
• Unerwünschte Telemetrie- und Analyseverbindungen
• Bekannte Domains zur Verbreitung von Schadsoftware

Der Vorteil: Die Verbindung zu einer gesperrten Domain kann bereits verhindert werden, bevor die eigentliche Webseite oder der betreffende Dienst erreicht wird.

Die Filterung funktioniert unabhängig vom Browser, solange die DNS-Anfragen über die FRITZ!Box laufen.

2. Was wird für die Einrichtung benötigt?

Für unsere Schutzempfehlung werden lediglich folgende Komponenten benötigt:

Komponente	Voraussetzung
Router	Unterstützte FRITZ!Box mit DNS-Filterfunktion
FRITZ!OS	Entsprechende Firmware mit DNS-Filter, im Test 8.40 Labor
DNS-Anbieter	Cloudflare 1.1.1.1 for Families – Malware-Schutz
Blockliste 1 ca. 200.000 Einträge	HaGeZi Multi PRO Full (Link auf der Seite die sich öffnet, in der Adressleiste kopieren)
Blockliste 2 ca. 1.600.000 Einträge	HaGeZi Threat Intelligence Feeds (TIF) Full (Link auf der Seite die sich öffnet, in der Adressleiste kopieren)
Kosten	Kostenlos

Die DNS-Filterfunktion wurde mit FRITZ!OS 8.40 eingeführt und steht zunächst für ausgewählte Modelle und Firmwareversionen zur Verfügung.

Wichtig: Nicht jede FRITZ!Box unterstützt die Funktion automatisch. Prüft vorher, ob der entsprechende Menüpunkt in eurer Firmware vorhanden ist.

Wer eine Laborversion installieren möchte, sollte zuvor seine FRITZ!Box-Einstellungen sichern. Laborversionen sind Testversionen und können Fehler enthalten.

3. Welche DNS-Server sollte man verwenden? Schutzstufen, Alternativen und Geschwindigkeit

Nicht jeder öffentliche DNS-Server bietet denselben Schutz. Manche Dienste lösen lediglich Domainnamen auf, während andere bekannte Malware- und Phishing-Domains oder auch nicht jugendfreie Inhalte blockieren.

Die Wahl des richtigen DNS-Servers kann daher sowohl die Sicherheit als auch die Geschwindigkeit der DNS-Auflösung beeinflussen.

Cloudflare: Drei kostenlose DNS-Schutzstufen

Cloudflare bietet mit seinem Dienst „1.1.1.1 for Families“ drei unterschiedliche Varianten an.

Schutzstufe	Primärer DNS (IPv4)	Sekundärer DNS (IPv4)	Funktion
Standard	1.1.1.1	1.0.0.1	Keine Inhaltsfilterung
Malware-Schutz	1.1.1.2	1.0.0.2	Malware und Phishing
Familien-Schutz	1.1.1.3	1.0.0.3	Malware, Phishing und Erwachsenen-Inhalte

Cloudflare Standard – 1.1.1.1

Diese Variante bietet eine schnelle und datenschutzorientierte DNS-Auflösung, jedoch keine gezielte Filterung von Werbung, Malware oder Erwachsenen-Inhalten. Technische Sicherheitsfunktionen des DNS-Dienstes bleiben davon unberührt.

Cloudflare Malware – 1.1.1.2

Diese Variante blockiert bekannte schädliche Domains, beispielsweise im Zusammenhang mit Malware und Phishing.

Für unsere BimmerGuide-Schutzkonfiguration ist das die empfohlene Einstellung, da wir zusätzlich die beiden HaGeZi-Blocklisten in der FRITZ!Box verwenden.

Cloudflare Family – 1.1.1.3 (hierzu ganz unten mehr)

Zusätzlich zum Malware-Schutz werden Domains mit nicht jugendfreien Inhalten gefiltert.

Diese Einstellung eignet sich beispielsweise für Familien, die eine zusätzliche grundlegende Schutzschicht für Kinder wünschen.

Wichtig: Es handelt sich nicht um eine vollständige Kindersicherung. Altersfreigaben, Bildschirmzeiten, App-Kontrollen und weitere Jugendschutzfunktionen müssen bei Bedarf separat eingerichtet werden.

Cloudflare DNS mit IPv6

Wenn IPv6 genutzt wird, stehen die entsprechenden DNS-Server ebenfalls zur Verfügung:

Schutzstufe	Primärer DNSv6	Sekundärer DNSv6
Standard	2606:4700:4700::1111	2606:4700:4700::1001
Malware	2606:4700:4700::1112	2606:4700:4700::1002
Familien-Schutz	2606:4700:4700::1113	2606:4700:4700::1003

Quelle: Offizielle Cloudflare DNS-Adressen

Weitere empfehlenswerte DNS-Anbieter

Cloudflare ist nicht der einzige Anbieter. Je nach Schwerpunkt auf Sicherheit, Datenschutz, Werbeblockierung oder Jugendschutz gibt es weitere interessante Alternativen.

Anbieter	Primärer DNS	Sekundärer DNS	Schwerpunkt
Google Public DNS	8.8.8.8	8.8.4.4	Öffentliche DNS-Auflösung ohne reguläre Inhaltsfilter
Quad9 Secure	9.9.9.9	149.112.112.112	Malware-, Phishing- und Bedrohungsfilter
AdGuard DNS	94.140.14.14	94.140.15.15	Werbung und Tracking
AdGuard Family	94.140.14.15	94.140.15.16	Werbung, Tracking und Erwachsenen-Inhalte
CleanBrowsing Security	185.228.168.9	185.228.169.9	Malware und Phishing
CleanBrowsing Family	185.228.168.168	185.228.169.168	Jugendschutz, SafeSearch und Malware-Schutz

Welche Alternative ist besonders interessant?

• Quad9: Eine gute Alternative für Nutzer, die besonderen Wert auf die Blockierung bekannter Bedrohungsdomains und Datenschutz legen.
• AdGuard DNS: Interessant, wenn Werbung und Tracking ohne eigene DNS-Blocklisten reduziert werden sollen.
• CleanBrowsing Family: Bietet zusätzliche familienorientierte Filter, unter anderem SafeSearch und Einschränkungen für bestimmte Umgehungsdienste.
• Google DNS: Ein bekannter DNS-Dienst mit weltweiter Infrastruktur, allerdings ohne regulären Malware- oder Werbefilter.

Diese Anbieter unterscheiden sich außerdem hinsichtlich Datenschutzrichtlinien, Filterumfang und unterstützter Verschlüsselungsverfahren.

Achtung bei primärem und sekundärem DNS: Verwendet möglichst immer beide Adressen derselben Schutzstufe. Ein ungefilterter alternativer DNS-Server kann dazu führen, dass Anfragen die gewünschte Sicherheitsfilterung umgehen.

4. Welcher DNS-Server ist am schnellsten?

Ein DNS-Server kann Webseitenaufrufe beeinflussen, weil der Browser zunächst die IP-Adressen benötigter Domains ermitteln muss.

Dabei wird die DNS-Reaktionszeit üblicherweise in Millisekunden (ms) angegeben.

Je geringer diese Zeit ausfällt, desto schneller liegt das DNS-Ergebnis vor.

Allerdings gibt es keinen DNS-Anbieter, der grundsätzlich an jedem Internetanschluss der schnellste ist.

Die tatsächliche Geschwindigkeit hängt unter anderem von folgenden Faktoren ab:

• Standort und Internetanbieter
• Netzwerkrouting und Serverstandort
• Auslastung und Zwischenspeicherung
• DNS-Cache und bereits bekannte Domains
• Verwendung von IPv4 oder IPv6
• DNS-Verschlüsselung und eingesetztem Filterdienst

Ein veröffentlichter Vergleich von Control D nennt für einige bekannte Standard-DNS-Resolver folgende Orientierungsbereiche:

Anbieter	Veröffentlichter Latenzbereich
Cloudflare Standard	15–25 ms
Google Public DNS	20–35 ms
Quad9 Secure	25–40 ms

Diese Werte stammen aus einer externen Vergleichsübersicht und sind keine eigenen Messungen von BimmerGuide. Sie sind weder eine verbindliche Geschwindigkeitsrangliste für Deutschland noch direkt auf die gefilterten Cloudflare-Varianten 1.1.1.2 und 1.1.1.3 übertragbar.

Für die Auswahl des schnellsten DNS-Dienstes am eigenen Standort empfehlen wir daher einen individuellen Vergleich.

Ein hilfreiches Werkzeug ist DNSPerf, das die Leistung verschiedener öffentlicher DNS-Resolver regelmäßig über zahlreiche internationale Messstandorte erfasst.

Wichtig: Eine beispielsweise um 10 ms schnellere DNS-Auflösung bedeutet nicht automatisch, dass eine Webseite insgesamt 10 ms schneller oder gar um einen bestimmten Prozentsatz schneller lädt. Dafür spielen zu viele weitere Faktoren eine Rolle.

Unsere BimmerGuide-Empfehlung

Für eine kompatible FRITZ!Box mit integrierter DNS-Filterfunktion empfehlen wir folgende Kombination:

Komponente	Einstellung
Primärer DNS	Cloudflare 1.1.1.2
Sekundärer DNS	Cloudflare 1.0.0.2
DNS-Blockliste 1	HaGeZi Multi PRO Full
DNS-Blockliste 2	HaGeZi TIF Full

Wer zusätzlich Erwachsenen-Inhalte filtern möchte, kann stattdessen Cloudflare 1.1.1.3 und 1.0.0.3 verwenden.

Diese Konfiguration verbindet eine zusätzliche Sicherheitsfilterung beim DNS-Anbieter mit umfangreichen, lokal in der FRITZ!Box eingebundenen Sperrlisten.

Die Dienste ergänzen sich, auch wenn sich einzelne gesperrte Domains überschneiden können.

Damit erhält das Heimnetz eine sinnvolle zusätzliche Schutzschicht – kostenlos und ohne separate DNS-Filterhardware.

Offizielle Informationen

Control D – Externer DNS-Geschwindigkeitsvergleich

Cloudflare DNS und Familien-Schutzstufen

Quad9 DNS – Dienste und Funktionen

AdGuard Public DNS

CleanBrowsing DNS-Filter

Google Public DNS

DNSPerf – DNS-Geschwindigkeit und Verfügbarkeit

5. Warum können Webseiten dadurch schneller werden?

Neben dem Sicherheitsaspekt kann die DNS-Filterung einen angenehmen Nebeneffekt haben: Webseiten können sich schneller aufbauen.

Gerade werbefinanzierte Nachrichtenportale, Magazine und Gaming-Webseiten binden teilweise zahlreiche externe Dienste ein.

Darunter befinden sich Werbenetzwerke, Tracker, Analysewerkzeuge und verschiedene Hintergrundskripte.

Werden deren Domains bereits durch den Router blockiert, müssen bestimmte Ressourcen überhaupt nicht mehr geladen werden.

Das kann zu folgenden Verbesserungen führen:

• Weniger unnötige Netzwerkverbindungen
• Geringere Datenübertragung
• Weniger externe Skripte, die der Browser ausführen muss
• Schnellere Darstellung einzelner Webseiten
• Reduzierte Hintergrundkommunikation

Bei unseren ersten Tests fühlte sich das Surfen auf verschiedenen Internetseiten teilweise spürbar flotter an.

Wichtig: Das ist zunächst eine subjektive Beobachtung und keine gemessene Beschleunigung. Auch DNS-Caching, der verwendete DNS-Anbieter und bereits zwischengespeicherte Browserinhalte beeinflussen die Ladezeiten.

Ein DNS-Filter erhöht außerdem nicht die verfügbare Bandbreite eures Internetanschlusses.

6. Ist ein zusätzlicher Werbeblocker im Browser noch sinnvoll?

Ja, durchaus.

Ein DNS-Filter und ein klassischer Browser-Adblocker arbeiten auf unterschiedlichen Ebenen.

DNS-Filter im Router	Browser-Adblocker
Sperrt ganze Domains	Kann einzelne Netzwerkanfragen und Seitenelemente filtern
Schützt viele Geräte im Heimnetz	Arbeitet im jeweiligen Browser
Benötigt keine Browsererweiterung	Muss im Browser eingerichtet werden
Kann externe Trackingdomains blockieren	Kann auch Werbeplatzhalter und bestimmte Seitenelemente ausblenden
Kann keine einzelnen URL-Pfade unterscheiden	Ermöglicht detailliertere Filterregeln

Ein DNS-Filter erkennt nicht automatisch, ob ein bestimmtes Bild oder Seitenelement Werbung darstellt.

Deshalb werden beispielsweise direkt auf einer Webseite gespeicherte Sponsorbanner normalerweise nicht blockiert, solange ihre Domain nicht auf einer Sperrliste steht.

Unsere Empfehlung: DNS-Filterung als netzwerkweite Grundlage einsetzen und bei Bedarf zusätzlich einen geeigneten Inhaltsblocker im Browser verwenden.

7. Wichtig: Die Geräte müssen den DNS-Filter auch verwenden

Damit die FRITZ!Box die DNS-Anfragen filtern kann, müssen diese tatsächlich über den Router laufen.

Am einfachsten funktioniert das, wenn Smartphones, Computer und andere Geräte ihre Netzwerkeinstellungen automatisch von der FRITZ!Box beziehen.

Unter Windows sollten dafür die DNS-Einstellungen des Netzwerkadapters auf automatisch beziehen stehen.

Es gibt allerdings Ausnahmen:

• Manuell eingetragene externe DNS-Server
• DNS over HTTPS (DoH) direkt im Browser
• Manche VPN-Verbindungen
• Private-DNS-Funktionen auf Smartphones
• Dienste wie iCloud Privat-Relay
• Anwendungen mit eigenen DNS-Mechanismen

Solche Verbindungen können die DNS-Filterung der FRITZ!Box umgehen.

Wer den netzwerkweiten Schutz nutzen möchte, sollte deshalb kontrollieren, welchen DNS-Server seine Geräte tatsächlich verwenden.

8. DNS-Filterung ersetzt keinen Virenschutz

Bei aller Begeisterung für die neuen Schutzmöglichkeiten muss eines klar sein:

DNS-Filterung ist eine zusätzliche Sicherheitsschicht und kein vollständiger Schutz gegen Schadsoftware.

Ein DNS-Filter kann bekannte schädliche Domains blockieren. Er analysiert aber keine heruntergeladenen Dateien und erkennt nicht zuverlässig jede neue oder unbekannte Bedrohung.

Ebenso können Verbindungen über direkte IP-Adressen oder andere DNS-Mechanismen am Filter vorbeilaufen.

Deshalb gehören weiterhin folgende Maßnahmen zu einem vernünftigen Sicherheitskonzept:

• Betriebssysteme und Anwendungen regelmäßig aktualisieren
• Microsoft Defender oder einen anderen geeigneten Virenschutz aktiv halten
• Sichere, individuelle Passwörter und möglichst Passkeys verwenden
• Zwei-Faktor-Authentifizierung aktivieren
• Regelmäßige, möglichst auch offline aufbewahrte Backups erstellen
• Keine unbekannten Dateien oder Programme unüberlegt ausführen
• Router und Netzwerkgeräte aktuell halten

Die Kombination mehrerer Schutzmaßnahmen wird in der IT-Sicherheit als Defense in Depth, also mehrschichtige Verteidigung, bezeichnet.

Genau in diesem Konzept ist eine DNS-Filterung besonders sinnvoll.

9. Wie kontrolliere ich, ob alles funktioniert?

Nach der Einrichtung sollte zunächst überprüft werden, ob beide Listen erfolgreich importiert und aktiviert wurden.

Je nach FRITZ!OS-Version stehen dazu Statusanzeigen und Statistiken zur Verfügung.

Interessant sind insbesondere:

• Anzahl blockierter DNS-Anfragen
• Erfolgreiche Aktualisierung der Filterlisten
• CPU-Auslastung im Energiemonitor
• Arbeitsspeicherauslastung, falls angezeigt
• Verhalten von Webseiten, Apps und Smart-Home-Geräten

Nicht jede blockierte Anfrage ist ein verhinderter Angriff!

Viele blockierte DNS-Anfragen stammen von gewöhnlichen Werbenetzwerken, Trackingdiensten oder wiederholten Hintergrundabfragen.

Auch können zahlreiche blockierte Anfragen auf dieselbe Domain zurückgehen.

Sollte eine Webseite nach der Aktivierung nicht mehr funktionieren, empfiehlt es sich, zunächst die Filterlisten als mögliche Ursache zu prüfen. Eventuell wird eine für diese Webseite erforderliche Domain fälschlicherweise blockiert.

10. Fazit: Eine sinnvolle und kostenlose Schutzmaßnahme

Mit der neuen DNS-Filterfunktion hat FRITZ! sein Router-Betriebssystem um eine wirklich praktische Sicherheitsfunktion erweitert.

Besonders interessant ist dabei, dass sich umfangreiche DNS-Blocklisten unmittelbar in die FRITZ!Box integrieren lassen.

Unsere Kombination besteht aus:

Cloudflare Malware DNS + HaGeZi Multi PRO + HaGeZi TIF Full

Damit können unerwünschte Werbe- und Trackingverbindungen sowie zahlreiche bekannte Schadsoftware- und Phishing-Domains bereits auf Netzwerkebene blockiert werden.

Das funktioniert für viele Geräte im Heimnetz, ohne zusätzliche Geräte betreiben oder weitere Software installieren zu müssen.

Die ersten Erfahrungen mit der FRITZ!Box 5690 Pro und FRITZ!OS 8.40 Labor sind positiv. Beide großen Blocklisten wurden übernommen und der Router zeigte während der ersten Tests keine auffälligen Leistungseinbußen.

Ob sich dieses Verhalten langfristig bestätigt und wie andere FRITZ!Box-Modelle mit großen Listen zurechtkommen, muss die Praxis zeigen.

Unsere Empfehlung: Wer eine kompatible FRITZ!Box besitzt, sollte sich die neue DNS-Filterfunktion genauer ansehen. Für den Einstieg reicht bereits Multi PRO. Die zusätzliche TIF-Liste eignet sich insbesondere für Nutzer, die einen umfangreicheren Schutz gegen bekannte Bedrohungsdomains wünschen.

Weiterführende Links und Quellen

Quelle	Beschreibung
FRITZ! – DNS-Filter und FRITZ!OS 8.40	Offizielle Informationen zur DNS-Filterfunktion
FRITZ! Labor	Aktuelle Laborversionen und unterstützte Modelle
Cloudflare – DNS-Server	Offizielle DNS-Adressen und Filtervarianten
HaGeZi DNS Blocklists	Open-Source-Projekt und Filterlisten
HaGeZi FAQ	Hinweise zu Listen, Formaten und Einrichtung

BimmerGuide – Windows & PC-Sicherheit

Hinweis: Die Anleitung beschreibt eine zusätzliche Schutzmaßnahme. Eine vollständige Sicherheit gegen Schadsoftware, Phishing oder Angriffe kann durch DNS-Filter allein nicht garantiert werden. Die Verwendung von Labor-Firmware und externen Filterlisten erfolgt eigenverantwortlich.

---

Familien-Schutz gezielt auf Kindergeräten aktivieren

Nicht jeder Haushalt möchte Erwachsenen-Inhalte für das gesamte Heimnetz sperren. Schließlich sollen die Geräte der Eltern möglicherweise weiterhin ohne diese Einschränkungen funktionieren.

Die Lösung: Cloudflare bietet mit 1.1.1.3 einen kostenlosen DNS-Filter, der sich auch gezielt auf einzelnen Geräten einrichten lässt.

So könnt ihr beispielsweise auf dem Notebook, Tablet oder Smartphone eures Kindes den Familien-DNS aktivieren, während auf der FRITZ!Box weiterhin der allgemeine Malware-Schutz mit 1.1.1.2 eingerichtet bleibt.

Gerät	DNS-Einstellung	Schutz
FRITZ!Box (Heimnetz)	1.1.1.2	Malware und Phishing
PC der Eltern	Automatisch über FRITZ!Box	Routerseitige DNS-Filter
Notebook des Kindes	1.1.1.3	Malware und Erwachsenen-Inhalte
Smartphone des Kindes	1.1.1.3	Malware und Erwachsenen-Inhalte

DNS-Adressen für Kindergeräte:

• Primärer DNS: 1.1.1.3
• Sekundärer DNS: 1.0.0.3

Wichtige Einschränkung: Ein direkt auf dem Kindergerät eingetragener externer DNS-Server umgeht normalerweise die DNS-Filterlisten der FRITZ!Box. Das bedeutet, dass auf diesem Gerät dann Cloudflares Familienfilter anstelle der lokalen HaGeZi-Filter greift.

Wer sowohl die HaGeZi-Listen als auch einen zusätzlichen Jugendschutz einsetzen möchte, benötigt daher eine entsprechend kombinierte Filterlösung oder ergänzende Jugendschutzeinstellungen.

Bei Smartphones ist außerdem zu beachten, dass manuell eingetragene DNS-Adressen häufig nur für das jeweilige WLAN gelten. Für einen Schutz auch unterwegs, beispielsweise über Mobilfunk, muss eine geeignete geräteweite DNS-Konfiguration eingerichtet werden.

Unser Hinweis für Eltern: DNS-Filter sind kein vollständiger Jugendschutz und können unter Umständen umgangen werden. Zusätzlich empfehlen sich Microsoft Family Safety, Apple Bildschirmzeit oder Google Family Link, abhängig vom verwendeten Gerät.