Warum DNS-Schutz nicht alles ist — und wie ihr euer Heimnetz wirklich absichert

Ihr habt AdGuard Home eingerichtet. Filterlisten aktiv, Statistik läuft, Phishing-Domains werden geblockt. Das ist ein echter Schritt vorwärts — und der richtige. Aber DNS-Schutz hat Grenzen, die ihr kennen solltet. Nicht um euch zu entmutigen, sondern damit ihr wisst, wo ihr noch nachlegen könnt.

Kurz zur Erinnerung: Jedes Mal, wenn jemand bei euch zuhause eine Website aufruft, fragt euer Gerät einen DNS-Server nach der Adresse. Ein DNS-Filter wie AdGuard Home prüft diese Anfrage und blockiert sie, wenn die Domain auf einer Sperrliste steht — noch bevor die Verbindung überhaupt aufgebaut wird.

Für einen tieferen Einstieg empfehlen wir unseren Artikel DNS-Filter: Warum euer Router die erste Verteidigungslinie ist.

1. Nur bekannte Domains werden geblockt

DNS-Schutz funktioniert wie eine Sperrliste. Was nicht draufsteht, kommt durch. Eine brandneue Phishing-Domain, die gestern registriert wurde, ist noch in keiner Filterliste. Statistisch nutzen viele Angreifer heute Domains, die nur wenige Stunden alt sind — gezielt, bevor sie bekannt werden.

2. Kein Schutz innerhalb erlaubter Seiten

YouTube läuft? YouTube-Werbung läuft auch — weil sie über dieselbe Domain ausgeliefert wird. Ein Angreifer, der über einen gehackten Werbebanner eine legitime Seite kompromittiert, nutzt eine Domain, die euer Filter kennt und erlaubt. DNS sieht nur den Domainnamen, nicht was dahinter kommt.

3. Direkte IP-Verbindungen umgehen DNS komplett

Schadsoftware, die gezielt entwickelt wurde, verbindet sich oft direkt über IP-Adressen — ohne DNS-Anfrage. Euer Filter sieht das schlicht nicht. Dasselbe gilt für Apps, die einen eigenen DNS-Resolver eingebaut haben und euren lokalen Filter damit umgehen.

4. Kompromittierte legitime Websites

Wenn eine eigentlich vertrauenswürdige Website gehackt wird und Schadsoftware ausliefert, hilft DNS nicht. Die Domain ist bekannt, der Filter lässt sie durch — der bösartige Code läuft trotzdem im Browser.

DNS-Filter ist Ebene 1. Drei weitere Ebenen schließen die Lücken:

Ebene 2 — Router-Firewall verstärken: Blockt verdächtige Verbindungsmuster und verhindert, dass Apps euren DNS-Filter umgehen. Kostet einmalig 20 Minuten.

Ebene 3 — Verschlüsseltes DNS (DoH/DoT): Verhindert, dass euer Internetanbieter eure DNS-Anfragen mitlesen kann. DNSSEC prüft zusätzlich, dass die Antworten nicht manipuliert wurden.

Ebene 4 — Browser-Härtung: uBlock Origin blockiert auf Inhalts-Ebene, was DNS-Filter nicht kann. HTTPS-only verhindert unverschlüsselte Verbindungen. Sicheres DNS im Browser verhindert DNS-Bypass auch ohne Netzwerk-Ebene.

---

Wer alle 4 Ebenen einrichten will: Der NUNIVIA Schutzwall führt euch Schritt für Schritt durch jeden Punkt — mit konkreten Einstellungen für Fritz!Box und andere Router und einem Funktionstest am Ende. Setzt AdGuard Home voraus (aus dem Home-Guide).