AdGuard DNS auf der FRITZ!Box einrichten: drei Wege

Welcher Weg passt zu Ihrem Haushalt?

Wer AdGuard DNS auf der FRITZ!Box einrichtet, filtert Werbung und Tracker für jedes Gerät im Heimnetz, ohne ein einziges Handy oder einen Laptop anzufassen. Für die meisten Haushalte reicht der einfachste Weg: Die FRITZ!Box fragt die öffentlichen AdGuard-Server verschlüsselt per DNS over TLS. Eigene Regeln und eine Statistik gibt es mit einem privaten AdGuard-DNS-Konto. Volle Kontrolle im eigenen Netz bekommen Sie mit AdGuard Home auf einem Raspberry Pi oder einem NAS.

DNS (Domain Name System) übersetzt Namen wie example.com in IP-Adressen. Ein DNS-Filter beantwortet die Frage nach einer bekannten Werbedomain einfach nicht mit einer echten Adresse, also lädt das Gerät die Werbung nicht. Wenn Sie den Ablauf einer Namensauflösung genauer verstehen wollen, lesen Sie zuerst, wie DNS-Auflösung Schritt für Schritt funktioniert. DoT (DNS over TLS) packt diese Fragen in eine TLS-Verbindung (Transport Layer Security). Ihr Anbieter sieht dann nicht mehr, welche Namen Ihr Haushalt auflöst.

Die drei Wege, nach Aufwand geordnet:

1. Öffentliches AdGuard DNS per DoT. Kostenlos, in fünf Minuten erledigt, die Einrichtung verlangt kein Konto. Passt, wenn Ihnen die Standardfilter von AdGuard reichen.
2. Privates AdGuard DNS mit Device-ID. Eigene Sperr- und Erlaubnisregeln im Dashboard von AdGuard. Die FRITZ!Box ist dort ein einziges Gerät. Passt, wenn Sie einzelne Seiten freigeben oder sperren wollen.
3. AdGuard Home im Heimnetz. Läuft auf eigener Hardware, die Sie selbst pflegen. Passt, wenn Sie ohnehin einen Pi oder ein NAS betreiben und sehen wollen, welches Gerät was fragt.

Was die FRITZ!Box mit DNS macht, bevor Sie etwas ändern

Solange die Geräte im Heimnetz die FRITZ!Box als DNS-Server nutzen, reicht die Box deren Fragen an einen Server im Internet weiter. Das ist normalerweise der DNS-Server Ihres Anbieters. Bei Weg 1 und Weg 2 tauschen Sie nur diesen vorgelagerten Server gegen AdGuard. Die Geräte merken davon nichts, deshalb müssen Sie auch keines davon umstellen.

Zwei Dinge stehen in AVMs Wissensdatenbank (Artikel 165) und sparen Ihnen später Fehlersuche. Erstens nutzt die FRITZ!Box für Internettelefonie, Push Service Mails und einige andere Funktionen immer die DNS-Server des Anbieters. Wenn Sie diese Anfragen später irgendwo sehen, ist das kein Fehler in Ihrer Einrichtung. Zweitens unterstützen manche Kabelanbieter die Funktion nicht. Auf deren FRITZ!Box-Modellen zeigt das Menü die Einstellung für andere DNS-Server deshalb gar nicht an. Haben Sie so eine Box vom Kabelanbieter, bleibt Ihnen nur Weg 3 oder die Einrichtung auf jedem Gerät einzeln.

Die Oberfläche der Box öffnen Sie im Browser unter http://fritz.box oder unter der Werkseinstellung 192.168.178.1.

Weg 1: Öffentliches AdGuard DNS per DNS over TLS einrichten

AdGuard schreibt auf seiner Willkommensseite, dass Sie die öffentlichen Server kostenlos nutzen können. Die Anleitung für die öffentlichen Server erwähnt keine Anmeldung. Alle Namen und Adressen unten stammen von AdGuards Seite adguard-dns.io/en/public-dns.html (Stand 8. November 2026).

1. Öffnen Sie Internet > Zugangsdaten und dort die Registerkarte DNS-Server.
2. Aktivieren Sie „Andere DNSv4-Server verwenden“. Tragen Sie als „Bevorzugter DNSv4-Server“ 94.140.14.14 ein und im zweiten Feld 94.140.15.15.
3. Aktivieren Sie die entsprechende Option für DNSv6-Server. Tragen Sie 2a10:50c0::ad1:ff und 2a10:50c0::ad2:ff ein.
4. Aktivieren Sie „Verschlüsselte Namensauflösung im Internet (DNS over TLS)“.
5. Tragen Sie im Feld für die Auflösungsnamen den vollständigen Namen des Servers ein, einen Namen pro Zeile.
6. Entscheiden Sie über die Option „Bei DNS-Störungen auf öffentliche DNS-Server zurückgreifen“ (mehr dazu unten) und speichern Sie die Einstellungen.

Der Name für Schritt 5 sieht so aus:

dns.adguard-dns.com

AdGuard schreibt die DoT-Adresse als tls://dns.adguard-dns.com. Die FRITZ!Box will laut AVM aber den vollständigen Domainnamen, also ohne das Präfix tls://.

Bei den IPv6-Adressen müssen Sie genau abschreiben. AVM warnt in Artikel 165: Eine falsche DNSv6-Adresse blockiert den IPv6-Internetzugang. Ein Tippfehler zeigt sich also als „manche Seiten laden nicht“, und nicht als klare Fehlermeldung.

Warum auch die DNSv4- und DNSv6-Felder?

AVMs Artikel zu den DNS-Servern sagt nicht, ob die Box die DNSv4- und DNSv6-Felder noch nutzt, wenn DoT eingeschaltet ist. Tragen Sie dort die AdGuard-Adressen ein, dann landet jede Anfrage bei AdGuard, egal über welches Feld die Box gerade fragt. Sie müssen die Antwort auf diese Frage dann gar nicht kennen.

Die Ausweich-Option und andere offene Punkte

Die Option „Bei DNS-Störungen auf öffentliche DNS-Server zurückgreifen“ beschreibt AVM nur allgemein. Wie der Name sagt, fragt die Box bei einer Störung andere öffentliche Server. Diese Server filtern nicht für Sie. Lassen Sie die Option an, bleibt das Internet bei einem Ausfall von AdGuard erreichbar, dann aber ohne Filter. Schalten Sie sie aus, funktioniert die Namensauflösung bei einem Ausfall gar nicht. Für eine Familie ist meist die erste Variante besser. Für ein Büro, das den Filter verlangt, ist es die zweite.

Ob die Box das Zertifikat des DoT-Servers prüft und ob sie bei Problemen auf unverschlüsselte Auflösung zurückfällt, steht in keinem AVM-Artikel, den wir am 8. November 2026 öffnen konnten. Wenn der DoT-Bereich auf Ihrer Box dazu weitere Optionen zeigt, lesen Sie die Hilfe Ihres Modells, bevor Sie etwas ändern.

Andere Filterstufen

AdGuard bietet zwei weitere öffentliche Varianten. family.adguard-dns.com sperrt zusätzlich Inhalte für Erwachsene und schaltet, wo möglich, Safe Search ein. Die Adressen dazu sind 94.140.14.15 und 94.140.15.16, für IPv6 2a10:50c0::bad1:ff und 2a10:50c0::bad2:ff. unfiltered.adguard-dns.com sperrt nichts und verschlüsselt nur. Die Adressen dazu sind 94.140.14.140 und 94.140.14.141, für IPv6 2a10:50c0::1:ff und 2a10:50c0::2:ff. Wichtig ist: Name und Adressen müssen zur selben Variante gehören.

Weg 2: Privates AdGuard DNS, die ganze Box als ein Gerät

Mit einem Konto im Dashboard von AdGuard (adguard-dns.io/dashboard) bekommen Sie eigene Regeln und eine Übersicht der Anfragen. Legen Sie dort mit „Connect device“ ein Gerät für die FRITZ!Box an und geben Sie ihm einen Namen. Dieses Gerät hat eine Device-ID. Für den Router lautet der DoT-Name laut AdGuards FRITZ!Box-Anleitung:

{Your_Device_ID}.d.adguard-dns.com

Ersetzen Sie {Your_Device_ID} durch die ID Ihres Geräts. AdGuards Anleitungen sagen nicht ausdrücklich, an welcher Stelle im Dashboard die ID steht. Suchen Sie sie im Eintrag des Geräts, das Sie gerade angelegt haben. Diesen Namen tragen Sie in der FRITZ!Box statt dns.adguard-dns.com in das Feld für die Auflösungsnamen ein. Die übrigen Schritte sind dieselben wie bei Weg 1.

Das Dashboard sieht nur die FRITZ!Box, denn alle Geräte im Haus fragen über die Box. Sie sehen also eine Statistik für den ganzen Haushalt, aber nicht für jedes einzelne Handy. Ihre Regeln gelten für alle Geräte gleich, und alle Anfragen des Hauses zählen für diesen einen Eintrag.

Die Tarife laut AdGuards Lizenzseite, Stand 8. November 2026:

• Starter: kostenlos, 300.000 Anfragen pro Monat, 5 Geräte, 2 Server, 100 Regeln.
• Personal: 19,99 US-Dollar plus Mehrwertsteuer pro Jahr, 10 Millionen Anfragen, 20 Geräte, 5 Server, 1.000 Regeln.
• Team: 239,99 US-Dollar plus Mehrwertsteuer pro Jahr, 100 Millionen Anfragen, 200 Geräte, 50 Server, 5.000 Regeln, 2 eigene IPv4-Adressen.

Die Lizenzseite definiert nicht, was als „Gerät“ zählt. Wie viele Anfragen Ihr Haushalt im Monat stellt, sehen Sie nach ein paar Tagen im Dashboard. Danach können Sie entscheiden, ob Starter reicht.

Warum AdGuards eigene FRITZ!Box-Anleitung verwirrt

AdGuards Seite zur FRITZ!Box beschreibt zwei Methoden. Die DoT-Methode nennt richtig fritz.box und 192.168.178.1. Die zweite Methode für Router ohne DoT nennt aber 192.168.1.1 oder 192.168.0.1. Das ist nicht die Werkseinstellung einer FRITZ!Box. Diese zweite Methode nutzt außerdem eigene Server, 94.140.14.49 und 94.140.14.59, und verlangt danach: „Link your IP“.

Eine verknüpfte IP (Linked IP) heißt: AdGuard erkennt Ihr Konto an der öffentlichen IP-Adresse, von der Ihre Anfragen kommen. Laut AdGuard muss das eine Privatkunden-Adresse sein. Ändert sich die Adresse, braucht AdGuard bei jeder Änderung einen Aufruf einer DDNS-Update-Adresse der Form https://linkip.adguard-dns.com/linkip/{ServerID}/{UniqueKey}. AdGuard schreibt auch, dass es die Verbindung verhindern kann, wenn eine Adresse schon von jemand anderem genutzt wird.

Viele Anschlüsse in Deutschland haben keine eigene öffentliche IPv4-Adresse. Bei DS-Lite (Dual-Stack Lite, RFC 6333) teilt sich ein Gerät beim Anbieter, der AFTR, eine öffentliche IPv4-Adresse mit vielen Kunden. Bei CGNAT (Carrier-Grade NAT, NAT heißt Network Address Translation) ist es ähnlich. Daraus folgt nach unserer Einschätzung (AdGuards Seite erwähnt DS-Lite und CGNAT nicht): Ihre IPv4-Adresse ist nicht Ihre allein, also kann AdGuard Sie daran nicht sicher erkennen. Im schlimmsten Fall lehnt AdGuard die Verknüpfung ab, weil die Adresse schon belegt ist. Der DoT-Name aus Weg 2 hat dieses Problem nicht, denn die Device-ID steckt im Namen selbst. Nutzen Sie bei DS-Lite und CGNAT deshalb DoT und keine verknüpfte IP.

Weg 3: AdGuard Home im Heimnetz als lokaler DNS-Server

Hier läuft der Filter auf Ihrer eigenen Hardware, zum Beispiel auf einem Raspberry Pi oder einem NAS. Die FRITZ!Box sagt den Geräten im Heimnetz, dass sie AdGuard Home fragen sollen. Welche Server AdGuard Home selbst fragt, stellen Sie in AdGuard Home ein, nicht in der Box.

Geben Sie dem Pi zuerst eine Adresse, die sich nicht ändert. Ändert sie sich, zeigt die Box auf eine leere Adresse, und kein Gerät im Haus kann mehr Namen auflösen. Danach öffnen Sie Heimnetz > Netzwerk > Netzwerkeinstellungen > Erweiterte Netzwerkeinstellungen (in der englischen Oberfläche: Home Network > Network > Network Settings > Change Advanced Network Settings).

1. Registerkarte IPv4: Tragen Sie die IPv4-Adresse des Pi als „Lokaler DNS-Server“ ein.
2. Registerkarte IPv6: Aktivieren Sie „DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006)“ und tragen Sie die IPv6-Adresse des Pi als „Lokaler DNSv6-Server“ ein.
3. Speichern Sie und verbinden Sie ein Gerät neu mit dem WLAN, damit es die neuen Einstellungen bekommt.

RFC 5006 beschreibt, wie IPv6-Router den Geräten DNS-Server über Router Advertisements mitteilen. Ohne den zweiten Schritt fragen Geräte mit IPv6 eventuell weiter die FRITZ!Box und umgehen AdGuard Home. Prüfen Sie nach einer Neueinwahl, ob die IPv6-Adresse des Pi noch stimmt.

AVM nennt eine Folge dieser Einstellung: Geräte, die einen lokalen DNS-Server nutzen, öffnen die Box nicht mehr unter fritz.box. Sie erreichen sie dann unter 192.168.178.1. Legen Sie sich dafür ein Lesezeichen an.

Der Pi ist jetzt ein Teil, von dem das ganze Haus abhängt. Ist er aus, gibt es keine Namensauflösung. Richten Sie in der FRITZ!Box keine Portfreigabe für AdGuard Home ein. Er soll nur Ihr Heimnetz bedienen. Dasselbe gilt für AdGuard Home auf einem Mietserver: Ein DNS-Server, den jeder im Internet fragen kann, gehört nicht ins offene Netz.

Was der DNS-Rebind-Schutz damit zu tun hat

Die FRITZ!Box blockiert laut AVM Antworten für unbekannte Hostnamen, die auf Adressen im eigenen Netz zeigen. Die englische Meldung im Browser lautet: „Your FRITZ!Box's DNS rebind protection rejected your query for reasons of security.“ Ob das auch Umschreibungen (Rewrites) aus AdGuard Home auf 192.168.x-Adressen trifft, sagt AVM in Artikel 3565 nicht. Sehen Sie die Meldung, tragen Sie eine Ausnahme ein: Heimnetz > Netzwerk > Netzwerkeinstellungen > Erweiterte Netzwerkeinstellungen, Bereich DNS-Rebind-Schutz. Geben Sie den vollständigen Hostnamen ein, also Domain plus Subdomain, oder den CNAME. Mehrere Namen trennen Sie mit Leerzeichen. AVM empfiehlt danach einen Neustart der Box.

AdGuard DNS oder der DNS-Filter von FRITZ!OS?

Seit FRITZ!OS 8.50 hat die FRITZ!Box einen eigenen DNS-Filter. AVM hat ihn mit der Laborversion 8.40 eingeführt. Er sperrt DNS-Anfragen von Geräten im Heimnetz und im Gastnetz. Sie finden ihn unter Heimnetz > Netzwerk > Netzwerkeinstellungen > Erweiterte Netzwerkeinstellungen > DNS-Filter. Dort tragen Sie einen Namen und die Adresse einer Liste ein. Die Box versteht Adblock-Listen und Hosts-Dateien sowie Listen mit Wildcard-Domains. FRITZ!OS bringt laut AVM keine Liste mit. AVM nennt als Beispiele OISD.nl, HaGeZi's Pro und Steven Black Hosts und rät von Listen für Werbeblocker im Browser ab. Ausnahmen tragen Sie im selben Bereich ein. Erlaubte Domains haben Vorrang vor gesperrten.

Welche Modelle FRITZ!OS 8.50 haben, zeigt AVMs Seite zu 8.50 (Stand 8. November 2026): FRITZ!Box 5690 XGS, 5690, 5630, 7690, 7632, 7630, 7530 AX, 6690 Cable, 6670 Cable, 4690, 4630 und 4050. Weitere Modelle sollen folgen, ein Datum nennt AVM nicht. Die beliebte 7590 steht nicht auf der Liste. t3n berichtete am 13. Oktober 2026 noch, 8.50 gebe es vorerst nur für die 7690. Das ist durch AVMs Seite überholt. Ob jedes Modell mit 8.50 den Filter hat, sagt die Seite nicht. AVMs Artikel 4463 zum Filter nennt die 7690, 7530 AX, 6690 Cable, 6670 Cable und 5690.

AVM nennt selbst die Grenzen. Der Filter wirkt nur auf Geräte, die die DNS-Server der FRITZ!Box nutzen. Werbung von derselben Domain wie der Inhalt kann er nicht sperren, AVMs Beispiel ist YouTube. Und im Betrieb als Mesh Repeater oder als IP-Client gibt es ihn nicht.

Beides lässt sich verbinden, weil die Geräte bei Weg 1 und Weg 2 weiter die Box fragen. Eine sinnvolle Aufteilung: Der FRITZ!OS-Filter sperrt mit Ihren Listen, und unfiltered.adguard-dns.com sorgt per DoT nur für die Verschlüsselung. In welcher Reihenfolge Filter und DoT arbeiten, beschreibt AVM nicht. Ohne FRITZ!OS 8.50 bleibt AdGuard der einfachere Weg. Bei Weg 3 brauchen Sie den Filter der Box nicht, denn die Geräte fragen dann AdGuard Home und nicht die Box.

Was jeden Filter im Router umgeht

Ein Filter im Router wirkt nur auf Anfragen, die über ihn laufen. Diese vier Fälle gehen an ihm vorbei:

• Android mit eigenem privaten DNS. Google beschreibt die Einstellung für das Pixel Tablet unter Settings > Network & internet > Private DNS, mit den Stufen Off, Automatic und einem eigenen Hostnamen. Laut Google nutzt das Gerät standardmäßig privates DNS in allen Netzen, die das können. Steht dort der Name eines anderen Anbieters, fragt das Handy an Ihrer Box vorbei. Wie Sie das Handy selbst auf AdGuard stellen, zeigt die Anleitung zu AdGuard DNS auf Android als privates DNS.
• Browser mit eigenem sicheren DNS. Viele Browser können DNS über HTTPS selbst erledigen. Schauen Sie in den Datenschutz-Einstellungen Ihres Browsers nach, ob er einen eigenen DNS-Anbieter nutzt.
• Fernseher und Streaming-Sticks mit fest eingetragenem DNS. Fragt ein Gerät nicht die Box, filtert die Box es nicht. Prüfen Sie die Netzwerk-Einstellungen des Geräts.
• Ein vergessener IPv6-Weg. Haben Sie nur die DNSv4-Felder ausgefüllt, kann ein Gerät über IPv6 einen anderen Server fragen. Füllen Sie bei Weg 1 und 2 die DNSv6-Felder aus und schalten Sie bei Weg 3 die Option mit RFC 5006 ein.

Testen mit adguard.com/test.html

Öffnen Sie https://adguard.com/test.html auf jedem Gerät, das Sie prüfen wollen. Schalten Sie beim Handy vorher die mobilen Daten aus, sonst testen Sie das Netz des Mobilfunkanbieters. Die Seite zeigt für AdGuard DNS Zeilen wie „Public server: running“ oder „Private server: running“. Sie kann auch melden: „AdGuard DNS can't recognize your device and apply device-specific rules“. Was genau Sie mit den öffentlichen Servern sehen, haben wir nicht aus einem FRITZ!Box-Netz geprüft.

Die Seite zeigt, ob AdGuard DNS die Anfragen dieses einen Geräts beantwortet. Sie ist kein Test auf DNS-Lecks und prüft IPv4 und IPv6 nicht getrennt. Testen Sie deshalb jeden Gerätetyp im Haus einzeln, vor allem die Geräte aus der Liste oben.

FAQ

Brauche ich für AdGuard DNS auf der FRITZ!Box ein Konto?

Für die öffentlichen Server nicht. AdGuard schreibt, dass sie kostenlos sind, und die Anleitung für die öffentlichen Server erwähnt keine Anmeldung. Tragen Sie dns.adguard-dns.com als DoT-Namen ein und die AdGuard-Adressen in die DNSv4- und DNSv6-Felder. Ein Konto brauchen Sie erst für eigene Regeln, dann mit dem Namen {Your_Device_ID}.d.adguard-dns.com.

Warum fehlt bei meiner FRITZ!Box die Einstellung für andere DNS-Server?

Manche Kabelanbieter unterstützen die Funktion nicht. Auf FRITZ!Box-Modellen dieser Anbieter zeigt das Menü unter Internet > Zugangsdaten die Option deshalb nicht an. Dann bleibt AdGuard Home als lokaler DNS-Server im Heimnetz oder die Einrichtung auf jedem Gerät einzeln.

Warum öffnet sich fritz.box nicht mehr, seit ich AdGuard Home nutze?

AVM beschreibt das: Geräte, die einen lokalen DNS-Server nutzen, erreichen die Box nicht mehr unter fritz.box. Öffnen Sie die Oberfläche unter der IP-Adresse, ab Werk 192.168.178.1.

Funktioniert eine verknüpfte IP bei DS-Lite oder CGNAT?

Verlassen Sie sich nicht darauf. Bei DS-Lite teilt der Anbieter eine öffentliche IPv4-Adresse unter vielen Kunden auf. AdGuard schreibt, dass es eine schon genutzte Adresse ablehnen kann. Der DoT-Name mit Ihrer Device-ID erkennt die Box am Namen und nicht an der IP, deshalb ist er bei geteilten Adressen der sichere Weg.

Hat meine FRITZ!Box schon den eingebauten DNS-Filter?

Der Filter kam mit FRITZ!OS 8.50. AVM nennt am 8. November 2026 unter anderem die 7690, 7530 AX, 5690 sowie die 6690 Cable und 6670 Cable. Die 7590 hat 8.50 noch nicht. Schauen Sie unter Heimnetz > Netzwerk > Netzwerkeinstellungen > Erweiterte Netzwerkeinstellungen nach dem Bereich DNS-Filter.