Wer sein gesamtes Heimnetz von Werbung, Trackern und Telemetrie befreien will, landet 2026 fast immer bei zwei Namen: Pi-hole und AdGuard Home. Beide sind kostenlos, quelloffen und blockieren Werbung netzwerkweit auf DNS-Ebene, also bevor sie überhaupt auf Smartphone, Smart-TV oder Laptop ankommt. Doch trotz des gleichen Grundprinzips trennen die beiden Projekte technische Welten. Pi-hole setzt auf einen schlanken DNS-Kern und ein bewährtes Plugin-Ökosystem, AdGuard Home liefert verschlüsseltes DNS, Kindersicherung und Geräteverwaltung bereits ab Werk mit. Dieser Vergleich stellt beide Werkzeuge im Detail gegenüber, mit aktuellen Versionen, einer großen Spezifikationstabelle, Performance-Daten, einer Migrationsanleitung und einem klaren Urteil.

Pi-hole vs AdGuard Home: Das Wichtigste in Kürze

Beide Programme machen dasselbe Grundversprechen: Sie ersetzen den DNS-Server in Ihrem Router und filtern alle Anfragen an bekannte Werbe- und Tracking-Domains heraus. Ein einziges Gerät, oft ein Raspberry Pi für unter 80 Euro, blockt damit Werbung für jedes Endgerät im Netz, ganz ohne App-Installation auf den einzelnen Clients. Genau das macht beide so beliebt in der deutschsprachigen Homelab-Szene.

Der zentrale Unterschied 2026: AdGuard Home bringt verschlüsseltes Upstream-DNS (DoH, DoT, DoQ), Kindersicherung und Safe Search direkt mit, alles über eine einzige, in Go geschriebene Binärdatei. Pi-hole bleibt der schlankere, modularere Klassiker mit der größeren Community, braucht für verschlüsseltes DNS aber Zusatzwerkzeuge wie Unbound oder cloudflared. Wer maximale Funktion ab Werk und einfachste Installation sucht, greift zu AdGuard Home. Wer Wert auf einen rekursiven, DNSSEC-validierenden Resolver, ein riesiges Plugin-Ökosystem und maximale Kontrolle legt, bleibt bei Pi-hole. Beide kosten null Euro Lizenzgebühr.

Was ist Pi-hole? Der Klassiker unter den DNS-Werbeblockern

Pi-hole startete 2014 als kleines Wochenendprojekt und wurde zum bekanntesten netzwerkweiten Werbeblocker überhaupt. Der Name ist Programm: Ursprünglich für den Raspberry Pi gedacht, leitet das Tool unerwünschte Anfragen in ein schwarzes Loch (englisch hole), statt sie an Werbeserver weiterzugeben. Mit über 59.000 Sternen auf GitHub gehört Pi-hole zu den meistbeachteten Open-Source-Projekten im Privacy-Bereich. Die Software steht unter der European Union Public License (EUPL) und wird von Pi-hole LLC gemeinsam mit einer großen Freiwilligen-Community gepflegt.

Der größte Umbruch kam am 18. Februar 2025 mit Pi-hole v6. Das Team integrierte einen REST-API und einen eingebetteten Webserver direkt in die zentrale Komponente pihole-FTL. Damit verschwanden die bisherigen Abhängigkeiten lighttpd und PHP komplett. Das Ergebnis ist ein kleinerer Fußabdruck, natives HTTPS für die Weboberfläche, eine konsolidierte Konfiguration in einer einzigen TOML-Datei (/etc/pihole/pihole.toml) und eine überarbeitete Oberfläche mit Basic- und Expert-Modus. Das offizielle Docker-Image wurde dabei auf Alpine Linux umgestellt. Die aktuelle Core-Version ist v6.4.2 (April 2026), die FTL-Engine liegt bei v6.6.2 (Mai 2026).

Technisch baut Pi-hole auf einem angepassten dnsmasq-Kern auf, der in FTL (Faster Than Light) integriert ist. Dieser liefert nicht nur DNS-Filterung, sondern auch detaillierte Statistiken in Echtzeit, einen optionalen DHCP-Server und Query-Logging. Ein wichtiges Detail: Pi-hole verschlüsselt ausgehende DNS-Anfragen nicht von sich aus. Wer DNS-over-HTTPS oder einen eigenen rekursiven Resolver will, kombiniert Pi-hole klassisch mit Unbound (für rekursives, DNSSEC-validierendes Auflösen) oder cloudflared (als lokaler DoH-Proxy). Genau diese Modularität ist für viele Nutzer ein Vorteil, für Einsteiger aber eine zusätzliche Hürde.

Was ist AdGuard Home? Der All-in-One-Herausforderer

AdGuard Home ist die selbst-gehostete, quelloffene DNS-Lösung des Unternehmens AdGuard (Adguard Software Limited), das auch die bekannten AdGuard-Browser-Erweiterungen und -Apps anbietet. Anders als die kommerziellen AdGuard-Produkte ist AdGuard Home vollständig kostenlos und steht unter der GPL-3.0-Lizenz. Mit rund 34.800 GitHub-Sternen ist die Community zwar kleiner als bei Pi-hole, wächst aber kontinuierlich. Die aktuelle Version ist v0.107.77 (Juni 2026). Die niedrige Versionsnummer täuscht: Das Projekt gilt seit Jahren als produktionsreif und stabil.

Der entscheidende Architekturunterschied: AdGuard Home ist in Go geschrieben und kommt als eine einzige, in sich geschlossene Binärdatei. Es gibt keine externen Abhängigkeiten, keine PHP-Runtime, keinen separaten Webserver. Das macht die Installation extrem einfach und die Software plattformübergreifend: AdGuard Home läuft nativ unter Linux, Windows, macOS und FreeBSD. Pi-hole hingegen ist auf Linux beschränkt (offiziell Debian, Ubuntu, Fedora und Raspberry Pi OS) oder muss in einem Container laufen.

Der vielleicht wichtigste praktische Vorteil von AdGuard Home: verschlüsseltes DNS ist eingebaut. Die Software unterstützt DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) und DNS-over-QUIC (DoQ) sowohl als verschlüsselten Upstream zu öffentlichen Resolvern wie Cloudflare oder Quad9 als auch als eigenständiger verschlüsselter DNS-Server für die eigenen Clients. Was bei Pi-hole zusätzliche Software erfordert, ist hier ein Häkchen in der Oberfläche. Hinzu kommen ein integrierter DHCP-Server, granulare Einstellungen pro Client, Kindersicherung, Safe Search und Safe Browsing, alles ohne Zusatzpakete.

So funktioniert netzwerkweite Werbeblockierung per DNS

Um den Vergleich richtig einzuordnen, lohnt ein Blick auf das Grundprinzip, das beide Tools teilen. Jedes Mal, wenn ein Gerät eine Webseite, eine App oder einen Smart-TV-Dienst öffnet, fragt es zuerst einen DNS-Server: Welche IP-Adresse gehört zu diesem Domainnamen? Werbung und Tracker liegen fast immer auf eigenen Domains, etwa Anzeigenservern oder Analyse-Diensten. Genau hier setzen Pi-hole und AdGuard Home an. Sie übernehmen die Rolle des DNS-Servers im Heimnetz und antworten auf Anfragen an bekannte Werbe-Domains mit einer leeren oder ungültigen Antwort. Das Endgerät bekommt die Werbung schlicht nie geliefert.

Der große Vorteil gegenüber einem Browser-Werbeblocker: Die Filterung geschieht zentral für das gesamte Netzwerk. Ein einziges Gerät schützt Smartphones, Tablets, Smart-TVs, Spielkonsolen und IoT-Geräte gleichzeitig, ohne dass auf jedem einzelnen eine App installiert werden muss. Das funktioniert auch dort, wo klassische Werbeblocker gar nicht installierbar sind, etwa auf einem Fernseher oder einem smarten Lautsprecher. Genau diese Universalität hat netzwerkweite DNS-Filterung in den vergangenen Jahren so populär gemacht.

Die Grenze der Methode liegt in ihrer Natur: DNS-Filterung blockiert auf Domain-Ebene, nicht auf Element-Ebene. Wird Werbung über dieselbe Domain ausgeliefert wie der eigentliche Inhalt, etwa bei einigen großen Plattformen, lässt sie sich per DNS nicht sauber trennen, ohne den Dienst selbst zu beschädigen. Für diese Fälle bleibt ein Browser-Werbeblocker wie uBlock Origin die Ergänzung der Wahl. Pi-hole und AdGuard Home und ein Browser-Blocker schließen sich nicht aus, sondern ergänzen sich. Beide hier verglichenen Tools beherrschen die DNS-Ebene erstklassig, der Unterschied liegt im Funktionsumfang darüber hinaus.

Pi-hole vs AdGuard Home: Die große Vergleichstabelle

Die folgende Tabelle stellt die wichtigsten technischen Merkmale beider Lösungen mit Stand Juni 2026 gegenüber. Alle Versionsangaben stammen aus den offiziellen Release-Kanälen der beiden Projekte.

MerkmalPi-holeAdGuard Home
Aktuelle VersionCore v6.4.2 / FTL v6.6.2 (2026)v0.107.77 (Juni 2026)
Erstveröffentlichung20142018/2019
LizenzEUPL-1.2 (Open Source)GPL-3.0 (Open Source)
ProgrammierspracheC (FTL), Shell, Web (kein PHP mehr ab v6)Go
GitHub-Sterneca. 59.300ca. 34.800
EntwicklerPi-hole LLC + CommunityAdGuard (Adguard Software Ltd.)
InstallationsformBash-Installer, DockerEinzelne Binärdatei, Docker
Unterstützte BetriebssystemeLinux (Debian, Ubuntu, Fedora, Raspberry Pi OS)Linux, Windows, macOS, FreeBSD
Verschlüsseltes Upstream-DNS (DoH/DoT/DoQ)Nur mit cloudflared/UnboundNativ eingebaut
Als verschlüsselter DNS-Server (DoH/DoT/DoQ)Nur über Reverse ProxyNativ eingebaut
Rekursiver Resolver mit DNSSECJa, über UnboundÜber Upstream konfigurierbar
DHCP-ServerJa (integriert, FTL/dnsmasq)Ja (integriert)
Einstellungen pro ClientÜber GruppenNativ pro Client
Kindersicherung / Safe SearchManuell über ListenEingebaut
WeboberflächeEingebettet (v6), Basic/Expert-ModusEingebaut, ein Dashboard
KonfigurationTOML (pihole.toml)YAML (AdGuardHome.yaml)
Lizenzkosten0 €0 €

Schon diese Übersicht zeigt das Muster: AdGuard Home punktet mit eingebauten Funktionen und Plattformbreite, Pi-hole mit Modularität, einem klassischen rekursiven Resolver-Setup und der größeren Community. Beide kosten keinen Cent an Lizenz. In den folgenden Abschnitten gehen wir auf die wichtigsten Unterschiede im Detail ein.

Architektur und Technik im direkten Vergleich

Der technische Kern entscheidet darüber, wie sich beide Werkzeuge im Alltag anfühlen. Pi-hole besteht aus mehreren Komponenten, die zusammenarbeiten: dem FTL-Daemon (einer in C geschriebenen, performanten dnsmasq-Variante mit eingebetteter Datenbank für Statistiken), der Weboberfläche und einer Reihe von Shell-Skripten für Installation und Wartung. Bis Version 5 brauchte Pi-hole zusätzlich lighttpd als Webserver und PHP für das Dashboard. Mit v6 fielen diese Abhängigkeiten weg, der Webserver steckt jetzt direkt in FTL. Das senkt Speicherbedarf und Angriffsfläche spürbar und vereinfacht Updates.

AdGuard Home verfolgt von Anfang an einen radikal anderen Ansatz. Die gesamte Anwendung, also DNS-Server, Filter-Engine, Webserver, DHCP-Server und API, steckt in einer einzigen Go-Binärdatei. Es gibt keine Skript-Sammlung, kein externes Datenbankpaket, keine Runtime, die separat aktualisiert werden müsste. Ein Update bedeutet schlicht: alte Binärdatei gegen neue tauschen. Diese monolithische Bauweise ist der Grund, warum AdGuard Home so leicht auf NAS-Geräten, in Containern und sogar auf exotischen Plattformen wie FreeBSD läuft.

Konfiguration: TOML gegen YAML

Pi-hole v6 konsolidiert seine gesamte Konfiguration in einer übersichtlichen TOML-Datei. Wer mag, kann fast alles auch über die neue Weboberfläche im Expert-Modus oder über das Kommandozeilenwerkzeug pihole steuern. AdGuard Home legt seine Einstellungen in einer YAML-Datei (AdGuardHome.yaml) ab, die ebenfalls direkt editierbar ist, in der Praxis aber komplett über das Dashboard verwaltet wird. Beide Ansätze erlauben versionierbare, reproduzierbare Setups, was für Infrastructure-as-Code-Fans und Homelab-Betreiber wichtig ist.

In der Praxis empfinden viele Anwender die AdGuard-Home-Oberfläche als moderner und aufgeräumter, während Pi-hole-Fans die Tiefe und Transparenz des Query-Logs schätzen. Pi-hole zeigt detailliert, welcher Client welche Domain wann angefragt hat und welche Blockliste den Treffer ausgelöst hat. Diese forensische Genauigkeit ist ein Grund, warum Pi-hole in der technisch versierten Community nach wie vor stark vertreten ist.

Verschlüsseltes DNS: DoH, DoT und DoQ im Vergleich

Hier liegt 2026 der schärfste Trennstrich zwischen den beiden Lösungen. Klassisches DNS überträgt Anfragen im Klartext. Selbst wenn Pi-hole oder AdGuard Home die Werbung blockiert, kann der Internetanbieter theoretisch mitlesen, welche Domains aufgerufen werden, sofern der Upstream-Verkehr unverschlüsselt bleibt. Verschlüsseltes DNS schließt diese Lücke. Die drei relevanten Standards sind DNS-over-HTTPS (DoH, definiert in RFC 8484), DNS-over-TLS (DoT) und das neuere DNS-over-QUIC (DoQ).

AdGuard Home unterstützt alle drei nativ, und zwar in beide Richtungen. Sie können verschlüsselte Upstream-Resolver wie Cloudflare (https://dns.cloudflare.com/dns-query) oder Quad9 mit einem Klick eintragen, sodass der Verkehr zwischen Ihrem Server und dem öffentlichen Resolver verschlüsselt ist. Gleichzeitig kann AdGuard Home selbst als verschlüsselter DoH-, DoT- oder DoQ-Server für Ihre Geräte fungieren, was besonders für Smartphones unterwegs interessant ist: Das Handy verbindet sich verschlüsselt mit dem heimischen AdGuard Home und profitiert von der Filterung auch im Mobilfunknetz.

Pi-hole bringt von Haus aus keine native Verschlüsselung mit. Das ist keine Schwäche im klassischen Sinn, sondern Designphilosophie: Pi-hole bleibt schlank und überlässt die Verschlüsselung spezialisierten Werkzeugen. Die zwei gängigen Wege sind eine Kombination aus Pi-hole und Unbound für einen eigenen rekursiven, DNSSEC-validierenden Resolver (der gar keinen externen Upstream-Anbieter mehr braucht) oder Pi-hole plus cloudflared als lokaler DoH-Proxy. Beide Varianten funktionieren hervorragend und sind in der Community gut dokumentiert, erfordern aber einen zusätzlichen Einrichtungsschritt. Wer diesen Weg gehen will, findet in unserer Anleitung Pi-hole + Unbound einrichten eine Schritt-für-Schritt-Begleitung.

Das Fazit dieses Kapitels: Wenn verschlüsseltes DNS ohne Bastelei ganz oben auf Ihrer Liste steht, ist AdGuard Home die deutlich bequemere Wahl. Wer dagegen die maximale Privatsphäre eines selbst betriebenen rekursiven Resolvers ohne jeglichen Drittanbieter sucht, kommt mit der Pi-hole-plus-Unbound-Kombination zum saubersten Ergebnis.

Installation und Einrichtung Schritt für Schritt

Beide Tools lassen sich in wenigen Minuten installieren, der Weg unterscheidet sich aber. Pi-hole verwendet den bekannten Ein-Zeilen-Installer, der ein interaktives Menü startet und alle nötigen Komponenten einrichtet:

# Pi-hole auf Debian/Ubuntu/Raspberry Pi OS installieren
curl -sSL https://install.pi-hole.net | bash

# Web-Passwort nachtraeglich setzen
pihole setpassword

# Status und Version pruefen
pihole status
pihole version

AdGuard Home liefert ebenfalls ein Installationsskript, kann aber genauso gut als entpackte Binärdatei laufen. Nach dem Start öffnet sich ein Web-Assistent unter Port 3000, der durch die Ersteinrichtung führt:

# AdGuard Home automatisch installieren
curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v

# Dienst verwalten
adguardhome -s status
adguardhome -s restart

# Ersteinrichtung im Browser: http://SERVER-IP:3000

Für Container-Fans ist Docker der gängigste Weg, beide nebeneinander zu testen. Wichtig: Da beide auf Port 53 lauschen wollen, kann immer nur eine Lösung gleichzeitig die DNS-Rolle im Netz übernehmen. Eine typische Docker-Compose-Konfiguration für AdGuard Home sieht so aus:

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "3000:3000/tcp"   # Ersteinrichtung
      - "80:80/tcp"       # Dashboard
    volumes:
      - ./work:/opt/adguardhome/work
      - ./conf:/opt/adguardhome/conf

Der letzte und wichtigste Schritt ist bei beiden identisch: Tragen Sie die IP-Adresse Ihres Pi-hole- oder AdGuard-Home-Servers als einzigen DNS-Server in Ihrem Router ein (etwa in der FRITZ!Box unter Internet, Zugangsdaten, DNS-Server). Erst dann profitiert das gesamte Netzwerk. Vergeben Sie dem Server unbedingt eine feste IP-Adresse, damit die DNS-Auflösung nicht ausfällt, wenn sich die Adresse per DHCP ändert.

Benutzeroberfläche und Bedienung im Alltag

Die Weboberfläche ist für die meisten Nutzer der Ort, an dem sie täglich mit ihrem Werbeblocker interagieren. Pi-hole v6 hat hier einen großen Sprung gemacht. Das alte, etwas in die Jahre gekommene Dashboard wich einer überarbeiteten Oberfläche mit nativem HTTPS und zwei Modi: Der Basic-Modus zeigt nur das Nötigste, der Expert-Modus blendet jede einzelne Einstellung ein. Das Query-Log bleibt Pi-holes Paradedisziplin. Es zeigt in Echtzeit, welcher Client welche Domain anfragt, ob sie blockiert oder durchgelassen wurde und welche Liste den Ausschlag gab. Für Fehlersuche und Whitelist-Pflege ist das Gold wert.

AdGuard Home setzt auf ein einziges, durchgängiges Dashboard. Statistiken, Filterlisten, Client-Verwaltung, Verschlüsselungseinstellungen und DHCP liegen alle in einer modernen, reaktionsschnellen Oberfläche. Viele Einsteiger empfinden AdGuard Home als zugänglicher, weil sich alle Funktionen an einem Ort befinden und keine separate Dokumentation für Zusatzwerkzeuge nötig ist. Die Query-Log-Ansicht ist ebenfalls vorhanden, wirkt aber etwas weniger detailverliebt als bei Pi-hole.

Ein praktischer Unterschied im Alltag: AdGuard Home erlaubt es, einzelne Clients direkt in der Oberfläche zu benennen, ihnen eigene Filterregeln und Upstream-Server zuzuweisen und die Filterung pro Gerät an- oder abzuschalten. Pi-hole löst Ähnliches über das Gruppen-Konzept, was mächtig, aber weniger intuitiv ist. Für Haushalte, die unterschiedliche Regeln für Kinder- und Erwachsenengeräte wollen, ist AdGuard Home daher meist schneller eingerichtet.

Blocklisten, Filter und Werbeblockierung

Am Ende zählt für die meisten Nutzer eine Frage: Wie gut blockiert das Tool wirklich? Die kurze Antwort: Beide blockieren hervorragend, weil sie dieselben öffentlichen Blocklisten nutzen können. Der Unterschied liegt im Format und in der Standardausstattung. Pi-hole arbeitet traditionell mit Hosts-basierten Listen (Domain-zu-IP-Zuordnungen) und unterstützt seit Längerem auch reguläre Ausdrücke (Regex) für flexible Sperrregeln. AdGuard Home versteht zusätzlich die mächtige AdGuard-Filtersyntax, die auch von uBlock Origin und den AdGuard-Browser-Erweiterungen verwendet wird und kosmetische Regeln sowie sehr feingranulare Filter erlaubt.

AdGuard Home liefert ab Werk eine kuratierte Auswahl an Filterlisten mit, darunter die AdGuard-eigenen DNS-Filter, sodass die Werbeblockierung direkt nach der Installation greift. Pi-hole startet seit jeher mit einer bewusst kleinen Standardliste (Steven Blacks bekannte Hosts-Liste) und überlässt die Erweiterung dem Nutzer. Beide lassen sich um beliebige Community-Listen ergänzen, etwa die populären Listen von OISD, Hagezi oder den deutschsprachigen Filtern gegen regionale Werbenetzwerke.

Ein wichtiger Praxishinweis: Mehr Listen bedeuten nicht automatisch besseren Schutz. Zu aggressive Listen führen zu False Positives, also fälschlich blockierten Domains, die legitime Dienste lahmlegen können. Online-Banking, Paketverfolgung oder Login-Dienste sind häufige Opfer. Beide Tools bieten daher Whitelist-Funktionen. Pi-hole zeigt im Query-Log sehr präzise, welche Liste einen unerwünschten Treffer verursacht hat, was die Fehlersuche erleichtert. AdGuard Home bietet eine ähnliche Funktion über die Protokollansicht und einen praktischen Schnellzugriff zum Entsperren.

DHCP, Kindersicherung und erweiterte Funktionen

Jenseits des reinen Werbeblockens bieten beide Tools Zusatzfunktionen, die im Heimnetz nützlich sind. Beide bringen einen integrierten DHCP-Server mit, der die Adressvergabe im Netz übernehmen kann. Das hat einen praktischen Vorteil: Übernimmt Pi-hole oder AdGuard Home das DHCP, sieht das Tool die echten Hostnamen aller Geräte und kann die Statistiken pro Gerät statt nur pro IP-Adresse anzeigen. In vielen Heimnetzen bleibt der Router-DHCP aktiv, dann zeigen beide Tools nur IP-Adressen, was die Zuordnung erschwert.

Bei der Kindersicherung zieht AdGuard Home klar davon. Die Software bietet eingebaute Funktionen für Safe Search (erzwingt den sicheren Suchmodus bei Google, Bing, YouTube und Co.), Safe Browsing (warnt vor Phishing- und Malware-Seiten) und eine eigene Kategorie zum Blockieren von Inhalten für Erwachsene, alles per Klick und pro Client einstellbar. Pi-hole bietet von Haus aus keine dedizierte Kindersicherung, lässt sich aber über entsprechende Blocklisten und manuelle Regeln in eine ähnliche Richtung trimmen. Wer eine fertige Familienlösung sucht, fährt mit AdGuard Home deutlich entspannter.

Ein weiterer Punkt ist die Anbindung an andere Systeme. Pi-hole profitiert von seinem riesigen Ökosystem: Es gibt unzählige Skripte, Mobil-Apps, Grafana-Dashboards und Integrationen wie die in Home Assistant. Allerdings hat die neue v6-API einige ältere Integrationen vorübergehend gebrochen, da sich die Schnittstelle grundlegend geändert hat. AdGuard Home bietet eine stabile, gut dokumentierte REST-API und mehrere beliebte Drittanbieter-Apps zur Verwaltung. Für Automatisierungsfans sind beide gut ausgestattet, Pi-hole hat hier durch das Alter den Ökosystem-Vorsprung.

Performance und Ressourcenverbrauch auf dem Raspberry Pi

Eine zentrale Stärke beider Lösungen ist ihr geringer Hunger nach Hardware. Beide laufen problemlos auf einem alten Raspberry Pi und verbrauchen im Leerlauf nur einen Bruchteil der Ressourcen eines vollwertigen Servers. Da exakte Benchmark-Zahlen stark von Hardware, Anzahl der Clients und Größe der Blocklisten abhängen, geben wir hier dokumentierte, in der Homelab-Community vielfach bestätigte Größenordnungen an und keine erfundenen Präzisionswerte.

KriteriumPi-holeAdGuard Home
Empfohlene MindesthardwareRaspberry Pi Zero / Pi 1 aufwärtsRaspberry Pi Zero / Pi 1 aufwärts
RAM-Bedarf (typisch, Leerlauf)Sehr gering (deutlich unter 512 MB)Sehr gering (deutlich unter 512 MB)
CPU-Last im NormalbetriebMinimalMinimal
Speicherwachstum durch Query-LogDatenbank wächst mit, konfigurierbarLog-Rotation einstellbar
Belastung durch große BlocklistenGut skalierendGut skalierend (Go-Engine)
Architektur-OverheadGering (kein PHP/lighttpd mehr ab v6)Gering (eine Binärdatei)
Einsatz auf NAS / Mini-PCPer DockerNativ oder Docker

In der Praxis nehmen sich beide Lösungen bei der reinen DNS-Auflösung wenig. Pi-hole v6 hat durch den Wegfall von lighttpd und PHP an Schlankheit gewonnen. AdGuard Home profitiert von der effizienten Go-Laufzeit und der monolithischen Bauweise. Wer Tausende Anfragen pro Minute in einem großen Netzwerk erwartet, sollte ohnehin auf einen kräftigeren Pi 4, Pi 5 oder einen Mini-PC setzen, dann ist die Software nie der Flaschenhals. Für den typischen Haushalt mit 20 bis 50 Geräten reicht selbst ein älterer Raspberry Pi locker aus.

Ein oft übersehener Performance-Aspekt ist die Resilienz. Fällt der einzelne DNS-Server aus, steht das ganze Netz ohne Namensauflösung da. Beide Projekte empfehlen daher für kritische Setups eine zweite Instanz als Fallback. AdGuard Home bietet dafür eine eingebaute Replikations- und Sync-Logik über Drittanbieter-Tools, Pi-hole-Nutzer setzen klassisch auf Werkzeuge wie Gravity Sync oder zwei manuell gepflegte Instanzen.

Preise und Kosten: Beide kostenlos, aber nicht gratis

Die wichtigste Nachricht zuerst: Sowohl Pi-hole als auch AdGuard Home sind vollständig kostenlos und quelloffen. Es gibt keine Lizenzgebühren, keine Pro-Version mit Funktionssperre, keine Nutzerlimits. Die einzigen Kosten entstehen durch die Hardware, auf der die Software läuft, und durch den Strom. Pi-hole finanziert sich über Spenden, AdGuard Home über das kommerzielle Hauptgeschäft des Unternehmens AdGuard mit seinen Apps und Abos. Die folgende Tabelle zeigt typische Gesamtkosten verschiedener Betriebsvarianten.

BetriebsvarianteEinmalkostenLaufende KostenHinweis
Software (Pi-hole oder AdGuard Home)0 €0 €Open Source, beide identisch
Raspberry Pi 5 (4 GB) Komplettsetca. 90 bis 120 €Strom (wenige € im Jahr)Beliebteste Heim-Variante
Raspberry Pi Zero 2 Wca. 20 bis 35 €Strom (minimal)Für kleine Netze ausreichend
Vorhandenes NAS (Docker)0 € (bereits vorhanden)marginalSynology, QNAP, Unraid
VPS / Cloud-Server0 €ca. 3 bis 6 € im MonatFür Zugriff von unterwegs
Alter PC / Mini-PC0 € (Recycling)höherer StromverbrauchÜberdimensioniert, aber robust

Bei den laufenden Kosten gibt es zwischen den beiden Tools keinen Unterschied, da die Software in beiden Fällen gratis ist. Wer AdGuard Home auf einem VPS betreibt, um die verschlüsselte DNS-Filterung auch unterwegs zu nutzen, sollte den Server unbedingt absichern, denn ein offener DNS-Resolver im Internet kann für Angriffe missbraucht werden. Hier punktet AdGuard Home, weil verschlüsseltes DNS und Zugriffskontrolle pro Client bereits eingebaut sind. Wer Hardware zur Absicherung sucht, findet in unserem Vergleich der Hardware-Sicherheitsschlüssel weitere Anregungen.

Praxisbeispiele: Fünf typische Einsatzszenarien

Theorie hilft nur bedingt. Diese fünf realistischen Szenarien zeigen, wie sich die Wahl je nach Situation unterscheidet.

  • Der Familienhaushalt mit Kindern. Ein Elternpaar will Werbung blockieren und gleichzeitig Inhalte für Erwachsene sowie unsichere Suchergebnisse auf den Geräten der Kinder sperren. AdGuard Home liefert Safe Search, Safe Browsing und Kindersicherung pro Gerät direkt mit. Hier ist AdGuard Home die klar bequemere Lösung.
  • Der Privacy-Enthusiast. Ein technisch versierter Nutzer will keinen einzigen DNS-Anbieter im Spiel haben und betreibt deshalb einen eigenen rekursiven Resolver. Pi-hole plus Unbound löst Domains selbst auf, validiert mit DNSSEC und schickt keine Anfragen an Cloudflare oder Google. Hier gewinnt Pi-hole.
  • Der NAS-Besitzer. Jemand hat bereits ein Synology- oder QNAP-NAS mit Docker. AdGuard Home läuft als einzelne Binärdatei besonders sauber im Container und braucht keine zusätzlichen Pakete. Beide funktionieren, AdGuard Home fühlt sich hier etwas natürlicher an.
  • Der Unterwegs-Nutzer. Wer auch im Mobilfunknetz gefiltertes, verschlüsseltes DNS will, richtet AdGuard Home als DoH- oder DoQ-Server ein und verbindet das Smartphone direkt damit. Pi-hole bräuchte dafür einen zusätzlichen Reverse Proxy. Vorteil AdGuard Home.
  • Der Homelab-Tüftler. Ein Bastler will tiefe Logs, Grafana-Dashboards, Skripte und maximale Kontrolle. Pi-holes riesiges Ökosystem und das detaillierte Query-Log spielen hier ihre Stärken aus. Vorteil Pi-hole.

Das Muster ist deutlich: AdGuard Home gewinnt überall dort, wo Komfort, eingebaute Verschlüsselung und Familienfunktionen zählen. Pi-hole gewinnt, wo maximale Kontrolle, ein eigener Resolver und ein gewachsenes Ökosystem gefragt sind. Beide sind exzellente Werkzeuge, es gibt keinen falschen Sieger.

Migration: Von Pi-hole zu AdGuard Home (und zurück)

Viele Nutzer wollen wechseln, ohne ihre mühsam gepflegten Listen zu verlieren. Die gute Nachricht: Ein Umzug ist unkompliziert, weil beide dieselben öffentlichen Blocklisten verwenden. Folgende Schritte führen sicher von Pi-hole zu AdGuard Home.

  1. Bestand sichern. Exportieren Sie in Pi-hole unter Settings die Teleporter-Sicherung. Notieren Sie sich Ihre abonnierten Blocklisten-URLs, Ihre Whitelist- und Blacklist-Einträge sowie eventuelle eigene DNS-Records.
  2. AdGuard Home parallel installieren. Richten Sie AdGuard Home auf einem anderen Port oder einem zweiten Gerät ein, damit beide kurzzeitig nebeneinander laufen. So testen Sie ohne Netzausfall.
  3. Listen übertragen. Tragen Sie Ihre Blocklisten-URLs in AdGuard Home unter Filter ein. Die meisten Listen funktionieren in beiden Tools identisch. Übernehmen Sie Whitelist-Einträge als Ausnahmen.
  4. Verschlüsselung aktivieren. Nutzen Sie die Gelegenheit und tragen Sie gleich einen verschlüsselten Upstream-Resolver (DoH/DoT) ein, etwa Quad9 oder Cloudflare. Das war unter reinem Pi-hole nur mit Zusatzwerkzeug möglich.
  5. DNS im Router umstellen. Sobald AdGuard Home sauber filtert, ändern Sie im Router den DNS-Server auf die neue IP. Lassen Sie Pi-hole noch ein paar Tage stehen, falls Sie zurück müssen.
  6. Beobachten und feinjustieren. Prüfen Sie das Query-Log auf False Positives. Banking, Login-Dienste und Paketverfolgung sind die üblichen Verdächtigen für nötige Ausnahmen.

Der umgekehrte Weg, von AdGuard Home zu Pi-hole, funktioniert nach demselben Prinzip. Exportieren Sie Ihre Filterlisten-URLs und Ausnahmen, installieren Sie Pi-hole, tragen Sie die Listen ein und stellen Sie zuletzt den Router um. Da beide auf offenen Standards basieren, gibt es keinen Lock-in. Wichtig in beiden Richtungen: Immer nur ein Tool darf gleichzeitig auf Port 53 die DNS-Rolle übernehmen.

Vor- und Nachteile im Überblick

Pi-hole: Stärken und Schwächen

  • Pro: Größte Community und riesiges Ökosystem aus Skripten, Apps und Integrationen.
  • Pro: Sehr detailliertes Query-Log, ideal für Fehlersuche und Transparenz.
  • Pro: In Kombination mit Unbound ein vollwertiger eigener rekursiver Resolver ohne Drittanbieter.
  • Pro: v6 deutlich schlanker durch Wegfall von PHP und lighttpd.
  • Contra: Verschlüsseltes DNS nur mit Zusatzwerkzeugen.
  • Contra: Keine eingebaute Kindersicherung oder Safe Search.
  • Contra: Nur unter Linux nativ lauffähig.

AdGuard Home: Stärken und Schwächen

  • Pro: Verschlüsseltes DNS (DoH, DoT, DoQ) als Upstream und als Server eingebaut.
  • Pro: Kindersicherung, Safe Search und Safe Browsing ab Werk.
  • Pro: Einzelne Go-Binärdatei, plattformübergreifend (Linux, Windows, macOS, FreeBSD).
  • Pro: Einfache Client-Verwaltung mit eigenen Regeln pro Gerät.
  • Contra: Kleinere Community als Pi-hole.
  • Contra: Query-Log etwas weniger detailverliebt.
  • Contra: Kein klassisches Unbound-Resolver-Konzept als Standardweg.

Welche Lösung für wen? Fünf klare Empfehlungen

  • Für Einsteiger und Familien: AdGuard Home. Alles Wichtige ist eingebaut, die Installation ist denkbar einfach, Kindersicherung inklusive.
  • Für Privacy-Puristen: Pi-hole plus Unbound. Ein eigener rekursiver Resolver ohne jeden Drittanbieter ist hier der Goldstandard.
  • Für NAS- und Container-Nutzer: AdGuard Home. Die einzelne Binärdatei läuft besonders sauber im Docker-Setup.
  • Für Homelab-Tüftler: Pi-hole. Das größte Ökosystem, die tiefsten Logs und unzählige Community-Erweiterungen.
  • Für Nutzer unterwegs: AdGuard Home. Als verschlüsselter DoH- oder DoQ-Server filtert es das Smartphone auch im Mobilfunknetz.

Wer sich nicht entscheiden kann, sollte beide an einem Wochenende testen. Da beide kostenlos sind und in Minuten installiert sind, kostet der Vergleich nur etwas Zeit. Viele Anwender betreiben am Ende sogar zwei Instanzen, eine pro Tool, als gegenseitiges Fallback, bis sie sich festgelegt haben.

Stimmen aus der Community und Expertensicht

In der deutschsprachigen Self-Hosting- und Homelab-Szene, etwa in den Foren von Heise und ct sowie in den großen Subreddits r/pihole und r/selfhosted, zeichnet sich 2026 ein klarer Konsens ab: Beide Tools sind technisch ausgereift, die Wahl ist eine Frage der Prioritäten, nicht der Qualität. Das Pi-hole-Team selbst bewirbt v6 als bedeutendste Umstellung der Projektgeschichte, mit Fokus auf einen kleineren Fußabdruck und natives HTTPS. AdGuard positioniert AdGuard Home offensiv als All-in-One-Lösung mit eingebautem verschlüsseltem DNS.

Bekannte Tech-Kanäle, die sich mit Self-Hosting und Netzwerksicherheit befassen, etwa NetworkChuck oder Wolfgangs Channel, empfehlen typischerweise AdGuard Home für Einsteiger wegen der einfachen Einrichtung und Pi-hole für alle, die tiefer ins Networking einsteigen und einen eigenen rekursiven Resolver betreiben wollen. Dieser Tenor deckt sich mit unserer eigenen Einschätzung: Es gibt keinen objektiven Gesamtsieger, sondern den passenderen Kandidaten für das jeweilige Szenario. Wer das Thema Verschlüsselung und DNS-Privatsphäre grundsätzlich vertiefen will, findet in unserem Beitrag Tor vs VPN weitere Einordnung.

Fazit: Klares Urteil mit Daten

Nach allen Kriterien lautet das Urteil 2026 differenziert, aber eindeutig. AdGuard Home ist die bessere Wahl für die Mehrheit der Nutzer, weil es verschlüsseltes DNS (DoH, DoT, DoQ), Kindersicherung, Safe Search und granulare Client-Verwaltung in einer einzigen, plattformübergreifenden Binärdatei ab Werk liefert. Wer ohne Bastelei ein modernes, sicheres und familientaugliches DNS-Filter-Setup will, ist hier am schnellsten am Ziel. Die GPL-3.0-Lizenz und rund 34.800 GitHub-Sterne stehen für ein stabiles, aktiv gepflegtes Projekt, dessen aktuelle Version v0.107.77 vom Juni 2026 stammt.

Pi-hole bleibt die erste Wahl für Technik-Enthusiasten und Privacy-Puristen. Mit über 59.300 GitHub-Sternen, dem größten Ökosystem, dem detailliertesten Query-Log und der Möglichkeit, über Unbound einen vollständig eigenen rekursiven Resolver ohne jeden Drittanbieter zu betreiben, ist Pi-hole nach wie vor unschlagbar in Sachen Kontrolle und Transparenz. Die v6-Umstellung vom Februar 2025 hat das Projekt mit nativem HTTPS und dem Wegfall von PHP und lighttpd technisch modernisiert. Die aktuelle Core-Version v6.4.2 zeigt: Hier wird weiterhin engagiert entwickelt.

Beide kosten null Euro, beide sind quelloffen, beide blockieren Werbung im gesamten Netzwerk hervorragend. Der wahre Verlierer in diesem Vergleich ist die Werbe- und Tracking-Industrie. Unsere Empfehlung: Starten Sie mit AdGuard Home, wenn Sie Komfort und Verschlüsselung wollen, und wechseln Sie zu Pi-hole plus Unbound, sobald Sie tiefer einsteigen möchten. Dank offener Standards ist der Wechsel jederzeit möglich.

Häufige Fragen zu Pi-hole vs AdGuard Home

Ist Pi-hole oder AdGuard Home besser?

Es gibt keinen Gesamtsieger. AdGuard Home ist besser für Einsteiger, Familien und alle, die verschlüsseltes DNS ohne Zusatzaufwand wollen. Pi-hole ist besser für Technik-Enthusiasten, die einen eigenen rekursiven Resolver, das detaillierteste Query-Log und das größte Ökosystem schätzen. Beide blockieren Werbung gleich gut.

Sind Pi-hole und AdGuard Home wirklich kostenlos?

Ja, beide sind vollständig kostenlos und quelloffen. Pi-hole steht unter der EUPL-Lizenz, AdGuard Home unter GPL-3.0. Es gibt keine Lizenzgebühren und keine Funktionssperren. Kosten entstehen nur durch Hardware wie einen Raspberry Pi und den Strom.

Kann AdGuard Home verschlüsseltes DNS ohne Zusatzsoftware?

Ja. AdGuard Home unterstützt DNS-over-HTTPS, DNS-over-TLS und DNS-over-QUIC nativ, sowohl als verschlüsselten Upstream als auch als eigenständiger verschlüsselter DNS-Server. Pi-hole braucht dafür Zusatzwerkzeuge wie cloudflared oder Unbound.

Was hat sich mit Pi-hole v6 geändert?

Pi-hole v6 (Februar 2025) integrierte Webserver und REST-API direkt in pihole-FTL, entfernte die Abhängigkeiten lighttpd und PHP, brachte natives HTTPS, eine konsolidierte TOML-Konfiguration und eine überarbeitete Oberfläche mit Basic- und Expert-Modus. Das offizielle Docker-Image basiert nun auf Alpine Linux.

Brauche ich einen Raspberry Pi dafür?

Nein. Ein Raspberry Pi ist beliebt und günstig, aber beide laufen auch auf einem NAS (Synology, QNAP, Unraid), einem Mini-PC, einem alten Rechner oder per Docker. AdGuard Home läuft zusätzlich nativ unter Windows, macOS und FreeBSD, Pi-hole nur unter Linux oder im Container.

Kann ich von Pi-hole zu AdGuard Home wechseln, ohne Listen zu verlieren?

Ja. Beide nutzen dieselben öffentlichen Blocklisten. Sie übertragen einfach Ihre Blocklisten-URLs und Whitelist-Einträge, installieren das neue Tool parallel und stellen erst den Router um, wenn alles sauber filtert. Es gibt keinen Lock-in, der Wechsel funktioniert in beide Richtungen.

Blockieren beide auch Werbung in Apps und auf dem Smart-TV?

Ja, beide filtern auf DNS-Ebene und blockieren daher Werbe- und Tracking-Domains für jedes Gerät im Netz, auch in Apps und auf Smart-TVs. Grenzen gibt es bei Werbung, die über dieselbe Domain wie der eigentliche Inhalt ausgeliefert wird, etwa bei manchen Streaming-Diensten. Das ist eine prinzipielle Grenze von DNS-Filterung, die für beide Tools gilt.

Welche Lösung ist sparsamer beim Ressourcenverbrauch?

Beide sind extrem sparsam und laufen schon auf einem Raspberry Pi Zero. Pi-hole v6 wurde durch den Wegfall von PHP und lighttpd schlanker, AdGuard Home profitiert von der effizienten Go-Laufzeit als einzelne Binärdatei. Für den typischen Haushalt ist keine der beiden je der Flaschenhals.

Weiterführende offizielle Quellen: Pi-hole Projektseite, Pi-hole Dokumentation, Ankündigung Pi-hole v6, AdGuard Home Übersicht und der AdGuard Home Quellcode auf GitHub.