Werbung und Tracker lassen sich auf einzelnen Geräten mit Browser-Plugins blockieren – aber das hilft nicht auf dem Smart-TV, dem Tablet der Kinder oder bei IoT-Geräten, die nach Hause telefonieren. AdGuard Home löst das Problem an der Wurzel: als DNS-Server für das gesamte Heimnetz. Jede Anfrage nach einer Werbe- oder Tracking-Domain wird einfach nicht aufgelöst. Diese Anleitung zeigt dir, wie du AdGuard Home als Docker-Container auf deiner Synology-NAS mit dem Container Manager (DSM 7.2) installierst, den typischen Port-53-Konflikt sauber löst und anschließend deine FritzBox so einstellst, dass jedes Gerät im Netzwerk profitiert.

Was ist AdGuard Home – und warum auf der NAS?

AdGuard Home ist ein quelloffener, netzwerkweiter DNS-Server mit integriertem Filter. Statt jede Domain blind aufzulösen, gleicht er jede Anfrage gegen Filterlisten ab. Steht eine Werbe- oder Tracking-Domain auf der Liste, antwortet AdGuard mit einer leeren Adresse – das Werbeskript wird nie geladen. Der Effekt ist vergleichbar mit Pi-hole, AdGuard Home bringt aber eine modernere Weboberfläche, verschlüsseltes DNS (DoH/DoT) und Per-Client-Regeln direkt mit.

Die NAS ist dafür der ideale Standort: Sie läuft ohnehin rund um die Uhr, verbraucht wenig Strom und ist über eine feste IP erreichbar. Ein Docker-Container kapselt AdGuard sauber vom DSM-System ab und lässt sich jederzeit aktualisieren oder zurückrollen.

Voraussetzungen

Synology-NAS mit DSM 7.2 oder neuer und installiertem Paket Container Manager (Paket-Zentrum).
Ein DSM-Konto mit Administrator-Rechten.
Eine feste IP-Adresse für die NAS im Heimnetz (in der FritzBox unter Heimnetz > Netzwerk die NAS auswählen und „Diesem Gerät immer die gleiche IPv4-Adresse zuweisen" aktivieren). Im Folgenden dient 192.168.178.10 als Beispiel – ersetze sie durch deine echte NAS-IP.
Freier Port 53 (TCP und UDP) auf der NAS. Das ist der kritische Punkt – dazu gleich mehr.
Eine FritzBox (oder anderer Router) mit der Möglichkeit, den lokalen DNS-Server zu ändern.

Der Port-53-Konflikt: ehrlich vorab

Port 53 ist der Standard-Port für DNS – und genau dort wird es auf der Synology eng. Wenn du das DSM-Paket DNS Server installiert hast, belegt es Port 53 bereits. Auch andere Dienste können ihn beanspruchen. AdGuard Home muss aber auf Port 53 lauschen, sonst können die Geräte im Netz es nicht als DNS nutzen.

Prüfe daher zuerst, ob Port 53 frei ist. Am einfachsten per SSH (in DSM unter Systemsteuerung > Terminal & SNMP aktivieren), dann:

sudo netstat -tulpn | grep ':53 '

Kommt keine Ausgabe, ist der Port frei – perfekt. Erscheint eine Zeile, läuft dort bereits ein Dienst. In dem Fall: das DSM-Paket „DNS Server" deinstallieren (sofern du es nicht brauchst) oder AdGuard auf einen anderen Host-Port legen und die FritzBox kann dann nicht direkt darauf zeigen. Für den Heimgebrauch ist die saubere Lösung: Port 53 frei machen und AdGuard direkt darauf binden. Den Admin-Web-Port von AdGuard legen wir bewusst auf 8080, damit es keinen Konflikt mit DSM (Port 80/443) gibt.

Schritt 1: Datenordner anlegen

AdGuard Home speichert Konfiguration und Filterlisten in zwei Verzeichnissen. Lege diese als Bind-Mounts in der File Station an:

Öffne die File Station und wechsle in den freigegebenen Ordner docker (existiert der nicht, lege ihn an).
Erstelle darin den Ordner adguardhome und darunter die beiden Unterordner work und conf.

Die Zielstruktur sieht so aus:

/volume1/docker/adguardhome/work
/volume1/docker/adguardhome/conf

Schritt 2: docker-compose.yml vorbereiten

Wir richten AdGuard Home als Compose-Projekt ein – das ist nachvollziehbarer und leichter zu warten als die manuelle Container-Anlage. Erstelle mit einem Texteditor folgende Datei und speichere sie als docker-compose.yml im Ordner /volume1/docker/adguardhome:

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "3000:3000/tcp"
      - "8080:80/tcp"
    volumes:
      - /volume1/docker/adguardhome/work:/opt/adguardhome/work
      - /volume1/docker/adguardhome/conf:/opt/adguardhome/conf

Kurz erklärt:

53:53 (TCP und UDP) ist der eigentliche DNS-Dienst – darauf zeigt später die FritzBox.
3000:3000 wird nur einmalig für den Ersteinrichtungs-Assistenten gebraucht.
8080:80 bildet die spätere Admin-Oberfläche auf den freien Host-Port 8080 ab, damit DSM seinen Port 80 behält.
restart: unless-stopped sorgt dafür, dass AdGuard nach einem NAS-Neustart automatisch wieder hochfährt.

Wer mag, nutzt statt der Bridge-Ports das Host-Netzwerk (network_mode: host). Das vermeidet jede Port-Mapping-Akrobatik, der Container hört dann aber direkt auf allen NAS-Ports – das kollidiert auf der Synology schnell mit DSM-Diensten. Für die meisten Setups ist die obige Port-Variante die robustere Wahl.

Schritt 3: Projekt im Container Manager erstellen

Öffne den Container Manager und wechsle links auf Projekt.
Klick auf Erstellen.
Vergib als Projektnamen adguardhome.
Wähle als Pfad den Ordner /volume1/docker/adguardhome. Der Container Manager erkennt die dort liegende docker-compose.yml automatisch. Alternativ wählst du „Eine docker-compose.yml erstellen" und fügst den YAML-Inhalt aus Schritt 2 direkt ein.
Bestätige die folgenden Dialoge. Den optionalen Reverse-Proxy- oder Web-Portal-Schritt kannst du überspringen.
Klick auf Fertig. Der Container Manager lädt das Image adguard/adguardhome:latest herunter und startet den Container.

Sobald der Status auf „läuft" steht, ist AdGuard Home aktiv und wartet auf die Ersteinrichtung.

Schritt 4: Ersteinrichtung im Browser

Öffne im Browser die Setup-Oberfläche über Port 3000:

http://192.168.178.10:3000

Der Willkommensbildschirm erscheint – klick auf Erste Schritte.
Admin-Weboberfläche: Belasse die Schnittstelle auf „Alle Schnittstellen" und setze den Port auf 80 (das ist der Container-interne Port, von außen erreichst du ihn später über 8080).
DNS-Server: Belasse Schnittstelle „Alle Schnittstellen" und Port 53.
Lege im nächsten Schritt einen Benutzernamen und ein starkes Passwort für die Admin-Oberfläche an. Dieses Konto schützt deine gesamte DNS-Konfiguration – nimm ein langes, einmaliges Passwort.
Schließe den Assistenten ab.

Nach dem letzten Schritt leitet AdGuard auf das normale Dashboard weiter. Ab jetzt erreichst du die Verwaltung dauerhaft über den Admin-Port 8080:

http://192.168.178.10:8080

Melde dich dort mit den eben angelegten Zugangsdaten an.

Schritt 5: Upstream-DNS und Filterlisten konfigurieren

AdGuard blockiert nur die unerwünschten Domains – alle anderen Anfragen muss es an einen echten DNS-Server weiterleiten. Das ist der Upstream-DNS.

Gehe im Dashboard auf Einstellungen > DNS-Einstellungen.
Trage im Feld „Upstream-DNS-Server" einen oder mehrere Anbieter ein, z. B. Quad9 oder Cloudflare:

https://dns.quad9.net/dns-query
9.9.9.9

https://cloudflare-dns.com/dns-query
1.1.1.1

Die https://-Einträge nutzen DNS-over-HTTPS (verschlüsselt), die IP-Zeilen sind der Fallback. Klick auf Upstreams testen und anschließend Speichern.

Nun die Filterlisten. Wechsle auf Filter > DNS-Sperrlisten. Standardmäßig ist bereits der AdGuard DNS filter aktiv – das ist eine solide Grundausstattung. Über Sperrliste hinzufügen > Aus der Liste auswählen kannst du weitere kuratierte Listen aktivieren (etwa EasyList oder eine Anti-Tracking-Liste). Weniger ist hier oft mehr: Zu viele überlappende Listen erhöhen die Gefahr von Fehlsperrungen (False Positives), ohne den Schutz spürbar zu verbessern.

Schritt 6: FritzBox als DNS-Client einrichten

Jetzt kommt der entscheidende Schritt, damit das gesamte Heimnetz AdGuard nutzt. Du sagst der FritzBox, dass sie die NAS-IP als lokalen DNS-Server an alle Geräte verteilen soll.

Öffne die FritzBox-Oberfläche unter http://fritz.box und melde dich an.
Aktiviere oben rechts die Erweiterte Ansicht.
Gehe zu Heimnetz > Netzwerk > Netzwerkeinstellungen und klick auf weitere Einstellungen / IPv4-Adressen – oder alternativ zu Internet > Zugangsdaten > DNS-Server.
Setze unter „Lokaler DNS-Server" die IP deiner NAS, also 192.168.178.10.
Speichern.

Da die FritzBox ihren DHCP-Clients standardmäßig sich selbst als DNS meldet und dann an AdGuard weiterreicht, laufen ab jetzt sämtliche DNS-Anfragen im Netz über AdGuard Home. Bei manchen Geräten greift die Änderung erst nach einem Neustart oder einer neuen DHCP-Lease – im Zweifel WLAN kurz trennen oder das Gerät neu starten.

Wichtig: Lege in AdGuard sinnvolle Upstream-Server fest und teste sie, bevor du die FritzBox umstellst. Ist AdGuard nicht erreichbar oder falsch konfiguriert, fällt im ganzen Netz die Namensauflösung aus.

Schritt 7: Funktion testen

Prüfe an einem beliebigen Gerät im Netz, ob AdGuard greift:

Öffne das AdGuard-Dashboard. Unter Anfrage-Protokoll solltest du live DNS-Anfragen aus deinem Netz sehen – ein klares Zeichen, dass die Geräte AdGuard nutzen.
Auf einem Windows-Rechner zeigt nslookup doubleclick.net idealerweise 0.0.0.0 oder eine Fehlermeldung – die Werbedomain wird blockiert.
Besuche eine werbelastige Website: Banner und Pop-ups sollten deutlich seltener erscheinen.

Im Dashboard siehst du zudem die Statistik „blockierte Anfragen" – nach ein paar Stunden Betrieb ist das die schönste Bestätigung, dass alles läuft.

Updates und Wartung

AdGuard aktuell zu halten ist im Container Manager unkompliziert:

Öffne den Container Manager, gehe auf Projekt > adguardhome.
Stoppe das Projekt, wähle Erstellen / Build bzw. ziehe über Abbild das aktuelle adguard/adguardhome:latest neu und starte das Projekt wieder. Die Daten in work und conf bleiben durch die Bind-Mounts erhalten.

Für ein produktives, stabiles Setup empfiehlt es sich, statt :latest einen festen Versions-Tag zu pinnen (z. B. eine konkrete Release-Version aus dem GitHub-Repository) und Updates bewusst durchzuführen. So kommt keine Aktualisierung zur Unzeit.

Backup

Die gesamte AdGuard-Konfiguration steckt im Ordner /volume1/docker/adguardhome/conf (insbesondere in der Datei AdGuardHome.yaml). Nimm das Verzeichnis /volume1/docker/adguardhome in deine reguläre Datensicherung mit Hyper Backup auf. Damit lässt sich AdGuard nach einem Defekt oder Umzug in Minuten wiederherstellen: Ordner zurückspielen, Projekt im Container Manager neu anlegen – fertig.

Troubleshooting

Container startet nicht / Port 53 belegt: Ein anderer Dienst (oft das DSM-Paket „DNS Server") hält Port 53. Mit sudo netstat -tulpn | grep ':53 ' den Verursacher finden und das Paket deinstallieren oder den Dienst stoppen.
Kein Internet im ganzen Netz nach FritzBox-Umstellung: AdGuard ist nicht erreichbar oder der Upstream falsch. Zur Diagnose in der FritzBox kurz wieder einen öffentlichen DNS eintragen, AdGuard prüfen, dann erneut umstellen.
Admin-Oberfläche nicht erreichbar: Du rufst nach der Ersteinrichtung weiterhin Port 3000 auf – die Verwaltung läuft jetzt auf http://192.168.178.10:8080.
Bestimmte Seite funktioniert nicht mehr: Eine Filterliste blockiert eine nötige Domain (False Positive). Im Anfrage-Protokoll die geblockte Domain suchen und über „Zur Ausnahmeliste hinzufügen" freigeben.
Geräte nutzen weiter den alten DNS: DHCP-Lease erneuern (Gerät neu starten oder WLAN trennen). Manche Geräte mit fest eingetragenem DNS (z. B. 8.8.8.8) umgehen AdGuard – diese Einträge dort entfernen.

Fazit

Mit AdGuard Home auf der Synology hast du einen netzwerkweiten Werbe- und Tracking-Blocker, der jedes Gerät im Heimnetz schützt – vom Smartphone bis zum Smart-TV, ganz ohne Software auf den Endgeräten. Die Installation über den Container Manager ist in wenigen Minuten erledigt, der einzige echte Stolperstein ist Port 53, den du mit der Prüfung aus dieser Anleitung sauber in den Griff bekommst. Wer mehr Kontrolle möchte, ergänzt verschlüsseltes Upstream-DNS, Per-Client-Regeln und Kindersicherungs-Filter – AdGuard bringt das alles von Haus aus mit.

Weitere Anleitungen in den Kategorien Synology / NAS und Docker.

Quellen: AdGuard Home auf GitHub, adguard/adguardhome auf Docker Hub, AdGuard Home Docker Wiki