AdGuard Home auf der Synology mit Docker: netzwerkweiter Werbeblocker und DNS für die FritzBox

Browser-Plugins blockieren Werbung und Tracker nur auf einzelnen Geräten, nicht auf dem Smart-TV, dem Tablet der Kinder oder bei IoT-Geräten, die nach Hause telefonieren. AdGuard Home arbeitet als DNS-Server für das gesamte Heimnetz und löst Werbe- und Tracking-Domains einfach nicht auf. Die Anleitung zeigt die Installation als Docker-Container mit dem Container Manager (DSM 7.2) auf einer Synology-NAS, die Lösung des Port-53-Konflikts und die FritzBox-Einstellung, damit jedes Gerät profitiert.

Was ist AdGuard Home – und warum auf der NAS?

AdGuard Home ist ein quelloffener, netzwerkweiter DNS-Server mit integriertem Filter. Steht eine angefragte Domain auf einer Filterliste, antwortet er mit einer leeren Adresse, das Werbeskript wird nie geladen. Im Vergleich zu Pi-hole bringt AdGuard Home eine modernere Weboberfläche, verschlüsseltes DNS (DoH/DoT) und Per-Client-Regeln mit.

Die NAS läuft ohnehin rund um die Uhr, verbraucht wenig Strom und hat eine feste IP. Der Container kapselt AdGuard vom DSM-System ab und lässt sich jederzeit aktualisieren oder zurückrollen.

Voraussetzungen

1. Synology-NAS mit DSM 7.2 oder neuer und installiertem Paket Container Manager (Paket-Zentrum).
2. Ein DSM-Konto mit Administrator-Rechten.
3. Eine feste IP-Adresse für die NAS im Heimnetz (in der FritzBox unter Heimnetz > Netzwerk die NAS auswählen und „Diesem Gerät immer die gleiche IPv4-Adresse zuweisen“ aktivieren). Im Folgenden dient 192.168.178.10 als Beispiel, ersetzen Sie sie durch die echte NAS-IP.
4. Freier Port 53 (TCP und UDP) auf der NAS. Das ist der kritische Punkt – dazu gleich mehr.
5. Eine FritzBox (oder anderer Router) mit der Möglichkeit, den lokalen DNS-Server zu ändern.
6. Ressourcen: Im Test belegte der Container rund 45 MB Arbeitsspeicher, das Image ist 114 MB groß. Jedes Synology-Modell mit Container Manager (x86_64 oder ARM64) reicht.

Der Port-53-Konflikt: ehrlich vorab

Port 53 ist der Standard-Port für DNS. Ist das DSM-Paket DNS Server installiert, belegt es ihn bereits; auch andere Dienste können ihn beanspruchen. AdGuard Home muss aber auf Port 53 lauschen, sonst können die Geräte es nicht als DNS nutzen.

Prüfen Sie per SSH (in DSM unter Systemsteuerung > Terminal & SNMP aktivieren), ob Port 53 frei ist:

sudo netstat -tulpn | grep ':53 '

Ohne Ausgabe ist der Port frei. Erscheint eine Zeile, läuft dort ein Dienst: Deinstallieren Sie das DSM-Paket „DNS Server“, sofern Sie es nicht brauchen. Ein anderer Host-Port für AdGuard hilft nicht, weil Geräte DNS immer auf Port 53 abfragen. Den Admin-Web-Port legt diese Anleitung auf 8080, damit er nicht mit DSM (Port 80/443) kollidiert.

Schritt 1: Datenordner anlegen

AdGuard Home speichert Konfiguration und Filterlisten in zwei Verzeichnissen, die als Bind-Mounts (in den Container eingebundene NAS-Ordner) dienen. Legen Sie sie in der File Station an:

1. Öffnen Sie die File Station und wechseln Sie in den freigegebenen Ordner docker (existiert er nicht, legen Sie ihn an).
2. Erstellen Sie darin den Ordner adguardhome und darunter die beiden Unterordner work und conf.

Die Zielstruktur sieht so aus:

/volume1/docker/adguardhome/work
/volume1/docker/adguardhome/conf

Verifizieren: In der File Station sind unter docker/adguardhome genau die beiden leeren Ordner work und conf zu sehen.

Schritt 2: docker-compose.yml vorbereiten

AdGuard Home läuft als Compose-Projekt, das leichter zu warten ist als eine manuelle Container-Anlage. Speichern Sie folgende Datei als docker-compose.yml im Ordner /volume1/docker/adguardhome:

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "3000:3000/tcp"
      - "8080:80/tcp"
    volumes:
      - /volume1/docker/adguardhome/work:/opt/adguardhome/work
      - /volume1/docker/adguardhome/conf:/opt/adguardhome/conf

Kurz erklärt:

1. 53:53 (TCP und UDP) ist der eigentliche DNS-Dienst – darauf zeigt später die FritzBox.
2. 3000:3000 wird nur einmalig für den Ersteinrichtungs-Assistenten gebraucht.
3. 8080:80 bildet die spätere Admin-Oberfläche auf den freien Host-Port 8080 ab, damit DSM seinen Port 80 behält.
4. restart: unless-stopped sorgt dafür, dass AdGuard nach einem NAS-Neustart automatisch wieder hochfährt.

Alternativ nutzen Sie das Host-Netzwerk (network_mode: host) ohne Port-Mapping. Der Container hört dann direkt auf allen NAS-Ports, was auf der Synology schnell mit DSM-Diensten kollidiert; die Port-Variante oben ist robuster.

Verifizieren: Die Datei docker-compose.yml liegt in /volume1/docker/adguardhome neben den Ordnern work und conf. Im Test lief genau diese Port-Zuordnung mit AdGuard Home v0.107.79 fehlerfrei.

Schritt 3: Projekt im Container Manager erstellen

1. Öffnen Sie den Container Manager und wechseln Sie links auf Projekt.
2. Klicken Sie auf Erstellen.
3. Vergeben Sie als Projektnamen adguardhome.
4. Wählen Sie als Pfad /volume1/docker/adguardhome; der Container Manager erkennt die docker-compose.yml automatisch. Alternativ „Eine docker-compose.yml erstellen“ und den YAML-Inhalt aus Schritt 2 einfügen.
5. Bestätigen Sie die folgenden Dialoge. Den optionalen Web-Portal-Schritt können Sie überspringen.
6. Klicken Sie auf Fertig. Der Container Manager lädt das Image adguard/adguardhome:latest herunter und startet den Container.

Sobald der Status auf „läuft“ steht, ist AdGuard Home aktiv und wartet auf die Ersteinrichtung.

Verifizieren: Im Container Manager steht das Projekt adguardhome auf „läuft“. Im Protokoll des Containers erscheint die Zeile „This is the first launch of AdGuard Home, redirecting everything to /install.html“.

Schritt 4: Ersteinrichtung im Browser

Öffnen Sie im Browser die Setup-Oberfläche über Port 3000:

http://192.168.178.10:3000

1. Der Willkommensbildschirm erscheint. Klicken Sie auf Anfangen.
2. Admin-Weboberfläche: Belassen Sie die Schnittstelle auf „Alle Schnittstellen“ und setzen Sie den Port auf 80 (das ist der Container-interne Port, von außen erreichen Sie ihn später über 8080).
3. DNS-Server: Belassen Sie die Schnittstelle auf „Alle Schnittstellen“ und den Port auf 53.
4. Legen Sie einen Benutzernamen und ein langes, einmaliges Passwort für die Admin-Oberfläche an; dieses Konto schützt die gesamte DNS-Konfiguration.
5. Schließen Sie den Assistenten ab.

Danach leitet AdGuard auf das Dashboard weiter; Port 3000 wird nicht mehr bedient. Die Verwaltung erreichen Sie dauerhaft über Port 8080:

http://192.168.178.10:8080

Melden Sie sich dort mit den eben angelegten Zugangsdaten an.

Verifizieren: http://192.168.178.10:8080 zeigt die Anmeldeseite, nach dem Login zeigt die Kopfzeile neben dem Logo das grüne Badge „AN“. Im Test leitete Port 8080 nach der Einrichtung wie beschrieben auf die Anmeldung weiter.

Schritt 5: Upstream-DNS und Filterlisten konfigurieren

Alle nicht blockierten Anfragen leitet AdGuard an einen echten DNS-Server weiter, den Upstream-DNS.

1. Gehen Sie im Dashboard auf Einstellungen > DNS-Einstellungen.
2. Tragen Sie im Feld „Upstream-DNS-Server“ einen oder mehrere Anbieter ein, z. B. Quad9 oder Cloudflare:

https://dns.quad9.net/dns-query
9.9.9.9

https://cloudflare-dns.com/dns-query
1.1.1.1

Die https://-Einträge nutzen DNS-over-HTTPS (verschlüsselt), die IP-Zeilen sind unverschlüsselte Server. AdGuard verteilt die Anfragen standardmäßig auf alle Upstreams (Lastverteilung, kein reiner Fallback). Für ausschließlich verschlüsselte Auflösung tragen Sie nur die https://-Zeilen ein. Klicken Sie auf Upstreams testen und dann auf Anwenden.

Unter Filter > DNS-Blocklisten ist der AdGuard DNS filter bereits aktiv. Über Blockliste hinzufügen > Aus Liste auswählen aktivieren Sie weitere kuratierte Listen (etwa EasyList oder eine Anti-Tracking-Liste). Zu viele überlappende Listen erhöhen die Gefahr von Fehlsperrungen (False Positives), ohne den Schutz spürbar zu verbessern.

Verifizieren: „Upstreams testen“ meldet für jeden Eintrag Erfolg, und unter Filter > DNS-Blocklisten ist mindestens der „AdGuard DNS filter“ aktiviert.

Schritt 6: FritzBox als DNS-Client einrichten

Damit das gesamte Heimnetz AdGuard nutzt, verteilt die FritzBox die NAS-IP per DHCP als DNS-Server. Der Menüpfad folgt der aktuellen AVM-Anleitung.

1. Öffnen Sie die FritzBox-Oberfläche unter http://fritz.box und melden Sie sich an.
2. Klicken Sie auf Heimnetz > Netzwerk und dort auf die Registerkarte Netzwerkeinstellungen.
3. Klicken Sie auf Erweiterte Netzwerkeinstellungen ändern und wechseln Sie auf die Registerkarte IPv4.
4. Tragen Sie im Abschnitt „DHCP“ im Feld „Lokaler DNS-Server“ die IP der NAS ein, also 192.168.178.10.
5. Klicken Sie auf Übernehmen und bestätigen Sie die Änderung an der FritzBox, falls sie danach fragt.

Ab jetzt laufen sämtliche DNS-Anfragen im Netz über AdGuard Home. Manche Geräte übernehmen die Änderung erst nach Neustart oder neuer DHCP-Lease; im Zweifel WLAN kurz trennen. Laut AVM ist die FritzBox auf diesen Geräten danach nicht mehr über fritz.box erreichbar, sondern nur über ihre IP, in den Werkseinstellungen 192.168.178.1.

Nicht verwechseln: Internet > Zugangsdaten > DNS-Server legt fest, welche DNS-Server die FritzBox selbst fragt; für AdGuard Home ist das nicht nötig.

Verifizieren: Auf einem Windows-Rechner zeigt ipconfig /all nach einer neuen DHCP-Lease (ipconfig /renew) unter „DNS-Server“ die Adresse 192.168.178.10.

Wichtig: Legen Sie in AdGuard sinnvolle Upstream-Server fest und testen Sie sie, bevor Sie die FritzBox umstellen. Ist AdGuard nicht erreichbar oder falsch konfiguriert, fällt im ganzen Netz die Namensauflösung aus.

Schritt 7: Funktion testen

Prüfen Sie an einem beliebigen Gerät im Netz, ob AdGuard greift:

1. Im AdGuard-Dashboard unter Anfrage-Protokoll erscheinen live DNS-Anfragen aus Ihrem Netz; die Geräte nutzen AdGuard.
2. Auf einem Windows-Rechner zeigt nslookup doubleclick.net die Antwort 0.0.0.0, die Werbedomain wird blockiert.
3. Rufen Sie eine werbelastige Website auf: Banner und Pop-ups sollten deutlich seltener erscheinen.

Nach einigen Stunden zeigt die Statistik „Blockiert durch Filter“, wie viele Anfragen AdGuard abgefangen hat.

Verifizieren: nslookup doubleclick.net 192.168.178.10 liefert 0.0.0.0, nslookup s-edv.com 192.168.178.10 eine normale öffentliche Adresse. Im Test mit der Standard-Sperrliste „AdGuard DNS filter“ lieferte AdGuard Home für doubleclick.net genau 0.0.0.0.

Updates und Wartung

AdGuard aktuell zu halten ist im Container Manager unkompliziert:

1. Öffnen Sie den Container Manager und gehen Sie auf Projekt > adguardhome.
2. Stoppen Sie das Projekt, wählen Sie Erstellen / Build bzw. laden Sie über Abbild das aktuelle adguard/adguardhome:latest neu und starten Sie das Projekt wieder. Die Daten in work und conf bleiben durch die Bind-Mounts erhalten.

Für ein stabiles Setup schreiben Sie statt :latest einen festen Versions-Tag fest (z. B. adguard/adguardhome:v0.107.79, Stand 29.09.2026) und aktualisieren bewusst.

Backup

Die gesamte Konfiguration steckt in /volume1/docker/adguardhome/conf (vor allem AdGuardHome.yaml). Nehmen Sie /volume1/docker/adguardhome in Ihre Hyper Backup-Sicherung auf. Nach Defekt oder Umzug spielen Sie den Ordner zurück und legen das Projekt im Container Manager neu an.

Troubleshooting

1. Container startet nicht / Port 53 belegt: Ein anderer Dienst (oft das DSM-Paket „DNS Server“) hält Port 53. Mit sudo netstat -tulpn | grep ':53 ' den Verursacher finden und das Paket deinstallieren oder den Dienst stoppen.
2. Kein Internet im ganzen Netz nach FritzBox-Umstellung: AdGuard ist nicht erreichbar oder der Upstream falsch. Zur Diagnose in der FritzBox kurz wieder einen öffentlichen DNS eintragen, AdGuard prüfen, dann erneut umstellen.
3. Admin-Oberfläche nicht erreichbar: Nach der Ersteinrichtung ist Port 3000 geschlossen, die Verwaltung läuft jetzt auf http://192.168.178.10:8080.
4. FritzBox-Oberfläche über fritz.box nicht mehr erreichbar: Das ist mit einem lokalen DNS-Server laut AVM normal. Die Oberfläche über http://192.168.178.1 aufrufen.
5. Bestimmte Seite funktioniert nicht mehr: Eine Filterliste blockiert eine nötige Domain (False Positive). Im Anfrage-Protokoll die geblockte Domain suchen und über „Zur Ausnahmeliste hinzufügen“ freigeben.
6. Geräte nutzen weiter den alten DNS: DHCP-Lease erneuern (Gerät neu starten oder WLAN trennen). Manche Geräte mit fest eingetragenem DNS (z. B. 8.8.8.8) umgehen AdGuard – diese Einträge dort entfernen.

Fazit

AdGuard Home auf der Synology schützt jedes Gerät im Heimnetz vor Werbung und Tracking, vom Smartphone bis zum Smart-TV, ohne Software auf den Endgeräten. Der einzige echte Stolperstein ist Port 53, den die Prüfung aus Schritt 1 früh aufdeckt. Verschlüsseltes Upstream-DNS, Per-Client-Regeln und Kindersicherungs-Filter bringt AdGuard bereits mit.

Den Weg über ein Compose-Projekt erklärt die Anleitung Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen ausführlicher. Ist die DSM-Firewall aktiv, gibt DSM-Firewall: Ports für Docker-Container freigeben die Ports 53 und 8080 frei. Eine Alternative zu AdGuard Home beschreibt Pi-hole mit Docker.

Weitere Anleitungen in den Kategorien Synology / NAS und Docker.

Quellen: AdGuard Home auf GitHub, adguard/adguardhome auf Docker Hub, AdGuard Home Docker Wiki, AVM: Andere DNS-Server in FRITZ!Box einrichten