FRITZ!OS 8.51: DNS-Filter, WireGuard-Kill-Switch und kein fritz.box mehr per DHCP

FRITZ! verteilt seit dem 4. November 2026 FRITZ!OS 8.51. Laut den Versionshinweisen im Downloadbereich des Herstellers haben bisher die FRITZ!Box 7632 und der FRITZ!Repeater 6000 (4. November) sowie die FRITZ!Box 7630, 4690, 4630, 4050, 6690 Cable und 6670 Cable (5. November) das Update erhalten. Auf den FRITZ!Boxen bringt die Version neben neuen Funktionen wie DNS-Filterlisten und einem Kill-Switch für WireGuard eine Änderung, die im Heimnetz und im kleinen Büro Namensauflösungen brechen kann.

Relevant ist das für alle, die Geräte im Netz über Kurznamen ansprechen, etwa Drucker, NAS oder Server, und sich dabei auf die Endung „fritz.box“ verlassen. Sicherheitskorrekturen benennt FRITZ! in den Versionshinweisen nicht. Aus Sicht von S-EDV lässt sich das Update deshalb planen, die Namensauflösung sollte danach aber geprüft werden. Der Repeater 6000 erhält mit 8.51 laut seinen Hinweisen nur Fehlerbehebungen.

Was ist neu?

Die wichtigste Neuerung ist der DNS-Filter: DNS-Anfragen aus Heim- und Gastnetz lassen sich über Filterlisten sperren, etwa für Werbung, Tracker oder Malware-Domains. Die Listen werden unter Heimnetz, Netzwerk, Netzwerkeinstellungen, Erweiterte Netzwerkeinstellungen ändern, DNS-Filter eingerichtet und lassen sich periodisch aktualisieren. In den Versionshinweisen der 4050 fehlt der DNS-Filter, er kommt also nicht auf jedes Modell. Dazu kommt bei den DSL-, Glasfaser- und LAN-Modellen eine automatische Priorisierung von Videokonferenzen und anderer echtzeitkritischer Kommunikation, die S-EDV im Oktober schon aus der Laborversion beschrieben hat. In den Hinweisen der Kabelboxen fehlt sie.

Bei WireGuard gibt es mehrere Verbesserungen: Nach Ausfall einer Verbindung gehen dafür vorgesehene Daten nicht mehr über die normale Internetverbindung (Kill-Switch), die MTU ist einstellbar, Verbindungen lassen sich ohne MyFRITZ!- oder DynDNS-Adresse anlegen und Portfreigaben sind bei Firmenkopplungen auch über WireGuard möglich. Das Let's-Encrypt-Zertifikat der MyFRITZ!-Adresse wird künftig nach zwei Dritteln der Laufzeit erneuert.

Für wen ist das relevant?

Die Änderung mit den meisten Folgen steht im Abschnitt Heimnetz: Das DNS-Suffix „fritz.box“ wird in der Voreinstellung nicht mehr per DHCP an Heimnetzgeräte verteilt. Geräte wiederholen fehlgeschlagene Namensanfragen deshalb nicht mehr automatisch mit dieser Endung. Wer bisher ein NAS als „nas“ statt „nas.fritz.box“ angesprochen hat, dürfte nach dem Update Fehlermeldungen sehen. Das ist eine eigene Ableitung aus der Herstellerbeschreibung. Für die lokale Namensauflösung per mDNS nennt FRITZ! zusätzlich Namen wie fritzbox.local und router.local.

Wie kritisch ist das?

Die Versionshinweise nennen keine geschlossene Sicherheitslücke. Behoben ist unter anderem, dass Internetsperren der Kindersicherung bei Nutzung einer VPN-Verbindung nicht mehr griffen, was für Schutzfunktionen durchaus relevant ist. Die Seite mit den aktuellen Sicherheitshinweisen des Herstellers nennt 8.51 bisher nicht. In den Hinweisen zur 6690 Cable und 6670 Cable schreibt FRITZ!, mit jedem Update würden auch die Sicherheitsfunktionen aktualisiert, und empfiehlt das Update grundsätzlich.

Was sollten Admins jetzt tun?

• Inventar: Modell und FRITZ!OS-Stand aller Boxen und Repeater erfassen, das Update erscheint modellweise.
• Vor dem Update Skripte, Freigaben, Drucker- und Backup-Ziele auf Kurznamen ohne Domain prüfen und auf vollständige Namen oder feste Adressen umstellen.
• Wer das alte Verhalten braucht, aktiviert die Verteilung unter Heimnetz, Netzwerk, Netzwerkeinstellungen, Erweiterte Netzwerkeinstellungen, IPv4, DHCP wieder.
• Nach dem Update WireGuard-Verbindungen und Firmenkopplungen testen und prüfen, ob und wie der neue Kill-Switch greift.
• DNS-Filter nur nutzen, wenn kein eigener Filter wie Pi-hole oder AdGuard Home läuft, sonst wird doppelt gefiltert.

Einordnung für Unternehmen

In kleinen Büros übernimmt die FRITZ!Box oft DHCP und DNS. Dort dürfte nach Einschätzung von S-EDV die Suffix-Änderung der Punkt sein, an dem nach dem Update Supportanrufe entstehen. Der DNS-Filter kann einen einfachen Schutz gegen bekannte Schaddomains liefern, ersetzt aber keinen zentral verwalteten Filter mit Protokollierung.

Passende Anleitungen auf S-EDV

• FRITZ!Box-Labor: 4690 priorisiert Videocalls automatisch
• Pi-hole mit Docker: netzwerkweiter Werbe- und Tracker-Blocker
• WireGuard-VPN für Homeoffice und Standortvernetzung einrichten

Quellen

• FRITZ!: Versionshinweise FRITZ!OS 8.51 für die FRITZ!Box 7630
• FRITZ!: Versionshinweise FRITZ!OS 8.51 für die FRITZ!Box 7632
• FRITZ!: Versionshinweise FRITZ!OS 8.51 für die FRITZ!Box 4690
• FRITZ!: Versionshinweise FRITZ!OS 8.51 für die FRITZ!Box 4050
• FRITZ!: Versionshinweise FRITZ!OS 8.51 für die FRITZ!Box 6690 Cable
• FRITZ!: Aktuelle Sicherheitshinweise
• Deskmodder: Meldung zu FRITZ!OS 8.51 für 7630, 4690, 4630 und 4050