AdGuard Home auf der Synology mit Docker: netzwerkweiter Werbeblocker und DNS für die FritzBox

Browser-Plugins blockieren Werbung und Tracker nur auf einzelnen Geräten, nicht auf dem Smart-TV, dem Tablet der Kinder oder bei IoT-Geräten, die nach Hause telefonieren. AdGuard Home arbeitet als DNS-Server für das gesamte Heimnetz und löst Werbe- und Tracking-Domains einfach nicht auf. Die Anleitung zeigt die Installation als Docker-Container mit dem Container Manager (DSM 7.2) auf einer Synology-NAS, die Lösung des Port-53-Konflikts und die FritzBox-Einstellung, damit jedes Gerät profitiert.

Was ist AdGuard Home, und warum auf der NAS?

AdGuard Home ist ein quelloffener, netzwerkweiter DNS-Server mit integriertem Filter. Steht eine angefragte Domain auf einer Filterliste, antwortet er mit einer leeren Adresse, das Werbeskript wird nie geladen. Im Vergleich zu Pi-hole bringt AdGuard Home eine modernere Weboberfläche, verschlüsseltes DNS (DoH/DoT) und Per-Client-Regeln mit.

Die NAS läuft ohnehin rund um die Uhr, verbraucht wenig Strom und hat eine feste IP. Der Container kapselt AdGuard vom DSM-System ab und lässt sich jederzeit aktualisieren oder zurückrollen.

Voraussetzungen

• Synology-NAS mit DSM 7.2 oder neuer und installiertem Paket Container Manager (Paket-Zentrum).
• Ein DSM-Konto mit Administrator-Rechten.
• SSH-Zugang zum NAS für die Portprüfung (Anleitung: SSH auf dem Synology NAS aktivieren und verbinden).
• Eine feste IP-Adresse für die NAS im Heimnetz (in der FritzBox unter Heimnetz > Netzwerk die NAS auswählen und „Diesem Gerät immer die gleiche IPv4-Adresse zuweisen“ aktivieren). Im Folgenden dient 192.168.178.10 als Beispiel, ersetzen Sie sie durch die echte NAS-IP.
• Freier Port 53 (TCP und UDP) auf der NAS. Das ist der kritische Punkt, dazu gleich mehr.
• Eine FritzBox (oder anderer Router) mit der Möglichkeit, den lokalen DNS-Server zu ändern.
• Ressourcen: Im Test belegte der Container rund 45 MB Arbeitsspeicher, das Image ist 114 MB groß. Jedes Synology-Modell mit Container Manager (x86_64 oder ARM64) reicht.

Der Port-53-Konflikt: ehrlich vorab

Port 53 ist der Standard-Port für DNS. Ist das DSM-Paket DNS Server installiert, belegt es ihn bereits; auch andere Dienste können ihn beanspruchen. AdGuard Home muss aber auf Port 53 lauschen, sonst können die Geräte es nicht als DNS nutzen.

Prüfen Sie per SSH (in DSM unter Systemsteuerung > Terminal & SNMP aktivieren), ob Port 53 frei ist:

$ sudo netstat -tulpn | grep ':53 '

Ohne Ausgabe ist der Port frei. Erscheint eine Zeile, läuft dort ein Dienst: Deinstallieren Sie das DSM-Paket „DNS Server“, sofern Sie es nicht brauchen. Ein anderer Host-Port für AdGuard hilft nicht, weil Geräte DNS immer auf Port 53 abfragen. Den Admin-Web-Port legt diese Anleitung auf 8080, damit er nicht mit DSM (Port 80/443) kollidiert.

Schritt 1: Datenordner anlegen

AdGuard Home speichert Konfiguration und Filterlisten in zwei Verzeichnissen, die als Bind-Mounts (in den Container eingebundene NAS-Ordner) dienen. Legen Sie sie in der File Station an:

1. Öffnen Sie die File Station und wechseln Sie in den freigegebenen Ordner docker (existiert er nicht, legen Sie ihn an).
2. Erstellen Sie darin den Ordner adguardhome und darunter die beiden Unterordner work und conf.

Die Zielstruktur sieht so aus:

/volume1/docker/adguardhome/work
/volume1/docker/adguardhome/conf

Schritt 2: docker-compose.yml vorbereiten

AdGuard Home läuft als Compose-Projekt, das leichter zu warten ist als eine manuelle Container-Anlage. Halten Sie folgenden Inhalt bereit, Sie fügen ihn in Schritt 3 direkt im Container Manager ein:

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "3000:3000/tcp"
      - "8080:80/tcp"
    volumes:
      - /volume1/docker/adguardhome/work:/opt/adguardhome/work
      - /volume1/docker/adguardhome/conf:/opt/adguardhome/conf

Kurz erklärt:

1. 53:53 (TCP und UDP) ist der eigentliche DNS-Dienst, darauf zeigt später die FritzBox.
2. 3000:3000 wird nur einmalig für den Ersteinrichtungs-Assistenten gebraucht.
3. 8080:80 bildet die spätere Admin-Oberfläche auf den freien Host-Port 8080 ab, damit DSM seinen Port 80 behält.
4. restart: unless-stopped sorgt dafür, dass AdGuard nach einem NAS-Neustart automatisch wieder hochfährt.

Alternativ nutzen Sie das Host-Netzwerk (network_mode: host) ohne Port-Mapping. Der Container hört dann direkt auf allen NAS-Ports, was auf der Synology schnell mit DSM-Diensten kollidiert; die Port-Variante oben ist robuster.

Schritt 3: Projekt im Container Manager erstellen

1. Öffnen Sie den Container Manager und wechseln Sie links auf Projekt.
2. Klicken Sie auf Erstellen.
3. Vergeben Sie als Projektnamen adguardhome.
4. Wählen Sie über Pfad festlegen den Ordner /docker/adguardhome.
5. Stellen Sie die Quelle auf „docker-compose.yml erstellen“ und fügen Sie den Inhalt aus Schritt 2 ein.
6. Klicken Sie zweimal auf Weiter. Die Seite „Einstellungen für Webportal“ lassen Sie unverändert.
7. Klicken Sie auf Fertig. Der Container Manager lädt das Image adguard/adguardhome:latest herunter und startet den Container. Das Terminalfenster schließen Sie nach Exit Code: 0.

Sobald der Status grün ist, ist AdGuard Home aktiv und wartet auf die Ersteinrichtung.

Schritt 4: Ersteinrichtung im Browser

Öffnen Sie im Browser die Setup-Oberfläche über Port 3000:

http://192.168.178.10:3000

1. Der Willkommensbildschirm erscheint. Klicken Sie auf Anfangen.
2. Admin-Weboberfläche: Belassen Sie die Schnittstelle auf „Alle Schnittstellen“ und setzen Sie den Port auf 80 (das ist der Container-interne Port, von außen erreichen Sie ihn später über 8080).
3. DNS-Server: Belassen Sie die Schnittstelle auf „Alle Schnittstellen“ und den Port auf 53.
4. Legen Sie einen Benutzernamen und ein langes, einmaliges Passwort für die Admin-Oberfläche an; dieses Konto schützt die gesamte DNS-Konfiguration.
5. Schließen Sie den Assistenten ab.

Der Knopf zum Dashboard am Ende des Assistenten zeigt auf Port 80 der NAS und führt deshalb nicht zu AdGuard, das ist hier normal. Port 3000 wird nicht mehr bedient. Die Verwaltung erreichen Sie dauerhaft über Port 8080:

http://192.168.178.10:8080

Melden Sie sich dort mit den eben angelegten Zugangsdaten an.

Schritt 5: Upstream-DNS und Filterlisten konfigurieren

Alle nicht blockierten Anfragen leitet AdGuard an einen echten DNS-Server weiter, den Upstream-DNS.

1. Gehen Sie im Dashboard auf Einstellungen > DNS-Einstellungen.
2. Tragen Sie im Feld „Upstream-DNS-Server“ einen oder mehrere Anbieter ein, z. B. Quad9 oder Cloudflare:

https://dns.quad9.net/dns-query
9.9.9.9

https://cloudflare-dns.com/dns-query
1.1.1.1

Die https://-Einträge nutzen DNS-over-HTTPS (verschlüsselt), die IP-Zeilen sind unverschlüsselte Server. AdGuard verteilt die Anfragen standardmäßig auf alle Upstreams (Lastverteilung, kein reiner Fallback). Für ausschließlich verschlüsselte Auflösung tragen Sie nur die https://-Zeilen ein. Klicken Sie auf Upstreams testen und dann auf Anwenden.

Unter Filter > DNS-Blocklisten ist der AdGuard DNS filter bereits aktiv. Über Blockliste hinzufügen > Aus Liste auswählen aktivieren Sie weitere kuratierte Listen (etwa EasyList oder eine Anti-Tracking-Liste). Zu viele überlappende Listen erhöhen die Gefahr von Fehlsperrungen (False Positives), ohne den Schutz spürbar zu verbessern.

Schritt 6: FritzBox als DNS-Client einrichten

Damit das gesamte Heimnetz AdGuard nutzt, verteilt die FritzBox die NAS-IP per DHCP als DNS-Server. Der Menüpfad folgt der aktuellen AVM-Anleitung.

1. Öffnen Sie die FritzBox-Oberfläche unter http://fritz.box und melden Sie sich an.
2. Klicken Sie auf Heimnetz > Netzwerk und dort auf die Registerkarte Netzwerkeinstellungen.
3. Klicken Sie auf Erweiterte Netzwerkeinstellungen ändern und wechseln Sie auf die Registerkarte IPv4.
4. Tragen Sie im Abschnitt „DHCP“ im Feld „Lokaler DNS-Server“ die IP der NAS ein, also 192.168.178.10.
5. Klicken Sie auf Übernehmen und bestätigen Sie die Änderung an der FritzBox, falls sie danach fragt.

Ab jetzt laufen sämtliche DNS-Anfragen im Netz über AdGuard Home. Manche Geräte übernehmen die Änderung erst nach Neustart oder neuer DHCP-Lease; im Zweifel WLAN kurz trennen. Laut AVM ist die FritzBox auf diesen Geräten danach nicht mehr über fritz.box erreichbar, sondern nur über ihre IP, in den Werkseinstellungen 192.168.178.1.

Nicht verwechseln: Internet > Zugangsdaten > DNS-Server legt fest, welche DNS-Server die FritzBox selbst fragt; für AdGuard Home ist das nicht nötig.

Schritt 7: Funktion testen

Prüfen Sie an einem beliebigen Gerät im Netz, ob AdGuard greift:

1. Im AdGuard-Dashboard unter Anfrage-Protokoll erscheinen live DNS-Anfragen aus Ihrem Netz; die Geräte nutzen AdGuard.
2. Auf einem Windows-Rechner zeigt nslookup doubleclick.net die Antwort 0.0.0.0, die Werbedomain wird blockiert.
3. Rufen Sie eine werbelastige Website auf: Banner und Pop-ups sollten deutlich seltener erscheinen.

Nach einigen Stunden zeigt die Statistik „Blockiert durch Filter“, wie viele Anfragen AdGuard abgefangen hat.

Updates und Wartung

AdGuard aktuell zu halten ist im Container Manager unkompliziert:

1. Öffnen Sie den Container Manager und gehen Sie auf Projekt > adguardhome.
2. Stoppen Sie das Projekt, wählen Sie Erstellen / Build bzw. laden Sie über Abbild das aktuelle adguard/adguardhome:latest neu und starten Sie das Projekt wieder. Die Daten in work und conf bleiben durch die Bind-Mounts erhalten.

Für ein stabiles Setup schreiben Sie statt :latest einen festen Versions-Tag fest (z. B. adguard/adguardhome:v0.107.79, Stand 29.09.2026) und aktualisieren bewusst.

Backup

Die gesamte Konfiguration steckt in /volume1/docker/adguardhome/conf (vor allem AdGuardHome.yaml). Nehmen Sie /volume1/docker/adguardhome in Ihre Hyper Backup-Sicherung auf. Nach Defekt oder Umzug spielen Sie den Ordner zurück und legen das Projekt im Container Manager neu an.

Troubleshooting

Container startet nicht / Port 53 belegt

Ein anderer Dienst (oft das DSM-Paket „DNS Server“) hält Port 53. Mit sudo netstat -tulpn | grep ':53 ' den Verursacher finden und das Paket deinstallieren oder den Dienst stoppen.

Kein Internet im ganzen Netz nach FritzBox-Umstellung

AdGuard ist nicht erreichbar oder der Upstream falsch. Zur Diagnose in der FritzBox kurz wieder einen öffentlichen DNS eintragen, AdGuard prüfen, dann erneut umstellen.

Admin-Oberfläche nicht erreichbar

Nach der Ersteinrichtung ist Port 3000 geschlossen, die Verwaltung läuft jetzt auf http://192.168.178.10:8080.

FritzBox-Oberfläche über fritz.box nicht mehr erreichbar

Das ist mit einem lokalen DNS-Server laut AVM normal. Die Oberfläche über http://192.168.178.1 aufrufen.

Bestimmte Seite funktioniert nicht mehr

Eine Filterliste blockiert eine nötige Domain (False Positive). Im Anfrage-Protokoll die geblockte Domain suchen und über „Zur Ausnahmeliste hinzufügen“ freigeben.

Geräte nutzen weiter den alten DNS

DHCP-Lease erneuern (Gerät neu starten oder WLAN trennen). Manche Geräte mit fest eingetragenem DNS (z. B. 8.8.8.8) umgehen AdGuard, diese Einträge dort entfernen.

Häufige Fragen

Warum liegt die Admin-Oberfläche auf Port 8080?

Port 80 gehört auf der Synology dem DSM. Deshalb bildet die Compose-Datei den internen Port 80 auf den Host-Port 8080 ab.

Wird Port 3000 weiter gebraucht?

Nein. Er dient nur dem Einrichtungsassistenten und wird danach nicht mehr bedient. Sie können die Zeile später aus der Compose-Datei entfernen.

Läuft AdGuard Home neben dem DSM-Paket „DNS Server“?

Nicht auf Port 53. Das Paket belegt den Port, AdGuard Home startet dann nicht. Stoppen oder deinstallieren Sie das Paket vorher.

Fazit

AdGuard Home auf der Synology schützt jedes Gerät im Heimnetz vor Werbung und Tracking, vom Smartphone bis zum Smart-TV, ohne Software auf den Endgeräten. Der einzige echte Stolperstein ist Port 53, den die Prüfung vor Schritt 1 früh aufdeckt. Verschlüsseltes Upstream-DNS, Per-Client-Regeln und Kindersicherungs-Filter bringt AdGuard bereits mit.

Weiterführende Anleitungen und Quellen

1. Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen
2. DSM-Firewall: Ports für Docker-Container freigeben
3. Pi-hole mit Docker
4. AdGuard Home auf GitHub
5. adguard/adguardhome auf Docker Hub
6. AdGuard Home Docker Wiki
7. AVM: Andere DNS-Server in FRITZ!Box einrichten