Pi-hole vs. verwaltete DNS-Filterung für einen Standort

Nutzen Sie Pi-hole, wenn Sie einen einzelnen Standort betreiben, nur Werbe- und Tracker-Blockierung benötigen und jemand für das Einspielen von Patches zur Verfügung steht. Nutzen Sie verwaltete DNS-Filterung wie Purple Shield, wenn Sie mehrere Standorte betreiben oder Bedrohungsinformationen (Threat Intelligence) benötigen. Shield legt über ein einziges Dashboard eine Richtlinie pro Netzwerk und Standort fest. Laut den Daten von Purple reduziert die Werbeblockierung die DNS-Abfragen um bis to 62 %.

Wann sollte ein Standort Pi-hole und wann verwaltete DNS-Filterung nutzen?

Die Platzierung entscheidet darüber, was die jeweilige Option leisten kann. DNS-Filterung (Domain Name System) greift ein, wenn ein Gerät nach einer Adresse fragt, bevor eine Verbindung hergestellt wird. Das Smartphone eines Gastes fragt den Resolver, wo sich eine Phishing-Domain befindet. Der Filter verweigert die Antwort, sodass kein Datenverkehr diesen Host erreicht. Eine Firewall greift einen Schritt später ein, auf Ebene von IP-Adressen und Ports, nachdem die Suche erfolgreich war. Aus diesem Grund erfasst Schutz-DNS das, was eine Firewall übersieht. Beispiele hierfür sind sich schnell ändernde Phishing-Hosts, Malware-Domains und Tracker auf gemeinsamen Delivery Networks.

Pi-hole und verwaltete Dienste filtern an genau derselben Stelle. Der Unterschied liegt darin, wo der Resolver gehostet wird und wer ihn betriebsbereit hält. Pi-hole ist eine kostenlose Open-Source-Software, die Sie auf einem kleinen Server an jedem Standort installieren. Ein verwalteter Dienst wie Purple Shield, DNSFilter oder Cisco Umbrella führt seine Resolver in der Cloud aus. Sie ändern den DNS-Server, den Ihr DHCP-Bereich (Dynamic Host Configuration Protocol) zuweist, und verwalten die Richtlinie anschließend zentral.

Die Faustregel ergibt sich aus dieser Aufteilung. Pi-hole verursacht keine Lizenzkosten, aber jeder Standort bedeutet zusätzliche Geräte, die gepatcht, gesichert und gewartet werden müssen. Ein verwalteter Dienst kostet ein Abonnement, doch der 30. Standort erfordert nicht mehr Aufwand als der erste. Für einen einzelnen Standort mit einem festen Verantwortlichen ist Pi-hole eine solide Wahl. Für ein ganzes Standortnetz oder jedes Netzwerk mit regulatorischen Anforderungen ist verwaltete Filterung die günstigere Standardoption, sobald man die Arbeitszeit des Personals einrechnet. Unsere Übersicht über DNS-Filter-Alternativen deckt die gesamte Kategorie ab.

Wie entscheiden Sie sich zwischen Pi-hole und verwaltetem DNS-Filtering?

Vier Fragen klären die meisten Standorte. Zwei Begriffe kommen häufig vor. Eine SSID ist der Netzwerkname, den ein Gast sieht. Ein VLAN (virtuelles LAN) ist ein logisch getrenntes Netzwerk auf gemeinsamen Switches, das den Verkehr von Gästen, Personal und Mandanten voneinander trennt. Wenn verschiedene SSIDs oder VLANs unterschiedliche Regeln benötigen, tendiert die Antwort eindeutig zu einem verwalteten Dienst.

Welche Option passt zu welchem Standorttyp?

Der Standorttyp ist ein nützlicher Indikator für die Bedingungen im Diagramm. Er zeigt an, wie viele Netzwerke Sie betreiben, wer in Rufbereitschaft ist und wie viel regulatorisches Gewicht das WiFi trägt. Lesen Sie die Spalte "Warum" für die Hintergrundgründe jeder Empfehlung.

Zwei Muster stechen heraus. Pi-hole gewinnt nur dort, wo die Anforderung reine Werbeblockierung ist und eine einzelne Person das Gerät betreut. Jedes Szenario mit unterschiedlichen Zielgruppen erfordert eine eigene Richtlinie pro Netzwerk. Pi-hole kann dies über die Gruppenverwaltung annähern, jedoch nur pro Instanz und ausschließlich über die Client-Adresse.

Pi-hole für Standort-WiFi: Was Sie bekommen und was Sie betreiben

Was Pi-hole gut macht

Pi-hole ist ein DNS-Sinkhole, das für die netzwerkweite Werbeblockierung entwickelt wurde. Es beantwortet Anfragen für gesperrte Domains ohne verwendbare Adresse, sodass Werbung und Tracker erst gar nicht geladen werden. Es läuft unter Linux, in einem Container oder auf einem Raspberry Pi. Die Weboberfläche zeigt jede Anfrage in Echtzeit an. Es kann DNSSEC validieren, Anfragen an einen Upstream-Resolver Ihrer Wahl weiterleiten und als DHCP-Server fungieren.

Für einen einzelnen Standort deckt das sehr viel ab. Abfrage-Logs verbleiben auf Ihrer eigenen Hardware, was einige Datenschutz-Teams bevorzugen. Die Gruppenverwaltung wendet unterschiedliche Sperrlisten auf verschiedene Clients an. Teleporter, das integrierte Backup-Tool, exportiert Einstellungen, sodass Sie ein ausgefallenes Gerät schnell wiederherstellen können.

Wo Pi-hole an Standorten an seine Grenzen stößt

Die Grenzen werden deutlich, wenn Pi-hole von einem Heimnetzwerk in ein Gästenetzwerk wechselt, auf das sich Hunderte fremde Personen verlassen.

• Ein einziger Point of Failure. Fällt der einzige Resolver aus, verlieren die Gäste die Namensauflösung und melden das WiFi als defekt.
• Listen statt Kategorien. Pi-hole blockiert das, was seine Listen enthalten. Ein neuer Phishing-Host kommt durch, bis ein Listenpfleger ihn hinzufügt.
• Keine Sperrseite. Eine gesperrte Domain gibt keine verwendbare Adresse zurück, sodass der Gast einen Browserfehler sieht. Das Servicepersonal muss die Fragen beantworten.
• Eine Instanz pro Standort. Es gibt keine integrierte Konsole für mehrere Instanzen. Es existieren Community-Sync-Tools, aber auch diese müssen Sie selbst warten.
• Nur Community-Support. Hilfe kommt aus Foren und Dokumentationen, nicht von einem Support-Desk mit garantierten Reaktionszeiten.

Verwaltete DNS-Filterung: Purple Shield, DNSFilter und Cisco Umbrella

Wie verwaltete Filterung funktioniert

Ein verwalteter schützender DNS-Dienst betreibt die Resolver für Sie. Sie weisen den DNS jedes Netzwerks auf den Dienst zu. Jede Abfrage wird dann mit gepflegten Kategorie- und Bedrohungs-Feeds abgeglichen. Der Anbieter klassifiziert neue Domains und bringt Patches für die Infrastruktur ein. Sie legen Richtlinien in einer einzigen Konsole fest und lesen Berichte über alle Standorte hinweg aus.

Da die Änderung im DHCP erfolgt, ist die verwaltete Filterung hardwareunabhängig. Sie funktioniert auf Netzwerken von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet ohne neue Geräte. Befolgen Sie die Dokumentation Ihres Herstellers für die genaue DHCP-Einstellung.

Wie sich die drei Dienste unterscheiden

DNSFilter und Cisco Umbrella sind universelle schützende DNS-Dienste. Beide richten sich an Unternehmens-IT-Teams und Managed Service Provider, und beide bieten anpassbare Sperrseiten. Umbrella ist Teil des breiteren Sicherheitsportfolios von Cisco, daher richtet sich die Lizenzierung nach der Paketierung von Cisco. Unser Leitfaden zu Cisco Umbrella pricing erklärt, was Sie kalkulieren sollten, bevor Sie ein Angebot anfordern.

Purple Shield wurde speziell für Veranstaltungsort-WiFi entwickelt. Sie können es eigenständig in jedem WiFi-Netzwerk oder zusammen mit Purple Access betreiben. In jedem Fall legen Sie pro SSID, VLAN und Veranstaltungsort Richtlinien über ein einziges Dashboard fest. Das entspricht der Segmentierung von Standorten: Gäste-, Mitarbeiter-, Mieter- und Back-of-House-Netzwerke benötigen selten dieselben Regeln. Purple ist an über 80.000 aktiven Standorten in 90 Ländern im Einsatz, und Shield nutzt dieselbe Plattform.

Shield blockiert auch Werbung, was bei begrenztem oder gemeinsam genutztem Backhaul wichtig ist. Nach Daten von Purple reduziert das Blockieren von Werbung das Datenvolumen um bis zu 44 % und DNS-Abfragen um bis zu 62 %. Diese freien Kapazitäten kommen den Inhalten zugute, für die Ihre Gäste gekommen sind.

Was kostet ein selbstgehosteter DNS-Filter über mehrere Standorte hinweg?

Bei den Lizenzkosten erscheint Pi-hole unschlagbar - und das ist auch der einzige Punkt, an dem das zutrifft. Die Gesamtkosten eines selbstgehosteten DNS-Filters entsprechen der Hardware plus Arbeitsaufwand, multipliziert mit der Anzahl der Instanzen.

Ein einfaches Modell für Ihren Bestand

Bauen Sie das Modell anhand von Instanzen auf, nicht anhand von Standorten. Zwei Instanzen pro Standort sind das Minimum, um die Falle des sekundären DNS zu vermeiden. 30 Standorte bedeuten also 60 Resolver, jeder mit eigenem Betriebssystem und eigenen Sperrlisten-Einstellungen.

Versehen Sie anschließend jede wiederkehrende Aufgabe mit einem Zeitwert. Die folgenden Zahlen sind Planungsannahmen zur Verdeutlichung der Arithmetik; ersetzen Sie diese durch Ihre eigenen Werte.

• Updates und Zustandsprüfungen: Gehen Sie von 15 Minuten pro Instanz und Monat aus. Bei 60 Instanzen entspricht dies 15 Stunden pro Monat.
• Sperrlisten-Korrekturen: Jede Änderung der Positivliste muss für jede Instanz einzeln durchgeführt werden, sofern Sie kein Synchronisationstool verwenden.
• Vorfälle: Eine defekte Festplatte an einem entfernten Standort erfordert Personal vor Ort.
• Nachweis für Audits: Jede Instanz erstellt ihren eigenen Bericht, den anschließend jemand zusammenführen muss.

Multiplizieren Sie die monatlichen Stunden mit Ihrem kalkulatorischen Stundensatz und addieren Sie die Hardware-Erneuerung hinzu. Stellen Sie diesen Betrag einem Abonnement von der Shield-Preisseite gegenüber. An einem einzelnen Standort sind die Gesamtkosten für die Selbstverwaltung gering. Bei 30 Standorten ist der Arbeitsaufwand jedoch die entscheidende Position, noch bevor Sie den Wert von Bedrohungskategorien berücksichtigen, die Pi-hole nie geboten hat.

Durchgerechnetes Szenario: Ein Einzelhandelsbestand mit 30 Filialen

Ein Modehändler mit 30 Filialen testete Pi-hole im Besucher WiFi in drei Niederlassungen. Der Test erfüllte seinen Zweck: Werbeanzeigen wurden im Besuchernetzwerk nicht mehr geladen. Die Skalierung hätte jedoch 60 Instanzen, ein Synchronisationstool und einen nicht budgetierten Rufbereitschaftsplan bedeutet. Das IT-Team kalkulierte die Routineinstandhaltung unter den oben genannten Annahmen auf 15 Stunden pro Monat. Stattdessen stellte das Unternehmen alle 30 Filialen auf verwaltetes DNS um, mit einer Richtlinie für Kunden und einer für Mitarbeiter. Das Ergebnis: 60 geplante Resolver wurden durch null Geräte vor Ort ersetzt, und jede Richtlinienänderung wird nun einmal statt 60-mal vorgenommen.

Was verändert die Antwort?

Die Faustregel biegt sich unter fünf Bedingungen. Jede davon kann einen Standort von einer Option zur anderen bewegen.

Anzahl der Standorte und Netzwerke

Ein Standort mit einem einzigen Gastnetzwerk hält Pi-hole funktionsfähig. Jeder zusätzliche Standort bedeutet zwei weitere Instanzen. Jede zusätzliche SSID oder jedes VLAN mit eigenen Regeln erfordert eine Gruppenkonfiguration auf jeder Instanz. Unser Leitfaden zu DNS-Filterung für MSPs und Multi-Site-Umgebungen behandelt große Netzwerke ausführlich.

Wer die Verantwortung um 2 Uhr nachts trägt

Pi-hole setzt einen benannten Verantwortlichen voraus, der Zeit dafür hat. Wenn die Verantwortung bedeutet "wer auch immer es eingerichtet hat" - oft ein externer Dienstleister, der nicht mehr da ist -, wählen Sie eine verwaltete Lösung.

Werbeblocker oder Bedrohungsschutz

Wenn das Ziel lediglich weniger Werbung und schnellere Seiten sind, reichen die Listen von Pi-hole aus. Geht es auch um Phishing, Malware und neu registrierte Domains, benötigen Sie gepflegte Threat Feeds. Genau das bietet ein Protective-DNS-Dienst.

Fürsorgepflicht und Regulierung

Öffentliches WiFi in Bibliotheken, Schulen und Gesundheitseinrichtungen bringt die Pflicht mit sich, schädliche Inhalte zu filtern. Schulen in England befolgen beispielsweise die Filter- und Überwachungsstandards des Bildungsministeriums. Zentrale Kategorieberichte erleichtern diesen Nachweis im Vergleich zu Listen pro Standort. Für PCI-DSS ersetzt die DNS-Filterung nicht die Segmentierung der Karteninhaber-Datenumgebung. Sie reduziert jedoch das Malware-Risiko in den umliegenden Netzwerken. Unser Leitfaden für Enterprise-WiFi-Sicherheit geht näher auf die Segmentierung ein.

Datenschutz und Datensicherheit

DNS-Abfrage-Logs, die mit einem Gerät verknüpft sind, können unter GDPR als personenbezogene Daten gelten. Bei Pi-hole legen Sie Speicherdauer und Zugriff auf jedem Gerät selbst fest. Bei einem verwalteten Dienst benötigen Sie einen Auftragsverarbeitungsvertrag. Purple ist ISO 27001-zertifiziert und GDPR-konform.

Praxisszenario: ein Hotel mit 120 Zimmern

Ein Stadthotel mit 120 Zimmern betrieb ein Pi-hole auf einem Mini-PC für das Gast-WiFi. DHCP wies diesen als einzigen DNS-Server zu. Als der Speicher über Nacht ausfiel, konnten sich die Gäste zwar mit dem WiFi verbinden, aber keine Seiten laden. Der Diensthabende Manager verzeichnete eine Reihe von Beschwerden, bevor der IT-Dienstleister eintraf. Das Hotel stellte daraufhin die SSIDs für Gäste und Personal auf verwaltetes DNS mit separaten Richtlinien um. Das Ergebnis: null Resolver vor Ort, zwei Richtlinien über ein Dashboard verwaltet und kein lokales Gerät mehr, das ausfallen kann.

Was ist der empfohlene Standard für Standort-WiFi?

Für jedes Objekt mit zwei oder mehr Standorten ist verwaltetes schützendes DNS der Standard, und für Standort-WiFi empfehlen wir Purple Shield. Es filtert am Resolver, bevor eine Verbindung aufgebaut wird, und legt eine Richtlinie pro SSID, VLAN und Standort fest. Zudem entfernt es jeden On-Premise-Resolver von Ihrer Patch-Liste. Pi-hole bleibt die richtige Lösung für einen einzelnen Standort mit einem benannten Verantwortlichen und einem Ad-Blocking-Auftrag sowie für Testumgebungen.

Ihr erster Schritt besteht darin, eine Gäste-SSID an einem Standort auszuwählen und einen 30-tägigen Testlauf durchzuführen. Leiten Sie deren DNS auf Shield um und lassen Sie alle anderen Netzwerke unverändert. Vergleichen Sie anschließend blockierte Bedrohungen, Datenvolumen und Support-Tickets. Der Testplan für 30 Tage DNS-Filtering legt fest, was jede Woche gemessen werden sollte.

Häufig gestellte Fragen

Ist Pi-hole an einem kommerziellen Standort kostenlos nutzbar?

Ja, die Software ist kostenlos und Open Source, und Sie können sie in einem Gäste-WiFi betreiben. Sie zahlen weiterhin für Hardware, zwei Instanzen pro Standort für Redundanz sowie Arbeitszeit für Patching, Blocklisten-Korrekturen und Vorfälle. An einem einzelnen Standort sind diese Kosten gering. Über mehrere Standorte hinweg wird der Arbeitsaufwand jedoch zum größten Posten. Die Gesamtkosten, nicht die Lizenzkosten, sollten die Entscheidung leiten.

Funktioniert Purple Shield mit meinen vorhandenen Access Points?

Ja. Shield arbeitet auf der DNS-Ebene, sodass lediglich eine DHCP-Änderung und keine neue Hardware erforderlich ist. Es läuft auf Netzwerken mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Sie können es eigenständig in jedem WiFi-Netzwerk oder zusammen mit Purple Access betreiben, inklusive einer Richtlinie pro SSID, VLAN und Standort.

Wie schneiden die Preise von Shield im Vergleich zum Betrieb von Pi-hole ab?

Shield ist ein Abonnement und Pi-hole hat keine Lizenzgebühr. Vergleichen Sie daher eher die Gesamtkosten als den Listenpreis. Rechnen Sie bei Pi-hole Hardware für zwei Instanzen pro Standort, monatliche Patch-Zeiten und Rufbereitschaft hinzu. Stellen Sie dies dem Abonnement auf der Shield-Preisseite gegenüber. Der Vergleich verschiebt sich mit jedem weiteren Standort zugunsten einer verwalteten Lösung.

Können wir ohne Ausfallzeiten von Pi-hole migrieren?

Ja, wenn Sie ein Netzwerk nach dem anderen migrieren. Exportieren Sie Ihre Einstellungen mit dem Teleporter-Tool von Pi-hole und notieren Sie die Einträge der Positivliste, die Sie noch benötigen. Erstellen Sie diese Ausnahmen in der neuen Richtlinie erneut und ändern Sie dann den DNS-Server im DHCP-Bereich eines SSIDs. Beobachten Sie dies einige Tage lang, bevor Sie das nächste Netzwerk migrieren. Lassen Sie Pi-hole laufen, bis das letzte Netzwerk migriert ist.

Hilft DNS-Filtering bei GDPR und PCI DSS?

Es hilft, macht Sie aber alleine noch nicht konform. Bei PCI DSS sorgt die Segmentierung dafür, dass Gäste- und Mitarbeiter-WiFi außerhalb der Karteninhaber-Datenumgebung bleiben. DNS-Filtering reduziert das Malware-Risiko in dieser Umgebung. Für GDPR können DNS-Protokolle, die an ein Gerät gebunden sind, personenbezogene Daten sein. Legen Sie daher Aufbewahrungs- und Zugriffsregeln fest. Purple ist ISO 27001-zertifiziert und GDPR-konform.

Wie schneidet Shield im Vergleich zu Cisco Umbrella und DNSFilter ab?

Alle drei filtern bei der DNS-Auflösung in der Cloud, sodass der Vorteil der Platzierung derselbe ist. DNSFilter und Cisco Umbrella sind Universaldienste, die an Unternehmens-IT-Teams und Managed Service Provider verkauft werden. Shield wurde für Veranstaltungsort-WiFi entwickelt, mit einer Richtlinie pro SSID, VLAN und Veranstaltungsort. Es kann eigenständig oder zusammen mit Purple Access betrieben werden. Whitbread, AGS Airports und der St George's Healthcare NHS Trust nutzen Shield.

Können Gäste das DNS-Filtering umgehen?

Einige können das, egal für welche Option Sie sich entscheiden. Ein Gerät, das DNS über HTTPS (RFC 8484) oder ein VPN verwendet, leitet Suchanfragen an Ihrem Resolver vorbei. Blockieren Sie bekannte öffentliche DoH-Endpunkte. Blockieren Sie außerdem die Canary-Domain von Firefox, die dem Browser mitteilt, weiterhin lokales DNS zu verwenden. In Gäste-WiFi ist es das Ziel, die Mehrheit zu schützen, die niemals eine Einstellung ändert.