Wie viel Kontrolle ist sinnvoll?

DNS, Adblocker, Resolver, DPI, Traffic-Analyse –
im Netzwerkbereich gibt es heute extrem mächtige Werkzeuge,
um Kontrolle auszuüben.

Pi-hole, Unbound, DoH, DoT …
und dann kommt noch Zenarmor dazu,
das auf einer völlig anderen Ebene arbeitet.

Die entscheidende Frage ist nicht:
„Was kann ich alles blockieren?“

Sondern:
„Was ist sinnvoll, beherrschbar und nachvollziehbar?“

1. DNS: Grundlage, nicht Allheilmittel

DNS ist zunächst einmal nur:
Namensauflösung.

Domain → IP-Adresse
keine Inhaltsanalyse
keine Paketinspektion
keine Kontextbewertung

DNS entscheidet nicht, was übertragen wird,
sondern nur wohin.

Das ist wichtig zu verstehen,
denn viele erwarten von DNS Dinge,
für die es nie gedacht war.

2. Eigener Resolver: Kontrolle auf Basisebene

Ein eigener Resolver (z. B. Unbound) bedeutet:

keine Abhängigkeit vom Provider
volle Transparenz über DNS-Anfragen
saubere Logs
reproduzierbares Verhalten

Ein eigener Resolver ist kein Muss,
aber die sauberste Grundlage für Kontrolle.

Alles, was darauf aufbaut,
wird dadurch nachvollziehbarer.

3. DNS-basierte Adblocker

Pi-hole, AdGuard & Co.

Was DNS-Blocking gut kann:

Werbung blockieren
bekannte Tracking-Domains filtern
systemweit wirken
extrem ressourcenschonend sein

Was DNS-Blocking nicht kann:

Inhalte unterscheiden
verschlüsselte Verbindungen analysieren
Kontext erkennen
Protokolle bewerten

DNS-Blocking ist grob, aber effizient.
Ein Skalpell ist es nicht –
eher eine Axt.

4. Zenarmor: Kontrolle auf einer anderen Ebene

Zenarmor spielt in einer völlig anderen Liga.

Während Pi-hole auf Domain-Ebene arbeitet,
analysiert Zenarmor den echten Netzwerkverkehr.

Was Zenarmor zusätzlich kann:

Deep Packet Inspection (DPI)
Applikations- und Kategorien-Erkennung
Blocken von Inhalten innerhalb von Verbindungen
Erkennen von Trackern trotz wechselnder Domains
Verhaltensbasierte Analyse

Zenarmor ist damit deutlich mächtiger als DNS-Blocking –
aber auch komplexer.

5. Warum Zenarmor kein Ersatz für DNS ist

So mächtig Zenarmor ist,
es ersetzt DNS-Blocking nicht sinnvoll.

Warum:

DPI kostet Ressourcen
Analyse passiert später im Datenfluss
einfache Dinge sollten einfach bleiben

DNS-Blocking stoppt viel Müll,
bevor überhaupt Traffic entsteht.

Zenarmor greift dort,
wo DNS blind ist.

Die Systeme konkurrieren nicht –
sie ergänzen sich.

6. Die Gefahr von zu viel Kontrolle

Je mächtiger das Werkzeug,
desto größer die Gefahr des Overkills.

Typische Probleme:

legitime Dienste werden blockiert
Fehlersuche wird komplex
Nutzer verstehen Blockaden nicht
Logs werden unübersichtlich

Ein Netzwerk,
das ständig Ausnahmen braucht,
ist kein gutes Netzwerk.

7. Kontrolle vs. Nachvollziehbarkeit

Meine Grundregel:

Alles, was blockiert, muss erklärbar sein.

Egal ob DNS-Blocking oder DPI:

Warum wurde etwas blockiert?
Auf welcher Ebene?
Wie kann ich es reproduzieren?
Wie kann ich es gezielt freigeben?

Ohne diese Antworten
verliert man Kontrolle –
trotz aller Filter.

8. Meine persönliche Herangehensweise

Ich setze auf eine mehrstufige Kontrolle:

eigener DNS-Resolver
moderates DNS-Blocking (Werbung, Tracking)
Zenarmor für tiefere Analyse und Kontrolle
keine ideologischen Maximalfilter

Wichtig ist mir:

klare Zuständigkeiten
saubere Logs
einfache Fehlersuche
kein blindes Blocken

DNS filtert die Masse,
Zenarmor die Details.

9. DoH, DoT und die Illusion von Privacy

DNS-over-HTTPS und DNS-over-TLS
haben ihre Berechtigung,
verlagern aber Kontrolle oft einfach nur.

Problematisch wird es, wenn:

lokale Filter umgangen werden
zentrale DNS-Anbieter entstehen
Transparenz verloren geht

Privacy bedeutet nicht,
Kontrolle abzugeben –
sondern sie bewusst zu gestalten.

10. Fazit

DNS, Adblocker, Resolver und Zenarmor
sind keine konkurrierenden Lösungen,
sondern Werkzeuge auf unterschiedlichen Ebenen.

DNS → Grundlage
Pi-hole → grobes Filtern
Zenarmor → tiefe Analyse und Kontrolle

Nicht alles blockieren,
sondern gezielt und nachvollziehbar steuern.

Ein gutes Netzwerk ist nicht das,
das am meisten blockiert –
sondern das,
das verstanden, wartbar und kontrollierbar ist.