[cbv]

Den heiligen Gral wirst Du nicht finden, einen Kompromiss wirst Du eingehen müssen.

Entweder convenience, und damit ggf Datenabfluss, oder (im weitgreifenden Sinne) Sicherheit und damit Einschränkungen in der Handhabung.

Etwas Aufwand, aber vielleicht die pragmatischste Lösung:

Traffic beobachten, DNS durch Pihole schleifen und entsprechend gezielt die Kommunikation unterbinden. Dazu musst Du dann allerdings wissen, was Du tust (oder jemanden kennen), und es kostet Zeit, die nicht jeder hat bzw investieren will.
Womit wir wieder bei Punkt 1 wären.