Der sachkundige Artikel von Hermann Sauer hat mich stark motiviert, mein seit Jahren gepflegtes Setup des Heimnetzwerkes zu überdenken und zu veränden. Meine Anmerkungen stellen einen persönlichen Erfahrungsbericht dar, und erheben nicht den Anspruch auf der Höhe der Diskussion dessen zu sein, was bisher in diesem Thread verhandelt wurde.
Mein bisheriges Setup: Pihole mit unbound an der Fritzbox, selbgehostetes Nextcloud und Baikal auf Raspberry, gehärtete Firefoxes. Gerätepark: Linux (NixOS) und Windows PC, Tablets, Graphene Smartphones, FireSticks, Smart TVs, Streaming Receiver und Streaming SACD Spieler. Einiges mehrfach, weil mehrere Geräte-“Hotspots“ im Haus verteilt sind. Einen entfernten Raum, habe ich mit Powerlan und zusätzlichem gemanagten Switch angebunden.
Der Umbau und Ausbau hat mir im Familienumfeld teils harsche Kritik beschert, „man könne doch auch ohne diesen großen Aufwand ohne merkbare Nachteile leben“, etc., auf welche Einwände ich aber kaum eingegangen bin („Ja, kann man“), weil mir das augenblicklich zu mühsam erschien. Die übrigen Familienmitglieder merken von dem ganzen Zauber nichts, nachdem sie statt eines FritzBox-Wlan ein EAP-IoT-Wlan erhalten haben.
Mein jetziges, „verbessertes“ Setup:
FritzBox 7590 – stellt die Internetverbindung her, das „Tor nach draußen". Im internen Netz spielt sie außer als Telefonanlage/Telefonbuch (mit DAVX und Baikal-Synchronisierung) sonst keine Rolle mehr.
pfSense (APU2C4) – die zentrale Firewall, der „Pförtner" des Netzes. Sie trennt die Netzbereiche (VLANs), verteilt die Netzwerkeinstellungen an die Geräte und entscheidet, wer mit wem sprechen darf.
TP-Link Managed Switches – die „Weichen" im Netz. Sie leiten den Verkehr kabelgebunden weiter und halten dabei die VLANs getrennt.
EAP650 Access Point – die Funkbrücke. Er strahlt zwei getrennte WLANs aus: eines für vertrauenswürdige Geräte (VLAN 10) und eines für nicht vertrauenswürdige IoT-Geräte (VLAN 20).
Raspberry Pi mit Pi-hole + Unbound – die „Auskunft" des Netzes. Pi-hole filtert Werbung und Tracker heraus, unbound schlägt die Adressen selbstständig bei den offiziellen Nameservern im Internet nach – ohne Umweg über Google, den Provider oder andere Dritte.
Da mein technisches Verständnis nur bis zu einem gewissen Grad für ein solch komplexes Szenarium taugt, habe ich Hilfe bei „Claude Anthropic“ angefordert und erhalten. Eine Diskussion über die „halluzinierende“ KI möchte ich mir hier ersparen. Dazu nur: wer diese mächtigen Werkzeuge denen überlässt, die eine demokratiefeindliche, totalitäre Agenda verfolgen, hat aufgegeben und schon verloren oder wiegt sich in der Illusion man könnte diesen technischen Entwicklungsprung aufhalten oder rückgängig machen. Meine Einschätzung: besser, man versteht etwas davon, wie diese Werkzeuge ticken und nutzt sie für positive Enwicklungen, als sie von vorneherein als „halluzinierend“ oder „verschwörend“ abzuwerten. Ja, sie halluzinieren mitunter, aber es schult den eigenen Verstand, genau hinzusehen, um „die Spreu vom Weizen“ trennen zu können.
Da das neue Setup nun steht und weitgehend reibungslos funktioniert, habe ich Claude Opus 4.8 gebeten, eine Einschätzung von Hermanns Argumentation und Darlegungen in Bezug auf mein Setup zu geben. Unter anderem auch desegwegen, weil ich ich mir nicht sicher sein konnte, etwas Wichtiges übersehen oder falsch verstanden zu haben. Mir liegt es fern, mich damit selbst beweihräuchern zu wollen, und es mag sein, dass die KI voreingenommen-positiv reagiert hat, denn sie hat offenbar von ihren Machern diese freundlich-bestärkende Attitude mit auf den Weg bekommen, die manches in einem rosaroten Licht erscheinen lässt, was vielleicht bei genauerem Hinsehen doch nicht so hell strahlt und was auch eine gewisse Gefahr der Verführung und Übertölpelung mit sich bringt. Fokussiert man sich hier jedoch auf das Sachliche der Aussagen, so sind diese durchaus sachlich-nüchtern nachvollziehbar:
Zitat Claude Anthropic, Opus 4.8
„Der Artikel ist fachlich solide und aktuell. Du hast praktisch genau die Maßnahmen umgesetzt, die er als „was wirklich hilft“ auflistet. Lass mich das entlang deiner Arbeit einordnen.Was du gebaut hast, deckt sich fast punktgenau mit den vier wirksamen Maßnahmen:
Der Artikel nennt vier Dinge, die im Heimbereich real etwas bringen. Drei davon hast du umgesetzt:
-
DNS-Bypass auf der Firewall blocken (deine Port-53-Regeln, die alles außer dem Pi-hole verwerfen),
(Anmerkung: eine zusätzliche Firewall-Regel wird hier nicht erwähnt, die im untrusted VLAN20 greift: DoT Bypass auf Port 853 (DoT over TLS)
2 . DoH-Endpunkte blocken (der pfSense-IP-Block plus die zusätzliche Pi-hole-Hostnamen-Liste)
3. Geräte isolieren denen nicht zu trauen ist (dein VLAN20 für Fire-Geräte und IoT).
Der Pi-hole hat die die Ergänzungen erhalten, ohne die er laut Artikel „anfällig für DNS-Bypass" bleibt. In der Werkzeugtabelle steht bei „Pi-hole lokal" explizit der Malus „ohne Firewall-Ergänzung anfällig für DNS-Bypass" – und genau diese Ergänzung ist dein pfSense-Regelwerk.
Die vierte Maßnahme – QUIC : QUIC-Blocking bringt vor allem etwas, wenn du Traffic inspizieren willst. Da du das nicht tust (und nicht solltest, dazu gleich mehr), ist es für dich der am wenigsten lohnende Punkt. Meine Einschätzung: kann man per Einzelregel testen, ist aber in deinem Setup Kür, nicht Pflicht.
Der eigentlich wichtigste Punkt des Artikels ist aber ein anderer:
Die Firewall- Filter sind keine binäre „funktioniert/funktioniert nicht"-Sache, sondern eine Sichtbarkeitsbilanz.
Das ist die zentrale, ernüchternde Botschaft. Selbst mit deinem guten Setup siehst und filterst du nur den Teil des Traffics, den die Geräte freiwillig über den klassischen DNS-Pfad schicken. QUIC/HTTP3, ECH, hartkodierte IPs (Apple APNs, Google FCM auf 5228), DoT/DoH von Geräten die sich nicht zwingen lassen – das läuft an jedem Heimfilter vorbei, auch an deinem.
Z.B. diverse Fire TV-Sticks und diverse TVs, u.a. Sony-TV. Der Artikel beschreibt in seiner Live-Messung exakt dein Szenario: ein Sony-TV der FCM auf 5228 und ACR-Telemetrie rausschickt, unabhängig vom DNS. Genau deshalb war deine Entscheidung, die TVs komplett vom Heim-Netz zu nehmen und nur die damit verbundenen Fire-Geräte gefiltert ins VLAN20 zu lassen, die sinnvollste überhaupt – der Artikel nennt das als Schlusspointe: die wirksamste Maßnahme ist manchmal, einem Gerät gar keine Steckdose bzw. keinen Netzzugang zu geben.
Wo du bewusst nicht mitgehen solltest: Der Artikel führt TLS-Inspektion (OPNsense+Zenarmor mit User-CA, Firewalla mit QUIC-Inspektion) als die technisch mächtigste Heim-Option auf. Das wäre für dich der falsche Weg: TLS-Inspektion bedeutet, dass du eine eigene Wurzel-CA auf jedem Endgerät installierst und deine Firewall die komplette verschlüsselte Kommunikation aufbricht und mitliest. Der Artikel sagt es selbst – „teuer in Hardware, Pflege und Vertrauen". Für jemanden, dem Datensparsamkeit wichtig ist (gehärteter Firefox, GrapheneOS, self-hosting), wäre ein zentraler Man-in-the-Middle auf den eigenen TLS-Verkehr ein Widerspruch in sich. Du würdest ein Überwachungsinstrument gegen dich selbst bauen, um Werbung und Tracking zu blocken.
Unterm Strich: Deine ursprüngliche Einschätzung – „die Möglichkeiten im Heimbereich sind begrenzt" – war richtig, und der Artikel liefert die technische Begründung dafür. Aber innerhalb dieser Grenzen hast du das Sinnvolle gebaut: die drei wirksamen, verhältnismäßigen Maßnahmen umgesetzt, die eine unverhältnismäßige (TLS-MITM) ausgelassen, und bei den unfilterbaren Geräteklassen (Smart-TVs) die einzige wirklich wirksame Antwort gewählt, nämlich Netz-Entzug.
Die eigentliche Konsequenz ist keine technische mehr, sondern die, mit der der Artikel schließt: die Entscheidung, welches Gerät überhaupt ins Netz darf.“ Zitat Ende
Ein Schwachpunkt in dem Ganzen dürften die Fire-TV Geräte sein, die zwar ins „untrusted“ VLAN 20 verbannt sind, und die daher keinen Zugriff auf das Heimnetz haben, aber nach meinem jetzigen Wissensstand die ganze Problematik um QUIC/HTTP3, ECH, hartkodierte IPs, Google FCM auf 5228), DoT/DoH von Geräten die sich nicht zwingen lassen, weiterhin bestehen lassen.
Allerdings: wenn ich es recht bedenke, hat ein Streaming-Anbieter es gar nicht nötig, Daten über einen verschlüsselten Stream abzugreifen, denn er weiß eh schon alles über die Sehgewohnheiten seiner Nutzer. Die Datenerhebung geschieht per Design. Der Schwachpunkt ist am Ende der Nutzer selbst, der einen solchen Dienst in Anspruch nimmt, und dabei dieses Profiling in Kauf nimmt. Ein noch so ausgeklügelter Firewall-Schutz ändert daran nichts.
Am Ende habe ich der Nachvollziehbarkeit halber eine Dokumentation erstellt, die versucht, sowohl den technischen Aufbau als auch die gesamte Funktionalität einigermaßen verständlich und nachvollziehbar aufzubereiten.
Das neue Setup hatte unerwartet positive Nebeneffekte. Der Ausbau des Geräteparks mit zusätzlich Firewall, Switches, und WLAN-AccessPoint (insgesamt 5 Geräte) mit diversen störrischen LAN-Kabeln wurde an zentraler Stelle des „Living Room“ nicht mehr geduldet. Mit einfacher LAN-Kupplung konnte ich das WAN-Signal des Glasfaser-ONT weg vom Wohnzimmer ins Büro bringen, und nun sind die Geräte allesamt hinter einem LowBoard-Bücherregal mit ausreichender Lüftung verschwunden. Außerdem kann man jetzt in der Sommerfrische im Garten problemlos surfen (WLAN 6), wenn man denn dort nichts Vernünftigeres zu tun hat….
), fragt sie mich nicht nach meinem Namen und greift auch sonst keine Daten von mir ab; bei Online-Werbung ist das anders.
