Firewall zu Hause: OPNsense oder pfSense

Jedes Heimnetz hat schon eine Firewall. Sie steckt in dem Router, den dein Anbieter geschickt hat, sie hat Meinungen, denen du nie zugestimmt hast, und ihr Regelwerk kannst du nicht lesen. OPNsense und pfSense sind die beiden bekannten Wege, sie gegen eine auszutauschen, die du lesen kannst.

Kurz gesagt

Solltest du für die Firewall zu Hause OPNsense oder pfSense wählen? Beide laufen auf gewöhnlicher 64-Bit-PC-Hardware, und zu Hause entscheiden Lizenz und Edition mehr als die Funktionsliste [1][12]. Unsere Einschätzung: Fang mit der OPNsense Community Edition an. Sie ist kostenlos, steht unter der schlichten 2-Clause-BSD-Lizenz [8], bekommt zwei große Versionen pro Jahr [6], und ihre Hardwarestufen sind dokumentiert [1]. Nimm pfSense CE, wenn du es schon kennst. Mit pfSense Plus auf eigener Hardware würden wir nicht anfangen, denn Netgate führt es dort mit einem Jahresabo auf [15]. Setz die Firewall auf einen Mini-PC mit mindestens zwei Ethernet-Anschlüssen [4][12], stecke ihren WAN-Port zuerst in einen LAN-Port der FRITZ!Box und wechsle später zu „Firewall als Hauptrouter“, wenn dich das doppelte NAT stört. Der Guide ordnet die beiden Produkte nicht in eine Rangliste ein und richtet keine VLANs ein; das steht im VLAN-Guide unten.

So funktioniert’s

Was eine Heim-Firewall tut. Sie sitzt zwischen deinen Geräten und dem Internet, merkt sich jede Verbindung in einer Zustandstabelle und verwirft, was du nicht bestellt hast. Dafür braucht sie mindestens zwei Netzwerkschnittstellen, eine zum Internet (WAN) und eine zu deinen Geräten (LAN). Der OPNsense-Installer lässt dich die erste Schnittstelle als LAN und die zweite als WAN zuordnen [4]. In der Netgate-Dokumentation heißen die ersten beiden Schnittstellen standardmäßig WAN und LAN [23]. Weitere Ports werden zu weiteren Netzen.

Editionen und Lizenzen. Was Leute vergleichen, sind keine vier gleichartigen Produkte:

Netgates Aussagen unterscheiden sich je nach Datum. Die Ankündigung vom Oktober 2023 sagt, die kostenlose Home+Lab-Version von Plus sei eingestellt und TAC Lite gebe es nur für Netgate-Geräte, Cloud-Marktplätze und Standardhardware mit TAC-Pro- oder Enterprise-Abo [17]. Die undatierte Seite „Software Types“ führt TAC Lite jetzt mit 129 $ pro Jahr [15]. Prüfe Netgates Shop an dem Tag, an dem du dich entscheidest. Läuft ein TAC-Lite-Abo ab, läuft die Firewall weiter, kann aber keine Updates holen, und bei einer Neuinstallation ist der Wechsel von CE auf Plus nicht mehr möglich [18]. Netgate nennt Plus einen kommerziellen Fork von CE [16].

Funktionen, die zu Hause zählen. Beide decken ab, was ein Haushalt braucht. Wo wir eine Herstelleraussage fanden, ist sie belegt:

Plus hat Extras, die CE nicht hat. Netgate nennt Unterstützung für Kryptobeschleuniger, Ethernet-Filterung und OpenVPN DCO (Oktober 2023) [17], und die Release Notes 26.07 ergänzen CoreDNS, ThreatGate und Snort 3 im Netgate-Nexus-Controller [21]. Ob du Nexus auf eigener Hardware nutzen kannst, ist unbelegt. Netgate sagt außerdem, wie weit es CE unterstützt, werde „laufend bewertet“ [16]. Unsere Einschätzung: Dieser Satz ist das eigentliche Langzeitrisiko von CE und das beste Argument für OPNsense als Standard.

Welche Community-Version dich erwartet. OPNsense 26.7 basiert auf FreeBSD 15.1 [7]. pfSense CE 2.9.0 basiert auf „FreeBSD 16-CURRENT“ und trägt einen Hardwarehinweis: Manche Celeron-J-Geräte können beim Start in einen Kernel-Panic laufen, ein dokumentierter Loader-Eintrag umgeht das [19]. Mini-PCs nutzen oft solche Chips. Lies deshalb die Release Notes der Version, die du installierst, gegen deine Hardware, bevor du irgendetwas flashst.

Hardware: was die Hersteller schreiben. Nimm die Zahlen von den beiden Herstellern, nicht aus Faustregeln im Forum:

Beide Hersteller sagen, die Netzwerkkarte zählt: OPNsense empfiehlt Intel-Chipsätze für LAN-Anschlüsse [1], Netgate nennt Intel die beste Praxis und sagt, billige Karten verbrauchen deutlich mehr CPU [13][14]. Netgate sagt außerdem, USB-Netzwerkadapter solle man nicht verwenden [14]. Die oberste Durchsatzstufe von OPNsense endet bei 750+ Mbit/s, eine Herstellerangabe für eine dauerhaft ausgelastete 1-Gbit/s-Leitung mit Angriffserkennung ist deshalb unbelegt. Funktionen verändern die Auslegung: Suricata oder Snort brauchen bei pfSense mindestens 1 GB RAM, und ein Web-Proxy oder Captive Portal mit vielen Nutzern braucht bei OPNsense mehr CPU [1][13]. Unsere Einschätzung: Kauf für eine Heimleitung mindestens die empfohlene Stufe, mit zwei oder mehr Intel-Ports, und behandle jede Watt- oder Tempoangabe auf einer Shopseite als Behauptung, die du prüfst. Wie du misst, was dein Gerät wirklich zieht, steht im Stromguide unten.

Wo sie im Netz sitzt. Zwei sinnvolle Plätze, einer davon umkehrbar:

A in der Praxis. Der WAN-Port der Firewall bekommt von der FRITZ!Box eine private Adresse. OPNsense blockt am WAN „Verkehr, der angeblich von privaten Adressen kommt“, was an einem echten öffentlichen WAN nicht legitim vorkommen sollte [5]. Netgate beschreibt dieselbe Option als typischerweise nur an WAN-Schnittstellen gewünscht [23]. Community-Quellen berichten, dass du „Block private networks“ und „Block bogon networks“ abhaken musst, wenn der WAN in einem privaten Netz hängt, und dass das LAN der Firewall einen anderen Adressbereich als die FRITZ!Box braucht [29][30]. Sie nennen Router-hinter-Router-Aufbauten außerdem aufwendig, weil Ports an beiden Geräten geöffnet werden müssen [30]. Für einen Dienst, etwa WireGuard, leitest du genau diesen Port in der FRITZ!Box auf die WAN-Adresse der Firewall weiter; AVM sagt, nur die tatsächlich nötigen Ports freizugeben sei sicherer als die Alternative [24]. AVMs „Exposed Host“ leitet alle Anfragen aus dem Internet an ein Gerät weiter und schaltet für dieses die FRITZ!Box-Firewall ab. AVM sagt, ihn nur zum Testen zu nutzen, aber auch, er könne sinnvoll sein, wenn hinter der FRITZ!Box ein anderer Router mit eigener Firewall Serverdienste bereitstellt [24]. Er setzt eine öffentliche IPv4-Adresse oder IPv6 vom Anbieter voraus, und bei IPv4 kann nur ein Gerät Exposed Host sein [24]. Unsere Einschätzung: Nimm zuerst die Weiterleitung einzelner Ports. Schalte Exposed Host erst ein, wenn du geprüft hast, dass der WAN der Firewall unaufgeforderten eingehenden Verkehr blockt, und prüfe von außerhalb deines Netzes. Bekommst du von deinem Anbieter keine öffentliche IPv4-Adresse, hilft der CGNAT-Guide unten. Bei Konsolen kann doppeltes NAT den NAT-Typ verschlechtern; die NAT-Typ-Seite unten erklärt es. pfSense CE 2.9.0 bringt teilweise, experimentelle „Port Restricted Cone“-Quell-NAT, die laut Netgate noch kein Full Cone ist [19].

B in der Praxis. Die freie Routerwahl gilt in Deutschland seit August 2016, und die Bundesnetzagentur hat im Januar 2025 bestätigt, dass sie auch für Glasfasermodems (ONT) gilt [26][28]. Die Verbraucherzentrale ergänzt, dass du bei Glasfaser das Gerät womöglich beim Anbieter anmelden musst und dass die Methode vom Anbieter abhängt [27]. Das ist eine Information, keine Rechtsberatung. AVM beschreibt zwei Wege, eine FRITZ!Box hinter einem anderen Router zu betreiben: als IP-Client, bei dem ihre Firewall abgeschaltet ist und jedes Gerät uneingeschränkten Zugriff hat, oder als kaskadierter Router, bei dem ihre Firewall aktiv bleibt [25]. AVM empfiehlt den IP-Client-Modus für die einfache Einbindung [25]; mit deiner eigenen Firewall davor passt er gut für Telefonie und WLAN, weil deine Firewall das Netz ohnehin schützt. Ob dein FRITZ!Box-Modell als Modem für deine Leitung taugt, ist hier unbelegt; schau auf AVMs Seite für dein Modell.

Praxisbeispiel

Zwei kurze Rechnungen zeigen, wohin Geld und Speicher gehen.

Kosten über drei Jahre, Herstellerpreise wie gelistet, keine Umrechnung zwischen Währungen:

OPNsense Community     3 x 0            = 0
pfSense CE             3 x 0            = 0
OPNsense Business      3 x 149 EUR      = 447 EUR   (Shopseite, ohne Datum [10])
pfSense Plus, eigene HW 3 x 129 USD     = 387 USD   (Seite Software Types, ohne Datum [15])

Hat sich ein Preis seit der letzten Aktualisierung der Seiten geändert, ändern sich die Summen mit. Für den Hausgebrauch decken die Community-Editionen die obige Funktionsliste ab, deshalb fangen wir dort an.

Speicher für die Zustandstabelle, erfundenes Beispiel. OPNsense gibt an, dass jeder Zustandseintrag etwa 1 kB RAM braucht [1]. Angenommen, ein Haushalt hat 20.000 aktive Zustände (die Zahl ist für die Methode ausgedacht; lies deine eigene in der Zustandsansicht der Firewall ab). Das sind etwa 20 MB. Netgates Tabelle sagt, 100.000 Zustände brauchen etwa 97 MB, und Betriebssystem und Dienste brauchen mindestens 175–256 MB zusätzlich [13]. Die Zustandstabelle entscheidet deinen RAM-Bedarf zu Hause also nicht. Das tun die Dienste, die du dazuschaltest (eine Angriffserkennung allein will bei pfSense mindestens 1 GB [13]), und die Stufe des Herstellers.

Prüfliste

• Schreibe auf, ob du Dienste hostest, online spielst oder nur surfst. Das entscheidet zwischen A und B.
• Wähle OPNsense Community, sofern du keinen Grund für pfSense hast; notiere diesen Grund.
• Prüfe den Preis am Tag des Kaufs im Shop von Netgate oder Deciso; unsere Seiten nennen Preise ohne Datum.
• Wähle einen Mini-PC mit x86-64-CPU, zwei oder mehr Ethernet-Ports (Intel bevorzugt) und einer SSD.
• Meide USB-Netzwerkadapter für WAN und LAN.
• Lies die Release Notes deiner Version auf Hardwarehinweise, etwa den Celeron-J-Startfehler in pfSense CE 2.9.0.
• Wähle für das LAN einen Adressbereich, der sich vom Bereich der FRITZ!Box unterscheidet, bevor du etwas einsteckst.
• Hake „Block private networks“ und „Block bogon networks“ an einem WAN in einem privaten Netz ab, und behalte die Standardsperre für eingehenden Verkehr.
• Leite einzelne Ports von der FRITZ!Box an die Firewall weiter; probiere Exposed Host zuletzt.
• Teste von außerhalb deines Netzes, dass unaufgeforderter eingehender Verkehr blockiert wird.
• Sichere die Konfiguration der Firewall in eine Datei und lege sie getrennt von der Firewall ab.
• Plane den Wechsel zu Variante B erst, wenn du Modem- und Registrierungsbedarf deiner Leitung kennst.

Passt dazu: VLANs zu Hause: IoT und Gäste trennen; VLAN (Lexikon); NAT-Typ bei Konsolen und Spielen; Gameserver hinter CGNAT oder DS-Lite: 5 Wege; UPnP: automatische Portfreigabe; 2,5 Gbit im Homelab: wann es sich lohnt; Homelab-Stromverbrauch richtig messen; USV – unterbrechungsfreie Stromversorgung; WireGuard oder Tailscale fürs Homelab; Pi-hole oder AdGuard Home: DNS-Werbeblocker; Router absichern: Checkliste fürs Heimnetz; Doppel-NAT; Exposed Host (Router).