FireAI 1.0: eine neu gestaltete Oberfläche, die den Netzwerkzustand eines Mac auf einen Blick zeigt

FireAI 1.0, erschienen am 30. September 2026, gestaltet neu, wie die Firewall zeigt, was ein Mac im Netzwerk tut. FireAI ist eine Netzwerk-Firewall für macOS von HisnLabs mit einem KI-Modell auf dem Gerät, das Entscheidungen vorschlägt. Diese Notiz führt auf, was sich seit 0.1.8 geändert hat; jede Änderung folgt einer von vier unten beschriebenen Gestaltungsentscheidungen.

Die vier Entscheidungen lauten: Zustand zeigen, statt Nutzer Zahlen lesen zu lassen; dort handeln, wo man hinsieht; nichts bewegen, solange nichts geschieht, was zugleich die CPU-Last senkt; und jede Warnung in einfachen Worten sagen lassen, was geschehen ist und was sich dagegen tun lässt.

Was sich seit 0.1.8 geändert hat

Die Weltkarte: Durchsatz als Form

In 0.1.8 stellten die Bögen der Karte Gesamtsummen seit Beginn dar, und ihre Punkte bewegten sich auch auf Verbindungen weiter, die längst ruhten. Eine Gesamtsumme sagt wenig über die Gegenwart, und ein bewegter Punkt auf einer ruhenden Linie suggeriert Aktivität, die es nicht gibt. Die Weltkarte zeichnet nun „Datenflüsse“. Die Breite einer Linie folgt dem aktuellen Durchsatz auf einer logarithmischen Skala von etwa 1 KB/s bis etwa 1 MB/s. Weiße Punkte laufen vom Mac weg, während eine App hochlädt, und farbige Punkte laufen zurück, während sie herunterlädt, und nur solange Daten fließen. Ruhende Linien bleiben dünn und still, sodass Bewegung auf der Karte stets Datenverkehr bedeutet. Die Dokumentation zur Weltkarte führt die Einzelheiten auf.

Kontext wird dort ergänzt, wo er die Deutung einer Verbindung verändert. Die tatsächliche Nachtseite der Erde ist schattiert, ein kleiner Mond kennzeichnet Ziele, die aktiv sind, während dort Nacht ist, und die Verbindungskarte nennt eine ungefähre Ortszeit am Ziel, etwa „About 1 AM there“. Ein Ring um den Globus zeigt den Anteil jedes Landes am aktuellen Datenverkehr, beschriftet mit „LIVE · 1.2 MB/s“. Zeigt man auf ein Segment, erscheinen Land, Anteil und Geschwindigkeit, und die Linien der übrigen Länder werden ausgeblendet, sodass sich ein Land für sich lesen lässt.

Anfragen nach Land: dort handeln, wo man hinsieht

Unter dem Globus zeigt eine neue Liste jedes Land mit Flagge, Balken und Anzahl der Anfragen, also der Summe aus Verbindungen und blockierten Versuchen. Die Auswahl einer Zeile dreht den Globus auf kürzestem Weg und mit sanfter Bewegung zu diesem Land und beschriftet es. Eine erneute Auswahl der Zeile lässt den Globus ohne Sprung weiterdrehen. Beschriftungen benachbarter Länder werden gestapelt, statt sich zu überlappen.

Der Grund für diese Gestaltung ist die Nähe zwischen Beobachtung und Handlung. Zeigt man auf eine Zeile, erscheinen zwei Schaltflächen. Filtern beschränkt Globus und Liste auf dieses Land. Blockieren legt nach einer Bestätigung Sperrregeln für die dort bereits gesehenen Ziele an. Neue Ziele in diesem Land lösen weiterhin eine Abfrage aus oder folgen dem aktuellen Modus; die Aktion erfasst also das Beobachtete und erstreckt sich nicht stillschweigend auf Unbeobachtetes. Siehe Requests by country and upload spikes.

Upload-Spitzen: eine Warnung, die das Land nennt

Ein Land wird markiert, wenn es in den letzten 10 Sekunden mindestens 5 MB und mindestens das Zehnfache seiner üblichen Rate empfängt. Das Land rückt rot mit seiner Geschwindigkeit an die Spitze der Liste, etwa „↑ 4.2 MB/s“, und eine rote Zeile lautet „Unusual upload to France · since 14:02“. Der Globus zeigt rote Linien und eine pulsierende Markierung, das Wetter auf der Startseite wechselt zu „Storm“, und die Menüleiste zeigt ein rotes ↑ mit dem Ländercode.

Dieselbe Tatsache wird also an vier Stellen gezeigt, jeweils auf der Aufmerksamkeitsebene, auf der sich Nutzer wahrscheinlich befinden: die Menüleiste für einen kurzen Blick, die Startseite für eine Sitzung, die Karte für die Untersuchung und die Liste für die Entscheidung. Die Markierung bleibt nach dem Ende der Spitze eine Minute bestehen. Ein gleichmäßiger Upload wie eine Datensicherung gilt nach etwa zwei Minuten als normal, was wiederholte Warnungen bei erwartetem Verhalten begrenzt. FireAI blockiert den Datenverkehr nicht von sich aus; die Warnung nennt, was geschehen ist, und überlässt die Entscheidung den Nutzern.

Aktivität: eine Minute Verhalten in einem Streifen

Jede Verbindung trägt nun einen 60-Sekunden-Herzschlagstreifen, auf ihrer Karte und als Spalte „Last minute“ in der Tabelle. Eine Zacke ist ein Ausbruch, eine Welle ein gleichmäßiger Strom, ein roter Strich ein blockierter Versuch und eine flache Linie eine ruhige Verbindung. Der Streifen wird einmal pro Sekunde aktualisiert, und nur solange er auf dem Bildschirm sichtbar ist. Er ersetzt eine Reihe von Ratenwerten durch eine Form, die sich über Verbindungen hinweg auf einen Blick vergleichen lässt. Einzelheiten stehen unter Activity and connection history.

Eine blockierte Verbindung hat eine Schaltfläche zur Wiedergabe. Sie spielt eine 2-sekündige Animation ab: Ein Paket verlässt die App, das FireAI-Maskottchen des Bereichs, der es blockiert hat, fängt das Paket ab, und am Ziel erscheint ein ✕. Auf die Animation folgt, was die Verbindung blockiert hat und wie oft sie es versucht hat. Zweck ist, die Frage, was dies verhindert hat, in der Reihenfolge der Ereignisse zu beantworten, ohne separate Protokollansicht.

Startseite, Menüleiste und Maskottchen: nichts bewegt sich ohne Grund

Die Startseite beginnt nun mit einer Datenschutz-Wetteranzeige. „Clear“ bedeutet, dass in dieser Stunde nichts blockiert wurde, „A few clouds“ und „Showers“ stehen für einige bzw. viele blockierte Verbindungen, „Storm“ für eine Upload-Spitze und „Sheltered“ dafür, dass der Notaus aktiv ist. „Calm“ und „Calm night“ bedeuten, dass fast nichts hinausgeht. Die Auswahl der Anzeige öffnet die Aktivität oder, bei einem Sturm, die Weltkarte. Die Dokumentation zur Startseite beschreibt jeden Zustand.

Das 3D-Maskottchen reagiert auf dieselben Ereignisse. Es schüttelt den Kopf bei einer Häufung von Sperren, definiert als fünf oder mehr in 10 Sekunden, springt bei einer Upload-Spitze und döst spät in der Nacht, wenn fast nichts fließt. Geschieht nichts, zeichnet es nichts. Das Symbol in der Menüleiste folgt derselben Regel: Bei einer Sperre blinkt es etwa eine Sekunde rot, höchstens einmal alle 3 Sekunden, und während einer Upload-Spitze zeigt es ein rotes ↑ mit dem Ländercode (siehe Menu bar widget). Animation dient hier als Signal, daher ist auch ihr Ausbleiben eine Information.

Schnellprüfung, die Zeitleiste unter Bedrohungen und FireAI Pilot

Die Schnellprüfung verwandelt die Liste der Vorschläge in einen Kartenstapel. Ziehen einer Karte oder Drücken von ← blockiert, → erlaubt, ↓ überspringt und Esc beendet. Beim Ziehen erscheinen die Stempel BLOCK und ALLOW, sodass das Ergebnis vor dem Loslassen sichtbar ist, und am Ende wird eine Zusammenfassung angezeigt. Jede Antwort legt die Regel an und trainiert FireAI Pilot; eine Entscheidung wird also einmal getroffen und zweimal genutzt.

Auf der Seite Bedrohungen führt eine „Warum?“-Zeitleiste auf, wann die App erstmals online ging und ob sie signiert war, ihren ersten Kontakt mit dem Server und das Land des Servers, die Warnzeichen und was FireAI unternommen hat. Das Urteil wird so von den Belegen in ihrer Reihenfolge begleitet.

FireAI Pilot lernt pro WLAN und pro Sicherheitsmodus, eine Änderung, die mit 0.1.8 Build 3 begann und Teil von 1.0 ist. Das Netzwerk wird als kurzer Fingerabdruck seines Namens oder seines gespeicherten Orts gespeichert, nie als Name selbst, und nur auf dem Mac. Das Auslesen des WLAN-Namens erfordert die Ortungsberechtigung. Eine in einem anderen Netzwerk getroffene Entscheidung zählt etwa ein Drittel so viel wie eine im aktuellen Netzwerk.

Geringere CPU-Last

Die Regel, dass sich nichts bewegt, solange nichts geschieht, wirkt sich auch auf den Ressourcenverbrauch aus. Die Startseite zeichnet nur Geändertes neu, der Globus läuft mit 24 Bildern pro Sekunde und pausiert, solange FireAI im Hintergrund ist, und das 3D-Maskottchen hört nach seinem Auftritt auf zu zeichnen. Die Herzschlagstreifen werden nur aktualisiert, solange sie sichtbar sind. FireAI ist ein Programm, das dauerhaft neben anderer Arbeit läuft, daher ist die Oberfläche so gestaltet, dass sie bei ruhigem Netzwerk wenig kostet.

Gestaltungsprinzipien, die wir beibehalten haben

• Zustand zeigen, keine Zahlen: Breite, Farbe, Form und ein Wetterwort tragen die Bedeutung, bevor eine Zahl gelesen wird.
• Dort handeln, wo man hinsieht: Filtern und Blockieren liegen in der Länderzeile, die Wiedergabe bei der blockierten Verbindung, die Antworten auf der Karte.
• Nichts bewegt sich, solange nichts geschieht: Bewegung signalisiert Datenverkehr, Stillstand signalisiert Ruhe.
• Jede Warnung sagt in einfachen Worten, was geschehen ist und was sich tun lässt, und FireAI handelt bei einer Upload-Spitze nicht ohne die Nutzer.
• Aktionen erfassen das Beobachtete: Eine Ländersperre gilt für die bereits gesehenen Ziele und überlässt neue dem aktuellen Modus.

Einschränkungen

• Der Upload-Schwellenwert (mindestens 5 MB in 10 Sekunden und das Zehnfache der üblichen Rate) ist eine Heuristik. Ein kurzer legitimer Upload darunter wird nicht markiert, und ein großer Upload in ein Land, das regelmäßig große Uploads empfängt, möglicherweise auch nicht.
• Das Land eines Ziels wird aus seiner Adresse abgeleitet, und Ortszeit sowie Nachtmarkierung sind Näherungen für dieses Land.
• Das Blockieren nach Land erfasst bereits gesehene Ziele. Es ist keine Regel gegen ein Land als Ganzes.
• Ein gleichmäßiger Upload gilt konstruktionsbedingt nach etwa zwei Minuten als normal; eine langsame, kontinuierliche Datenübertragung wird nach diesem Zeitraum daher nicht markiert.
• Ohne Ortungsberechtigung kann FireAI den WLAN-Namen nicht auslesen, und FireAI Pilot kann Netzwerke dann nicht unterscheiden.

Aktualisierung

FireAI aktualisiert sich über die Einstellungen. Ohne automatische Updates können Sie FireAI 1.0 herunterladen und 17 Tage kostenlos testen. Die Release-Seite führt die Änderungen jedes Builds auf.

Wo FireAI und HisnLabs ins Spiel kommen

Sehen Sie, wohin Ihr Mac kommuniziert, und handeln Sie im selben Bildschirm.

FireAI ist das eigene Produkt von HisnLabs: eine KI-Firewall für den Mac, die direkt auf dem Gerät läuft. Sie zeigt jede Verbindung Ihrer Apps in verständlicher Sprache und lässt Sie entscheiden, was Ihren Mac verlässt — die KI arbeitet lokal, Ihr Datenverkehr wird also nie an uns oder irgendjemand anderen gesendet. Das Sicherheitsforschungsteam von HisnLabs sorgt dafür, dass diese Entscheidungen verlässlich bleiben: Es katalogisiert, welche Domains gewöhnliche Telemetrie und welche ein echter Dienst sind, verfolgt Land und Netzwerk hinter einer Verbindung und trainiert das lokale Modell (die FireAI-Pilot-Funktion) mit echten Verkehrsmustern — ohne dass irgendetwas davon Ihren Mac verlässt.

Die technischen Entscheidungen dahinter können Sie nachlesen — oder FireAI 17 Tage lang ausprobieren — unter FireAI, von HisnLabs.