Das Netzwerk schützen

Alles, was dieser Kurs bisher behandelt hat, schützt das Gerät und die Konten darauf. Diese Lektion wendet sich der Verbindung zwischen Ihrem Mac und allem anderen zu: dem WLAN, dem er beitritt, den Abfragen, die er stellt, und dem Datenverkehr, der ihn verlässt.

Die eingebaute macOS-Firewall: standardmäßig eingehend

macOS wird mit einer Firewall ausgeliefert, zu finden unter Systemeinstellungen > Netzwerk > Firewall. Apple beschreibt unmissverständlich, was sie tut: „Eine Firewall kann Ihren Mac vor unerwünschten Kontaktversuchen anderer Computer schützen, wenn Sie mit dem Internet oder einem Netzwerk verbunden sind.“ Das ist eine eingehende Firewall: Sie ist dafür gebaut, von außen kommende Verbindungen zu Ihrem Mac zu stoppen, nicht zu kontrollieren, was Ihre eigenen Apps hinaussenden. Einmal aktiviert, können Sie in denselben Firewall-Einstellungen auch überprüfen, welche Apps und Dienste eingehende Verbindungen annehmen dürfen.

Das lässt eine echte Lücke: Nichts in der eingebauten Firewall sagt Ihnen, welche Ihrer eigenen Apps still Daten hinaussenden, an wen, oder erlaubt Ihnen, den ausgehenden Datenverkehr einer App zu blockieren, während der Rest unangetastet bleibt. Ausgehende Verbindungen pro App zu sehen und zu kontrollieren, braucht ein separates, eigens dafür gebautes Werkzeug.

WLAN: die Grundlagen, die am meisten zählen

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) listet grundlegende Schritte zur Absicherung eines drahtlosen Netzwerks, beginnend mit den Grundlagen, die Menschen überspringen: das Ändern der Standard-Administratorpasswörter am Router, da „die meisten Netzwerkgeräte … mit Standard-Administratorpasswörtern vorkonfiguriert sind“, und Verschlüsselung, wobei angemerkt wird, dass „WPA3 derzeit die stärkste Verschlüsselung“ ist, mit WPA2 als akzeptablem Minimum. CISA empfiehlt außerdem, dem Netzwerk einen eigenen Namen zu geben, die Router-Firmware aktuell zu halten, und in öffentlichem WLAN, das Sie nicht selbst kontrollieren, Dateifreigabe zu deaktivieren und den Netzwerknamen vor dem Verbinden zu bestätigen, statt jedem offenen Netzwerk zu vertrauen, das vertraut aussieht.

• Nutzen Sie WPA3, wo Router und Geräte es unterstützen, WPA2 als Minimum; lassen Sie ein Netzwerk nie offen.
• Ändern Sie das Standard-Administratorpasswort des Routers; es ist eines der ersten Dinge, nach denen in jedem Netzwerk gesucht wird.
• Halten Sie die Router-Firmware aktuell, genauso wie Sie macOS und Apps aktuell halten.
• Deaktivieren Sie in einem öffentlichen Netzwerk die Dateifreigabe und behandeln Sie jeden Datenverkehr, der nicht HTTPS ist, als für andere in diesem Netzwerk sichtbar.

DNS: die Abfrage, die meist nicht privat ist

Bevor Ihr Mac eine Website erreichen kann, schlägt er deren Adresse über DNS nach, und diese Abfrage wird normalerweise im Klartext gesendet. Cloudflares technische Dokumentation drückt es direkt aus: „Standardmäßig werden DNS-Abfragen und -Antworten im Klartext gesendet …, was bedeutet, dass sie von Netzwerken, Internetanbietern oder jedem, der die Übertragung überwachen kann, gelesen werden können. Selbst wenn eine Website HTTPS verwendet, ist die DNS-Abfrage, die zum Navigieren zu dieser Website nötig ist, offengelegt.“ Zwei neuere Standards, DNS over TLS und DNS over HTTPS, verschlüsseln diese Abfrage stattdessen, was Cloudflare damit vergleicht, eine gewöhnliche Postkarte in einen Umschlag zu stecken: Das Ziel wird weiterhin zugestellt, ist aber bei der Übertragung nicht mehr lesbar.

VPNs: was sie ändern, und was nicht

Ein VPN leitet Ihre Verbindung durch einen verschlüsselten Tunnel zu einem vom VPN-Anbieter betriebenen Server, was Ihren Datenverkehr und Ihre IP-Adresse vor Ihrem lokalen Netzwerk und Ihrem Internetanbieter verbirgt. Die EFF ist ebenso klar über die Grenzen: „Ein VPN ist kein Werkzeug für Anonymität“, da es standort-, cookie- oder fingerprint-basiertes Tracking nicht stoppt, und alles, was sonst Ihr ISP sähe, wird stattdessen für den VPN-Anbieter sichtbar: „VPN-Anbieter unterliegen ebenfalls Anfragen von Strafverfolgungsbehörden“, genau wie ein ISP. Die Schlussfolgerung der EFF ist nicht, VPNs zu meiden, sondern wählerisch zu sein: „Nutzen Sie kein VPN, dem Sie nicht vertrauen“, und suchen Sie nach unabhängigen Sicherheitsaudits und einer klaren, konkreten Datenschutzrichtlinie, bevor Sie sich für eines entscheiden.