Little Snitch vs LuLu vs Radio Silence vs NetMute: Mac-Firewall-Vergleich 2026

Die eingebaute macOS-Firewall regelt eingehende Verbindungen. Das ist wichtig, aber nur die halbe Wahrheit. Das eigentliche Problem liegt auf der anderen Seite: Jede App auf deinem Mac kann sich ungehindert mit dem Internet verbinden und Daten senden, ohne dich zu fragen und ohne dich zu informieren.

Wie das konkret aussieht: Auf dem Mac des Entwicklers hat GeForce NOW zwischen dem 7. und 22. September 2026 insgesamt 59 Domains kontaktiert. Zwei davon waren Tracking-Endpunkte (feedbacks.telemetry.data.nvidia.com und events.telemetry.data.nvidia.com). In 30 Tagen hat NetMute auf demselben Mac 2.701 Tracker-Anfragen von 64 Firmen aus 33 Apps gestoppt. Nichts davon schaut sich die eingebaute Firewall an.

Eine Firewall für ausgehende Verbindungen ändert das. Sie zeigt dir, welche Verbindungen deine Apps nach außen aufbauen, und lässt dich entscheiden: Darf diese App online gehen oder nicht? Das hat nichts mit Paranoia zu tun, sondern mit informierter Zustimmung.

Besonders wichtig ist das für alle, die mit sensiblen Daten arbeiten, ob Freelancer, Unternehmer oder einfach jemand, der seine Privatsphäre ernst nimmt.

Die vier Kandidaten gehen unterschiedlich vor. Little Snitch gibt dir detaillierte Regeln pro Verbindung. LuLu gibt dir kostenlose, quelloffene Zulassen/Blockieren-Entscheidungen. Radio Silence sperrt ganze Apps ohne Rückfragen und zeigt dir eine Live-Liste der Verbindungen. NetMute verbindet eine Per-App-Firewall mit einem Tracker Shield, das bekannte Tracker für dich blockiert, und einer Datenschutznote pro App. Schauen wir sie uns einzeln an.

Little Snitch von Objective Development aus Wien gehört zu den am längsten etablierten Mac-Firewalls. Aktuell ist Version 6.5 vom 8. September 2026.

Im Modus mit Rückfragen fragt Little Snitch bei jeder neuen Verbindung, und du erlaubst oder sperrst einmalig, bis zum Beenden der App oder dauerhaft. Regeln können auf einen Prozess, eine Domain, einen Host oder eine IP-Adresse, einen Port oder Portbereich, ein Protokoll und eine Richtung zielen, und sie können nach einer Zeitspanne oder einem Ereignis ablaufen. Wer nicht gefragt werden will, nutzt den stillen Modus. Profile wechseln automatisch je nach Netzwerk.

Der Network Monitor zeigt eine Live-Liste der Verbindungen, eine Karte und ein Traffic-Diagramm über bis zu 12 Monate. Version 6 brachte DNS-Verschlüsselung (DoH, DoT und DoQ) und Blocklisten, die du nach Kategorie hinzufügst, etwa Tracking, Werbung oder Malware, dazu eigene Listen-URLs; standardmäßig ist keine davon aktiv. Wo der Entwickler einer App eine bereitstellt, zeigt Little Snitch außerdem eine Internet Access Policy, die erklärt, wozu eine Verbindung dient.

Diese Tiefe ist der Grund, Little Snitch zu wählen. Wenn du das Netzwerkverhalten deines Macs Regel für Regel gestalten willst, geht aus unserer Sicht nichts auf dem Mac weiter. Die Kehrseite ist Aufmerksamkeit: Du triffst die Entscheidungen und pflegst die Regeln.

Little Snitch wird als unbefristete Lizenz direkt über obdev.at verkauft (Einzel-, Familien- und Mehrfachlizenzen, vergünstigte Upgrades), nicht im Mac App Store. In der kostenlosen Demo läuft der Filter jeweils drei Stunden und lässt sich neu starten. Little Snitch Mini ist eine eigene App im Mac App Store: ein kostenloser Netzwerkmonitor, Blockieren und längerer Verlauf gibt es im Abo.

LuLu stammt von Patrick Wardle und gehört zur gemeinnützigen Objective-See Foundation, die mehrere kostenlose macOS-Sicherheitstools anbietet. Sie ist kostenlos und quelloffen (GPLv3). Aktuell ist Version 4.5.1 vom 5. August 2026.

Baut eine App eine ausgehende Verbindung auf, für die LuLu keine Regel hat, erscheint ein Hinweis, und deine Antwort wird zur Regel für die ganze App oder ein einzelnes Ziel (auf Wunsch mit Port). Der passive Modus läuft still mit deinen bestehenden Regeln. Block- und Erlaubnislisten lassen sich aus einer lokalen Datei oder von einer URL laden; diese Listen wählst und pflegst du selbst. Profile halten getrennte Regelsätze und werden von Hand gewechselt. Der Menüpunkt „Network Monitor“ öffnet Netiquette von Objective-See, eine Live-Ansicht der aktuellen Verbindungen.

Der Quellcode ist auf GitHub einsehbar, und laut Objective-See sammelt und überträgt LuLu keine Nutzerdaten.

Wofür LuLu nicht gebaut ist: Sie führt keine historischen Traffic-Diagramme, bringt keine eigene Trackerliste mit und kennt keine Datenlimits pro App. Welche Domain zu einem Tracker gehört, erkennst du selbst, oder eine Liste, die du lädst.

Aus unserer Sicht ist LuLu die beste kostenlose Wahl für alle, die jede Verbindung selbst entscheiden wollen.

Radio Silence geht den einfachsten Weg: Du setzt Apps auf eine Blockliste, und sie verlieren den Internetzugang. Keine Rückfragen, keine Regeln zum Einrichten. Aktuell ist Version 3.4.

Blind ist Radio Silence dabei nicht. Ein Echtzeit-Netzwerkmonitor zeigt jede Verbindung, auch von Hilfsprogrammen und Hintergrundprozessen, und seit Version 3.4 werden eingehende und ausgehende Verbindungen getrennt aufgelistet. Du siehst also, wer sich verbindet, und sperrst die App dann mit einem Klick.

Radio Silence ist ein Einmalkauf ohne Abo, mit Lizenzen für Einzelpersonen und Teams, und laut Hersteller waren Updates bisher kostenlos.

Der Kompromiss folgt aus dem Konzept. Der Hersteller beschreibt das Sperren auf App-Ebene, jede App ist also entweder online oder offline: Sperrst du eine Musik-App, kann sie nicht streamen; lässt du sie zu, erreicht sie auch ihre Analyse-Server. Tracker-Erkennung, Profile oder Datenlimits beschreibt die Website nicht.

Wenn du einfach bestimmte Apps offline haben willst und sonst nichts, ist Radio Silence aus unserer Sicht an Einfachheit kaum zu schlagen.

NetMute ist der jüngste Kandidat in diesem Vergleich und stellt eine andere Frage: nicht „Diese Verbindung erlauben?“, sondern „Welche meiner Apps tracken mich, und kann ich das stoppen, ohne sie kaputtzumachen?“

Im Kern steckt eine Per-App-Firewall, bedienbar über die Menüleiste und ein Hauptfenster: eine App ganz sperren oder nur einzelne Ziele. Darüber liegt das Tracker Shield, eine kuratierte Liste mit über 300 Tracker-Domains, die ohne Rückfrage blockiert werden, in Apps und in Browsern. So bleibt eine App online, ihr Tracking aber nicht: Im GeForce-NOW-Beispiel oben wurden beide Telemetrie-Endpunkte blockiert, ohne dass eine einzige Frage kam.

App X-Ray gibt jeder App eine Datenschutznote, basierend auf dem, was sie tatsächlich kontaktiert. So siehst du, welche Apps einen genaueren Blick verdienen. Auf Wunsch werden neue Verbindungen still protokolliert statt als Pop-up gemeldet, und du entscheidest den Stapel in einem Durchgang. Jede Regel zeigt ihre Trefferzahl, und Regeln, die nachweislich nie greifen können, werden benannt.

Für Laptops gibt es eine Automatik für unterwegs: Sie schaltet sich im Hotspot selbst ein, pausiert die Apps, die du ausgewählt hast, und achtet auf ein Datenbudget; verlässt du den Hotspot, wird alles zurückgestellt. Datenlimits pro App, eigene Profile und Zeitpläne runden das ab. Das Safari Shield bringt dieselbe Trackerliste in Safari und wirkt auch dann, wenn iCloud Private Relay aktiv ist und ein Netzwerkfilter diese Anfragen nicht mehr sieht.

NetMute lädst du kostenlos und ohne Zeitlimit: Per-App-Firewall, Live-Traffic pro App, Tracker Shield für die 50 aktivsten Tracker-Domains, 5 eigene Domain-Sperren und der Verlauf der laufenden Woche. Pro ist ein einmaliger Kauf, ohne Abo und ohne Account: die volle Liste mit über 300 Trackern, App X-Ray, das Privacy-Dashboard, Berichte über Monate mit CSV-Export und die Automatik-Funktionen. Es gibt NetMute im Mac App Store oder als direkten Download.

Die ehrlichen Grenzen: NetMute ist nicht quelloffen, läuft nur auf dem Mac und hat weniger Jahre auf dem Buckel als Little Snitch. In Browsern, die Namen selbst auflösen, etwa Brave, braucht die namensbasierte Blockierung eine zusätzliche Einstellung; die eingebaute Prüfung „Wo NetMute schützt“ misst, wo die Blockierung greift.

Welche solltest du nehmen? Little Snitch, wenn du die tiefste Regelkontrolle willst und sie gern pflegst. LuLu, wenn kostenlos und quelloffen an erster Stelle stehen. Radio Silence, wenn einfach ein paar Apps offline sein sollen. NetMute, wenn du weniger Tracker willst, ohne jede Verbindung einzeln zu beantworten. Lade NetMute kostenlos und schau dir an, womit sich deine Apps verbinden.