NetMuteWas webfilterproxyd tatsächlich ist
webfilterproxyd ist ein System-Daemon, der als Teil von macOS ausgeliefert wird und von Apple signiert ist. Es ist die Komponente, die die Webinhaltsfilterung durchsetzt, was auf einem persönlichen Mac bedeutet, dass Screen Time-Beschränkungen wie Limit Adult Websites oder eine benutzerdefinierte Liste erlaubter und blockierter Seiten gelten.
Wenn ein Filter aktiv ist, durchlaufen Webanfragen eine Überprüfung, bevor sie abgeschlossen werden dürfen. webfilterproxyd führt diese Überprüfung durch, vergleicht die Anfrage mit der geltenden Richtlinie und lässt sie entweder durch oder stoppt sie und zeigt die bekannte Einschränkungsseite im Browser.
Der Daemon hat keine eigene Oberfläche: keine App, kein Menüleisten-Element, kein Präferenzpaneel mit seinem Namen. Alles, was du darüber konfigurieren kannst, befindet sich in den Systemeinstellungen unter Screen Time oder, auf einem Arbeits- oder Schul-Mac, in einem Profil, das durch Geräteverwaltung aufgespielt wird. Diese Umleitung ist ein großer Teil dessen, warum der Prozess geheimnisvoll wirkt.
Warum er plötzlich aufgetaucht ist
Die meisten Menschen begegnen webfilterproxyd nicht durch eine Sicherheitswarnung, sondern durch eine Einstellung, die sie geändert und vergessen haben oder die jemand anderes im Haushalt geändert hat.
Auf einem Mac ohne konfigurierte Inhaltsfilterung hat der Daemon im Wesentlichen nichts zu tun und bleibt unsichtbar. Aktiviere eine Screen Time-Inhaltsbeschränkung, für dich selbst oder für ein Kinderkonto, und sie wird aktiv, weil jetzt eine Richtlinie durchgesetzt wird. Das Gleiche passiert nach einer frischen macOS-Installation, bei der Screen Time während der Ersteinrichtung konfiguriert wird, nach der Wiederherstellung aus einem Backup, das alte Screen Time-Einstellungen mitgebracht hat, oder wenn ein Familienmitglied Einschränkungen von einem anderen Gerät auf demselben Konto aktiviert.
Verwaltete Macs sind eine weitere häufige Quelle. Wenn dein Gerät in der Geräteverwaltung registriert ist, kann ein Administrator einen Webinhaltsfilter als Richtlinie bereitstellen, und die dahinterliegenden Einstellungen sind in der Regel gesperrt.
Wenn nichts davon zutrifft, öffne die Systemeinstellungen und überprüfe direkt Screen Time. Häufig findet man eine Einschränkung, die jemand aktiviert hat und seitdem niemand mehr angesehen hat.
Ist es Malware und wie kannst du es selbst überprüfen
Es ist keine Malware. webfilterproxyd ist eine Apple-Binärdatei, die mit dem Betriebssystem geliefert wird, und Apples eigene Filterfunktion hängt davon ab. Du solltest das nicht nur aus einer Webseite glauben, deshalb hier, wie du es selbst bestätigen kannst.
Beginne im Activity Monitor. Finde den Prozess, wähle ihn aus und öffne den Inspector, der den vollständigen Pfad zur ausführbaren Datei auf der Festplatte zeigt. Ein echtes Apple-System-Daemon lebt in den geschützten Systembereichen von macOS, die auf aktuellen Versionen auf einem versiegelten, schreibgeschützten Volume liegen, auf das normale Software nicht schreiben kann. Malware, die einen Systemprozess imitiert, schafft das selten: Sie versteckt sich irgendwo Schreibbares, und der Pfad verrät sie.
Die stärkere Überprüfung ist die Code-Signatur. Jede Apple-System-Binärdatei ist von Apple signiert, und macOS kann diese Signatur gegen die Datei auf der Festplatte verifizieren. Im Terminal zeigt das Tool codesign, das gegen den Pfad der ausführbaren Datei läuft, die Signaturstelle an: Bei einem echten System-Daemon nennt es Apple, und die Überprüfung besteht. Eine nicht signierte Binärdatei oder eine, die von einem unbekannten Entwickler signiert wurde, unter einem systemähnlichen Namen, ist das tatsächliche Warnzeichen.
Solltest du es blockieren
Die ehrliche Antwort hängt davon ab, ob du Screen Time Webfilterung verwendest.
Wenn ja, blockieren oder killen von webfilterproxyd bricht diese Funktion. Das ist die direkte Konsequenz, kein Nebeneffekt: Der Prozess, der die Einschränkung durchsetzt, hört auf, sie durchzusetzen. Deshalb wird der Daemon auch in Haushalten, in denen er einwandfrei funktioniert, als verdächtig markiert. Jemand, der in einem Forum darüber liest, welchen Prozess man blockieren soll, damit die Einschränkungsseite verschwindet, beschreibt genau das, was aus Sicht eines Elternteils eher wie ein Fehler denn als eine Umgehung aussieht.
Wenn du keine Inhaltsfilterung nutzt, ist der Daemon größtenteils inaktiv, und das Blockieren bringt dir kaum etwas.
In beiden Fällen ist eine Firewall-Regel das falsche Werkzeug. Der saubere Weg, webfilterproxyd am Filtern zu hindern, besteht darin, die Screen Time-Inhaltsbeschränkung, die ihn aktiviert hat, auszuschalten. Ändere die Richtlinie, und der Daemon wird von selbst still, ohne dass eine verbleibende Regel dich in Monaten verwirrt. Bei einem verwalteten Mac ist diese Einstellung meist ausgegraut, und die Lösung ist ein Gespräch mit demjenigen, der das Gerät verwaltet.
Ein berechtigter Punkt zum Datenschutz: Da es sich um einen Inhaltsfilter handelt, sieht er Webanfrage-Metadaten, um zu entscheiden, was erlaubt ist. Diese Inspektion findet auf deinem Gerät statt, als funktionierende Mechanismus, und es ist die gleiche Anordnung, die Drittanbieter-Filter- und Firewall-Apps verwenden, da macOS eine unterstützte Schnittstelle für Inhaltsfilter bereitstellt. Ein Filter, der Anfragen prüft, ist kein Beweis dafür, dass etwas dein Mac verlässt.
Der größere Punkt: Du kannst nicht sehen, was dein Mac tut
webfilterproxyd ist ein Prozess. Ein typischer Mac läuft mit mehreren hundert Prozessen, viele davon Apple-Daemons mit ebenso undurchsichtigen Namen, und eine gute Anzahl kommuniziert mit dem Netzwerk. Was dieses eine alarmierend machte, ist nicht, dass es ungewöhnlich ist. Es ist, dass du zufällig hingeschaut hast, und macOS dir keine Möglichkeit gab, die offensichtliche Folgefrage zu beantworten: Wozu verbindet es sich gerade?
Activity Monitor zeigt eingehende und ausgehende Bytes pro Prozess und hört dort auf. Er sagt dir nicht, mit welchen Domains ein Prozess verbunden hat, wann oder wie oft. Jeder unbekannte Prozessname wird zu einem Rechercheprojekt, dessen Antwort ein Forumseintrag oder ein Vertrauensakt ist.
NetMute schließt diese Lücke, indem es jedem Prozess eine sichtbare Netzwerk-Historie gibt. Es überwacht den Datenverkehr pro App und pro Prozess in Echtzeit und protokolliert auf Domain-Ebene, sodass du sehen kannst, welche Domains ein Prozess kontaktiert hat, wann und wie viele Daten übertragen wurden. Wenn etwas nicht mit dem Internet kommunizieren sollte, blockiert die per-App-Firewall es mit einem Klick, und temporäre Regeln laufen automatisch aus. Netzwerkprofile erlauben es, Regeln zwischen vertrauenswürdigen und untrusted Netzwerken zu unterscheiden, und Tracker Shield blockiert über 1.100 bekannte Tracker-Domains in allen Apps gleichzeitig.
Ein Vorbehalt zu dem in diesem Artikel behandelten Prozess: Nutze das nicht, um webfilterproxyd zu blockieren, wenn du auf Screen Time angewiesen bist. Schalte stattdessen die Einschränkung aus. Der Wert der Sichtbarkeit pro Prozess liegt nicht darin, Apple-Daemons zu blockieren, sondern darin, aufzuhören, darüber zu raten.
