Zu viele Firewall-Nachfragen am Mac: raus aus der Alles-erlauben-Routine

Ein moderner Mac baut deutlich mehr ausgehende Verbindungen auf, als die meisten erwarten, und fast keine davon gehört zu der App, die du gerade ansiehst.

Ein Browser öffnet Verbindungen für die Seite, für seine eigenen Updates, für Safe-Browsing-Listen, für Telemetrie und für jede Drittressource, die die Seite nachlädt. Eine Chat-App redet mit ihrer API, einem CDN, einem Push-Dienst, einem Crash-Reporter und einem Analytics-Endpunkt. macOS selbst hält im Hintergrund ein Dauergespräch mit Apple-Diensten für Push, Zeit, Zertifikatsprüfungen und Softwareupdates.

Eine Firewall, die pro Verbindung fragt, muss über all das fragen. Fünfzig bis hundert verschiedene Endpunkte an einem normalen Arbeitstag sind nichts Ungewöhnliches, und ein guter Teil davon taucht genau einmal auf, aus einem Grund, den man einem Dialogfenster nicht ansieht.

Die Nachfragen sind kein Fehler der Firewall. Sie sind, wie Kontrolle pro Verbindung aussieht, wenn sie ehrlich zeigt, wie viel ein Mac tatsächlich sendet.

Die Sicherheitsforschung hat einen Namen dafür: alert fatigue, Alarmmüdigkeit. Die Mechanik ist unangenehm und gut belegt. Sobald Unterbrechungen schneller kommen, als du sie bewerten kannst, hörst du auf zu bewerten und fängst an wegzuklicken. Der Dialog wird zur Türklingel, die man abstellt.

Der Schaden ist konkret:

• Die Nachfrage kommt im schlechtesten Moment. Du bist im Call, im Build, im Satz. Die Frage ist berechtigt, der Zeitpunkt macht sie unbeantwortbar.
• „Erlauben“ fühlt sich kostenlos an. Es beendet die Unterbrechung sofort, und der Preis ist unsichtbar und liegt in der Zukunft.
• Aus einem Moment der Ungeduld wird eine dauerhafte Regel. Die meisten Firewalls bieten „Dauerhaft erlauben“ direkt im Dialog an. Eine Entscheidung, die nur die Unterbrechung beenden sollte, überlebt sie damit um Jahre.
• Du liest die Domain nicht mehr. Und die war der gesamte Informationsgehalt der Nachfrage.

Am Ende steht eine Firewall mit einer langen Erlauben-Liste, die nie jemand gelesen hat, und die sich trotzdem nach Schutz anfühlt, weil sie lang ist.

Ausschalten. Ehrlich und vollständig: keine Nachfragen, keine Kontrolle über ausgehende Verbindungen. Wer eine Outbound-Firewall wieder aufgibt, tut das meist in den ersten zwei Wochen, und zwar so.

Alles erlauben und später aufräumen. Das Aufräumen passiert nie, weil einem nichts im Werkzeug sagt, welche dieser Regeln je etwas bewirkt hat. Eine Regelliste ist eine Liste von Absichten; ohne Trefferzahlen belegt sie gar nichts.

Einzelne laute Apps stummschalten. Funktioniert, und entfernt genau die Apps, die man am ehesten beobachten möchte. Der Browser ist das lauteste Ding auf dem Rechner und zugleich das interessanteste.

Das Blockieren auf DNS verlagern. Eine Sperrliste auf DNS-Ebene (Pi-hole, NextDNS, ein Resolver auf dem Gerät) erledigt ganze Kategorien von Tracker-Traffic ohne eine einzige Nachfrage. Das ist wirksam und lohnt sich, beantwortet aber eine andere Frage: DNS-Blocken arbeitet auf Domains, nicht auf Apps. Es kann dir nicht sagen, *welche App* dorthin wollte, und es stoppt nichts, was direkt eine IP-Adresse ansteuert.

Jeder dieser Auswege gibt etwas Echtes auf. Was keiner davon angeht, ist das eigentliche Problem: nicht die Zahl der Entscheidungen, sondern der *Zeitpunkt*, zu dem sie verlangt werden.

Die Nachfrage hat eine Aufgabe: eine Entscheidung von dir bekommen. Sie erledigt das schlecht, weil sie kommt, während du etwas anderes tust, und weil sie eine einzelne Verbindung ohne jeden Zusammenhang zeigt.

Am Stück gelesen sind dieselben Verbindungen eine völlig andere Frage. Zwölf Zeilen unter einem App-Namen, jede mit Host, Kategorie und Häufigkeit, sortiert nach dem, was interessant ist. Du siehst, dass acht davon zu einer Firma gehören. Du siehst die eine, die 400-mal am Tag auftaucht. Nichts brennt, nichts wartet auf dich, und die Entscheidung dauert zehn Sekunden pro App statt einer unterbrochenen Minute pro Verbindung.

Genau das ist die Idee hinter dem Leise-Modus von NetMute: ein dritter Zustand neben „aus“ und „fragen“. Alles läuft weiter, jede neue Verbindung wird mitgeschrieben, und die Entscheidungen warten im Rückstau unter Regeln › Rückstau, bis du ihn öffnest.

Drei Details machen die eigentliche Arbeit:

1. Gruppierung nach App, nicht nach Verbindung. Zehn Hosts einer App sind ein Block Arbeit, nicht zehn Unterbrechungen.
2. Filter auf das Entscheidungswürdige. Tracker, Telemetrie und Nicht-Einordenbares werden gezeigt. Funktionales und Auslieferungsnetze werden zurückgehalten, nicht versteckt: Die Zahl steht sichtbar da, ein Häkchen holt sie zurück.
3. Eine Sperre legt eine echte, sichtbare Regel an. Sie landet in derselben Liste wie alles, was du von Hand geschrieben hast, und trägt ihre eigene Trefferzahl. Nichts wird in einer unsichtbaren Ebene im Hintergrund entschieden.

1. Mit Mitschreiben anfangen, nicht mit Fragen. Lass den Rechner die ersten Tage mitschreiben, während du normal arbeitest. Danach hast du das Bild einer normalen Woche, eine viel bessere Grundlage für Regeln als eine Serie von Überraschungen.
2. Einmal bewusst durchgehen. Fünfzehn Minuten mit einem Kaffee schlagen fünfzig Dialoge über drei Tage. App für App, von oben nach unten.
3. Das Offensichtliche sperren, das Offensichtliche erlauben, den Rest offen lassen. Eine unentschiedene Zeile ist eine legitime Antwort. Sie bleibt im Rückstau; nichts verfällt hinter deinem Rücken zu einer Erlauben-Regel.
4. Wiederkommen, wenn sich etwas ändert. Nach der Installation einer großen App, nach einem macOS-Update, nach einer Reise. Das sind die Momente, in denen die Liste etwas Neues zu sagen hat.
5. Alle paar Monate die Regeln an der Wirklichkeit prüfen. Eine Regel, die 412-mal gegriffen hat, arbeitet. Eine Regel gegen eine App, die du letztes Jahr deinstalliert hast, nicht. Trefferzahlen und ein Aufräum-Durchgang machen aus einer Liste von Absichten etwas, dem man trauen kann.

Kontrolle über ausgehende Verbindungen lohnt sich. Die Unterbrechung hat sich nie gelohnt.