Das Ubuntu Handbuch | Anleitungen für Linux-Freunde

Tagesarchive: Firewall

Fremdes WLAN, eigene Regeln: Ubuntu mit Gufw absichern

En­de Au­gust kom­men vie­le Deut­sche aus dem Ba­de­ur­laub zu­rück und brin­gen oft klei­ne Über­ra­schun­gen aus dem Aus­land mit. Wäh­rend Rei­se­di­ar­rhö und Son­nen­brand eta­blier­te Sou­ve­nirs sind, ha­ben man­che Da­men in­zwi­schen auch ei­ne be­fruch­te­te Ei­zel­le mit im Ge­päck. Ent­we­der, weil sie sich ei­ner In-vi­tro-Fer­ti­li­sa­ti­on un­ter­zo­gen ha­ben – oder weil sie ei­nem un­ge­schütz­ten One-Night-Stand nicht wi­der­ste­hen konn­ten. An­de­re wie­der­um be­mer­ken schon in der Ho­tel­an­la­ge, dass ir­gend­et­was mit ih­rem Lap­top nicht stimmt. Die Goog­le-Su­che lie­fert plötz­lich merk­wür­di­ge Er­geb­nis­se, der Web­brow­ser lässt ver­stö­ren­de Mel­dun­gen auf­plop­pen und über­all ist Wer­bung. Oben­drein klemmt nicht nur der E-Mail-Ver­sand, son­dern auch der Auf­ruf ganz ge­wöhn­li­cher Web­sei­ten ist nicht mehr mög­lich. „Das muss am Ho­tel-WLAN lie­gen“, denkt man sich und hofft das Bes­te. Das Sys­tem ist aber mög­li­cher­wei­se be­reits nach­hal­tig kom­pro­mit­tiert. Ge­nau wie Ta­blet­ten ge­gen Übel­keit, Son­nen­milch und Ver­hü­tungs­mit­tel ge­hört mitt­ler­wei­le auch ei­ne Fire­wall in die Rei­se­apo­the­ke.

ℹ️ Durch die fort­schrei­ten­de Di­gi­ta­li­sie­rung, Soft­ware-as-a-Ser­vice und KI-ge­stütz­tes So­cial En­gi­nee­ring hat das The­ma Fire­wal­ling sein Schat­ten­da­sein be­en­det. Noch vor we­ni­gen Jah­ren sa­hen selbst Li­nux-Zeit­schrif­ten bei ei­nem ty­pi­schen Desk­top-Sys­tem nicht im­mer ei­nen zwin­gen­den Grund, zu­sätz­lich ei­ne Soft­ware-Fire­wal­l¹ ein­zu­set­zen. Heu­te ge­hört ein sinn­voll kon­fi­gu­rier­ter Port- und Pa­ket­fil­ter zu­min­dest auf ei­nen Mo­bil­com­pu­ter, un­ab­hän­gig vom ver­wen­de­ten Be­triebs­sys­tem.

Die gän­gigs­te Soft­ware-Fire­wall in al­len De­bi­an-De­ri­va­ten ist Gufw. Wo­bei das le­dig­lich die Be­nut­zer­ober­flä­che für UFW (Un­com­pli­ca­ted Fire­wall) ist, die wie­der­um das Li­nux-Frame­work nf­ta­bles kon­fi­gu­riert.

sudo apt install ufw gufw

Bis 2025 funk­tio­nier­te Gufw nach dem Mot­to: be­quem, ein­fach, schön und nützlich!² Be­son­ders be­liebt war das Schutz­werk­zeug we­gen sei­ner vor­de­fi­nier­ten Pro­fi­le, die der Be­nut­zer je nach Stand­ort mit we­ni­gen Klicks ak­ti­vie­ren konn­te.

Split-Screen-Vergleich der Gufw-Firewall unter Ubuntu 24.04 LTS und Ubuntu 26.04 LTS. Links zeigt Gufw ein vordefiniertes Profil „Öffentlich“ mit auswählbaren Standortprofilen. Rechts ist Gufw 26.04.0 ohne Profil-Auswahl dargestellt; Eingehende und ausgehende Verbindungen stehen auf „Verweigern“. Erkenntnis von Sascha Vetter - Netzwerk- und Systemadministrator

Bei die­ser ein­fa­chen Vor­ge­hens­wei­se emp­fah­len³ plötz­lich ge­fühlt al­le Li­nux-Ex­per­ten, frem­de Netz­wer­ke grund­sätz­lich nur mit ak­ti­vier­tem Gufw zu be­tre­ten. Wir ta­ten es eben­falls – und un­se­re Le­ser dank­ten es uns.

Phil­ip Hil­ler: ufw + gufw in­stal­liert, Pro­fil = öf­fent­lich, Schie­be­reg­ler ak­ti­viert, er­le­digt. Herz­li­chen Dank für Ih­re Mü­he, Sie ha­ben mir sehr ge­hol­fen.

Vet­ter, Sa­scha: Ubun­tu: Fire­wall ein­schal­ten - Pro­fi­tipps für Gufw. pinguin.gws2.de (09/2026).

Mit Ubun­tu 26.04 LTS hat sich die Sa­che al­ler­dings leicht ver­än­dert. Gufw prä­sen­tiert nich­t⁴ mehr die­sel­be ein­fa­che Aus­wahl an Stand­ort­pro­fi­len, wie man sie aus frü­he­ren Ver­sio­nen kennt. Und das macht durch­aus Sinn. Es gibt näm­lich et­li­che Sze­na­ri­en, in de­nen ei­ne Fire­wall zum Ein­satz kom­men kann.

Sie kann un­ter an­de­rem als Kills­witch für ei­ne VPN-Ver­bin­dung die­nen, Netz­wer­ke von­ein­an­der ab­schot­ten oder ver­hin­dern, dass ein Pro­gramm un­ge­wollt nach Hau­se te­le­fo­niert. Ein pau­scha­les „Öf­fent­lich“, „Zu­hau­se“ oder „Bü­ro“ ist da­für schlicht nicht mehr zeit­ge­mäß und kann im schlimms­ten Fall le­dig­lich ein Ge­fühl von Si­cher­heit er­zeu­gen.

Datenblatt zur Firewall-Testumgebung mit Ubuntu 26.04 LTS x86_64, Kernel 7.0.0-30-generic und GNOME 50.1. Getestet wurde Gufw Firewall 26.04.0 als grafische Oberfläche (GUI) für UFW, installiert über APT. Das seit 2008 veröffentlichte und weiterhin aktive Projekt ist als langjährig etablierte Firewall-Lösung für Desktop- und Laptop-Systeme ausgewiesen. Mit einem Schwierigkeitsgrad von 3 von 4 eignet sich Gufw besonders für technisch versierte Heimanwender, die eine bewährte Software-Firewall einsetzen möchten. Zuerst auf GWS2.de veröffentlicht - das Ubuntu Handbuch

An­de­rer­seits ist es für Lai­en oh­ne Netz­werk­kennt­nis­se fast un­mög­lich, ei­ne Fire­wall von Grund auf sinn­voll zu kon­fi­gu­rie­ren. Ge­nau hier be­ginnt un­ser klei­nes Ur­laubs­aben­teu­er.

Blei­ben wir al­so bei un­se­rem Ba­de­ur­laub – ge­nau­er ge­sagt bei ei­nem All-in­clu­si­ve-Ho­tel mit meh­re­ren hun­dert Gäs­ten. Beim Ein­che­cken er­hal­ten wir ei­ne Kar­te mit den WLAN-Cre­den­ti­als. Die für uns re­le­van­te SSID heißt „Starhotel_Guest“ und das Pass­wort lau­tet „star­ho­tel“.

Was vie­len nicht klar ist: Nach der Ein­ga­be die­ser Zu­gangs­da­ten ist das Ge­rät nicht „im In­ter­net“. Es ist zu­nächst Teil­neh­mer des Ho­tel-Gast-Netz­werks und er­hält ty­pi­scher­wei­se ei­ne IP-Kon­fi­gu­ra­ti­on so­wie ein De­fault Gate­way, über das der In­ter­net­zu­gang her­ge­stellt wird. Ob die Gäs­te da­bei tat­säch­lich in ei­nem ge­mein­sa­men Lay­er-2-Netz lan­den oder durch VLANs be­zie­hungs­wei­se Cli­ent-Iso­la­ti­on von­ein­an­der ge­trennt wer­den, hängt von der Kon­fi­gu­ra­ti­on des Ho­tel­netz­werks ab.

💬 Und ge­nau hier liegt das Pro­blem: Wir wis­sen es schlicht nicht.

Es ist au­ßer­dem ei­ne Il­lu­si­on zu glau­ben, dass in je­der die­ser Bet­ten­bur­gen ei­ne IT-Ab­tei­lung sitzt, die den Da­ten­ver­kehr rund um die Uhr über­wacht und je­den Teil­neh­mer per­sön­lich be­schützt. In der Pra­xis muss die In­fra­struk­tur vor al­lem funk­tio­nie­ren. Das Ma­nage­ment hofft, mög­lichst sta­bil durch die Sai­son zu kom­men und den ex­ter­nen Dienst­leis­ter nur dann an­ru­fen zu müs­sen, wenn wirk­lich gar nichts mehr geht.

Illustration eines Laptop-Nutzers in einem öffentlichen Hotel-WLAN, umgeben von vier möglichen Netzwerkgefahren. Links oben versucht ein Angreifer mit einem gefälschten Access Point als „Evil Twin“, den Datenverkehr des Hotelgastes abzufangen. Links unten ist ein weiterer Gast mit einem veralteten und mit Schadsoftware infizierten Windows-7-Laptop dargestellt, von dem aus nach erreichbaren Geräten und offenen Ports gesucht werden kann. Rechts oben überwacht ein neugieriger Netzwerkadministrator den Netzwerkverkehr und kann dabei technische Verbindungsdaten erfassen. Rechts unten symbolisiert eine vermummte Gestalt mit Fernglas das unbekannte Risiko von Überwachung und Datenspionage in fremden Netzwerken. Die Pfeile führen zu dem Laptop des zentralen Benutzers und verdeutlichen die möglichen Angriffs- und Überwachungswege. Ein blaues Firewall-Symbol schützt den Laptop; darunter steht „Eine Firewall kann schützen.“ Die Grafik wurde von Veronika Helga Vetter erstellt. Das ist eine renommierte Photoshop-Künstlerin aus Linz in Oberösterreich. Finanziert von Computerheld Linz - PC-Vor-Ort-Service mit Fokus auf Systemsicherheit

Für den ein­zel­nen Netz­werk­teil­neh­mer kön­nen dar­aus ver­schie­de­ne Ri­si­ken ent­ste­hen:

  • Ro­gue AP: Im Nach­bar­zim­mer könn­te ein ge­fälsch­ter Ac­cess Point mit ei­ner iden­ti­schen oder täu­schend ähn­li­chen SSID ste­hen. Log­ge ich mich ver­se­hent­lich in ei­nen sol­chen „Evil Twin“ ein, kann ein An­grei­fer ver­su­chen, mei­nen Da­ten­ver­kehr um­zu­lei­ten, Zu­gangs­da­ten ab­zu­grei­fen oder wei­te­re So­cial-En­gi­nee­ring-An­grif­fe ge­gen mich durch­zu­füh­ren.
  • In­fi­zier­te Teil­neh­mer: Der Win­dows-7-Lap­top ei­nes an­de­ren Gas­tes ent­hält ak­ti­ve Mal­wa­re und be­ginnt da­mit, das lo­ka­le Netz­werk nach er­reich­ba­ren Ge­rä­ten, Frei­ga­ben und an­de­ren An­griffs­zie­len ab­zu­su­chen.
  • Neu­gie­ri­ger Ad­min: Der Be­trei­ber des Netz­werks sieht nicht au­to­ma­tisch den In­halt je­der ver­schlüs­sel­ten Ver­bin­dung. Tech­ni­sche Me­ta­da­ten wie IP-Adres­sen, DNS-An­fra­gen oder Ver­bin­dungs­zei­ten kön­nen je­doch durch­aus sicht­bar sein. Bei ver­al­te­ten oder un­ver­schlüs­sel­ten Pro­to­kol­len sieht die Sa­che noch schlech­ter aus: Wer bei­spiels­wei­se IMAP oh­ne TLS oder an­de­re un­ver­schlüs­sel­te Diens­te ver­wen­det, lie­fert sei­ne di­gi­ta­le Post un­ter Um­stän­den tat­säch­lich wie ei­ne Post­kar­te ab.

Ge­ne­rell möch­te ich au­ßer­dem nicht, dass je­des Ge­rät im Ho­tel­netz­werk erst ein­mal her­aus­fin­det, dass mein Lap­top über­haupt exis­tiert. Ich möch­te mein di­gi­ta­les Bit­rau­schen so ge­ring und so ka­na­li­siert wie mög­lich hal­ten.

Alles abriegeln - Default Deny

Das BSI emp­fiehlt, Fil­ter­re­geln so zu kon­fi­gu­rie­ren, dass nur un­be­dingt not­wen­di­ge Zu­grif­fe er­laubt sind. Der Fo­kus soll­te da­bei auf den Funk­tio­nen des Web-Brow­sers, des Mail-Cli­ents so­wie des Be­triebs­sys­tems lie­gen.

💬 Aus Sicht ei­nes Netz­werk­ad­mi­nis­tra­tors sind Mail-Pro­gram­me wie Thun­der­bird oder Out­look aus meh­re­ren Per­spek­ti­ven ein zu­sätz­li­ches Ri­si­ko. Vor al­lem dann, wenn meh­re­re Post­fä­cher ver­schie­de­ner An­bie­ter kon­fi­gu­riert sind. Des­halb ist es in öf­fent­li­chen Netz­wer­ken rat­sam, die Web­mail-Zu­gän­ge der je­wei­li­gen An­bie­ter zu ver­wen­den.

Gufw-Firewall unter Ubuntu 26.04 LTS mit aktiviertem Default-Deny-Prinzip. Der Firewall-Status ist eingeschaltet, während sowohl eingehende als auch ausgehende Verbindungen auf „Verweigern“ gesetzt sind. Damit werden zunächst sämtliche nicht ausdrücklich erlaubten Netzwerkverbindungen blockiert. Das grüne Schildsymbol visualisiert den aktiven Schutz der Firewall. Die Konfiguration bildet die Ausgangsbasis für die anschließend gezielt freigegebenen Netzwerkverbindungen. GWS2.de

Ei­ne Fire­wall nach dem Prin­zip De­fault De­ny be­ginnt mit ei­ner ein­fa­chen, aber wir­kungs­vol­len Idee: Erst ein­mal wird al­les blo­ckiert, was nicht aus­drück­lich er­laubt ist. In Gufw ist hier­für die Aus­wahl „Ver­wei­gern“ so­wohl bei „Ein­ge­hend“ als auch bei „Aus­ge­hend“ er­for­der­lich.

Hin­ter die­ser kom­plett ge­schlos­se­nen Brand­mau­er ist es an­schlie­ßend sinn­voll, zu­nächst die rei­bungs­lo­se Funk­ti­on des Be­triebs­sys­tems si­cher­zu­stel­len. Un­ter Ubun­tu ge­hört da­zu auch die Schnitt­stel­le lo (Loop­back / 127.0.0.1), über die Pro­gram­me mit an­de­ren Diens­ten auf dem­sel­ben Rech­ner kom­mu­ni­zie­ren kön­nen.

Horizontale Split-Screen-Darstellung der Loopback-Schnittstelle unter Ubuntu 26.04 LTS. Im oberen Bereich zeigt Sniffnet die Schnittstelle „lo“ mit den lokalen Adressen 127.0.0.1 und ::1. Darunter ist die entsprechende Gufw-Firewall-Regel „Loopback“ zu sehen: Für die Schnittstelle „lo“ werden eingehende und ausgehende Verbindungen für TCP und UDP erlaubt. Die Regel gilt ausschließlich für die interne Kommunikation des Ubuntu-Systems, da Datenverkehr über die Loopback-Schnittstelle den Rechner nicht verlässt und somit nicht ins Internet gelangt. Linux-Firewall Einstellungen vom Profi

Kei­ne Sor­ge: Was über Loop­back über­tra­gen wird, ver­lässt den Rech­ner nicht und kann da­her auch nicht über die­se Schnitt­stel­le ins In­ter­net ge­lan­gen.

Benötigte IP-Adresse

So­bald die in­ter­nen Richt­li­ni­en ge­setzt sind, geht es dar­um, ein­zel­ne Schuss­schar­ten in die Brand­mau­er zu fle­xen. Um über­haupt Teil des Ho­tel-Netz­werks zu wer­den, muss uns der DHCP-Ser­ver ei­ne IP-Adres­se zu­wei­sen kön­nen.

Nach dem Ver­bin­den mit „Starhotel_Guest“ hat un­ser Mo­bil­com­pu­ter zu­nächst selbst noch kei­ne IP-Adres­se. Er schickt des­halb ei­nen DHCP-Broad­cast ins Netz­werk:

0.0.0.0:68 → 255.255.255.255:67

Sinn­ge­mäß ruft un­ser Ubun­tu-Cli­ent da­mit ins Netz­werk: „Wer hat ei­ne IP-Adres­se für mich?“ Der DHCP-Ser­ver hört auf UDP-Port 67 und ant­wor­tet dem Cli­ent über UDP-Port 68. Da­mit die­ser Vor­gang un­se­re frisch er­rich­te­te Brand­mau­er pas­sie­ren kann, müs­sen in Gufw zwei Re­geln ge­setzt wer­den:

DHCP to Ser­ver

  • Richt­li­nie: Er­lau­ben
  • Rich­tung: Aus­ge­hend
  • Schnitt­stel­le: en­pXXX
  • Pro­to­koll: UDP
  • Von: 68 Nach: 67

Un­se­re in­ne­ren Tor­wäch­ter las­sen da­mit DHCP-An­fra­gen des Cli­ents in Rich­tung DHCP-Ser­ver vor­über­zie­hen.

Horizontaler Split-Screen mit zwei Gufw-Firewall-Regeln für DHCP unter Ubuntu 26.04 LTS. Oben ist die Regel „DHCP to Server“ dargestellt: Sie erlaubt ausgehenden UDP-Datenverkehr über die Netzwerkschnittstelle enp3s0 vom Quellport 68 zum Zielport 67 des DHCP-Servers. Unten zeigt die Regel „DHCP to Client“ die Gegenrichtung: Eingehender UDP-Datenverkehr wird über enp3s0 vom Quellport 67 des DHCP-Servers zum Zielport 68 des Ubuntu-Clients erlaubt. Beide Regeln sind erforderlich, damit der Rechner seine IP-Konfiguration per DHCP beziehen und die zugewiesene Netzwerkadresse anschließend erneuern kann. Firewall in öffentlichen Hotspots - Empfehlung von Sascha Vetter - Netzwerkadministrator

Ser­ver to DHCP

  • Richt­li­nie: Er­lau­ben
  • Rich­tung: Ein­ge­hend
  • Schnitt­stel­le: en­pXXX
  • Pro­to­koll: UDP
  • Von: 67 Nach: 68

Auch die Ant­wort des DHCP-Ser­vers darf un­se­re Fire­wall durch­que­ren. Die dau­er­haf­te Bei­be­hal­tung die­ser Re­gel bleibt sinn­voll, denn DHCP ist nicht mit der ers­ten IP-Zu­wei­sung er­le­digt. Der Cli­ent muss sei­ne Lea­se spä­ter er­neu­ern. Bei ei­ner Ver­län­ge­rung kann der DHCP-Ser­ver di­rekt an­ge­spro­chen wer­den; auch da­bei wird UDP 67/68 ver­wen­det.

So bleibt un­ser Ubun­tu-Rech­ner im Netz­werk re­gis­triert, oh­ne dass bei je­der Er­neue­rung der Ver­bin­dung ei­ne DHCP-Kon­fi­gu­ra­ti­on von Hand an­ge­sto­ßen wer­den muss - Stich­wort Cap­ti­ve Por­tal (hier­zu spä­ter mehr).

ℹ️ IPv6 bleibt au­ßen vor. Gufw legt für je­de Re­gel au­to­ma­tisch auch ei­ne pas­sen­de IP­v6-Re­gel an. In WLAN-Hot­spots spielt IPv6 je­doch kei­ne Rol­le. Des­halb lö­schen wir die au­to­ma­tisch er­zeug­te IP­v6-Re­gel über das Mi­nus­sym­bol.

Das Internet

Für die al­ler­meis­ten Men­schen ist das In­ter­net das, was im Web­brow­ser pas­siert. Das ist für un­se­re Fire­wall-Kon­fi­gu­ra­ti­on so­gar prak­tisch: Wir kön­nen den Web­ver­kehr auf ei­nen ein­zi­gen Ziel­port kon­zen­trie­ren.

Für ver­schlüs­sel­te Web­sei­ten kom­men heu­te haupt­säch­lich zwei Pro­to­kol­le zum Ein­satz: HTTPS über TCP und HTTP/3 über QUIC und da­mit UDP. Bei­de ver­wen­den stan­dard­mä­ßig den Ziel­port 443. Des­halb öff­nen wir in der Fire­wall zu­nächst aus­schließ­lich den aus­ge­hen­den Ver­kehr zum Ziel­port 443.

Gufw-Firewall-Regel „HTTPS“ unter Ubuntu 26.04 LTS. Die Regel erlaubt ausgehenden TCP-Datenverkehr über die Netzwerkschnittstelle enp3s0 zum Zielport 443. Damit werden verschlüsselte HTTPS-Verbindungen des Ubuntu-Systems ins Internet ermöglicht. Die Quelladresse und der Quellport bleiben unbeschränkt, während ausschließlich der Zielport 443 für ausgehende Verbindungen freigegeben wird

Das ist al­ler­dings nur die hal­be Mie­te. Da­mit aus „www.example.de“ über­haupt ei­ne IP-Adres­se wird, be­nö­tigt un­ser Rech­ner noch das Do­main Na­me Sys­tem. Oh­ne DNS weiß der Brow­ser zwar, wo­hin er möch­te – aber nicht, wel­che IP-Adres­se er an­spre­chen soll.

Gufw-Firewall unter Ubuntu 26.04 LTS mit aktivierter Firewall und vollständiger Übersicht der für ein öffentliches WLAN freigegebenen Regeln. Erlaubt werden Loopback-Verbindungen sowie DHCP über UDP-Port 67 und 68, HTTPS über TCP-Port 443, QUIC über UDP-Port 443 und DNS über UDP-Port 53. Die Regeln gelten auf der Netzwerkschnittstelle enp3s0. Eingehende und ausgehende Verbindungen stehen grundsätzlich auf „Verweigern“, sodass ausschließlich die ausdrücklich freigegebenen Verbindungen zugelassen werden. Damit sind typische Internetanwendungen wie Websurfen, Streaming und YouTube möglich, während nicht benötigter Netzwerkverkehr durch das Default-Deny-Prinzip blockiert bleibt. Übersicht von Sascha Vetter - Linux-Netzwerkadministrator und Security Professional 2026

Klas­si­sches DNS ver­wen­det nor­ma­ler­wei­se den UDP-Port 53. Auch die­ser aus­ge­hen­de Da­ten­ver­kehr muss des­halb zu­nächst durch un­se­re Fire­wall ge­las­sen wer­den.

  • Al­ler­dings ist klas­si­sches DNS un­ver­schlüs­selt. Ein An­grei­fer im sel­ben Netz­werk kann DNS-An­fra­gen des­halb grund­sätz­lich mit­le­sen und dar­aus ab­lei­ten, wel­che Do­mains auf­ge­ru­fen wer­den. Noch un­an­ge­neh­mer wird es, wenn DNS-Ant­wor­ten ma­ni­pu­liert wer­den.

Doch kei­ne Sor­ge: Die­ses klei­ne Schlupf­loch kön­nen wir auf dem Cli­ent schlie­ßen. Fire­fox un­ter­stützt DNS über HTTPS (DoH). Da­bei wer­den die DNS-An­fra­gen ver­schlüs­selt über ei­ne HTTPS-Ver­bin­dung über­tra­gen. So­bald Fire­fox DoH ver­wen­det, muss der Brow­ser für sei­ne DNS-Auf­lö­sung nicht mehr auf das klas­si­sche DNS über UDP/53 zu­rück­grei­fen.

Firefox 155.0.1 unter Ubuntu zeigt die erweiterten Einstellungen für DNS über HTTPS (DoH). DNS-Anfragen werden dabei verschlüsselt über HTTPS übertragen und als Anbieter ist Cloudflare ausgewählt. Die Option „Benutzerdefiniert“ ist aktiviert und Firefox warnt, wenn kein sicheres DNS verfügbar ist. Durch DNS über HTTPS kann die klassische DNS-Kommunikation über UDP-Port 53 entfallen: Die DNS-Anfragen werden stattdessen über eine verschlüsselte HTTPS-Verbindung über Port 443 übertragen. Damit kann die Firewall-Konfiguration auf HTTPS beschränkt werden, wenn auf klassisches DNS verzichtet werden soll. Gleichzeitig wird der vom Hotel bereitgestellte DNS-Server umgangen, sodass dort vorgenommene DNS-basierte Sperren oder Manipulationen nicht mehr greifen. DNS über HTTPS verhindert allerdings nicht jede Form einer Webseitensperre, da diese auch auf anderen Ebenen des Netzwerks erfolgen kann. GWS2.de September 2026

Nach un­se­rem zu­vor de­fi­nier­ten De­fault-De­ny-Prin­zip und den Emp­feh­lun­gen des BSI ha­ben wir nun die für un­ser Sze­na­rio not­wen­di­gen Ver­bin­dun­gen frei­ge­schal­tet. Al­les an­de­re bleibt dicht.

  • Pro­to­kol­le und Diens­te wie IMAP, POP3, ICMP, NTP, Net­BI­OS, Tor, Steam, Mi­cro­soft RPC, SMB und vie­le wei­te­re kön­nen mit die­ser Fire­wall-Kon­fi­gu­ra­ti­on nicht nach in­nen oder au­ßen kom­mu­ni­zie­ren.

Für un­se­ren Ho­tel­auf­ent­halt be­deu­tet das: Der Web­brow­ser bleibt das ein­zi­ge be­wusst ge­öff­ne­te Tor zur di­gi­ta­len Au­ßen­welt, was Ubun­tu auch mit ei­nem ein­ge­schränk­ten In­ter­net­sym­bol an­zeigt.

Ubuntu 26.04 LTS zeigt in der oberen Systemleiste eine eingeschränkte Netzwerkverbindung an. Das Symbol weist darauf hin, dass die aktivierte Firewall mit den zuvor konfigurierten Regeln den Netzwerkverkehr bewusst einschränkt. GWS2.de

Einziges Problem – das Captive Portal

Wer sich mit ei­nem öf­fent­li­chen Hot­spot ver­bin­det, wird in al­ler Re­gel zu­nächst auf ein Cap­ti­ve Por­tal ge­lei­tet. Da­bei han­delt es sich um ei­ne in­ter­ne Web­sei­te des Netz­werk­be­trei­bers, auf der man bei­spiels­wei­se be­stä­ti­gen muss, dass man die AGB ge­le­sen hat.

Fiktives Captive Portal des Hotels „Starhotel“ auf einem Smartphone. Die lokale Webseite wird über eine unverschlüsselte HTTP-Verbindung zu connect.starhotel.com aufgerufen. Die Login-Seite fordert den Gast auf, die allgemeinen Geschäftsbedingungen und Datenschutzerklärung zu akzeptieren und anschließend auf „Verbinden“ zu klicken. Da das Captive Portal im dargestellten Szenario über HTTP auf Port 80 erreichbar ist, muss dieser Port vorübergehend in der Firewall freigegeben werden. Mit der zuvor vollständig geschlossenen Default-Deny-Konfiguration kann die lokale Anmeldeseite zunächst nicht aufgerufen werden. GWS2.de

Pro­blem: In un­se­rem Ho­tel­sze­na­rio wird die­se un­ver­schlüs­sel­te Log­in-Sei­te über HTTP und da­mit über TCP-Port 80 be­reit­ge­stellt. Für den An­mel­de­pro­zess müs­sen wir des­halb ei­ne tem­po­rä­re Re­gel er­stel­len und die­sen Port öff­nen.

Gufw-Firewall-Regel „Captive Portal – HTTP“ unter Ubuntu 26.04 LTS. Die Regel erlaubt ausgehenden TCP-Datenverkehr über die Netzwerkschnittstelle enp3s0 zum Zielport 80. Damit kann die unverschlüsselte HTTP-Verbindung zum Captive Portal des Hotel-WLANs hergestellt und die Anmeldeseite aufgerufen werden. Die Freigabe ist als temporäre Ausnahme gedacht: Für die einmalige Anmeldung kann Port 80 geöffnet und die Verbindung zum Hotel-WLAN hergestellt werden. Nach erfolgreicher Anmeldung sollte die Regel wieder aus Gufw entfernt werden, sodass HTTP-Verbindungen ins Internet weiterhin durch das Default-Deny-Prinzip blockiert bleiben. GWS2.de

Nach der er­folg­rei­chen An­mel­dung ist es wich­tig, die­se Port-80-Re­gel wie­der zu lö­schen. Im In­ter­net kön­nen sich hin­ter die­sem Port näm­lich HTTP-Phis­hing-Sei­ten ver­ber­gen, bei de­nen je­de Ein­ga­be un­ver­schlüs­selt ge­spei­chert wird. Un­ser Mo­bil­com­pu­ter hält in Zu­kunft über die oben ge­öff­ne­ten Ports 67 und 68 Kon­takt mit dem DHCP-Ser­ver, so­dass wir wäh­rend un­se­res Ho­tel­auf­ent­halts nicht mehr zum Cap­ti­ve Por­tal um­ge­lei­tet wer­den.

💬 Der Fort­schritt durch KI bringt mas­sen­wei­se Schwach­stel­len in gän­gi­gen Pro­to­kol­len her­vor und er­leich­tert es An­grei­fern, So­cial-En­gi­nee­ring-At­ta­cken durch­zu­füh­ren. Ei­ne sau­ber kon­fi­gu­rier­te Soft­ware-Fire­wall ist des­halb ein wich­ti­ger Bau­stein, um die Kon­trol­le über das ei­ge­ne Ge­rät zu be­hal­ten. Aus mei­ner Er­fah­run­g⁵ weiß ich: Geld­ver­lust durch Phis­hing, pein­li­ches Sextor­ti­on und Da­ten­ab­fluss pas­sie­ren stän­dig – es spricht aus Scham nur kaum je­mand dar­über. Ei­ne Fire­wall kann vie­les da­von ver­hin­dern oder zu­min­dest ab­schwä­chen und ge­hört ge­ra­de in öf­fent­li­chen Netz­wer­ken zum Pflicht­pro­gramm.

ℹ️ Für das Jahr 2025 ga­ben 11 %⁶ der deut­schen In­ter­net­nut­zer (rund 8 Mil­lio­nen Men­schen) an, Op­fer von Cy­ber­kri­mi­na­li­tät ge­wor­den zu sein. Im Vor­jahr wa­ren es nur nur 7 %. Zu den häu­figs­ten Vor­fäl­len zähl­ten Be­trug beim On­line-Shop­ping, er­folg­rei­ches Phis­hing und da­mit un­be­rech­tig­ter Zu­griff auf On­line-Ac­counts.

Ver­wand­te The­men:

Al­ten Lap­top ver­kau­fen? Fest­plat­te vor­her mit Shre­dOS si­cher lö­schen
Wer funkt wo­hin? Netz­werk­ver­kehr mit Sniff­net un­ter Ubun­tu über­wa­chen

¹Wol­ski, Da­vid: Si­cher sur­fen mit Li­nux. In: Li­nux Welt Nr. 3 (2020). S. 25.
²Bär­waldt, Erik: In­ko­gni­to: All­tags­taug­li­ches ge­här­te­tes De­bi­an-De­ri­vat Sep­tor Li­nux. In: Li­nux User Nr 8 (2019) S. 20.
³Lam­precht, Ste­phan: Si­cher­heits­werk­zeug für Li­nux. In: Li­nux Welt Nr. 4 (2022). S. 62.
⁴Die drei vor­de­fi­nier­ten Pro­fi­le kön­nen über den Rei­ter „Be­ar­bei­ten” im Un­ter­punkt „Ein­stel­lun­gen” via „Show pro­files” ein­ge­blen­det wer­den.
⁵Vet­ter, Ve­ro­ni­ka Hel­ga: Phis­hing-Mails er­ken­nen: Wie ein ein­zi­ger Klick Ih­ren PC kom­pro­mit­tie­ren kann. computerheld-linz.at (09/2026).
⁶Eig­ner, Isa­bel­la: Kri­mi­nal­ti­ät im In­ter­net. Ri­si­ko­be­wuss­ter Leicht­sinn. In: Stif­tung Wa­ren­test Nr. 7 (2026). S. 74.