Je­der In­ter­net­an­bie­ter hän­digt sei­nen Kun­den ei­nen Rou­ter als Zu­gangs­ge­rät aus, in die­sem sich im­mer ei­ne ak­ti­vier­te Fire­wal­l¹ be­fin­det. Auf­grund die­ses Um­stan­des ist das Heim­netz­werk stets vor äu­ße­ren An­fra­gen ge­schützt, wes­we­gen Ubun­tu sein ker­nel­ba­sier­tes Si­che­rungs­sys­tem nf­ta­bles stan­dard­mä­ßi­g² ab­schal­tet. In den ei­ge­nen vier Wän­den scha­den Desk­top Fire­walls näm­lich oft­mals mehr, als dass sie nüt­zen, in­dem bei­spiels­wei­se Dru­cker­frei­ga­ben oder Ports zu Spiel­ser­vern blo­ckiert wer­den. An­ders sieht es bei Mo­bil­com­pu­tern aus. Denn wer das kos­ten­lo­se WLAN ei­nes Ho­tels oder von McDonald’s be­tritt, der ist Teil ei­nes lo­ka­len Netz­werks, in wel­chem sich lau­ter frem­de Gäs­te und an­ony­me Ad­mi­nis­tra­to­ren be­we­gen. Zwar blockt der Rou­ter des Hot­spots eben­falls Über­grif­fe aus dem World Wi­de Web, aber wie die Kli­en­ten hin­ter dem Tor­wäch­ter mit­ein­an­der in­ter­agie­ren, ist für die Hard­ware nicht von In­ter­es­se. Dem­entspre­chend soll­te ein Note­book in der Öf­fent­lich­keit per­ma­nent ei­ne Mas­ke tra­gen.

Ei­ne so­ge­nann­te Per­so­nal Fire­wall schot­tet lo­ka­le Diens­te³ und Ver­zeich­nis­se in un­be­kann­ten Netz­wer­ken vor an­de­ren Teil­neh­mern ab. So­mit sind nicht mal die Be­trei­ber des frei­en WLAN in der La­ge, auf den ge­schütz­ten Rech­ner zu­zu­grei­fen. Ein soft­ware­sei­ti­ger Tür­ste­her wür­de so­gar die Kom­mu­ni­ka­ti­on mit Schad­pro­gram­men un­ter­bin­den, was aber bis­her ein ex­klu­si­ves Win­dows-Pro­blem ist.

Tipp des BSI: Auch ei­ne Soft­ware-Fire­wall ist auf Win­dows-Com­pu­tern sinn­voll. Sie schützt vor An­grif­fen von au­ßen und ver­hin­dert, dass Pro­gram­me zum Bei­spiel Spy­wa­re, Kon­takt vom Ge­rät zum In­ter­net auf­neh­men.

Gei­ger, Jörg: Se­cu­ri­ty-Tipps von der Bun­des­be­hör­de. In: Chip Nr. 10 (2022). S. 43.

Li­nux-An­wen­der müs­sen da­ge­gen eher mensch­li­che An­grei­fer ab­weh­ren, um kei­nen On­line-Er­pres­sern⁴ zum Op­fer zu fal­len. Das ist je­doch erst mal leich­ter ge­sagt als ge­tan. Denn al­lein das Fest­le­gen von Fil­ter­re­geln ist in dem ein­gangs er­wähn­ten nf­ta­bles für Ot­to Nor­mal­nut­zer qua­si nicht zu be­werk­stel­li­gen. Hier schafft das Bord­mit­tel ufw Ab­hil­fe, wel­ches die Fire­wall-Be­die­nung in der Kon­so­le er­leich­tert. So wä­re es bei­spiels­wei­se mit­hil­fe des fol­gen­den Be­fehls mög­lich, sei­nen Com­pu­ter zu iso­lie­ren:

sudo ufw enable

Aber mal ehr­lich, wer will ei­nen Si­cher­heits­me­cha­nis­mus über ein Ter­mi­nal-Fens­ter be­die­nen? Selbst Li­nux-Pro­fis be­vor­zu­gen gra­fi­sche Be­nut­zer­ober­flä­chen mit schi­cken Schie­be­reg­lern und aus­sa­ge­kräf­ti­gen Sta­tus­be­rich­ten. Wie gut, dass es Guf­w⁵ gibt. Die­ses smar­te Werk­zeug ver­leiht den Ein­sen und Nul­len hin­ter der Desk­top Fire­wall ein lieb­li­ches Ant­litz, das zum Aus­pro­bie­ren ein­lädt.

Die Dritt­an­bie­ter­soft­ware Gufw ist al­so ei­ne Ein­ga­be­mas­ke für das Bord­mit­tel ufw, wel­ches wie­der­um das Ker­nel-Mo­dul nf­ta­bles kon­fi­gu­riert. Für die In­stal­la­ti­on des Drei­ge­spanns muss ein Li­nux-Nut­zer le­dig­lich das nach­ste­hen­de Kon­so­len­kom­man­do aus­füh­ren:

sudo apt-get install ufw gufw

Nach­dem der In­te­gra­ti­ons­pro­zess ab­ge­schlos­sen wur­de, lässt sich die Per­so­nal Fire­wall über die Ubun­tu Ak­ti­vi­tä­ten-Such­leis­te star­ten.

Di­rekt im An­schluss ist es mög­lich, den Tor­wäch­ter mit nur zwei Klicks zu ak­ti­vie­ren. Hier­zu soll­ten Note­book-Be­sit­zer als Ers­tes das Pro­fil „Öf­fent­lich” aus­wäh­len. Durch die­se Maß­nah­me wer­den näm­lich die strengs­ten Fil­ter­re­geln ge­la­den.

Hin­ter der recht ein­fa­chen Kon­fi­gu­ra­ti­on ver­birgt sich in der Re­gel ei­ne Men­ge Pa­ket­fil­ter-Know-how. Das Re­sul­tat ist al­so oft ein bes­se­rer Schutz als ei­ne selbst ge­bas­tel­te Lö­sung.

Kof­ler, Mi­cha­el: Li­nux. Das um­fas­sen­de Hand­buch. 15., ak­tua­li­sier­te Auf­la­ge. Bonn: Rhein­werk Ver­lag 2017.

Als Nächs­tes muss die Ubun­tu-Fire­wall nur noch mit­hil­fe des Schie­be­reg­lers hin­ter dem Punkt „Sta­tus” ein­ge­schal­tet wer­den. Um­ge­hend da­nach ist der Mo­bil­com­pu­ter vor sämt­li­chen Netz­werk­zu­grif­fen ge­schützt. Da­bei ist der di­gi­ta­le Si­cher­heits­dienst be­reits so kon­fi­gu­riert, dass vor­in­stal­lier­te Bord­mit­tel wie Fire­fox, Thun­der­bird oder die Rhyth­m­box oh­ne Ein­schrän­kun­gen funk­tio­nie­ren. Hin­ge­gen In­stant-Mes­sa­ging-Diens­te oder On­line-Spie­le be­nö­ti­gen ei­nen ma­nu­ell aus­ge­stell­ten Pas­sier­schein, um ihr vol­les Po­ten­zi­al ent­fal­ten zu kön­nen.

Filterregeln erstellen

Sze­na­rio: Zur­zeit bin ich im ru­mä­ni­schen Va­ma Ve­che un­ter­wegs und nut­ze so­wohl im Ho­tel wie auch in der um­lie­gen­den Gas­tro­no­mie die kos­ten­lo­sen WLAN-An­ge­bo­te. Na­tür­lich ha­be ich die Fire­wall auf mei­nem Ubun­tu-Lap­top mit­hil­fe von Gufw ak­ti­viert, um mei­ne sen­si­blen Da­ten zu schüt­zen. Je­den Abend auf dem Zim­mer muss ich Sky­pe in Be­reit­schaft hal­ten, da mein Chef häu­fig an­ruft und wis­sen möch­te, ob ich schon neue Ta­len­te für sei­nen Ber­li­ner Nacht­club an­wer­ben konn­te. Wir tau­schen aber auch häu­fig Vi­de­os und Do­ku­men­te aus, wes­we­gen ich nicht al­le ein­ge­hen­den Ver­bin­dun­gen blo­ckie­ren darf. Dem­entspre­chend muss ich ei­ne Aus­nah­me­re­gel de­fi­nie­ren.

Hier­für kli­cke ich in der Gufw-Be­nut­zer­ober­flä­che im Rei­ter „Re­geln” das Plus­zei­chen an. Dar­auf­hin öff­net sich ein neu­es Fens­ter, in die­sem ich nichts wei­ter ma­che, au­ßer den Me­nü­punkt „An­wen­dung” zu su­chen. Als Nächs­tes wäh­le ich aus der da­hin­ter­ste­hen­den Drop­down-Lis­te den Ein­trag „Sky­pe nor­mal” aus.

Zu gu­ter Letzt be­stä­ti­ge ich mei­ne Ein­ga­be über die Schalt­flä­che „Hin­zu­fü­gen” und schlie­ße das Fens­ter wie­der. Durch die­sen Ein­griff ha­be ich den TCP-Port 443 ge­öff­net, der für die grund­le­gen­de Sky­pe-Kom­mu­ni­ka­ti­on nö­tig ist.

Na­tür­lich lö­sche ich die Fil­ter­re­gel tags­über wie­der über das Mi­nus­zei­chen, da­mit mein Ubun­tu-Note­book kei­ne An­griffs­flä­che bie­tet. Für Ha­cker ist es mit ei­nem Port­scan­ner näm­lich spie­lend leicht mög­lich, nach of­fe­nen Ein­falls­to­ren zu su­chen. Aber wie die vor­kon­fi­gu­rier­ten An­wen­dun­gen in Gufw zei­gen, sind Blo­ckier­aus­nah­men le­dig­lich für On­line-Spie­le oder Mes­sa­ging-Diens­te er­for­der­lich.

Ist die Firewall eingeschaltet?

Wird der Sta­tus-Schie­be­reg­ler in Gufw mit­hil­fe des Ad­mi­nis­tra­to­ren­pass­wor­tes ak­ti­viert, bleibt die Per­so­nal Fire­wall auch nach ei­nem Neu­start an­ge­schal­tet. Al­ler­dings zeigt ein frisch ge­la­de­nes Ubun­tu das blau-weiß-ro­te Rit­ter­schild nicht mehr an. Hier­zu müss­te die Ein­ga­be­mas­ke erst wie­der aus der Ak­ti­vi­tä­ten-Such­leis­te her­vor­ge­holt wer­den.

Um den Zu­stand der Fire­wall im­mer im Blick zu be­hal­ten, lohnt es sich vor al­lem bei Note­books, Gufw nach dem Hoch­fah­ren au­to­ma­tisch zu star­ten. Da­für ist es zu­nächst nö­tig, das Sys­tem­me­nü „Start­pro­gram­me” zu öff­nen.

Als Nächs­tes muss über die Schalt­flä­che „Hin­zu­fü­gen” ein drei­zei­li­ges For­mu­lar auf­ge­ru­fen wer­den, das den fol­gen­den In­halt auf­wei­sen soll­te:

• Na­me: Fire­wall
• Be­fehl: /usr/bin/gufw
• Kom­men­tar: GUI für ufw

So­bald die Ein­ga­ben ge­spei­chert wur­den, er­scheint Gufw nach ei­nem Sys­tem­start so­fort auf der Bild­flä­che. Dank die­ser auf­fäl­li­gen Er­in­ne­rungs­hil­fe dürf­te die un­ge­schütz­te Pe­ne­tra­ti­on ei­nes öf­fent­li­chen Netz­werks ein Ding der Un­mög­lich­keit sein.

Ver­wand­te The­men:

Si­cher im Ho­tel-WLAN be­we­gen - kos­ten­lo­sen VPN-Dienst nut­zen
Note­book-Die­be är­gern - Heim­ver­zeich­nis nach­träg­lich ver­schlüs­seln

¹Lam­precht, Ste­phan: Si­cher­heits­werk­zeug für Li­nux. In: Li­nux Welt Nr. 4 (2022). S. 62.
²Wol­ski, Da­vid: Si­cher sur­fen mit Li­nux. In: Li­nux Welt Nr. 3 (2020). S. 25.
³Ei­ken­berg, Ro­nald: Schutz vor Schäd­lin­gen. In: c’t Se­cu­ri­ty 2018. S. 25.
⁴Reit­ber­ger, Jo­sef: Ga­no­ven er­pres­sen jun­ge Män­ner mit neu­er Ma­sche. In: Chip Nr. 1 (2023). S. 19.
⁵Cos­ta­les, Mar­cos: Gufw Fire­wall. costales.github.io (01/2023).