Mehr Sicherheit im Büro: Surfen in der VM und eigene Firewall mit OPNsense

1. Surfen in einer virtuellen Maschine

Wer im Internet unterwegs ist, holt sich Gefahren am ehesten über den Browser ins Haus. Läuft der Browser in einer virtuellen Maschine, bleibt ein Schädling in der VM gefangen und erreicht die Mandantendaten auf dem eigentlichen Rechner nicht.

Download und Tipps zu VMware Workstation Pro (kostenlos, auch für Unternehmen): https://forum.taxpool.net/wls/forum/thread/913-vmware-workstation-pro-und-fusion-pro-mac-jetzt-auch-f%C3%BCr-unternehmen-kostenlos/

Empfehlungen:
- Als Gastsystem eignet sich ein Linux mit Xfce-Oberfläche (z. B. Xubuntu oder Linux Mint Xfce): schlank, schnell und ohne Lizenzkosten.
- Nach der Einrichtung einen Snapshot „sauber“ anlegen. Bei Verdacht oder regelmäßig einfach zu diesem Snapshot zurückkehren – alles, was sich eingenistet haben könnte, ist dann weg.
- Keine gemeinsamen Ordner mit dem Host einrichten. Zwischenablage und Drag & Drop möglichst abschalten (VM-Einstellungen → Options → Guest Isolation).
- Netzwerk der VM auf „NAT“ belassen.
- Downloads, die auf den Arbeitsrechner sollen, vorher bewusst prüfen, statt sie automatisch durchzureichen.

2. Eigene Firewall mit OPNsense

OPNsense ist eine kostenlose, professionelle Open-Source-Firewall. Sie wird zwischen Internetanschluss und Büronetz geschaltet und bietet deutlich mehr Kontrolle als ein gewöhnlicher Router.

Hardware:
Mini-PCs mit mehreren Netzwerkanschlüssen sind derzeit teuer. Eine gute und günstige Alternative sind gebrauchte Büro-PCs im kompakten SFF-Gehäuse (Small Form Factor), nachgerüstet mit einer Intel-Dual-Netzwerkkarte. Wichtig ist eine Karte mit passendem Low-Profile-Slotblech, damit sie ins flache Gehäuse passt.

Tipp: Der Dell OptiPlex 3070 SFF ist flüsterleise, sparsam und läuft damit sehr zuverlässig. Wichtig: Die interne Netzwerkkarte muss im BIOS deaktiviert werden, sonst funktioniert es nicht.

Weitere geeignete Modelle (jeweils SFF-Variante mit Low-Profile-PCIe-Steckplatz):
- Dell OptiPlex 3060, 5060, 5070, 7070 SFF
- HP ProDesk 400 G5 / 600 G4 / 600 G5 SFF
- Lenovo ThinkCentre M720s / M920s SFF
- Fujitsu Esprimo D538 / D738
- Lenovo ThinkCentre M720q / M920q Tiny (nur mit zusätzlichem PCIe-Riser, bei OPNsense-Nutzern sehr beliebt)
Vor dem Kauf bitte prüfen, ob die jeweilige Variante wirklich einen freien PCIe-Steckplatz hat – die „Micro“- bzw. „Tiny“-Versionen haben meist keinen.

Netzwerkkarte:
Bewährt sind Intel-Karten, z. B. Intel I350-T2 (2 × 1 Gbit) oder Karten mit Intel i226 (2 × 2,5 Gbit). Intel-Chips werden von OPNsense sehr gut unterstützt. Achtung: Es sind viele Fälschungen im Umlauf, daher bei seriösen Händlern oder gebraucht aus Serverausmusterung kaufen.

Anschluss:
- WAN-Anschluss der Firewall: kommt wie gewohnt vom Internetanschluss bzw. Modem.
- LAN-Anschluss der Firewall: Hier wird ein Router angeschlossen, der das Büronetz und das WLAN versorgt. Diesen Router am besten als Access Point bzw. IP-Client betreiben (bei der FRITZ!Box: „Internetzugang über LAN 1“ mit „IP-Client“), damit nicht zweimal Adressen übersetzt werden.

Grundregeln:
- OPNsense nur von der offiziellen Seite opnsense.org laden und die dort angegebene Prüfsumme vergleichen.
- Nach der Installation sofort das Standardpasswort ändern.
- Die Weboberfläche nur aus dem LAN erreichbar lassen, niemals vom Internet aus.
- Updates regelmäßig einspielen (System → Firmware → Updates).
- Nach größeren Änderungen die Konfiguration sichern (System → Konfiguration → Backups).
- Tipp: Im integrierten DNS-Dienst (Unbound) lassen sich Sperrlisten für Werbung und bekannte Schadseiten aktivieren – das schützt alle Geräte im Netz gleichzeitig.

OPNsense Schritt für Schritt einrichten (Beispiel Dell OptiPlex 3070 SFF mit Intel-Dual-Netzwerkkarte)

Am Anfang wirkt OPNsense etwas fummelig – wenn man das Prinzip einmal verstanden hat, ist es aber gar nicht schwer. Grundlagen und Hardware-Empfehlungen: siehe Beitrag „Mehr Sicherheit im Büro: Surfen in der VM und eigene Firewall mit OPNsense“.

Hinweis: Menübezeichnungen können je nach OPNsense-Version leicht abweichen.

Schritt 1: Installationsmedium erstellen

- Auf https://opnsense.org/download/ als Architektur „amd64“ und als Image-Typ „vga“ wählen (USB-Stick-Image).
- Prüfsumme kontrollieren: In der PowerShell
Get-FileHash .\Dateiname.img.bz2 -Algorithm SHA256
eingeben und mit dem Wert auf der Download-Seite vergleichen.
- Die .bz2-Datei mit 7-Zip entpacken.
- Das entpackte .img mit Rufus (im „DD-Modus“) oder balenaEtcher auf einen USB-Stick schreiben. Achtung: Der Stick wird komplett gelöscht.

Schritt 2: BIOS vorbereiten (beim OptiPlex mit F2 ins BIOS)

- Interne Netzwerkkarte deaktivieren (System Configuration → Integrated NIC → Disabled). WICHTIG: Beim OptiPlex 3070 funktioniert es sonst nicht!
- Secure Boot deaktivieren.
- „AC Recovery“ auf „Power On“ stellen – so startet die Firewall nach einem Stromausfall von selbst wieder.
- Speichern, USB-Stick einstecken, beim Start mit F12 vom Stick booten.

Tipp: Die beiden Anschlüsse der Netzwerkkarte gleich mit Aufklebern „WAN“ und „LAN“ beschriften – das erspart später viel Rätselraten.

Schritt 3: Installation

- Nach dem Start mit Benutzer „installer“ und Passwort „opnsense“ anmelden.
- Tastaturbelegung „German“ wählen.
- Installation auf die interne SSD, Dateisystem „ZFS“ (Variante „stripe“) übernehmen.
- Ein sicheres root-Passwort vergeben und gut aufbewahren.
- Nach Abschluss den USB-Stick abziehen und neu starten.

Schritt 4: Netzwerkanschlüsse zuordnen (an der Konsole mit Monitor und Tastatur)

- Im Konsolenmenü Punkt 1 „Assign interfaces“ wählen.
- Die Frage nach VLANs mit „n“ beantworten.
- Die Intel-Anschlüsse heißen je nach Karte igb0/igb1 (I350) oder igc0/igc1 (i226). Wer nicht sicher ist, welcher Anschluss welcher ist, nutzt die automatische Erkennung: Kabel einstecken, wenn OPNsense danach fragt – der Anschluss mit Verbindung wird erkannt.
- Erst WAN, dann LAN zuordnen und bestätigen.

Schritt 5: LAN-Adresse anpassen

OPNsense verwendet im LAN standardmäßig 192.168.1.1. Nutzt der vorgeschaltete Router bzw. das Modem denselben Adressbereich, gibt es Konflikte. Daher im Konsolenmenü mit Punkt 2 „Set interface IP address“ für das LAN einen eigenen Bereich einstellen, z. B.:
- IP-Adresse: 192.168.10.1
- Subnetz: 24
- DHCP-Server im LAN: ja, z. B. Bereich 192.168.10.100 bis 192.168.10.200
- Weboberfläche über HTTPS: ja

Schritt 6: Grundeinrichtung in der Weboberfläche

- Einen PC per Kabel am LAN-Anschluss der Firewall anschließen.
- Im Browser https://192.168.10.1 aufrufen, die Zertifikatswarnung bestätigen und mit „root“ anmelden.
- Der Einrichtungsassistent startet:
- Hostname und Domain frei wählen (z. B. firewall / buero.lan).
- Zeitzone: Europe/Berlin.
- WAN: „DHCP“, wenn davor ein Router (z. B. FRITZ!Box) hängt. „PPPoE“ mit den Zugangsdaten des Anbieters, wenn die Firewall direkt am Modem hängt.
- Wichtig, wenn davor ein Router hängt: Den Haken bei „Private Netze blockieren“ (Block private networks) auf dem WAN entfernen, da der WAN-Anschluss dann selbst eine private Adresse bekommt.
- Den Assistenten abschließen. Danach sollte der PC im Internet surfen können.

Schritt 7: Router bzw. WLAN dahinter anschließen

- Den Router mit einem seiner LAN-Anschlüsse (nicht dem Internet-/WAN-Anschluss!) mit dem LAN der Firewall verbinden.
- Den Router als Access Point bzw. IP-Client betreiben, damit er keine eigenen Adressen verteilt. Bei der FRITZ!Box: Internetzugang „über LAN 1“ einrichten und in den Netzwerkeinstellungen „IP-Client“ wählen.
- Die Adressen im Büronetz verteilt jetzt die Firewall.

Schritt 8: Updates und Sicherung

- System → Firmware → Status → „Nach Updates suchen“ und alle Updates einspielen. Das regelmäßig wiederholen.
- System → Konfiguration → Sicherungen → Konfiguration herunterladen. Nach jeder größeren Änderung erneut sichern.

Schritt 9 (empfohlen): Werbung und Schadseiten sperren

- Dienste → Unbound DNS → Blocklist öffnen, aktivieren und gewünschte Sperrlisten auswählen.
- Das wirkt für alle Geräte im Büronetz gleichzeitig, ohne dass auf den PCs etwas installiert werden muss.

Wenn etwas schiefgeht

- Die Weboberfläche ist aus dem LAN immer erreichbar (eingebaute „Anti-Lockout“-Regel) – daher niemals Regeln ändern, die das LAN betreffen, ohne zu wissen, was sie bewirken.
- Notfalls an der Konsole mit Punkt 4 „Reset to factory defaults“ alles zurücksetzen und die gesicherte Konfiguration wieder einspielen.
- Die Weboberfläche nie vom Internet (WAN) aus erreichbar machen.