App-Firewall für Mac

wer eine App-Firewall braucht

der übliche Anlass: du merkst, dass ein Programm mehr mit dem Internet spricht, als es sollte – ein Tool, das bei jedem Start einen Lizenzserver anruft, ein Hintergrundhelfer, der etwas synchronisiert, das niemand wollte, ein Spiel, das Adressen erreicht, die mit dem Spielen selbst nichts zu tun haben. macOS selbst sagt dir nicht, welche Programme gerade verbunden sind oder wohin – die Netzwerk-Spalte in der Aktivitätsanzeige zeigt übertragene Bytes, keine Adressen.

der andere Anlass: die Regel schon vorher setzen wollen – einen Server für ein Programm blockieren, dem du nicht ganz traust, oder ein installiertes, aber ungenutztes Programm ganz vom Netz nehmen, ohne Router, DNS oder ein VPN anzufassen, das alles auf einmal beträfe.

was es zeigt, und was ein Klick tut

jedes Programm, das online gegangen ist, erscheint in einer Liste mit den Adressen, die es erreicht hat. ein Klick auf die Bezeichnung des Programms trennt es ganz vom Netz; öffne es, und eine einzelne Adresse lässt sich für sich blockieren – eine Lizenzprüfung zum Beispiel, während der Rest seines Datenverkehrs durchgeht. eine Adressregel gewinnt immer gegen die Regel des Programms, sodass eine Ausnahme nicht bedeutet, den ganzen Schalter wieder einzuschalten.

eine Regel braucht kein Programm, das sich schon verbunden hat. jede installierte App steht in der Liste, ob sie schon online war oder nicht, sodass ein Programm blockiert werden kann, bevor es je die Chance dazu bekommt.

• ein ganzes Programm blockieren, oder nur eine seiner Adressen – mit einem Klick
• eine Regel setzen, bevor ein Programm sich je verbindet – aus der Liste wählen oder aus dem Programme-Ordner
• eine Adressliste aus einer Datei laden (eine pro Zeile, oder eine Hosts-Datei) und für alle Programme auf einmal blockieren – eine Zeile kann auch ein Programm nennen: `com.example.app license.example.com`
• die aktuellen Regeln wieder in eine Datei sichern
• die Liste sortieren – nach Erscheinen, nach Namen, oder zuletzt zuerst

der ausführliche Rundgang – was jede Bezeichnung und jeder Abschnitt im Fenster bedeutet – steht in der Anleitung, in deiner Sprache: traffic-sperre in der Anleitung

wie der Filter selbst funktioniert

Hop macht das mit dem Netzwerkfilter, den macOS genau für diese Aufgabe bereitstellt – einer Systemerweiterung derselben Kategorie, auf der LuLu und Little Snitch aufbauen. beim ersten Start des Moduls fragt macOS in den Systemeinstellungen, ob du ihn erlauben willst; das ist ein einmaliger Systemdialog, den Hop weder überspringen noch vorab bestätigen kann.

der Filter entscheidet beim ersten Paket einer Verbindung und schaut nie hinein: er sperrt einen ganzen Server, nie eine einzelne Seite darauf – weiter kann ein Filter, der auf Verbindungsebene arbeitet, grundsätzlich nicht sehen. hält der Filter einmal an – ein macOS-Update, ein Absturz, irgendetwas –, bleibt das Internet an; nichts wird blockiert, bis der Filter zurück ist. das Modul in den Einstellungen auszuschalten stoppt genau deine Blockaden, nicht den Netzwerkzugriff deines Macs.

Apples eigene Beschreibung des Network-Extension-Frameworks, auf dem diese Art App aufbaut (Seite auf Englisch): Network Extension, Apple Developer documentation

standardmäßig still, und eine optionale Nachfrage

das Modul ist standardmäßig an und blockiert von sich aus nichts: ohne gesetzte Regeln geht jede Verbindung genauso durch wie ohne Hop. es bringt keine vorgefertigte Liste von Trackern oder Werbeservern zum Vorab-Blockieren mit, und es wird nicht still anfangen, Programme abzuschneiden – jede Blockade in der Liste hast du selbst gesetzt.

bei neuen Verbindungen nachzufragen ist eine eigene Einstellung, standardmäßig aus. eingeschaltet, fragt eine Karte oben rechts nach einer Verbindung, die keine Regel abdeckt – nur für diese Adresse, oder das ganze Programm –, statt dass Hop selbst entscheidet.

was es nicht ist, und wo die Grenze liegt

Hop ist kein VPN und leitet deinen Datenverkehr nirgendwohin um, noch untersucht es ihn unterwegs: eine Verbindung geht entweder unverändert durch oder wird beim ersten Paket abgelehnt. nach URL oder Seite innerhalb einer verschlüsselten Verbindung filtern kann es nicht – HTTPS verbirgt alles jenseits der Serveradresse, sodass „nur diese eine Seite blockieren“ keine Regel ist, die ein Filter dieser Art ausdrücken kann, weder bei Hop noch bei einer anders gebauten App-Firewall.

es ist auch kein DNS-Blocker und kein Inhaltsfilter für das, was ein Browser-Tab zeigt: das funktioniert über das Auflösen oder Umschreiben von Namen, eine andere Ebene mit anderen Kompromissen. und es sammelt nichts von dem, was es sieht: die Adressliste und die Regeln, die du setzt, bleiben auf diesem Mac.

frequently asked questions

sieht oder speichert Hop meinen Datenverkehr?

nein. der Filter entscheidet beim ersten Paket einer Verbindung und schaut nie hinein; Hop entschlüsselt nichts, und die Adressliste bleibt auf diesem Mac.

ist das dasselbe wie ein VPN?

nein. Hop leitet nichts um und hat keine Server. es lässt eine Verbindung entweder unverändert durch oder blockiert sie beim ersten Paket – was innerhalb einer erlaubten Verbindung passiert, sieht und berührt es nicht.

kann es eine Adresse blockieren, ohne die ganze App zu blockieren?

ja. öffne das Programm, um seine Adressen zu sehen, und blockiere jede davon für sich – eine Adressregel gewinnt immer gegen den Schalter des Programms selbst.

was passiert, wenn der Netzwerkfilter aufhört zu funktionieren?

dein Internet läuft weiter. nichts wird blockiert, bis der Filter zurück ist, und das Modul auszuschalten stoppt nur deine eigenen Blockaden – nie den Netzwerkzugriff deines Macs.

muss ich etwas genehmigen, damit es funktioniert?

einmal. beim ersten Start des Moduls fragt macOS, ob du Hops Netzwerkfilter in den Systemeinstellungen erlauben willst – dieselbe einmalige Anfrage, die jede App-Firewall dieser Art braucht.

bremst das mein Internet?

der Filter muss nur das erste Paket jeder neuen Verbindung ansehen, nicht den Datenverkehr selbst, laufende Übertragungen bleiben also unberührt.

wie unterscheidet sich das von LuLu oder Little Snitch?

dieselbe Idee, und darunter dieselbe Art macOS-Filter. Hops Version sitzt in der Menüleiste neben seinen anderen Modulen statt als eigenständige App, und hält dieselben Grenzen: sie blockiert ganze Server, nie Seiten, und entschlüsselt nichts.