maxTechCorner - Benutzerbeiträge [de]

Überwachung von IPsec

2026-09-15T12:22:08Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense (Dienst „Monit")
| bereich = IT-Security
| dauer = ca. 15 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Ein instabiler IPsec-Tunnel ist nach sorgfältigem Tuning selten, kann aber vorkommen – bedingt durch unterschiedliche Hersteller-Interpretationen von IPsec, abweichende Patch-Stände der VPN-Partner und die Erfahrung der Administratoren. Statt den Tunnel per Cronjob täglich neu zu starten, geht es mit '''Monit''' eleganter: Dieser Artikel richtet eine automatische Überwachung ein, die den Tunnel nur bei tatsächlichem Ausfall neu startet.

== Lösung ==
Das bordeigene Überwachungswerkzeug von OPNsense heißt '''monit'''. Es ist in der Unix-Welt weniger bekannt, aber mit eigener Syntax sehr mächtig. Wir richten einen Service-Test ein, der alle zwei Minuten eine IP im VPN-Peer-Netz anpingt und bei Nichterreichen den Tunnel neu startet.

=== 1. Service-Test anlegen ===
Unter '''Services → Monit''' den Dienst aktivieren. In „Service Test Settings" einen neuen Test anlegen:
* '''Name:''' <code>IPSEC_ICMP_MONITOR</code>
* '''Condition:''' <code>failed ping4 count 5 address 10.10.10.1</code> (die <code>10.10.10.1</code> durch die eigene LAN-IP ersetzen)
* '''Action:''' <code>Restart</code>

=== 2. Service anlegen ===
Unter „Service Settings" einen Service anlegen:
* '''Name:''' <code>RESTART_IPSEC</code>
* '''Type:''' <code>Remote Host</code>
* '''Address:''' IP der Gegenseite (in deren Netz)
* '''Start:''' <syntaxhighlight lang="bash" inline>/usr/local/sbin/configctl ipsec start</syntaxhighlight>
* '''Stop:''' <syntaxhighlight lang="bash" inline>/usr/local/sbin/configctl ipsec stop</syntaxhighlight>
* '''Tests:''' den zuvor angelegten <code>IPSEC_ICMP_MONITOR</code> verlinken

Damit prüft Monit den Tunnel selbstständig und startet ihn nur bei Bedarf neu.

== Unterstützung von m.a.x. it ==
Bei OPNsense, IPsec-VPN und Monitoring unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - NAT before IPSEC]]
* [[IKEv2: Zentralen ASA-Hub mit mehreren IOS Spokes verbinden]]

== Links und Quellen ==
* [https://docs.opnsense.org/manual/monit.html OPNsense-Dokumentation: Monit]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

Zertifikatsverwaltung via privacyIDEA

2026-09-15T12:21:34Z

Wamu:

{{Steckbrief
| gilt_fuer = privacyIDEA (bestehende Instanz)
| bereich = IT-Security
| dauer = ca. 20 Minuten
| rechte = root / privacyIDEA-Admin
| stand = September 2026
}}
Für Ausstellung und Rollout von Zertifikaten lässt sich '''privacyIDEA''' nutzen: Es kann Zertifikate als Token ausrollen und eignet sich damit bei einer bestehenden Instanz ideal, um Client-Zertifikate zu verteilen. Dieser Artikel zeigt die Einrichtung einer CA und den Rollout.

{{Hinweis|Die Pfadangabe im Beispiel (<code>python2.7</code>) stammt aus einer älteren privacyIDEA-Version. Aktuelle Versionen laufen unter Python 3 – der Pfad zur mitgelieferten <code>openssl.cnf</code> kann daher abweichen (z. B. unter <code>python3.x/site-packages</code>). Vorgehen und Befehle bleiben ansonsten gleich.}}

== CA-Dateien erzeugen ==
<syntaxhighlight lang="bash">
cp /opt/privacyidea/lib/python2.7/site-packages/tests/testdata/ca/openssl.cnf /etc/privacyidea/CA/

openssl req -days 3650 -new -x509 -keyout /etc/privacyidea/CA/ca.key \
-out /etc/privacyidea/CA/ca.crt \
-config /etc/privacyidea/CA/openssl.cnf

touch /etc/privacyidea/CA/index.txt
echo 01 > /etc/privacyidea/CA/serial
openssl rsa -in ca.key -out ca-nopw.key
mv ca-nopw.key ca.key
chown -R privacyidea /etc/privacyidea/CA
chmod 0600 /etc/privacyidea/CA/ca.key
</syntaxhighlight>

== Zertifikate ausrollen ==
Anschließend den Konnektor in der privacyIDEA-Oberfläche anlegen; danach lassen sich Zertifikate erstellen. Idealerweise laden die Nutzer ihre eigenen Zertifikate (PKCS#12) über das Self-Service-Portal herunter.

== Unterstützung von m.a.x. it ==
Bei Zertifikats- und Identity-Management (z. B. mit privacyIDEA) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Services].

== Siehe auch ==
* [[OPNsense - WLAN-Authentifizierung mittels EAP-TLS]]

== Links und Quellen ==
* [https://privacyidea.readthedocs.io/ privacyIDEA – offizielle Dokumentation]
* [https://www.max-it.de/it-services/cybersecurity/ m.a.x. it – Cybersecurity-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

Wazuh-O365-monitoring-mehrerer-tenants

2026-09-15T12:21:12Z

Wamu:

Wer als IT-Dienstleister oder in einer großen Organisation mehrere Microsoft-365-Tenants betreut, möchte diese über ein einziges Wazuh-System überwachen – dabei aber die Daten der Tenants sauber trennen. Dieser Artikel beschreibt den bewährten Ansatz mit dedizierten Agenten je Tenant und rollenbasierter Zugriffskontrolle (RBAC).

== Herausforderung: mehrere Tenants sauber trennen ==
Unternehmen, die Dienste für mehrere Kunden oder unabhängige Abteilungen erbringen, müssen die Ereignisse der einzelnen Tenants voneinander trennen. Diese Trennung ist wichtig, um Compliance-Anforderungen zu erfüllen und sicherzustellen, dass Benutzer nur die für sie relevanten Daten sehen.

== Lösungsansatz: dedizierte Agenten je Tenant ==
Statt alle Tenants zentral auf dem Manager zu konfigurieren, erhält '''jeder Tenant einen eigenen Wazuh-Agenten''' für die Office-365-Anbindung. Vorteile:
* Ereignisse lassen sich eindeutig einem Tenant zuordnen.
* Berechtigungen können auf Ebene des Agenten bzw. der zugehörigen Gruppe angesetzt werden – die Grundlage für eine saubere RBAC-Trennung.

== Zugriffssteuerung mit RBAC ==
Wazuh bringt eine rollenbasierte Zugriffskontrolle (RBAC) mit, über die Administratoren fein abgestufte Rechte auf Ressourcen und Daten vergeben. Durch passend definierte Rollen und deren Zuweisung an Benutzer oder Gruppen wird gesteuert, wer Zugriff auf die Daten eines bestimmten Tenants und auf welche Management-Funktionen hat.

== Vorgehen im Überblick ==
# Pro Tenant einen dedizierten Agenten für die O365-Integration einrichten (Konfiguration wie unter [[Wazuh-O365]] beschrieben).
# Die Agenten je Tenant in einer eigenen Agenten-Gruppe zusammenfassen.
# RBAC-Rollen definieren und den jeweils zuständigen Benutzern/Gruppen zuweisen, sodass jeder nur „seine" Tenant-Daten sieht.

{{Tipp|Eine sorgfältige Namens- und Gruppenkonvention (ein eindeutiger Präfix je Tenant) erleichtert die spätere Zuordnung und die Pflege der RBAC-Regeln erheblich.}}

== Siehe auch ==
* [[Wazuh-O365]]
* [[NIS2 und Wazuh]]

== Links und Quellen ==
* [https://documentation.wazuh.com/current/cloud-security/office365/index.html Wazuh-Dokumentation: Monitoring Office 365]
* [https://www.max-it.de/it-services/siem-open-source/ m.a.x. it – SIEM mit Open Source]

{{Uebermax}}
[[Kategorie:IT-Security]]

Wazuh-O365

2026-09-15T12:20:56Z

Wamu:

Die Sicherheit von Unternehmensdaten in Microsoft 365 lässt sich mit dem Open-Source-SIEM '''Wazuh''' zentral überwachen – etwa Anmeldungen, Datei-Downloads aus SharePoint oder Änderungen an Postfächern. Dieser Artikel gibt einen Überblick, wie die Anbindung funktioniert und was dafür nötig ist.

== Funktionsweise ==
Wazuh ruft die Sicherheits- und Aktivitätsereignisse aus Microsoft 365 über die '''Office 365 Management Activity API''' ab und wertet sie zentral auf dem Wazuh-Manager aus. Die Anbindung erfolgt über das mitgelieferte <code>office365</code>-Modul; die Ereignisse werden anschließend von der Regel-Engine (OSSEC-basiert) ausgewertet und lösen bei Bedarf Alerts aus.

== Einrichtung im Überblick ==
# '''Wazuh-Server bereitstellen''' – lokal oder in der Cloud, je nach Anforderung. Er dient als zentrale Instanz zum Empfangen und Analysieren der Ereignisse.
# '''App-Registrierung in Microsoft Entra ID (Azure AD)''' mit den nötigen Leseberechtigungen auf die Management Activity API anlegen.
# '''<code>office365</code>-Modul in Wazuh konfigurieren''' (Client-ID, Tenant-ID und Secret der App-Registrierung hinterlegen und das Audit-Abonnement aktivieren).
# '''Regeln und Alerts definieren''' – z. B. Benachrichtigung bei verdächtigen Downloads oder ungewöhnlich hohen Downloadraten; Alerts per E-Mail oder als Auslöser für automatisierte Reaktionen.
Die genauen Konfigurationsschritte beschreibt die [https://documentation.wazuh.com/current/cloud-security/office365/index.html offizielle Wazuh-Dokumentation zu Office 365].

{{Hinweis|Die Erfassung setzt aktivierte Audit-Protokolle in Microsoft 365 voraus. Umfang und Aufbewahrung der Ereignisse hängen von der M365-Lizenz ab.}}

[[Datei:WazuhO365.png|thumb|500px|Beispiel: Wazuh wertet Office-365-Ereignisse zentral aus.]]

== Siehe auch ==
* [[Wazuh-O365-monitoring-mehrerer-tenants]]
* [[NIS2 und Wazuh]]

== Links und Quellen ==
* [https://documentation.wazuh.com/current/cloud-security/office365/index.html Wazuh-Dokumentation: Monitoring Office 365]
* [https://www.max-it.de/it-services/siem-open-source/ m.a.x. it – SIEM mit Open Source]

{{Uebermax}}
[[Kategorie:IT-Security]]

Wazuh – Update 3.12 auf 3.13

2026-09-15T12:20:31Z

Wamu:

{{Steckbrief
| gilt_fuer = Wazuh 3.12 → 3.13 (Elastic Stack 7.8) auf Debian
| bereich = IT-Security
| dauer = je nach Umgebung
| rechte = root
| stand = historisch (Wazuh 3.x)
}}
Dieser Artikel dokumentiert Besonderheiten beim Update von '''Wazuh 3.12 auf 3.13''', das gleichzeitig ein Major-Update des Elastic Stacks auf 7.8 beinhaltet.

<div class="max-box max-box-warn"><span class="max-box-title">Veralteter Stand</span>
Wazuh 3.x wird nicht mehr weiterentwickelt – aktuell ist die '''4.x-Reihe'''. Diese Notiz bleibt als Erfahrungsbericht erhalten. Für neue Installationen und Upgrades gilt die [https://documentation.wazuh.com/current/upgrade-guide/index.html aktuelle Wazuh-Upgrade-Dokumentation].
</div>

== Vorgehen ==
Der Sprung von 3.12 auf 3.13 zieht ein Major-Update der Elastic-Familie auf 7.8 nach sich. Das kann zu Problemen führen; die offizielle Upgrade-Anleitung sollte sorgfältig abgearbeitet werden. Bei m.a.x. it kommt als Unterbau von Wazuh durchgehend Debian zum Einsatz; dort traten in einigen Bestandsinstallationen kleinere Schwierigkeiten auf.

Zuerst die offiziellen Schritte abarbeiten:
* [https://documentation.wazuh.com/3.13/upgrade-guide/upgrading/latest_wazuh3_minor.html Wazuh 3.13 – Upgrade Wazuh (minor)]
* [https://documentation.wazuh.com/3.13/upgrade-guide/upgrading-elastic-stack/elastic_server_minor_upgrade.html Wazuh 3.13 – Upgrade Elastic Stack]

Anschließend <code>/var/log/syslog</code> beobachten und nach Fehlern suchen.

== Problem: Kibana startet nicht (Nginx „Bad Gateway") ==
In ersten Rollouts konnte Kibana nicht gestartet werden, und Nginx meldete „Bad Gateway". Ursache: Kibana sucht die <code>kibana.yml</code> nun unter <code>/usr/share/kibana/config</code>, während sie bisher nur unter <code>/etc/kibana</code> lag.

Workaround – Verzeichnis anlegen und die bestehende Konfiguration verlinken:
<syntaxhighlight lang="bash">
mkdir /usr/share/kibana/
ln -s /etc/kibana/kibana.yml /usr/share/kibana/config/kibana.yml
service kibana start
</syntaxhighlight>
Anschließend Kibana starten und das Syslog weiter beobachten.

== Unterstützung von m.a.x. it ==
Bei Wazuh-Updates, SIEM-Betrieb und -Beratung unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

== Siehe auch ==
* [[Wazuh Regeln überschreiben]]
* [[NIS2 und Wazuh]]

== Links und Quellen ==
* [https://documentation.wazuh.com/current/upgrade-guide/index.html Wazuh – aktuelle Upgrade-Dokumentation]
* [https://www.max-it.de/it-services/siem-open-source/ m.a.x. it – SIEM mit Open Source]

{{Uebermax}}
[[Kategorie:IT-Security]]

Wazuh Regeln überschreiben

2026-09-15T12:19:49Z

Wamu:

{{Steckbrief
| gilt_fuer = Wazuh (Regel-Engine, OSSEC-basiert)
| bereich = IT-Security
| dauer = ca. 10 Minuten
| rechte = Administrator (Wazuh-Manager)
| stand = September 2026
}}
'''Wazuh''' ist eine freie SIEM-Lösung, die Logs zentral sichert, auswertet und bei Bedarf eigenständig Aktionen ausführt oder Administratoren alarmiert. Gelegentlich schlägt eine Regel an, obwohl kein echtes Problem vorliegt – ein '''False Positive'''. Dieser Artikel zeigt, wie sich eine Regel gezielt anpassen (überschreiben) lässt, ohne sie ganz zu deaktivieren.

== Beispiel: False Positive durch logrotate ==
Ein klassisches Beispiel sind <code>su</code>-Meldungen von logrotate unter Debian. Wazuh würde hier sofort Alarm schlagen:
<syntaxhighlight lang="text">
Received From: (host62) any->/var/log/auth.log
Rule: 40101 fired (level 12) -> "System user successfully logged to the system."
User: nobody
Portion of the log(s):
Apr 30 06:25:01 host62 su[29446]: + ??? root:nobody
</syntaxhighlight>

== Lösung: Regel überschreiben mit Zeitfenster ==
Ein Alarm dieser Art ist grundsätzlich erwünscht – nur nicht für den logrotate-Lauf. Dazu kopiert man die betroffene Regel in die '''local rules''' (<code>local_rules.xml</code>), setzt <code>overwrite="yes"</code> und grenzt sie über eine <code><time></code>-Angabe zeitlich aus:
<syntaxhighlight lang="xml">
<group name="syslog,attacks,">
<rule id="40101" level="9" overwrite="yes">
<if_group>authentication_success</if_group>
<user>$SYS_USERS</user>
<time>6:30 am - 6:20 am</time>
<description>System user successfully logged to the system.</description>
<group>invalid_login,pci_dss_10.2.4,pci_dss_10.2.5,gpg13_7.8,gdpr_IV_35.7.d,gdpr_IV_32.2,hipaa_164.312.b,nist_800_53_AU.14,nist_800_53_AC.7,</group>
</rule>
</group>
</syntaxhighlight>
Anschließend Wazuh '''neu laden''' – die Regel wird weiterhin geprüft, der Fehlalarm im ausgeklammerten Zeitfenster (hier rund um den logrotate-Lauf) aber vermieden.

{{Hinweis|Die <code><time></code>-Angabe definiert das Zeitfenster, in dem die Regel greift. Passen Sie Regel-ID, Level und Zeitfenster an den konkreten False Positive an.}}

== Unterstützung von m.a.x. it ==
Beim Feintuning von Regeln, dem Betrieb und der Beratung rund um Wazuh unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

== Siehe auch ==
* [[NIS2 und Wazuh]]
* [[Wazuh-O365]]

== Links und Quellen ==
* [https://wazuh.com/ Wazuh – offizielle Projektseite]
* [https://www.max-it.de/it-services/siem-open-source/ m.a.x. it – SIEM mit Open Source]

{{Uebermax}}
[[Kategorie:IT-Security]]

VPN Techniken für das Homeoffice

2026-09-15T12:19:01Z

Wamu:

Wie bindet man Mitarbeitende sicher von unterwegs oder aus dem Homeoffice an das Firmennetz an? Für den VPN-Fernzugriff haben sich drei Techniken etabliert: '''OpenVPN''', '''IPsec''' und '''WireGuard'''. Dieser Artikel stellt sie mit ihren jeweiligen Vor- und Nachteilen gegenüber.

== OpenVPN ==
OpenVPN ist neben IPsec der Klassiker unter den VPNs. Es basiert auf SSL/TLS und läuft als eigener Prozess. Die Software wird von einem Anbieter bzw. der Community für alle gängigen Betriebssysteme gepflegt und bietet dadurch sehr gute Kompatibilität – alles aus einer Hand.

'''Vorteile'''
* Ein Anbieter, alle gängigen Systeme kompatibel
* Open Source, kostenlos; kommerzielle Version verfügbar
* Sehr gute Nutzerverwaltung sowie Verteilung von IPs, DNS, Routing etc.

'''Nachteile'''
* Gegenüber IPsec tendenziell geringere Performance
* Textbasierte Konfiguration, erfordert oft Expertenwissen
* Client-Updates lassen sich nicht zentral steuern

== IPsec ==
IPsec ist ein offener Standard, den jeder Hersteller implementieren darf (Grundlage sind die RFCs). Es gilt als universelles VPN, das praktisch überall unterstützt wird – allerdings setzt jeder Hersteller den Standard etwas anders um, was zu Kompatibilitätsproblemen führen kann.

'''Vorteile'''
* Offener Standard, kostenlos
* In der Regel bereits im Betriebssystem vorinstalliert
* Gute Performance dank Integration ins Betriebssystem

'''Nachteile'''
* Kompatibilität zwischen Herstellern kann Probleme machen (z. B. macOS gegen Linux-IPsec-Server)
* Komplexes Design (Phase 1/2, Main/Aggressive Mode, IKEv1/IKEv2 …)
* Keine einheitliche Dokumentation

== WireGuard ==
WireGuard ist inzwischen ausgereift und produktiv einsetzbar: Es wurde 2020 mit Linux-Kernel 5.6 fest in Linux integriert und ist auf allen gängigen Plattformen mit offiziellen Clients verfügbar. Dank sehr schlankem Code, hoher Performance und geringem Ressourcenverbrauch (Akkulaufzeit) hat es sich breit durchgesetzt und wird u. a. auch von OPNsense unterstützt.

'''Vorteile'''
* Offener Standard, sehr schlanker Code, kostenlos
* Ein Projekt versorgt alle Systeme mit Clients
* Im Linux-Kernel integriert und dadurch performanter als IPsec

'''Nachteile'''
* Keine native Nutzerverwaltung, AD-Anbindung oder Adressverteilung – dafür sind Zusatzwerkzeuge bzw. eine Integration (z. B. in der Firewall) nötig
* Weniger granulare Richtlinien als bei etablierten Enterprise-VPNs
* Betrieb erfordert saubere Schlüssel- und Peer-Verwaltung

== Fazit ==
Alle drei Verfahren sind für den Homeoffice-Zugriff geeignet. OpenVPN punktet mit ausgereifter Nutzerverwaltung, IPsec mit universeller Verfügbarkeit, WireGuard mit Performance und Einfachheit. Welche Technik am besten passt, hängt von Infrastruktur, Clients und Verwaltungsanforderungen ab.

== Unterstützung von m.a.x. it ==
Sie möchten sicheren Fernzugriff fürs Homeoffice aufbauen? m.a.x. it realisiert VPN-Lösungen (OpenVPN, IPsec, WireGuard) im Rahmen der [https://www.max-it.de/it-services/managed-firewall/ Managed-Firewall-Services].

== Siehe auch ==
* [[IKEv2: Zentralen ASA-Hub mit mehreren IOS Spokes verbinden]]
* [[OPNsense - Eine kurze Einführung]]

== Links und Quellen ==
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

Tipps zur besseren IT-Sicherheit

2026-09-15T12:17:33Z

Wamu:

Cyber-Angriffe treffen gerade kleine und mittelständische Unternehmen häufig – dabei lässt sich das Sicherheitsniveau schon mit einigen grundlegenden Maßnahmen deutlich anheben. m.a.x. it hat fünf praxisnahe Tipps für bessere IT-Sicherheit zusammengestellt. Sie eignen sich als Einstieg und als Checkliste, unabhängig vom [https://www.enisa.europa.eu/topics/cyber-hygiene/european-cybersecurity-month European Cyber Security Month], der jährlich im Oktober stattfindet.

== 1. Jetzt beginnen ==
Imageschäden, Umsatzeinbußen, Verlust von Wettbewerbsvorteilen sowie Ausfall, Diebstahl oder Schädigung von Informationssystemen zählen zu den häufigsten Folgen digitaler Angriffe. Besonders anfällig sind kleine und mittelständische Unternehmen (KMU) – laut der bitkom-Wirtschaftsschutzstudie 2018 war die Mehrheit der befragten Unternehmen bereits von Angriffen betroffen. Seit der EU-Datenschutz-Grundverordnung drohen zudem hohe Bußgelder beim Verlust personenbezogener Daten. Die schlechteste Reaktion ist keine Reaktion: Beginnen Sie jetzt mit geeigneten Maßnahmen und ziehen Sie im Zweifel eine IT-Beratung hinzu.

== 2. Mit professionellen Partnern arbeiten ==
IT-Sicherheit verbindet technische Fragen mit rechtlichen Anforderungen (u. a. aus der DSGVO): Welche Maßnahmen sind nötig, wie werden sie gesetzeskonform umgesetzt, welche Kosten entstehen? Ein erfahrener IT-Dienstleister liefert dafür verlässliche Antworten. Hilfreich sind zudem seriöse Netzwerke wie die [https://www.allianz-fuer-cybersicherheit.de/ Allianz für Cyber-Sicherheit] des BSI.

== 3. Bewusstsein schaffen ==
Viele Schäden entstehen nicht durch fehlerhafte Systeme, sondern durch fehlendes Bewusstsein im Umgang mit IT und Daten. Alle Anwenderinnen und Anwender sollten geschult sein und erkennen, wo Gefahren drohen und wie sie sich vermeiden lassen. Das [https://www.bsi.bund.de/ BSI] bietet dazu Grundschutz-Schulungen an. Ergänzend gehört ein Notfallplan als Teil des Risikomanagements dazu, der konkrete Schritte für den Ernstfall festlegt.

== 4. Die Basics beherrschen ==
Schon einfache Maßnahmen erhöhen die Sicherheit spürbar:
# '''Sichere Passwörter:''' lang, mit Sonderzeichen, ohne erkennbaren Bezug zur Person. Deutlich mehr Schutz bietet die Zwei-Faktor-Authentisierung (2FA).
# '''Aktueller Virenschutz und Firewall:''' Virenschutz ist Standard, aber nur begleitend und kein 100-prozentiger Schutz. Ergänzend gehört eine leistungsfähige Firewall dazu – für KMU bietet sich die lizenzkostenfreie Open-Source-Firewall [https://www.max-it.de/it-services/opnsense/ OPNsense] an.

== 5. Daten sichern ==
Die regelmäßige Datensicherung ist eine elementare Schutzmaßnahme: Nur mit einem funktionierenden Backup lässt sich nach einem Vorfall zuverlässig auf die Daten zurückgreifen. Wichtig sind getestete Wiederherstellungen und – als Schutz vor Ransomware – vom Netz getrennte bzw. unveränderbare Sicherungen.

== Unterstützung von m.a.x. it ==
Sie möchten Ihre IT-Sicherheit in professionelle Hände geben? m.a.x. it begleitet Sie mit umfassenden [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity-Services] – von der Analyse über Firewall und Monitoring bis zum laufenden Betrieb.

== Links und Quellen ==
* [https://www.enisa.europa.eu/topics/cyber-hygiene/european-cybersecurity-month ENISA – European Cyber Security Month]
* [https://www.bsi.bund.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)]
* [https://www.allianz-fuer-cybersicherheit.de/ Allianz für Cyber-Sicherheit]
* [https://www.max-it.de/it-services/cybersecurity/ m.a.x. it – Cybersecurity-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

Squid mit ClamAV als Virenscanner unter Debian Jessie

2026-09-15T12:16:59Z

Wamu:

{{Steckbrief
| gilt_fuer = Debian 8 „Jessie" (Squid3, c-icap, ClamAV)
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = root
| stand = historisch (Debian 8, EOL 2020)
}}
Diese Anleitung beschreibt einen Proxyserver mit integriertem Virenschutz unter Debian: Squid als Proxy, ClamAV als Virenscanner und c-icap mit squidclamav als Bindeglied. Der Proxy prüft damit den durchlaufenden Web-Traffic auf Schadsoftware.

<div class="max-box max-box-warn"><span class="max-box-title">Veralteter Stand</span>
Diese Anleitung bezieht sich auf '''Debian 8 „Jessie"''' (End-of-Life 2020) und das Paket <code>squid3</code>. Auf aktuellen Debian-Versionen heißt das Paket nur noch <code>squid</code>; Squid, c-icap und squidclamav existieren weiterhin, Paketstände und Pfade können jedoch abweichen. Das Vorgehen (ICAP-Anbindung von ClamAV an Squid) gilt weiterhin.
</div>

== Installation ==
Bis auf squidclamav wird alles über Pakete installiert:
<syntaxhighlight lang="bash">
aptitude install squid3 c-icap clamav clamdscan libicapapi-dev
</syntaxhighlight>

squidclamav herunterladen und übersetzen:
<syntaxhighlight lang="bash">
wget http://downloads.sourceforge.net/project/squidclamav/squidclamav/6.12/squidclamav-6.12.tar.gz
tar xvfz squidclamav-6.12.tar.gz
cd squidclamav-6.12
./configure && make && make install
</syntaxhighlight>

== Squid konfigurieren ==
In der <code>squid.conf</code> im Bereich ICAP OPTIONS einfügen:
<syntaxhighlight lang="text">
icap_enable on
icap_send_client_ip on
icap_send_client_username on
icap_client_username_encode off
icap_client_username_header X-Authenticated-User
icap_preview_enable on
icap_preview_size 1024

icap_service service_req reqmod_precache bypass=0 icap://127.0.0.1:1344/squidclamav
icap_service service_resp respmod_precache bypass=0 icap://127.0.0.1:1344/squidclamav

adaptation_access service_req allow all
adaptation_access service_resp allow all
</syntaxhighlight>

An die ACL für lokale Clients denken:
<syntaxhighlight lang="text">
acl clients src 192.168.1.0/24
http_access allow clients
</syntaxhighlight>

== c-icap konfigurieren ==
In <code>/etc/c-icap/squidclamav.conf</code> lässt sich die Fehlerseite für Virenfunde anpassen (für den Betrieb nicht essenziell). In <code>/etc/c-icap/c-icap.conf</code> im Service-Bereich für externe Module ergänzen:
<syntaxhighlight lang="text">
Service squidclamav squidclamav.so
</syntaxhighlight>

Anschließend die betroffenen Dienste (squid3, c-icap) neu starten oder den Server testweise durchstarten.

== Unterstützung von m.a.x. it ==
Bei Aufbau und Betrieb von Linux-Systemen und Proxy-/Sicherheitsdiensten unterstützt Sie das [https://www.max-it.de/it-services/linux-consulting/ Linux-Consulting von m.a.x. it].

== Siehe auch ==
* [[Tipps zur besseren IT-Sicherheit]]

== Links und Quellen ==
* [http://louwrentius.com/setting-up-a-squid-proxy-with-clamav-anti-virus-using-c-icap.html Squid-Proxy mit ClamAV via c-icap (louwrentius.com)]
* [https://www.max-it.de/it-services/linux-consulting/ m.a.x. it – Linux-Consulting]

{{Uebermax}}
[[Kategorie:IT-Security]]

Smokeping in pfSense 2.2 installieren

2026-09-15T12:16:20Z

Wamu:

{{Steckbrief
| gilt_fuer = pfSense 2.2 (FreeBSD-Basis)
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = root (Shell-Zugriff)
| stand = historisch (ursprünglich 2015)
}}
Smokeping misst Netzwerk-Latenzen und bereitet sie grafisch auf. pfSense bringt dafür kein eigenes Paket mit – dieser Artikel zeigt, wie sich Smokeping über die FreeBSD-Shell dennoch auf pfSense installieren lässt.

<div class="max-box max-box-warn"><span class="max-box-title">Veralteter Stand</span>
Diese Anleitung bezieht sich auf '''pfSense 2.2''' (rund 2015). Paketnamen, Pfade und der Apache-Ansatz können auf aktuellen pfSense-Versionen abweichen. Als moderne Alternative bietet sich OPNsense mit den Monitoring-Plugins (z. B. CollectD/Telegraf + Grafana) an – siehe [[OPNsense - Plugin-Liste]].
</div>

== Vorgehen ==
pfSense bietet kein Paket, um Latenzen im Netzwerk zu messen und grafisch aufzubereiten. Im Rechenzentrum sind solche Werkzeuge aber oft essenziell. Folgende Schritte installieren Smokeping über Umwege:

Paketverwaltung ggf. nachinstallieren und Smokeping installieren:
<syntaxhighlight lang="bash">
pkg install smokeping
# "The package management tool is not yet installed..." mit y bestätigen
pkg install apache24
</syntaxhighlight>

In <code>/etc/rc.conf.local</code> eintragen:
<syntaxhighlight lang="text">
smokeping_enable="YES"
apache24_enable="YES"
</syntaxhighlight>

Startskripte umbenennen:
<syntaxhighlight lang="bash">
cd /usr/local/etc/rc.d/
mv apache24 apache24.sh
mv smokeping smokeping.sh
</syntaxhighlight>

In <code>/usr/local/etc/apache24/httpd.conf</code> einfügen:
<syntaxhighlight lang="apache">
Listen 8080

<Directory "/usr/local/smokeping/htdocs">
Options Indexes FollowSymLinks ExecCGI
AllowOverride None
Require all granted
</Directory>

ScriptAlias /smokeping.fcgi /usr/local/smokeping/htdocs/smokeping.fcgi
Alias /smokeimg/ /usr/local/smokeping/htdocs/img/
Alias /img/ /usr/local/smokeping/htdocs/img/

AddHandler cgi-script .cgi .fcgi

LoadModule cgi_module libexec/apache24/mod_cgi.so
</syntaxhighlight>

Anschließend das Postfix-Paket über die WebGUI installieren. Zum Schluss:
<syntaxhighlight lang="bash">
ln -s /usr/local/sbin/sendmail /usr/sbin/sendmail
chmod 600 /usr/local/etc/smokeping/smokeping_secrets
</syntaxhighlight>

Apache24 und Smokeping sind nun installiert, starten beim Hochfahren automatisch und sind erreichbar unter <code>http://<ip>:8080/smokeping.fcgi</code>.

== Unterstützung von m.a.x. it ==
Bei Firewall-Betrieb und Netzwerk-Monitoring unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/managed-firewall/ Managed-Firewall- und Netzwerk-Services].

== Siehe auch ==
* [[OPNsense - Plugin-Liste]]
* [[Durchsatzraten unter Linux korrekt messen]]

== Links und Quellen ==
* [https://www.trevorparker.com/monitor-latency-with-smokeping-on-freebsd Smokeping unter FreeBSD (trevorparker.com)]
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

PfSense Cluster 2.2 auf 2.3 hochziehen

2026-09-15T12:15:53Z

Wamu:

{{Steckbrief
| gilt_fuer = pfSense 2.2 → 2.3, HA-Cluster mit CARP
| bereich = IT-Security
| dauer = ca. 30–60 Minuten
| rechte = Administrator (WebGUI)
| stand = historisch (pfSense 2.2/2.3, ~2016)
}}
Ein pfSense-HA-Cluster (CARP) soll von 2.2 auf 2.3 aktualisiert werden – möglichst ohne Paketverlust. Dieser Artikel beschreibt die bewährte Reihenfolge für dieses Major-Update.

<div class="max-box max-box-warn"><span class="max-box-title">Veralteter Stand</span>
Diese Anleitung stammt aus der Zeit des pfSense-2.2/2.3-Updates (~2016). Das grundsätzliche CARP-Vorgehen (Backup zuerst, dann Master über den Persistent-CARP-Maintenance-Mode) ist weiterhin lehrreich, konkrete Menüpunkte aktueller pfSense-Versionen können jedoch abweichen.
</div>

== Vorgehen (Reihenfolge) ==
Eine HA-Lösung via CARP ist bei pfSense schnell aufgesetzt. Beim Update – erst recht bei einem Major-Update – ist die Reihenfolge entscheidend:
# '''Backup-Node''' auf 2.3 aktualisieren.
# Einloggen, '''CARP-Status kontrollieren'''.
# Auf dem '''Master''' den '''Persistent CARP Maintenance Mode''' aktivieren.
# '''Master''' auf 2.3 aktualisieren.
# Nach dem Update einloggen, '''Status → CARP''' prüfen.
# '''Persistent CARP Maintenance Mode verlassen'''.
# Seite neu laden und kontrollieren, ob der Master wieder aktiv ist.

So gelingt das Update ohne nennenswerten Paketverlust.

== Unterstützung von m.a.x. it ==
Bei Firewall-Clustern, Updates und Migration unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/managed-firewall/ Managed-Firewall-Services].

== Siehe auch ==
* [[PfSense auf 2.3beta updaten]]
* [[OPNsense vs. pfSense - Im Vergleich]]

== Links und Quellen ==
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense vs. Sophos SG

2026-09-15T12:15:32Z

Wamu:

'''OPNsense''' und die '''Sophos SG'''-Serie sind zwei Firewall-Lösungen mit unterschiedlichen Stärken – m.a.x. it setzt beide bei Kunden ein. Dieser Artikel stellt sie gegenüber; entscheidend für die Wahl ist immer der konkrete Einsatzzweck.

<div class="max-box max-box-warn"><span class="max-box-title">Hinweise zum Stand</span>
Die folgende Gegenüberstellung bildet den Stand von Juni 2018 ab (OPNsense 18.1, Sophos SG 9.5). Beide Produkte haben sich seither weiterentwickelt. Zu beachten: '''Sophos SG/UTM ist zum 30. Juni 2026 End-of-Life''' – siehe [[Sophos UTM Cluster aktualisieren]] und, als Migrationspfad, [https://www.max-it.de/it-services/opnsense-fur-alle-sophos-utm-firewalls/ OPNsense als Nachfolger für Sophos-Firewalls].
</div>

== Gegenüberstellung (Stand 06/2018) ==
{| class="wikitable"
! Features !! OPNsense 18.1 !! Sophos SG 9.5
|-
| API || Ja, fast alle Plugins und einige Core-Features || Ja
|-
| Captive Portal || Eigene Entwicklung || Gegenüber OPNsense einige zusätzliche Voucher verfügbar, z. B. Password of the Day
|-
| Traffic Shaping || Aktuelle FreeBSD-Features inkl. CoDel || Shaping und Policing, Download-Throttle, nicht so granular wie in OPNsense
|-
| IPS || Nativ über Suricata, beste Performance || Snort (blockt nicht sofort, sondern erstellt eine Firewall-Regel), kommerzielle Anwendungserkennung
|-
| Zentrale WLAN-Verwaltung || Nein || Ja, Lizenz benötigt
|-
| Web Application Firewall || Derzeit in Entwicklung || Ja, Lizenz benötigt
|-
| Lizenz || BSD Clause – 2<br>Vollkommen offen, kann kommerziell vertrieben werden, kostenlos || Closed Source, kostenpflichtig
|-
| Plugins || Mit Plugins lässt sich das System an die Bedürfnisse anpassen. || Plugins nicht verfügbar, viele Funktionen aber per Lizenz aktivierbar
|-
| Userportal || Nein || Ja, User können VPN-Client und Konfiguration selbstständig laden
|-
| Reporting || Sehr umfangreich, inkl. Netflow; über Plugins auch Telegraf oder CollectD möglich || Sehr detailliert inkl. Executive Reports
|-
| Betriebssystem || FreeBSD 11.1, inkl. HardenedBSD und optional LibreSSL || Linux
|-
| 2-Faktor-Authentifizierung || Ja, nativ mittels TOTP || Ja, über Userportal
|-
| Radius-Server || Ja, über Plugin || Nein
|-
| Monitoring || Monit lokal, Zabbix || Eigenes Alerting
|-
| Virenscanner || ClamAV || Avira und Sophos
|}

== Einordnung ==
Der größte Vorteil von OPNsense ist der Preis, da keine Lizenzkosten anfallen. Über Plugins lassen sich viele Module integrieren, z. B. die Mailkomponente mit Postfix/rspamd, die bei Sophos zusätzlich zu lizenzieren ist. Ebenfalls ein Plus: das von m.a.x. it entwickelte Radius-Plugin – bei Sophos ist keine Radius-Instanz integriert. Auf der anderen Seite bringt Sophos zwei kommerzielle Virenscanner mit, bietet mehrere High-Availability-Szenarien (z. B. Failover an einem DSL-Anschluss) sowie Anwendungserkennung und das Blocken von Live-Traffic (Web Security Lizenz). Welches System besser passt, hängt von den konkreten Anforderungen ab.

== Unterstützung von m.a.x. it ==
m.a.x. it ist OPNsense-Partner und begleitet Sie bei Auswahl, Einführung und Betrieb – siehe [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense vs. pfSense - Im Vergleich]]
* [[OPNsense - Eine kurze Einführung]]
* [[Sophos UTM Cluster aktualisieren]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense vs. pfSense - Im Vergleich

2026-09-15T12:14:47Z

Wamu:

[[Datei:OPNsense vs. pfSense 800x194pxl.jpg|800x194px|rahmenlos|zentriert|OPNsense und pfSense im Vergleich]]

'''OPNsense''' und '''pfSense''' sind zwei erfolgreiche Open-Source-Firewalls für Netzwerksicherheit. Dieser Artikel vergleicht beide Lösungen und stellt ihre technischen Unterschiede gegenüber.

Im IT-Security-Markt ist die Bereitschaft auch bei mittleren und größeren Firmen gestiegen, Open-Source-Technologien zu vertrauen – immer mehr Unternehmen setzen auf [https://opnsense.org/ OPNsense] und [https://www.pfsense.org/ pfSense]. Open Source schließt Backdoors praktisch aus und stellt im Hinblick auf die DSGVO eine echte '''europäische Alternative''' zu kommerziellen Anbietern dar. Ohne Lizenzkosten und mit geringem Mitteleinsatz lassen sich Unternehmenssicherheit und Compliance deutlich steigern – etwa durch gesicherte VPN-Verbindungen aus dem Home-Office in die Firma.

OPNsense ist eine Abspaltung (Fork) von pfSense und gewinnt zunehmend an Beliebtheit – dank sehr offener Entwicklung und der Möglichkeit, die strategische Ausrichtung mitzugestalten.

== Technische Unterschiede ==
{| class="wikitable"
! Features !! OPNsense 23.1 !! pfSense 2.6
|-
| '''Betriebssystem''' || FreeBSD 13.1 || FreeBSD 12.3
|-
| '''Lizenz''' || BSD Clause – 2<br>Vollständig offen, kann kommerziell vertrieben werden. || Apache 2.0<br>FreeBSD-Source nicht mehr öffentlich,<br>Warnung bei Login wg. kommerziellem Vertrieb
|-
| '''Installer''' || UFS, ZFS || UFS, ZFS
|-
| '''Prozessor''' || 64bit || 64bit und ARM auf firmeneigener Hardware
|-
| '''API''' || JA, fast alle Plugins und einige Core-Features. || NEIN
|-
| '''Plugins, die die jeweils andere Distribution nicht anbietet''' || Collectd, OpenConnect, Postfix, redis, rspamd, Tor, ZeroTier, ShadowSocks, Prometheus Exporter, Nginx und WAF, dnscrypt-proxy, Netdata, WireGuard, Maltrail, Munin, UDP Broadcastrelay, Tayga, kostenlose ET-Pro-Regeln, Fetchmail, Chrony, RadSecProxy, HW-Probe || bandwidthd, darkstat, mailreport, nmap, pfBlockerNG, Snort, pimd
|-
| '''Kommerzielle Plugins''' || Möglich und erwünscht,<br>Zenarmor (transparenter TLS-Proxy mit DPI),<br>m.a.x. it Professional Plugins (u. a. zentrales Management oder Filebeat) || Nur über Donations
|-
| '''Captive Portal''' || Eigene Entwicklung, API verfügbar. || Gegenüber OPNsense granularere Abgrenzung bzgl. QoS.
|-
| '''Traffic Shaping''' || Aktuelle FreeBSD-Features inkl. CoDel || Altes QoS mit ALTQ (deprecated); Shaping unterstützt; seit 2.4.4 auch CoDel.
|-
| '''IPS''' || Nativ über Suricata, beste Performance || Snort, kein echter Inline-Mode, dafür OpenAppID vorhanden.
|-
| '''Reporting''' || Sehr umfangreich, inkl. Netflow; mit Sensei noch detaillierter. || Grafische Auswertung der Basics.
|-
| '''2-Faktor-Authentifizierung''' || JA, nativ mittels TOTP. || Umweg über mOTP mit Radius-Plugin.
|-
| '''Eigene Kontrolle''' || Security- und Health-Audit || –
|}

<small>''Da beide Projekte stetig weiterentwickelt werden und laufend neue Features erhalten, bildet diese Gegenüberstellung den Stand von Januar 2022 ab.''</small>

== Unterstützung von m.a.x. it ==
m.a.x. it ist OPNsense-Partner und begleitet Sie von der Auswahl über die Einführung bis zum Betrieb – siehe [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it].

== Siehe auch ==
* [[OPNsense - Eine kurze Einführung]]
* [[OPNsense - Plugin-Liste]]
* [[OPNsense vs. Sophos SG]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.pfsense.org/ pfSense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense SSLsplit Plugin

2026-09-15T12:14:18Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Mit dem '''SSLsplit-Plugin''' lässt sich OPNsense um eine TLS-Inspektion erweitern: SSLsplit terminiert eingehende SSL/TLS-Verbindungen und baut eine eigene Verbindung zum ursprünglichen Ziel auf (Man-in-the-Middle). Der übertragene Traffic wird dabei im Klartext protokolliert und aufgezeichnet – nützlich zur Analyse und Fehlersuche im eigenen Netzwerk.

<div class="max-box max-box-warn"><span class="max-box-title">Rechtlicher Hinweis</span>
Das Aufbrechen verschlüsselter Verbindungen (TLS-Interception) greift tief in die Kommunikation ein. Setzen Sie SSLsplit nur in Netzen ein, für die Sie autorisiert sind, und klären Sie datenschutz- und arbeitsrechtliche Aspekte (z. B. Einbindung von Datenschutz und Betriebsrat) vorab.
</div>

== Traffic auf SSLsplit umleiten ==
Zunächst muss der Traffic auf den SSLsplit-Dienst umgeleitet werden:
* '''Unverschlüsselter Traffic (HTTP):''' per Port-Forward an der LAN-Seite auf die IP <code>127.0.0.1</code> und den im Plugin festgelegten HTTP-Port (Standard: 8080) weiterleiten.
* '''Verschlüsselter Traffic (HTTPS):''' analog auf den festgelegten HTTPS-Port weiterleiten (Standard: 8443).
Die Ports, an denen der Dienst lauscht, lassen sich in der GUI in den entsprechenden Feldern eintragen.

== Zertifikate einrichten ==
SSLsplit benötigt Zertifikate:
# Unter '''System → Trust → Authorities''' eine CA erstellen.
# Unter '''System → Trust → Certificates''' ein zugehöriges Zertifikat anlegen.
# CA und Zertifikat anschließend in der Plugin-Oberfläche im Drop-down-Menü auswählen.
Sobald die Einstellungen gespeichert und der Haken bei „Enable" gesetzt ist, startet der Dienst automatisch.

[[Datei:Doku sslsplit misc G1.png|thumb|left|635px|SSLsplit-Plugin: Grundeinstellungen und Zertifikatsauswahl.]]
<br clear="all" />

== Aufgezeichnete Kommunikation auswerten ==
Die entschlüsselte Kommunikation wird im Verzeichnis <code>/var/db/sslsplit/</code> im Log- bzw. PCAP-Format abgelegt. Über den Button „Reset" lässt sich der Verzeichnisinhalt löschen, falls sich zu viele ältere Dateien ansammeln. Unter dem Reiter „Content" wird der Inhalt angezeigt (Aktualisierung alle 5 Sekunden). Zur Auswertung (z. B. mit Wireshark) werden die Dateien per SCP auf das gewünschte System übertragen.

[[Datei:Doku sslsplit misc G2.png|thumb|left|645px|SSLsplit-Plugin: Anzeige der aufgezeichneten Dateien unter „Content".]]
<br clear="all" />

== Unterstützung von m.a.x. it ==
Sie möchten OPNsense mit Plugins wie SSLsplit professionell einsetzen? m.a.x. it unterstützt Sie mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - Plugin-Liste]]
* [[OPNsense - Eine kurze Einführung]]

== Links und Quellen ==
* [https://www.roe.ch/SSLsplit SSLsplit – transparent SSL/TLS interception (roe.ch)]
* [https://github.com/droe/sslsplit SSLsplit – Quellcode auf GitHub]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense NUT Plugin

2026-09-15T12:13:44Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense (ab Version 18.1.8) mit NUT-Plugin
| bereich = IT-Security
| dauer = ca. 15 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Mit dem von m.a.x. it beigetragenen '''NUT-Plugin''' (Network UPS Tools) lässt sich OPNsense an eine USV anbinden. So kann sich die Firewall – kurz bevor der USV-Akku leer ist – kontrolliert herunterfahren und ein beschädigtes Dateisystem vermeiden.

== Funktionsweise ==
Das Plugin nutzt die '''Network UPS Tools (NUT)''', die Treiber für zahlreiche USV-Modelle mitbringen. Die USV meldet Ladestand und Art der Stromversorgung (Netz- oder Akkubetrieb) an die angebundenen Geräte; verbundene Clients können sich daraufhin kontrolliert selbst herunterfahren.

Betriebsarten:
* '''Lokale Anbindung:''' Verbindung per USB-Kabel an die lokale USV; die Firewall fährt bei niedrigem Akkustand kontrolliert herunter.
* '''Netclient:''' Die Firewall kann auch an einem entfernten NUT-Server betrieben werden, da nur ein Gerät die USV per USB steuert. Über NAT können sich auch externe Systeme im Netclient-Modus an der lokalen Firewall mit der USV verbinden.

== Unterstützung von m.a.x. it ==
Bei OPNsense-Einführung, Plugins und Betrieb unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - Plugin-Liste]]
* [[OPNsense - Eine kurze Einführung]]

== Links und Quellen ==
* [https://networkupstools.org/ Network UPS Tools (NUT) – Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - WLAN-Authentifizierung mittels EAP-TLS

2026-09-15T12:13:21Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense mit FreeRADIUS-Plugin
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Für höchste WLAN-Sicherheit lässt sich mit '''EAP-TLS''' eine zertifikatsbasierte Client-Authentifizierung realisieren. Das von m.a.x. it entwickelte FreeRADIUS-Plugin für OPNsense enthält dafür einen eigenen Menüpunkt „EAP". Dieser Artikel beschreibt die Einrichtung mit den bordeigenen OPNsense-Zertifikaten.

== Vorgehen ==
# '''CA und Serverzertifikat anlegen:''' Unter '''System → Trust → Authorities''' eine neue CA erstellen und unter '''Certificates''' ein Serverzertifikat für die Firewall selbst einrichten. Wichtig: den Typ auf '''Server''' stellen (Standard ist Client).
# '''Client-/Gerätezertifikate erstellen:''' An gleicher Stelle die Zertifikate für Ihre Benutzer bzw. Geräte erzeugen und verteilen.
# '''EAP aktivieren:''' Im FreeRADIUS-Menüpunkt '''EAP''' den Haken bei „Client Authentication" setzen, CA und Serverzertifikat auswählen und bestätigen.

== Gesperrte Zertifikate (CRL) ==
Für ausgeschiedene Mitarbeitende oder verlorene Geräte empfiehlt sich der Einsatz von Sperrlisten (CRL):
# Eine neue CRL anlegen und die zu sperrenden Zertifikate einfügen.
# In '''EAP''' die CRL auswählen und speichern – das Zertifikat ist damit gesperrt.

{{Hinweis|EAP-TLS bietet gegenüber WEP, WPA und WPA-Enterprise (PEAP, TTLS) die höchste Sicherheitsstufe, da die Anmeldung ausschließlich über Client-Zertifikate erfolgt.}}

== Unterstützung von m.a.x. it ==
Bei WLAN-Sicherheit, RADIUS und Zertifikatsverwaltung auf Basis von OPNsense unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - Radius]]
* [[Zertifikatsverwaltung via privacyIDEA]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Radius

2026-09-15T12:12:43Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense mit FreeRADIUS-Plugin
| bereich = IT-Security
| dauer = ca. 20 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Ein lokaler RADIUS-Server lässt sich mit dem von m.a.x. it entwickelten '''FreeRADIUS-Plugin''' direkt auf der OPNsense betreiben – ganz ohne separates System. Das spart Kosten und doppelte Arbeit. Dieser Artikel zeigt die Einrichtung.

== Ausgangslage ==
Bisher war für die Authentifizierung über RADIUS ein externes System nötig (z. B. Windows NPS oder eine kleine Linux-VM). Mit dem FreeRADIUS-Plugin wird dies auf der Appliance selbst zentralisiert.

== Vorgehen ==
# '''Plugin installieren:''' Unter '''System → Firmware → Plugins''' das FreeRADIUS-Plugin installieren. Anschließend erscheint es unter '''Services → FreeRADIUS'''.
# '''Dienst aktivieren:''' Unter „General" den Haken bei „Enable" setzen (bei Bedarf auch „Verteilung von VLAN-IDs" aktivieren) und mit „Save" bestätigen.
# '''Client anlegen:''' Unter „Client" einen neuen Client erstellen. Sollen OPNsense-eigene Dienste gegen RADIUS authentifizieren, den Client „localhost" anlegen und ein Shared Secret vergeben.
# '''Benutzer anlegen:''' Unter „Users" die einzelnen Nutzer und deren Attribute definieren.
# '''RADIUS-Server registrieren:''' Unter '''System → Access → Servers''' den neuen RADIUS-Dienst hinzufügen.

Die RADIUS-Instanz kann anschließend z. B. für OpenVPN-Einwahlen oder die WLAN-Authentifizierung (siehe [[OPNsense - WLAN-Authentifizierung mittels EAP-TLS]]) genutzt werden.

== Unterstützung von m.a.x. it ==
Bei zentraler Authentifizierung, RADIUS und OPNsense unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - WLAN-Authentifizierung mittels EAP-TLS]]
* [[OPNsense - Plugin-Liste]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Plugin-Liste

2026-09-15T12:12:15Z

Wamu:

OPNsense ist eine quelloffene Firewall- und Routing-Plattform. Ihr Funktionsumfang lässt sich über zahlreiche '''Plugins''' erweitern – von DNS und Monitoring über VPN bis zu Proxy- und Sicherheitsdiensten. Diese Übersicht listet die verfügbaren OPNsense-Plugins mit einer Kurzbeschreibung.

<div class="max-box max-box-info"><span class="max-box-title">Momentaufnahme</span>
Diese Liste bildet den Stand von Februar 2022 ab. Die aktuelle, verbindliche Plugin-Auswahl finden Sie direkt in OPNsense unter ''System → Firmware → Plugins'' sowie auf der [https://opnsense.org/ offiziellen OPNsense-Projektseite].
</div>

== Verfügbare Plugins ==
{| class="wikitable"
! Plugin !! Beschreibung
|-
| <code>benchmarks/iperf</code> || IPerf Instanz zum Messen des Durchsatzes
|-
| <code>databases/redis</code> || Redis Cache, wird u.a. von rspamd und ntopng benötigt
|-
| <code>devel/debug</code> || Debugging Tools, im produktiven Betrieb eher selten anzutreffen
|-
| <code>devel/grid_example</code> || Ein einfaches Beispiel für Tabellen (Grids)
|-
| <code>devel/helloworld</code> || Ein einfaches Beispiel um mit dem Programmieren von Plugins zu starten
|-
| <code>dns/bind</code> || Der bekannte BIND Nameserver zur Unterstützung von DNSBL und jetzt auch mit eigenständiger Zonenverwaltung
|-
| <code>dns/ddclient</code> || Ist die Weiterentwicklung des dyndns Plugins
|-
| <code>dns/dnscrypt-proxy</code> || DNSCrypt-Proxy ermöglicht die Verwendung von DoH und DNSCrypt, zusätzlich bietet das Plugin Unterstützung für DNSBL
|-
| <code>dns/dyndns</code> || Bietet die Unterstützung diverser DynDNS-Dienste, zum Beispiel für den Betrieb mit privaten IPs
|-
| <code>dns/rfc2136</code> || Dynamic DNS Updates für BIND, Clients melden dem Server ihren Hostnamen
|-
| <code>emulators/qemu-guest-agent</code> || Die Agent-Tools für KVM Virtualisierung
|-
| <code>mail/postfix</code> || Ein SMTP mail relay, erlaub in Kombination mit anderen Plugins Antispam- und Antvirenschutz
|-
| <code>mail/rspamd</code> || Rspamd ist die Antispam-Engine für Postfix, ein sehr schneller Filter
|-
| <code>misc/theme-cicada</code> || Grau- organgefarbener Theme
|-
| <code>misc/theme-rebellion</code> || Schwarzfarbener Theme
|-
| <code>misc/theme-tukan</code> || Blauweisser Theme
|-
| <code>net/freeradius</code> || FreeRADIUS erlaubt den Betrieb eines lokalen Radiusservers, zum Beispiel für WLAN-Authentifizierung
|-
| <code>net/frr</code> || FRR ist der Nachfolger von Quagga und ermöglicht dynamisches Routing
|-
| <code>net/ftp-proxy</code> || Ein FTP Proxy
|-
| <code>net/google-cloud-sdk</code> || Google Cloud SDK
|-
| <code>net/haproxy</code> || Sehr schneller TCP und http Proxy bzw. Loadbalancer
|-
| <code>net/igmp-proxy</code> || Ein IGMP-Proxy Service
|-
| <code>net/mdns-repeater</code> || Multicast DNS funktioniert nur im lokalen Netz, mit diesem Dienst können die Pakete weitergeleitet werden
|-
| <code>net/ntopng</code> || Ntopng ermöglicht über einen integrierten Webserver Einblick in den Trafficfluss durch die Firewall. Sogar Websiten aufrufe zu Facebook, Youtube etc. werden detailliert aufgeführt.
|-
| <code>net/radsecproxy</code> || Ein RADIUS Proxy mit TLS-Unterstützung
|-
| <code>net/relayd -- Relayd ist ein klassischer Load Balancer</code> ||
|-
| <code>net/shadowsocks</code> || Shadowsocks erlaubt das fuzzing von VPN Verbindungen um VPN Restriktionen von Ländern und Providern zu umgehen.
|-
| <code>net/siproxd -- Siproxd erlaubt den Betrieb diverser SIP Clients im lokalen LAN</code> ||
|-
| <code>net/tayga</code> || Tayga biete NAT64 Unterstützung für v6-only Zugänge
|-
| <code>net/udpbroadcastrelay</code> || Ermöglicht das Weiterleiten jeglicher Multicastprotokolle
|-
| <code>net/upnp</code> || Der Universal Plug and Play Service erlaubt das dynamische Updaten von Firewallregeln, ein höchst umstrittener Dienst
|-
| <code>net/vnstat</code> || vnstat zählt den Traffic auf einem gewünschten Interface und bereitet diesen in täglichen, wöchentlichen und monatlichen Reports auf
|-
| <code>net/wireguard</code> || WireGuard ist ein neues VPN Protokoll mit schlankem Code und schneller Performance
|-
| <code>net/wol -- Wake on LAN Service</code> ||
|-
| <code>net/zerotier</code> || Zerotier ist ein Clound VPN-Dienst, auf der zentralen Oberfläche können diverse Systeme über Keys miteinander verbunden werden
|-
| <code>net-mgmt/collectd</code> || Mit CollectD lassen sich Performance-Metriken an einen zentralen Server schicken
|-
| <code>net-mgmt/lldpd</code> || Mittels LLDPd lassen sich angeschlossene Geräte über CDP oder LLDP erkennen
|-
| <code>net-mgmt/net-snmp</code> || Erlaubt das Abfragen diverser Werte über SNMP
|-
| <code>net-mgmt/netdata</code> || Netdata bietet über einen integrierten Webserver tiefe Einblicke in die eigenen Systemmetriken
|-
| <code>net-mgmt/nrpe</code> || NRPE ist ein Agent für auf Nagios basierte Monitoringlösungen wie Icinga
|-
| <code>net-mgmt/telegraf</code> || Telegraf arbeitet ähnlich wie CollectD und arbeitet gut mit InfluxDB und Grafana zusammen
|-
| <code>net-mgmt/zabbix-agent</code> || Über den Zabbix-Agent kann die Firewall von einer zentralen Instanz aus überwacht werden
|-
| <code>net-mgmt/zabbix-proxy</code> || Der Zabbix-Proxy erlaubt ein dezentrales Monitoring, zum Beispiel für gesamte Kundennetze
|-
| <code>security/acme-client -- Let's Encrypt Client zum dynamischen Erstellen von Zertifikaten</code> ||
|-
| <code>security/clamav</code> || Ein kostenloser Antivirenscanner
|-
| <code>security/intrusion-detection-content-et-pro -- IDS Proofpoint ET Pro ruleset (benötigt eine aktive subscription)</code> ||
|-
| <code>security/intrusion-detection-content-pt-open -- IDS PT Research ruleset (kostenlos, aber nur für non-commercial use)</code> ||
|-
| <code>security/intrusion-detection-content-snort-vrt -- IDS Snort VRT ruleset (Erlaubt die Verwendung der VRT Regeln von Snort)</code> ||
|-
| <code>security/maltrail</code> || Maltrail lauscht auf einem Interface und vergleicht Traffic mit bekannten Listen um Malware zu erkennen
|-
| <code>security/openconnect</code> || OpenConnect kann als Client zu einer Cisco ASA ein VPN aufbauen
|-
| <code>security/tinc -- Tinc VPN erlaubt das Vermaschen von mehreren Netzen, dadurch können komplexe VPN Szenarien realisiert werden</code> ||
|-
| <code>security/tor</code> || Der Tor-Client erlaubt die Verwendung des TOR Netzwerks ohne installieren Client
|-
| <code>sysutil/lcdproc-sdeclcd</code> || LCDProc ermöglicht den Einsatz diverser LEDs am Appliances
|-
| <code>sysutils/boot-delay</code> || Ein einfaches Plugin, das die Startzeit um 10 Sekunden erhöht, was in einigen Problemfällen immens hilft
|-
| <code>sysutils/git-backup</code> || Erlaubt das Sichern der Konfiguration in ein lokales Git Repository
|-
| <code>sysutils/hw-probe</code> || Sammelt jegliche Informationen der verwendeten Hardware und schickt die Info an einen zentralen Server
|-
| <code>sysutils/node_exporter</code> || Sendet Metriken an einen Prometheus Server
|-
| <code>sysutils/nut</code> || NUT erlaubt das Anbinden einer USV an die Firewall um diese kontrolliert bei einem Stromausfall zu stoppen
|-
| <code>sysutils/puppet</code> || Puppet-Agent für die zentrale Verwaltung
|-
| <code>sysutils/smart</code> || SMART tools zum Überwachen der lokalen Festplatten
|-
| <code>sysutils/virtualbox</code> || Virtualbox guest additions
|-
| <code>sysutils/vmware</code> || VMware tools
|-
| <code>sysutils/xen</code> || Xen guest utilities
|-
| <code>www/c-icap</code> || C-ICAP verbindet den Proxy mit einem Virenscanner
|-
| <code>www/nginx</code> || Nginx ist primär Reverse Proxy wie HAProxy, bietet aber zusätzlich eine WAF und reinen TCP/UDP Support. Als lokaler Webserver für kleinere Seiten kann das Plugin auch verwendet werden
|-
| <code>www/web-proxy-sso</code> || Kerberos SingleSignOn für den Proxy
|-
| <code>www/web-proxy-useracl</code> || Group und User ACLs für den Proxy
|}

== Unterstützung von m.a.x. it ==
Sie möchten OPNsense professionell einführen, betreiben oder von einer Altsystem-Firewall migrieren? m.a.x. it unterstützt Sie mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services aus einer Hand].

== Siehe auch ==
* [[OPNsense - Eine kurze Einführung]]
* [[OPNsense vs. pfSense - Im Vergleich]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - NAT before IPSEC

2026-09-15T12:11:32Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense (ab Version 17.7)
| bereich = IT-Security
| dauer = ca. 15 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Manchmal muss ein zusätzliches lokales Netz über einen bestehenden IPsec-Tunnel erreichbar sein, ohne dass die Gegenstelle den Tunnel erweitert. Mit '''NAT before IPSEC''' (BINAT) lässt sich das neue Netz in OPNsense hinter einer bereits im Tunnel enthaltenen IP „verschleiern". Dieser Artikel zeigt die Konfiguration.

== Ausgangslage ==
IPsec-Vernetzungen sind wegen der komplexen Materie und unterschiedlicher Hersteller-Implementierungen oft aufwändig einzurichten. Wird nach einiger Zeit ein weiteres Subnetz im Tunnel benötigt, kann OPNsense seit Version 17.7 zusätzliche Netze verschleiern – auch wenn die Gegenseite nicht mitzieht.

== Ursache und Lösung ==
Beispiel: Tunnel von '''(A)''' <code>10.10.0.0/24</code> zu '''(B)''' <code>192.168.1.0/24</code>. Wir verwalten nur Seite A; Seite B weigert sich, den Tunnel zu erweitern. Unser neues Netz <code>10.12.0.0/24</code> soll die Gegenstelle dennoch erreichen.

'''1. Zusätzliches Netz in Phase 2 eintragen'''
: In OPNsense unter '''VPN → IPsec → Tunnel Settings''' die Phase 2 des bestehenden Tunnels öffnen. Ganz unten bei „Manual SPD entries" das zusätzliche Netzwerk eintragen und mit „Save" bestätigen.

'''2. One-to-One-NAT anlegen'''
: Unter '''Firewall → NAT → One-to-One''' einen neuen Eintrag erstellen:
* '''Interface:''' IPSEC
* '''Type:''' BINAT
* '''External Network:''' LAN-IP der Firewall
* '''Source:''' das neue LAN
* '''Destination:''' Peer-LAN
* '''NAT reflection:''' Disable

Anschließend werden Pakete aus <code>10.12.0.0/24</code> hinter der LAN-IP der Firewall (<code>10.10.0.X</code>) maskiert und passen damit in den bestehenden Tunnel.

== Unterstützung von m.a.x. it ==
Bei OPNsense, IPsec-VPN und komplexen NAT-Szenarien unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[Überwachung von IPsec]]
* [[OPNsense - Eine kurze Einführung]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Mit GeoIP-Filter

2026-09-15T12:11:11Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense (ab Version 17.7.7)
| bereich = IT-Security
| dauer = ca. 10 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Mit dem '''GeoIP-Filter''' lassen sich in OPNsense Firewall-Regeln auf ganze Länder oder Kontinente anwenden – praktisch, um Zugriffe aus bestimmten Regionen gezielt zuzulassen oder zu blockieren. Seit Version 17.7.7 wurde die Bedienung (mit Unterstützung von m.a.x. it) deutlich vereinfacht.

== Vorgehen ==
Statt jedes Land einzeln aus einer langen Dropdown-Liste zu wählen, lassen sich Länder nun bequem '''pro Kontinent per Checkbox''' hinzufügen:
# Unter '''Firewall → Aliases → View''' einen neuen Alias hinzufügen.
# Als Typ '''GeoIP''' wählen.
# Im darunter erscheinenden Auswahlfeld die gewünschten Länder/Kontinente markieren und speichern.

Der Alias kann anschließend wie jeder andere in Firewall-Regeln verwendet werden.

[[Datei:OPNsense.png|thumb|left|600px|GeoIP-Alias in OPNsense: Auswahl der Länder pro Kontinent per Checkbox.]]
<br clear="all" />

{{Hinweis|Der GeoIP-Filter benötigt eine aktuelle GeoIP-Datenbank (z. B. MaxMind GeoLite2), die in OPNsense unter dem entsprechenden Menüpunkt hinterlegt bzw. per URL eingebunden wird.}}

== Unterstützung von m.a.x. it ==
Bei Firewall-Regelwerken und OPNsense-Betrieb unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - Plugin-Liste]]
* [[OPNsense - Eine kurze Einführung]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - HAProxy mit Passwortauthentifizierung

2026-09-15T12:10:44Z

Wamu:

{{Steckbrief
| gilt_fuer = OPNsense mit HAProxy-Plugin
| bereich = IT-Security
| dauer = ca. 15 Minuten
| rechte = Administrator (OPNsense-WebUI)
| stand = September 2026
}}
Das '''HAProxy-Plugin''' der OPNsense veröffentlicht interne Webdienste (z. B. OWA oder SharePoint) im Internet und verteilt bei Bedarf die Last über mehrere Stages. Dieser Artikel zeigt, wie sich ein veröffentlichter Dienst zusätzlich per HTTP-Basic-Authentifizierung (Benutzer/Passwort) absichern lässt.

{{Hinweis|Die Anleitung entstand zu einer HAProxy-Plugin-Version, in der die Basic-Authentifizierung noch nicht als eigener GUI-Punkt vorhanden war, und löst dies über Custom-Regeln. In aktuellen Plugin-Versionen kann der Weg abweichen – prüfen Sie zunächst, ob die Funktion inzwischen direkt verfügbar ist.}}

== Vorgehen ==
# '''Condition anlegen:''' Eine Condition <code>userauth</code> erstellen, Condition Type „Custom", und unter den Options als pass-through: <code>http_auth(admins)</code> (ohne Anführungszeichen).
# '''Rule anlegen:''' Eine Rule <code>auth</code> erstellen, Test type „UNLESS", als Condition <code>userauth</code> wählen, „Logical op" leer lassen, Execute function: <code>http-request auth</code>.
# '''Regel dem Frontend zuweisen:''' In den „Public Services" das gewünschte Frontend öffnen und die Regel unter „Select Rules" auswählen.
# '''Benutzerliste definieren:''' Unter „Global Parameters" in den Advanced Mode wechseln und in die Custom options eintragen:
<syntaxhighlight lang="text">
userlist admins
user admin1 insecure-password pw1
user admin2 insecure-password pw2
</syntaxhighlight>
Anschließend mit „Apply" bestätigen – der Dienst ist nun zusätzlich per Passwort geschützt.

{{Warnung|<code>insecure-password</code> speichert die Passwörter im Klartext in der Konfiguration. Für den Produktivbetrieb stattdessen gehashte Passwörter verwenden (HAProxy-Direktive <code>password</code> mit einem per <code>mkpasswd</code>/SHA-crypt erzeugten Hash).}}

== Unterstützung von m.a.x. it ==
Beim Veröffentlichen und Absichern interner Dienste mit OPNsense und HAProxy unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - Plugin-Liste]]
* [[OPNsense - Eine kurze Einführung]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Eine kurze Einführung

2026-09-15T12:10:18Z

Wamu:

'''OPNsense''' ist eine quelloffene Firewall- und Routing-Plattform und ein Fork der bekannten Open-Source-Firewall pfSense, der sich 2015 aufgrund von Meinungsverschiedenheiten bei der Lizenzierung abgespalten hat. Dieser Artikel gibt einen kurzen Überblick über Herkunft, Lizenz und die Rolle von m.a.x. it im Projekt.

== Herkunft und Lizenz ==
Die Entwicklung ist frei und offen und basiert auf der BSD-2-Clause-Lizenz, die es erlaubt, den Quelltext zu verwenden, zu ändern, zu schließen und auch kommerziell zu vertreiben. Da der Quelltext überwiegend von Entwicklern aus Deutschland und den Niederlanden gepflegt wird, ist die Distribution in Europa besonders beliebt und verbreitet. Vor allem die aufgeräumte Web-Oberfläche hebt OPNsense deutlich vom Vorgänger pfSense ab.

== OPNsense bei m.a.x. it ==
m.a.x. it hat OPNsense neben Cisco und Sophos in sein Firewall-Portfolio aufgenommen – als freie und offene Alternative zu proprietären (Closed-Source-)Produkten. Das Projekt wird u. a. durch Hardware-Leihstellungen und Programmierarbeit unterstützt. Zahlreiche Plugins stammen aus dem Hause m.a.x. it, darunter die komplette RADIUS-Verwaltung sowie ein SMTP-Relay zur Antispam-Abwehr.

== Unterstützung von m.a.x. it ==
Von der Auswahl über die Einführung bis zum Betrieb begleitet Sie m.a.x. it mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services].

== Siehe auch ==
* [[OPNsense - Plugin-Liste]]
* [[OPNsense vs. pfSense - Im Vergleich]]
* [[OPNsense vs. Sophos SG]]

== Links und Quellen ==
* [https://opnsense.org/ OPNsense – offizielle Projektseite]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

NIS2 und Wazuh

2026-09-15T12:09:49Z

Wamu:

Die '''NIS2-Richtlinie''' (Richtlinie (EU) 2022/2555) ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie (2016/1148) ab, erweitert deren Anwendungsbereich deutlich und verschärft die Anforderungen an Risikomanagement, Meldepflichten und Aufsicht. Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der EU. Dieser Artikel erklärt die Grundzüge und zeigt, wie das Open-Source-Tool '''Wazuh''' Organisationen bei der Umsetzung technischer Maßnahmen unterstützen kann.

<div class="max-box max-box-info"><span class="max-box-title">Rechtlicher Stand (Stand: September 2026)</span>
Die NIS2-Richtlinie ist am 16. Januar 2023 EU-weit in Kraft getreten; die Frist zur Umsetzung in nationales Recht endete am 17. Oktober 2024. In '''Deutschland''' ist das Umsetzungsgesetz seit Dezember 2025 in Kraft; die Registrierungspflicht für betroffene Einrichtungen lief im März 2026 an. Betroffene sollten den aktuellen Stand und ihre individuelle Betroffenheit rechtlich prüfen lassen – dieser Artikel ersetzt keine Rechtsberatung.
</div>

== Was NIS2 vorschreibt ==
NIS2 verpflichtet „wesentliche" und „wichtige" Einrichtungen zu einem Bündel grundlegender Sicherheitsmaßnahmen, unter anderem:
* Identifikation und Behandlung von Cyber-Risiken (Risikomanagement)
* Umsetzung angemessener technischer und organisatorischer Sicherheitsmaßnahmen
* Meldung erheblicher Sicherheitsvorfälle an die zuständigen Behörden innerhalb festgelegter Fristen
* Zusammenarbeit mit den nationalen Cybersicherheitsbehörden

== Änderungen gegenüber NIS ==
* '''Erweiterter Anwendungsbereich:''' NIS2 erfasst deutlich mehr Sektoren und Unternehmen als die erste NIS-Richtlinie, darunter weitere kritische Infrastrukturen sowie Bereiche wie Gesundheit, Finanzen und Verwaltung.
* '''Strengere Sicherheitsanforderungen:''' verbindliche Risikomanagement-Praktiken und Meldepflichten, stärker harmonisiert über die EU-Mitgliedstaaten hinweg.
* '''Höhere Sanktionen:''' Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (für wesentliche Einrichtungen).
* '''Mehr Zusammenarbeit:''' stärkerer Informationsaustausch zwischen den Mitgliedstaaten.

Eine ausführliche Gegenüberstellung findet sich bei [https://www.openkritis.de/eu/eu-nis-2-direktive-kritis.html openKRITIS].

== Wazuh als Open-Source-Unterstützung ==
[https://wazuh.com/ Wazuh] ist eine quelloffene Sicherheitsplattform (SIEM/XDR) zur Erkennung, Analyse und Abwehr von Bedrohungen. Mehrere ihrer Kernfunktionen zahlen direkt auf die von NIS2 geforderten technischen Maßnahmen ein:
* '''Konfigurations-Prüfung (Security Configuration Assessment):''' prüft Systeme gegen Härtungs-Richtlinien (z. B. CIS-Benchmarks) und deckt Fehlkonfigurationen auf.
* '''Schwachstellenerkennung:''' gleicht installierte Software gegen bekannte Schwachstellen (CVEs) ab und hilft, Patches zu priorisieren.
* '''Log- und Ereignisanalyse:''' sammelt und korreliert Logs von Endpunkten und Servern, um Anomalien und Sicherheitsvorfälle zu erkennen.
* '''File Integrity Monitoring:''' überwacht Änderungen an kritischen Dateien und Konfigurationen.
* '''Active Response & Incident Response:''' unterstützt eine schnelle, teils automatisierte Reaktion auf erkannte Vorfälle.
* '''Compliance-Reporting:''' bündelt Ereignisse und Prüfergebnisse in Berichten, die die Nachweisführung erleichtern.

{{Tipp|Wazuh liefert die technische Basis für Erkennung, Härtung und Nachweis – die organisatorischen NIS2-Pflichten (Risikoanalyse, Meldeprozesse, Verantwortlichkeiten) müssen zusätzlich definiert und dokumentiert werden.}}

Wie m.a.x. it Wazuh als SIEM einsetzt, ist unter [https://www.max-it.de/news/siem-wazuh-kurz-vorgestellt/ SIEM mit Wazuh – kurz vorgestellt] beschrieben.

== Siehe auch ==
* [[Wazuh-O365]]
* [[Wazuh-O365-monitoring-mehrerer-tenants]]

== Links und Quellen ==
* [https://wazuh.com/ wazuh.com] – offizielle Projektseite
* [https://www.openkritis.de/eu/eu-nis-2-direktive-kritis.html openKRITIS: EU-NIS-2-Direktive]
* [https://eur-lex.europa.eu/eli/dir/2022/2555 Richtlinie (EU) 2022/2555 (EUR-Lex)]
* [https://www.max-it.de/it-services/siem-open-source/ m.a.x. it – SIEM mit Open Source (Wazuh)]
* [https://www.max-it.de/it-services/cybersecurity/ m.a.x. it – Cybersecurity-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

Microsoft-Office-Richtlinien

2026-09-15T12:09:17Z

Wamu:

Microsoft ist Marktführer bei Bürosoftware – und aufgrund der großen Verbreitung stehen die Office-Produkte häufig im Fokus von Cyber-Angriffen (etwa über Makros). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat daher Empfehlungen zur '''sicheren Konfiguration von Microsoft-Office-Produkten''' veröffentlicht. Dieser Artikel fasst sie zusammen und verweist auf die Originalquellen.

{{Hinweis|Die BSI-Empfehlungen wurden für Office 2013/2016/2019 veröffentlicht. Die dahinterliegenden Sicherheitsprinzipien (z. B. Makro-Härtung, Deaktivieren aktiver Inhalte) gelten sinngemäß auch für aktuelle Microsoft 365 Apps.}}

== BSI-Empfehlungen im Überblick ==
Das BSI stellt sowohl übergreifende Härtungsempfehlungen als auch produktspezifische Konfigurationsempfehlungen bereit:
* '''Übergreifende Richtlinien für Microsoft Office:''' [https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_135.html BSI-CS 135 (Allianz für Cyber-Sicherheit)]
* '''Produktspezifische Empfehlungen''' für Access, Excel, Outlook, PowerPoint, Visio und Word (2013/2016/2019): [https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2019/Empfehlungen_Microsoft_190619.html BSI-Empfehlungen zur Office-Konfiguration]

== Einordnung des BSI ==
Das BSI merkt an: „Die Empfehlungen richten sich an mittelgroße bis große Organisationen, in denen die Endsysteme mit Gruppenrichtlinien in einer Active-Directory-Umgebung verwaltet werden. Die dahinterliegenden Sicherheitsprinzipien gelten gleichermaßen für kleine Organisationen und Privatanwender. Die dargestellten Empfehlungen können ohne die Beschaffung zusätzlicher Produkte durchgeführt werden und sind mit vergleichsweise wenig Aufwand umsetzbar."

Konkret bedeutet das: Die Härtung erfolgt überwiegend per Gruppenrichtlinie (GPO) und ohne Zusatzkosten – ein günstiger Hebel, um die Angriffsfläche von Office deutlich zu reduzieren.

== Unterstützung von m.a.x. it ==
Bei der sicheren Einrichtung und Verwaltung von Microsoft 365 und Office unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/microsoft-365/ Microsoft-365-Services].

== Siehe auch ==
* [[Tipps zur besseren IT-Sicherheit]]

== Links und Quellen ==
* [https://www.bsi.bund.de/ Bundesamt für Sicherheit in der Informationstechnik (BSI)]
* [https://www.allianz-fuer-cybersicherheit.de/ Allianz für Cyber-Sicherheit]
* [https://www.max-it.de/it-services/microsoft-365/ m.a.x. it – Microsoft-365-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

MAC-Adressen Filterung mit Cisco IOS

2026-09-15T12:08:54Z

Wamu:

{{Steckbrief
| gilt_fuer = Cisco IOS (getestet auf C886VA)
| bereich = IT-Security
| dauer = ca. 20 Minuten
| rechte = Administrator (IOS enable)
| stand = September 2026
}}
Wenn die interne Infrastruktur keine Layer-2-Filterung über 802.1X zulässt, bietet Cisco IOS die Möglichkeit, anhand von '''MAC-Adress-Listen''' zu filtern. Das schützt zwar nicht die Geräte im internen Netz, erlaubt aber zu steuern, welche internen MAC-Adressen ins Internet bzw. in einen VPN-Tunnel dürfen. Da im Beispiel eine Positivliste (nur erlaubte MAC-Adressen) verwendet wird, ist das bloße Ändern einer Adresse für Angreifer nicht zielführend.

== Konfiguration ==
Getestet auf einer Cisco C886VA:
<syntaxhighlight lang="text">
class-map match-any DROP
match any

class-map match-any ALLOWED
match source-address mac AC3A.E34E.240B
match source-address mac AC3A.A34E.240B
match source-address mac AC3A.B34E.240B
match source-address mac AC3A.C34E.240B
match source-address mac AC3B.E34E.240B
match source-address mac AC3C.E34E.240B
match source-address mac AC3A.E34E.240A
match source-address mac AC3A.B34E.240C

policy-map IN-POLICY
class ALLOWED
class DROP
drop
class class-default

interface Vlan1
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip virtual-reassembly in
service-policy input IN-POLICY
</syntaxhighlight>
Nur Pakete von MAC-Adressen der Klasse <code>ALLOWED</code> werden weitergeleitet, alle übrigen (<code>DROP</code>) verworfen.

== Unterstützung von m.a.x. it ==
Bei Netzwerksegmentierung, Zugangskontrolle und Firewall-Themen unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/managed-firewall/ Managed-Firewall- und Netzwerk-Services].

== Siehe auch ==
* [[Cisco VPN auf IOS-Router mit policy-based routing]]

== Links und Quellen ==
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

Kibana mit Nginx schützen

2026-09-15T12:07:40Z

Wamu:

{{Steckbrief
| gilt_fuer = ELK-Stack (Kibana), Nginx unter Debian/Linux
| bereich = IT-Security
| dauer = ca. 20 Minuten
| rechte = root
| stand = September 2026
}}
Kibana ist Teil des ELK-Stacks und visualisiert die in Elasticsearch abgelegten Indizes. Kibana selbst bringt in der Basiskonfiguration keinen ausreichenden Zugriffsschutz mit – deshalb stellt man einen '''Reverse Proxy''' wie Nginx davor, der den Zugriff per TLS und Passwort absichert. Dieser Artikel zeigt, wie man einen bestehenden ELK-Server (hier Debian 10) mit Nginx erweitert.

== Nginx installieren ==
<syntaxhighlight lang="bash">
apt update
apt install nginx apache2-utils
mkdir /etc/nginx/ssl
</syntaxhighlight>

== Nginx als Reverse Proxy konfigurieren ==
Die Konfiguration wird nach <code>/etc/nginx/sites-enabled/kibana.conf</code> geschrieben. Zertifikate sollten über eine eigene PKI erstellt werden – hier über eine dedizierte OPNsense (Root-Zertifikat sowie Server-Zertifikat). Platzhalter in spitzen Klammern <code><…></code> durch die '''eigenen Werte''' ersetzen:
<syntaxhighlight lang="nginx">
server {
listen <IP>:443 ssl;
server_name <host.domain.com>;
ssl on;
ssl_certificate /etc/nginx/certs/syslog.crt;
ssl_certificate_key /etc/nginx/certs/syslog.key;
ssl_trusted_certificate /etc/nginx/certs/ca.crt;
ssl_protocols TLSv1.2;
ssl_prefer_server_ciphers on;
auth_basic "Kibana - bitte anmelden";
auth_basic_user_file /etc/nginx/kibana.passwd;
access_log /var/log/nginx/kibana.access.log combined;
error_log /var/log/nginx/kibana.error.log;

location / {
proxy_pass http://localhost:5601;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Proxy "";
}
}
</syntaxhighlight>

{{Hinweis|Zwei Punkte für aktuelle Umgebungen: Die Direktive <code>ssl on;</code> ist seit Nginx 1.15 veraltet und ab 1.25 entfernt – das <code>ssl</code> am <code>listen</code>-Eintrag genügt. Für die Passwortabfrage muss neben <code>auth_basic_user_file</code> auch <code>auth_basic</code> gesetzt sein (oben ergänzt). Zusätzlich empfiehlt sich <code>TLSv1.3</code> in <code>ssl_protocols</code>.}}

== Passwortdatei anlegen ==
<syntaxhighlight lang="bash">
htpasswd -c /etc/nginx/kibana.passwd kibana
</syntaxhighlight>

== Dienst neu starten ==
<syntaxhighlight lang="bash">
service nginx restart
</syntaxhighlight>
Kibana ist anschließend inklusive Passwortschutz unter <code>https://host.domain.com</code> erreichbar.

== Unterstützung von m.a.x. it ==
Beim Aufbau von Log-Management und SIEM mit Open Source (ELK, Wazuh) unterstützt Sie m.a.x. it mit [https://www.max-it.de/it-services/siem-open-source/ SIEM-Services auf Open-Source-Basis].

== Siehe auch ==
* [[NIS2 und Wazuh]]

== Links und Quellen ==
* [https://www.max-it.de/it-services/siem-open-source/ m.a.x. it – SIEM mit Open Source]

{{Uebermax}}
[[Kategorie:IT-Security]]

IKEv2: Zentralen ASA-Hub mit mehreren IOS Spokes verbinden

2026-09-15T12:07:00Z

Wamu:

Dieser Artikel beschreibt ein kostengünstiges Site-to-Site-VPN-Konzept, das eine zentrale Cisco ASA als Hub mit mehreren Cisco-IOS-Routern als Spokes verbindet – auch dann, wenn die Spokes über '''dynamische IP-Adressen''' angebunden sind. Als Authentifizierung kommt IKEv2 mit gruppenspezifischen Pre-Shared Keys (PSK) zum Einsatz.

<div class="max-box max-box-info"><span class="max-box-title">Hinweis zum Stand</span>
Die gezeigte Konfiguration wurde mit einer Cisco ASA 5515-X und IOS-Routern der 880er-Serie erprobt. Beide Plattformen sind inzwischen abgekündigt (End-of-Life); der beschriebene Ansatz „IKEv2 mit PSK je Gruppe über die IKE-Identität" bleibt jedoch weiterhin gültig und lässt sich auf aktuelle Cisco-Plattformen übertragen. Befehlssyntax und Lizenzgrenzen der jeweiligen Zielgeräte bitte vorab prüfen.
</div>

== Herausforderung ==
Gesucht ist ein bezahlbares VPN-Konzept, in das sich auch Standorte mit dynamischen IPs problemlos einbeziehen lassen.

== Problem ==
FlexVPN oder DMVPN wären für dieses Szenario ideal, allerdings sind die Kosten für einen IOS-Router mit ausreichender Performance zu hoch: Für mehr als 225 Tunnel und über 85 Mbit/s Durchsatz wird zusätzlich die HSEC-Lizenz fällig. Auch das Management umfangreicher Firewall-Regelwerke (mehr als ~200 Regeln) ist mit IOS kaum zu bewältigen. VPNs mit dynamischen IPs setzen entweder auf Zertifikate oder PSKs. Der Nachteil eines PSK ist normalerweise, dass er für alle Sessions gleich sein muss (DefaultL2LGroup); Zertifikate wiederum sind aufwändig und komplex zu verwalten. Die einfache Lösung: '''IKEv2 mit PSKs und Gruppenname über die ISAKMP-ID''' – so lässt sich je Gruppe ein eigener PSK vergeben.

== Vorschlag ==
Eine ASA 5515-X ist vergleichsweise günstig, kommt mit 255 Tunneln zurecht und schafft im einzelnen Stream knapp 1 Gbit/s VPN-Durchsatz. Zusätzlich bietet sie gute HA-Funktionalität inklusive stateful IPsec-Failover. Auf der Clientseite kommen IOS-Router der 880er-Serie zum Einsatz, die alle benötigten Features mitbringen.

== Lösung ==
=== Konfiguration auf der ASA (nur crypto) ===
Subnetze definieren:
<syntaxhighlight lang="text">
access-list outside_cryptomap extended permit ip object OUR-NET object CLIENT-NET
</syntaxhighlight>
Proposal festlegen:
<syntaxhighlight lang="text">
crypto ipsec ikev2 ipsec-proposal AES256-SHA1-256
protocol esp encryption aes-256
protocol esp integrity sha-256 sha-1
</syntaxhighlight>
Tunnelgroup:
<syntaxhighlight lang="text">
tunnel-group dynamicvpn1 type ipsec-l2l
tunnel-group dynamicvpn1 ipsec-attributes
ikev2 remote-authentication pre-shared-key *****
ikev2 local-authentication pre-shared-key *****
</syntaxhighlight>
Crypto map:
<syntaxhighlight lang="text">
crypto dynamic-map dynamicvpn1 1 match address outside_cryptomap
crypto dynamic-map dynamicvpn1 1 set pfs group5
crypto dynamic-map dynamicvpn1 1 set ikev2 ipsec-proposal AES256-SHA1-256 AES256 AES192 AES
crypto dynamic-map dynamicvpn1 1 set reverse-route
crypto map outside_map 1 ipsec-isakmp dynamic dynamicvpn1
</syntaxhighlight>
Crypto map aktivieren:
<syntaxhighlight lang="text">
crypto map outside_map interface outside
crypto ikev2 enable outside
</syntaxhighlight>

=== Konfiguration auf der Clientseite / IOS (nur crypto) ===
Proposals:
<syntaxhighlight lang="text">
crypto ikev2 proposal proposal1
encryption aes-cbc-256 aes-cbc-192 aes-cbc-128
integrity sha256 sha1
group 14 5
crypto ikev2 policy policy1
proposal proposal1
</syntaxhighlight>
Key:
<syntaxhighlight lang="text">
crypto ikev2 keyring kyr1
peer peer1
address ASA-IP
pre-shared-key local ******
pre-shared-key remote ******
</syntaxhighlight>
Profile:
<syntaxhighlight lang="text">
crypto ikev2 profile profile1
match identity remote address ASA-IP 255.255.255.255
identity local key-id dynamicvpn1
authentication local pre-share
authentication remote pre-share
keyring local kyr1
</syntaxhighlight>
Transform-Set (Phase-2-Proposal):
<syntaxhighlight lang="text">
crypto ipsec transform-set trans esp-aes esp-sha-hmac
mode tunnel
</syntaxhighlight>
Crypto map:
<syntaxhighlight lang="text">
crypto map cmap 1 ipsec-isakmp
set peer ASA-IP
set transform-set trans
set ikev2-profile profile1
match address vpnlist
</syntaxhighlight>
ACL:
<syntaxhighlight lang="text">
ip access-list extended vpnlist
permit ip OUT-NET 0.0.0.255 REMOTE-NET 0.0.0.255
</syntaxhighlight>
Auf das Interface binden:
<syntaxhighlight lang="text">
interface Gi0
crypto map cmap
</syntaxhighlight>
Verbindung testen:
<syntaxhighlight lang="text">
ping remote-ip source Vlan1
</syntaxhighlight>

== Unterstützung von m.a.x. it ==
Sie planen ein Site-to-Site-VPN oder die Ablösung einer alten VPN-/Firewall-Infrastruktur? m.a.x. it unterstützt Sie mit [https://www.max-it.de/it-services/managed-firewall/ Managed-Firewall- und Netzwerk-Services].

== Siehe auch ==
* [[Überwachung von IPsec]]
* [[Cisco VPN auf IOS-Router mit policy-based routing]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/112075-dynamic-ipsec-asa-router-ccp.html Cisco – Dynamic IPsec zwischen ASA und Router]
* [https://www.cisco.com/c/en/us/support/docs/ip/internet-key-exchange-ike/115934-technote-ikev2-00.html Cisco – IKEv2 Technote]
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

Betriebssystem Linux Alternative zu Windows

2026-09-15T12:05:41Z

Wamu: Wamu verschob die Seite Betriebssystem Linux Alternative zu Windows nach Benutzer:Betriebssystem: Falsch geschriebener Name

#WEITERLEITUNG [[Benutzer:Betriebssystem]]