Firewall zuhause: Brauchen Sie pfSense?

Sie haben gerade VLANs zur Isolierung Ihrer Smart-Home-Geräte eingerichtet oder eine Router-Härtungs-Checkliste abgearbeitet, und dieselbe Frage bleibt: Reicht die Firewall in meinem Router eigentlich aus, oder brauche ich eine echte?

TL;DR

Die Firewall Ihres Routers leistet echte Arbeit — stateful Inbound-Blocking und NAT —, ist aber flach: keine Regel-Granularität pro VLAN, keine Angriffserkennung, begrenztes Logging.
Die richtige Frage ist nicht „welches Gerät besitze ich", sondern „was betreibe ich tatsächlich": Self-Hosting, VLANs mit Regelbedarf pro Richtung und Portweiterleitungen sprechen für eine dedizierte Firewall.
pfSense und OPNsense laufen beide kostenlos auf einem gebrauchten Mini-PC oder als Homelab-VM — kein dediziertes Gerät nötig.
OPNsense ist auf jeder Hardware vollständig kostenlos; pfSense Plus (die schneller aktualisierte Variante) verlangt ein Abo von 129 $/Jahr, außer auf Netgate-Hardware.
Die meisten Ein-Netzwerk-Haushalte ohne Self-Hosting und ohne Portweiterleitung brauchen das schlicht nicht — lassen Sie sich davon nicht durch ein Homelab-Hobby abbringen.

Was die eingebaute Firewall des Routers wirklich tut — und was nicht

Jeder handelsübliche Router bringt eine Firewall mit, und die ist nicht bloß Show — stateful Paketprüfung blockiert standardmäßig unaufgeforderte eingehende Verbindungen, und NAT selbst verbirgt Ihre internen Geräte vor direktem Internetzugriff. Für ein einzelnes flaches Heimnetzwerk ohne freigegebene Dienste ist das eine durchaus vernünftige Grundlage.

Wo es eng wird, ist die Granularität. Eine Router-Firewall gibt Ihnen ein Regelwerk für das gesamte Netzwerk (bestenfalls einen einfachen Gäste-Netzwerk-Schalter) — sie kennt kein Konzept für Inter-VLAN-Regeln pro Richtung, wie sie für die IoT-Isolierung nötig sind, keine Angriffserkennung/-abwehr (IDS/IPS), und das Logging ist meist nur ein rollierender Puffer der letzten paar Dutzend Ereignisse — nichts, das man durchsuchen oder für Alarme nutzen kann.

Das Entscheidungsraster: Was Sie betreiben zählt mehr als was Sie besitzen

Die Frage ist nicht „bin ich technikaffin genug für pfSense" — sondern ob irgendetwas in Ihrem Netzwerk Regeln braucht, die ein Router nicht abbilden kann.

Ihre Situation	Router-Firewall ausreichend?	Warum
Einzelnes flaches Netzwerk, kein Self-Hosting, keine Portweiterleitungen	Ja	Nichts braucht granulare Regeln; NAT plus stateful Inbound-Blocking deckt das reale Risiko ab
VLANs für IoT/Gäste, aber nur über den einfachen Gäste-Schalter des Routers	Meist	Grundsegmentierung existiert bereits; eine dedizierte Firewall ergänzt Regeln pro Richtung, ist aber nicht zwingend
Mehrere VLANs mit expliziten Inter-VLAN-Regeln (Trusted/IoT/Gast mit unterschiedlichen Rechten)	Nein	Genau diese Regel-Granularität bieten Consumer-Router nicht
Self-Hosting von etwas aus dem Internet Erreichbarem (Mediaserver, Git, eigene Cloud)	Nein	Sie brauchen echtes Logging, IDS und Regel-Kontrolle über das, was exponiert ist
Portweiterleitung für Remote-Zugriff, Gaming oder ein Homelab	Grenzwertig — eher Nein	Jeder weitergeleitete Port ist eine Angriffsfläche, die eine dedizierte Firewall ordentlich überwachbar macht

KEY-STAT: 129 $/Jahr — Kosten des TAC-Lite-Abos, um pfSense Plus auf Nicht-Netgate-Hardware zu betreiben, laut Netgates eigener Preisseite — OPNsense verlangt laut offizieller OPNsense-Dokumentation auf keiner Hardware eine vergleichbare Gebühr für den vollen Funktionsumfang

Mein Aufbau: warum ich pfSense in meinem Homelab betreibe

Mein Proxmox-Homelab betreibt eine pfSense-VM, die zwischen meiner FRITZ!Box und dem VLAN-getaggten Switch für Trusted-, IoT- und Gast-Traffic sitzt. Die FRITZ!Box übernimmt WAN und WLAN; pfSense übernimmt das eigentliche Routing und jede Inter-VLAN-Regel — die Logik „IoT von Trusted blockieren, Trusted zu IoT erlauben" aus meinem VLAN-Setup lebt vollständig in pfSense, weil die FRITZ!Box kein Konzept von VLANs kennt.

Ich betreibe es als VM statt als dedizierte Hardware aus einem einzigen Grund: Meine Proxmox-Box läuft ohnehin 24/7 für andere selbstgehostete Dienste, also kostet eine Firewall-VM weder zusätzlichen Strom noch Platz im Rack — es ist eine Konfigurationsentscheidung, kein Hardwarekauf.

pfSense vs. OPNsense: der Lizenzunterschied, der zählt

Beide sind kostenlos, Open Source und in der Lage, alles hier Beschriebene zu leisten. Der eine echte Unterschied, den Sie kennen sollten, bevor Sie sich entscheiden: pfSense Community Edition (CE) ist auf jeder Hardware kostenlos, aber pfSense Plus — die Variante mit schnelleren Updates und neueren Funktionen — verlangt ein TAC-Lite-Abo von ~129 $/Jahr, sofern Sie nicht Netgates eigene Hardware nutzen. OPNsense verlangt auf keiner Hardware eine vergleichbare Gebühr für den vollen Funktionsumfang, erscheint in einem festen Zwei-Wochen-Release-Zyklus und hat eine zugänglichere Oberfläche für den ersten Einstieg. Beides ist eine vernünftige Wahl für ein Heimnetzwerk; OPNsense ist der reibungsärmere Standard, wenn Sie bei null anfangen.

Was der Betrieb kostet: Hardware, Zeit, Komplexität

Ansatz	Hardwarekosten	Einrichtungszeit	Laufender Aufwand
Nur Router-Firewall	0 €	0 (läuft bereits)	Keiner
pfSense/OPNsense auf einem Mini-PC	50–150 € (gebrauchter SFF-PC oder dediziertes Gerät)	2–4 Stunden Ersteinrichtung	Gelegentliche Updates, Regel-Review nach Netzwerkänderungen
pfSense/OPNsense als Homelab-VM	0 € extra (nutzt vorhandene Homelab-Hardware)	2–4 Stunden Ersteinrichtung	Wie oben, plus VM-/Hypervisor-Wartung, die Sie ohnehin schon machen

Die Software ist in beiden Fällen kostenlos. Die eigentlichen Kosten sind Zeit — sowohl die Ersteinrichtung als auch die Tatsache, dass eine fehlkonfigurierte Firewall-Regel Ihnen den eigenen Internetzugang lahmlegen kann, was bei einem Router, den Sie nie anfassen, schlicht nicht passiert.

Warning

Eine dedizierte Firewall ist ein Single Point of Failure für den Internetzugang Ihres gesamten Netzwerks. Bevor Sie sich darauf verlassen, sollten Sie wissen, wie Sie ohne Internetzugang auf die Admin-Oberfläche zugreifen (und eine fehlerhafte Regel zurückrollen) können.

Wann die Router-Firewall wirklich reicht

Man muss es klar sagen: Wenn Ihr Netzwerk ein einziges flaches Segment ist, nichts selbst gehostet oder exponiert ist und Sie keine Portweiterleitungen haben, fügt eine dedizierte Firewall Komplexität hinzu, ohne einen entsprechenden Sicherheitsgewinn zu bringen. Die Router-Härtungs-Checkliste — starkes Admin-Passwort, aktuelle Firmware, WPA3, WPS/UPnP aus — deckt das Risiko ab, das für diesen Aufbau tatsächlich gilt. Fügen Sie pfSense nicht zu einem Netzwerk hinzu, das keine Regel-Kontrolle pro Regel braucht, nur weil es die fortgeschrittenere Option ist — zusätzliche Komplexität, die Sie nicht betreiben, ist ein eigenes Risiko.

Tip

Wenn Sie unsicher sind, in welche Kategorie Sie fallen, ist der schnellste Test: Können Sie gerade jetzt jede Portweiterleitung und jeden aus dem Internet erreichbaren Dienst in Ihrem Netzwerk benennen? Wenn ja und die Liste leer ist, sind Sie fast sicher im Bereich „Router-Firewall reicht".

Häufige Fragen

Ist pfSense für ein Heimnetzwerk übertrieben?

Für ein einzelnes flaches Netzwerk ohne Self-Hosting oder Exposition: ja — die eingebaute Firewall des Routers deckt das reale Risiko ab. Es hört auf, übertrieben zu sein, sobald Sie VLANs mit Regelbedarf pro Richtung betreiben, etwas aus dem Internet Erreichbares selbst hosten oder Ports weiterleiten.

Brauche ich eine separate Firewall, wenn ich bereits VLANs auf meinem Router habe?

Kommt darauf an, was die VLAN-Implementierung Ihres Routers tatsächlich unterstützt. Ein einfacher Gäste-Netzwerk-Schalter ist ein vereinfachtes VLAN mit einem festen Regelwerk. Wenn Sie explizite Regeln pro Richtung zwischen mehreren VLANs brauchen — etwa IoT vom Zugriff auf Trusted-Geräte zu blockieren, während Trusted weiterhin auf IoT zugreifen darf —, können die meisten Consumer-Router das nicht abbilden, eine dedizierte Firewall schon.

Was kostet der Betrieb von pfSense oder OPNsense zuhause wirklich?

Die Software selbst ist kostenlos (sowohl pfSense CE als auch OPNsense verlangen auf eigener Hardware keine Lizenzgebühr; nur pfSense Plus abseits von Netgate-Hardware kostet ein Abo von ~129 $/Jahr). Die eigentlichen Kosten sind 2–4 Stunden Ersteinrichtung und die laufende Gewohnheit, Regeln nach Netzwerkänderungen zu überprüfen — nicht Geld.

Kann ich pfSense als VM statt auf dedizierter Hardware betreiben?

Ja — der Betrieb als VM in einem vorhandenen Homelab (Proxmox, ESXi oder Ähnliches) ist ein gängiger Aufbau und genau das, was in diesem Artikel als eigene Konfiguration beschrieben wird. Das erspart den Kauf dedizierter Hardware, solange Ihr Hypervisor-Host ohnehin schon 24/7 läuft.