Heimnetzwerk absichern: Firewall und VLANs für maximale Sicherheit

Heimnetzwerk absichern – wer einen Heimserver betreibt oder IoT-Geräte im Einsatz hat, sollte sein Netzwerk professionell segmentieren. Mit Firewalls und VLANs trennst du verschiedene Geräteklassen voneinander und minimierst das Risiko, dass ein kompromittiertes Gerät das gesamte Netzwerk gefährdet. In diesem Guide zeige ich dir die wichtigsten Maßnahmen.

Warum Netzwerksegmentierung so wichtig ist

Ein typisches Heimnetzwerk hat alle Geräte in einem einzigen Netzwerksegment – der Laptop, das Smartphone, der Smart-TV, die Heizungssteuerung und der NAS-Server hängen alle im gleichen LAN. Das ist ein Sicherheitsrisiko: Wird eine smarte Glühbirne kompromittiert, hat der Angreifer theoretisch Zugang zu deinem gesamten Netzwerk.

Lösung: VLANs (Virtual Local Area Networks) und Firewall-Regeln, die den Traffic zwischen den Segmenten kontrollieren.

Die wichtigsten Netzwerksegmente für ein sicheres Heimnetz

• Management VLAN (VLAN 10): Router, Switch, Access Points – nur für Administratoren zugänglich
• Trusted VLAN (VLAN 20): Dein Laptop, Desktop, Smartphone – volles Netzwerkzugang
• Server VLAN (VLAN 30): Heimserver, NAS, Proxmox – Server-Dienste
• IoT VLAN (VLAN 40): Smart-Home-Geräte, Kameras, Drucker – kein Zugang zum Trusted-Netz
• Guest VLAN (VLAN 50): Gäste-WLAN – nur Internetzugang, kein LAN-Zugang

Hardware-Voraussetzungen

Für VLANs benötigst du:

• Managed Switch: Zum Beispiel TP-Link TL-SG108E (35 €) oder Netgear GS308E
• VLAN-fähiger Router/Firewall: OPNsense, pfSense, Mikrotik oder Ubiquiti UniFi
• WLAN Access Points: Müssen Multiple SSIDs mit VLAN-Tagging unterstützen

OPNsense als Heimfirewall

OPNsense ist eine der beliebtesten Open-Source-Firewalls für das Homelab. Es basiert auf FreeBSD und bietet:

• Stateful Firewall mit einfacher Regelkonfiguration
• VPN-Server (WireGuard, OpenVPN)
• Intrusion Detection mit Suricata
• Unbound DNS mit Blocklisten
• VLAN-Konfiguration per Weboberfläche

OPNsense läuft auf einem kleinen PC oder als VM in Proxmox. Für Hardware empfehlen sich Mini-PCs mit Intel-Prozessoren und zwei Netzwerkports (z. B. Protectli VP2420 oder ähnliche).

VLANs in OPNsense einrichten

Schritt 1: VLAN erstellen

1. Gehe zu Interfaces → Other Types → VLAN
2. Klicke auf „+“ und erstelle VLAN 40 (IoT) auf deinem LAN-Interface
3. Vergib VLAN-Tag: 40, Beschreibung: IoT

Schritt 2: Interface zuweisen

1. Unter Interfaces → Assignments weise das neue VLAN einem Interface zu
2. Aktiviere das Interface und vergib eine IP (z. B. 192.168.40.1/24)

Schritt 3: DHCP-Server aktivieren

1. Gehe zu Services → DHCPv4 → [IoT Interface]
2. Aktiviere DHCP und vergib einen IP-Bereich (z. B. 192.168.40.100–200)

Schritt 4: Firewall-Regeln

Für das IoT-VLAN erstelle folgende Regeln:

• Erlaubt: IoT → Internet (Port 80, 443, DNS)
• Erlaubt: IoT → DNS-Server (Pi-hole)
• Blockiert: IoT → Trusted VLAN (alle Ports)
• Blockiert: IoT → Server VLAN (alle Ports)

Managed Switch konfigurieren

Am Managed Switch musst du die Port-VLANs konfigurieren. Beim TP-Link TL-SG108E über die Web-GUI:

• 802.1Q VLAN: Definiere VLANs und welche Ports zu welchem VLAN gehören
• Trunk-Ports: Der Port zum Router/Firewall trägt alle VLANs (tagged)
• Access-Ports: Ports für Endgeräte gehören nur einem VLAN an (untagged)

WLAN-Segmentierung

Richte auf deinem Access Point eine separate SSID für IoT-Geräte ein, die per VLAN-Tagging dem IoT-VLAN zugeordnet ist. Mit Ubiquiti UniFi ist das besonders einfach – in der Controller-Software erstellst du eine neue SSID und weist ihr direkt eine VLAN-ID zu.

Weitere Sicherheitsmaßnahmen

Router-Firewall

• Standard-Zugangsdaten ändern (admin/admin ist ein No-Go!)
• Fernzugriff deaktivieren oder auf bestimmte IPs beschränken
• Regelmäßige Firmware-Updates

DNS-Filtering mit Pi-hole

Setze Pi-hole als DNS-Server für alle VLANs ein. Damit blockierst du Werbung und schädliche Domains in deinem gesamten Netzwerk.

VPN für Remote-Zugriff

Statt Ports zu öffnen: Nutze WireGuard oder Tailscale für sicheren Remote-Zugriff auf dein Heimnetzwerk.

Heimnetzwerk absichern: Häufige Fehler und Checkliste

Häufige Sicherheitsfehler im Heimnetz

• Standard-Passwörter: Router, NAS und IoT-Geräte haben oft „admin/admin“ als Standard – sofort ändern!
• Veraltete Firmware: Nicht aktualisierte Router haben bekannte Sicherheitslücken. Prüfe regelmäßig auf Updates
• Offene Ports: Jeder unnötige offene Port ist eine potenzielle Angriffsfläche. Nutze VPN statt Portweiterleitung
• Alle Geräte im gleichen VLAN: Smart-TV, Kaffeemaschine und NAS im selben Netz ist ein Risiko
• Kein Monitoring: Ohne Monitoring erkennst du Angriffe oder kompromittierte Geräte nicht

Sicherheits-Checkliste für dein Heimnetz

• ☑ Router-Passwort geändert
• ☑ Router-Firmware aktuell
• ☑ Fernzugriff auf Router deaktiviert (oder auf VPN beschränkt)
• ☑ IoT-Geräte in separatem VLAN
• ☑ Gäste-WLAN eingerichtet
• ☑ Pi-hole als DNS-Filter aktiv
• ☑ VPN für Remote-Zugriff statt offener Ports
• ☑ NAS mit starkem Passwort und 2FA
• ☑ CrowdSec auf Servern aktiv

IDS/IPS: Intrusion Detection und Prevention im Heimnetz

Eine Firewall allein reicht nicht aus, um ein Heimnetzwerk vollständig zu schützen. Während eine Firewall den Datenverkehr anhand von Regeln filtert, analysiert ein Intrusion Detection System (IDS) den Netzwerkverkehr auf verdächtige Muster und Anomalien. Ein Intrusion Prevention System (IPS) geht noch einen Schritt weiter und blockiert erkannten Angriffs-Traffic aktiv.

Suricata und Zeek im Homelab

OPNsense bringt Suricata als IDS/IPS bereits integriert mit. Die Einrichtung ist unkompliziert:

• Suricata unter Services → Intrusion Detection aktivieren
• Regel-Feeds wie ET Open (Emerging Threats) oder Abuse.ch abonnieren
• Den IPS-Modus aktivieren, damit erkannte Bedrohungen automatisch geblockt werden
• Regelmäßige Updates der Signaturdatenbank einplanen (täglich empfohlen)

Alternativ lässt sich Zeek (früher Bro) als reines Analyse-Tool einsetzen. Zeek erzeugt detaillierte Protokolldateien, die sich hervorragend mit einem SIEM wie Graylog oder Wazuh weiterverarbeiten lassen. Für ein Homelab mit mehreren Servern ist die Kombination aus Suricata (Blocking) und Wazuh (Log-Analyse) besonders empfehlenswert.

Praktische VLAN-Checkliste für das Heimnetzwerk

Beim Aufbau einer VLAN-Struktur im Heimnetz sollten folgende Punkte systematisch abgearbeitet werden:

• ☑ VLAN-Planung: Mindestens vier Segmente definieren – Management, Trusted (PCs/Laptops), IoT, Gäste
• ☑ IP-Adressbereiche: Jedem VLAN ein eigenes Subnetz zuweisen (z.B. 10.10.10.0/24 für Management, 10.10.20.0/24 für IoT)
• ☑ Inter-VLAN-Routing: Firewall-Regeln so setzen, dass IoT-Geräte keine Verbindungen in andere VLANs initiieren können
• ☑ DHCP-Server: Pro VLAN einen eigenen DHCP-Pool konfigurieren – idealerweise auf OPNsense oder pfSense
• ☑ DNS-Filterung: Für das IoT-VLAN einen separaten DNS-Resolver mit Werbeblockierung (Pi-hole) einsetzen
• ☑ Switch-Konfiguration: Tagged und Untagged Ports korrekt definieren; Trunk-Ports zwischen Switch und Router richtig einrichten
• ☑ WLAN-SSIDs: Pro VLAN eine eigene SSID mit WPA3 konfigurieren, IoT-SSID auf 2,4 GHz beschränken
• ☑ Logging: Firewall-Logs für alle Inter-VLAN-Verbindungen aktivieren und regelmäßig kontrollieren
• ☑ Funktionstest: Nach der Einrichtung prüfen, ob ein Gerät im IoT-VLAN tatsächlich keine internen Server erreicht

Typische Fehler beim Absichern von Heimnetzwerken

Selbst erfahrene Homelab-Betreiber machen immer wieder dieselben Fehler. Diese solltest du unbedingt vermeiden:

• Standard-Passwörter belassen: Router, Switches und Access Points werden oft mit den Werkspasswörtern betrieben. Das ist eine der häufigsten Einstiegspforten für Angreifer.
• Management-Interface im LAN exponieren: Die Verwaltungsoberfläche von OPNsense oder dem Switch sollte ausschließlich aus dem Management-VLAN erreichbar sein – niemals aus dem Gäste- oder IoT-VLAN.
• Zu permissive Firewall-Regeln: Viele Heimanwender erstellen eine Regel “Alle Ports, alle Protokolle, Quelle: any” – das entspricht keiner Sicherheit. Stattdessen gilt: so wenig erlauben wie nötig.
• Fehlende Verschlüsselung im lokalen Netz: Dienste wie Proxmox Web-UI oder NAS-Interfaces sollten auch intern per HTTPS erreichbar sein, idealerweise mit gültigen Zertifikaten über Let’s Encrypt und einen lokalen DNS.
• Keine Netzwerk-Dokumentation: Wer seine VLAN-Struktur, IP-Bereiche und Firewall-Regeln nicht dokumentiert, verliert schnell den Überblick und macht beim nächsten Umbau gefährliche Fehler.
• Updates vernachlässigen: Firmware-Updates für Router und Switches werden oft monatelang aufgeschoben. Bekannte CVEs in Netzwerkgeräten werden aktiv ausgenutzt – regelmäßige Updates sind daher keine Option, sondern Pflicht.

OPNsense-Firewall: Erweiterte Schutzfunktionen nutzen

OPNsense bietet über die grundlegende Paketfilterung hinaus zahlreiche Schutzfunktionen, die im Heimnetz oft unterschätzt werden. Diese lohnt es, nach der initialen VLAN-Einrichtung schrittweise zu aktivieren:

• CrowdSec Community Blocklist: Das OPNsense-Plugin für CrowdSec bindet automatisch eine gepflegte Liste bekannter Angreifer-IP-Adressen ein. Täglich werden Millionen bösartiger IPs aus der Community-Datenbank geblockt – ohne eigene Konfiguration.
• GeoIP-Blocking: Über das pfBlockerNG-ähnliche Os-GeoIP-Plugin lässt sich eingehender Datenverkehr aus bestimmten Ländern blockieren. Wer keine Verbindungen aus bestimmten Regionen erwartet, kann diese pauschal sperren und so die Angriffsfläche deutlich reduzieren.
• DNS over TLS (DoT): OPNsense kann als verschlüsselnder DNS-Resolver konfiguriert werden. Alle DNS-Anfragen aus dem Heimnetz werden verschlüsselt an Resolver wie Quad9 (datenschutzfreundlich, DSGVO-konform, Sitz in der Schweiz) weitergeleitet.
• Sensei Next-Generation Firewall: Das OPNsense-Plugin Sensei erweitert die Firewall um Application Awareness – also die Erkennung von Anwendungen auf Basis von Datenverkehrsmustern, unabhängig vom verwendeten Port.

Für ein gut abgesichertes Heimnetzwerk ist OPNsense in Kombination mit Suricata IPS, CrowdSec und verschlüsseltem DNS eine sehr robuste Basis, die sich mit professionellen UTM-Appliances messen kann – zu einem Bruchteil der Kosten.

Fazit: Sicherheit durch Segmentierung

Ein segmentiertes Heimnetzwerk mit VLANs und einer dedizierten Firewall wie OPNsense ist der Goldstandard für sicherheitsbewusste Heimserver-Betreiber. Der initiale Aufwand lohnt sich: Ein kompromittiertes IoT-Gerät bleibt im IoT-VLAN eingesperrt und kann keinen Schaden im restlichen Netzwerk anrichten.