Little Snitch 6 – Meine Erfahrungen mit dem Mac-Netzwerkmonitor

Die Softwareschmiede Objective Development aus Österreich hat letztens eine neue Hauptversion des Mac-Netzwerkmonitors „Little Snitch“ herausgebracht. Während Version 5 ab macOS 11 Big Sur genutzt werden konnte, ist die neue Version 6 nun für macOS 14 Sonoma und die kommenden Mac-Betriebssysteme gemacht. Ich habe mir die manuell bedienbare und grafisch aufgearbeitete Firewall mal angeschaut und meine Erfahrungen mit Little Snitch 6 in diesem Beitrag zusammengefasst.

Transparenzhinweis: Lizenzcode wurde gratis zur Verfügung gestellt

Für den Little Snitch 6 Test haben Jens und ich jeweils einen kostenlosen Lizenzcode von Objective Development erhalten. Ich bin mir sicher, dass das bei Jens keinen Einfluss auf die von ihm (wahrscheinlich in Video-Form veröffentlichten) Aussagen haben wird. Und auch in meinem Testbericht hier hat dies keinen Einfluss. Ich schreibe meine Erfahrungen und meine Meinung unbeeinflusst auf, ohne dass etwas durch den Gratis-Lizenzcode unnötig ins Positive gerückt wird.

Download, Installation und Systemeinstellungen

Während die abgespeckten Versionen des Programms, also „Little Snitch Mini“ und „Micro Snitch“, im Mac App Store zu finden sind, da gibt es den Download von Litte Snitch nur über die Webseite von Objective Development. Denn das Programm braucht einen umfangreichen Netzwerk- und teilweisen Systemzugriff, der nur über diesen Weg realisiert werden kann. Auf der verlinkten Seite lässt sich eine Demo-Version des Programms herunterladen, die 30 Tage lang für Sessions von bis zu drei Stunden genutzt werden kann. Mit einer Vollversion-Lizenz ab 59 Euro (bzw. 39 Euro als Upgrade von einer vorigen Version) lässt sich die App zudem uneingeschränkt nutzen.

Nach dem Download läuft die Installation recht standardmäßig ab. Man startet die dmg-Datei, verschiebt die App in den Programme-Ordner und startet sie dann. Allerdings benötigt sie, wie weiter oben erwähnt, einige Berechtigungen, um die Netzwerk-Aktivitäten des Mac überwachen und steuern zu können. Deshalb muss zum Beispiel in den macOS-Systemeinstellungen eine Berechtigung für die Verwendung von Systemerweiterungen aktiviert werden. Durch diesen und andere nötige Schritte wird man vermittels entsprechender Meldungen geführt.

Anschließend gibt es eine Einführung in das Programm, dank der man die verschiedenen Verwendungsmöglichkeiten kennenlernt. Dabei wird u. a. die Nutzungsoberfläche erklärt, sodass sich direkt ein Verständnis für die verschiedenen grafischen Darstellungen sowie Buttons und Schalter ergibt. Hier ist es von Vorteil, wenn man nicht einfach nur solange auf „Weiter“ klickt, bis die Einführung zu Ende ist. Liest man sich alles aufmerksam durch, findet man anschließend eher in die Nutzung von Little Snitch 6 hinein – auch wenn es auf den ersten Blick mit seinen vielen Optionen überladen wirkt.

Wichtige Funktionen des Mac-Netzwerkmonitors

Zu den wichtigsten Funktionen von Little Snitch 6, von denen einige erst mit dem Upgrade auf die neue Hauptversion dazu gekommen sind, gehören unter anderem diese:

• Überwachung der ausgehenden und eingehenden Internet-Verbindungen
• Begrenzung bzw. Blockierung von individuellen Verbindungen und Apps
• Integrierte und abonnierbare Blockierlisten (Blacklists), die mit nur einem Klick mehrere Verbindungen verhindern
• In Gruppen organisierte Firewall-Regeln, die schnell und einfach aktiviert oder deaktiviert werden können
• DNS-Verschlüsselung für die Blockierung der Servername-Abfrage durch Dritte
• Netzwerk-Übersicht und -Steuerung in der Mac-Menüleiste
• Visualisierung der Netzwerkaktivität in Echtzeit (Upload und Download)
• Suche-Funktion für das schnelle Auffinden von Verbindungen und Filter-Regeln
• Nutzungsstatistiken für die langfristige Optimierung von Firewall-Regeln
• Benachrichtigungen und akustische Signale als Hinweise auf bestimmte Netzwerkaktivitäten
• Verbesserte Steuerung von Netzwerkaktivitäten bestimmter Webseiten und Web-Apps (Social Media, Streaming-Dienste, etc.)
• Bessere Unterstützung von Homebrew-Apps (Regeln werden nicht mehr über die Versionsnummer, sondern über den Dateipfad zugeordnet)
• Sowie einiges mehr…

Der praktische Einsatz von Little Snitch 6

Mit Little Snitch lässt sich überwachen, welche Mac-Apps eine Verbindung mit Servern aufbauen sowie Daten mit diesen austauschen. Mit etwas Recherche oder bereits vorhandenem Fachwissen lässt sich also ermitteln, ob es sich um eine nötige und brauchbare Verbindung handelt oder ob man sie zur Schadensabwendung unterbinden sollte. Ein aktuelles Nutzungsbeispiel wäre z. B. die Unterbindung der Server-Kommunikation alter Adobe-Apps, da Adobe deren Nutzung unterbinden will. Gibt es keine Server-Abfrage, kann man theoretisch die nervigen Benachrichtigungen für den Abschluss eines Abos sowie die Deaktivierung der alten Apps umgehen.

Ein weiterer Einsatzbereich ist der Schutz vor Schadsoftware aus dem Internet. Denn die neue Möglichkeit, Blockier-Listen zu importieren sowie mit einem Klick zu aktivieren, macht die Unterbindung von bestimmten Server-Verbindungen extrem einfach. Der Unterschied zu Blockier-Plugins für Webbrowser besteht dabei darin, dass nicht nur einzelne Webseiten oder URLs blockiert werden, sondern ganze Server – und damit pro Server tendenziell mehrere Websites. Einsatz kann dies im Privaten, aber auch in Bildungseinrichtungen, im Unternehmen und überall sonst finden.

Das Hauptprogramm von Little Snitch 6

Wie weiter oben schon beschrieben, so zahlt es sich aus, bei der Einführung in das Programm aufmerksam zu sein. So sind die ersten Schritte bei der Verwendung des Hauptprogramms einfacher. Vieles ist aber auch selbsterklärend. Es lassen sich alle Verbindungen anzeigen, Regeln festlegen und überprüfen, eine Einzelliste von verbotenen Verbindungen einsehen, und mehr. Falls man etwas rückgängig machen will, gibt es zudem die beiden Listen „Zuletzt Geändert“ und „Zuletzt Verwendet“. Hat man also aus Versehen etwas blockiert, was man nicht blockieren wollte, findet man es hier schnell wieder.

Netzwerkverbindungen und Regeln werden zudem übersichtlich aufgeteilt, in macOS-Dienste, iCloud-Dienste, Apple-Programme und Drittanbieter-Programme. Falls man also nur einen dieser Bereiche mit Firewall-Regeln belegen will, muss man nicht erst händisch die dazugehörigen Verbindungen heraussuchen. Mit einem einzelnen Klick gelangt man direkt zur jeweiligen Liste. Natürlich kann man dann dort weiter ins Detail gehen und anstatt der Anwendung von Regeln für die ganze App- oder Dienste-Gruppe jeweils eine Einzelverbindung managen.

Little Snitch 6 in der Menüleiste des Mac

Neben dem Hauptprogramm bringt Little Snitch 6 auch noch eine Echtzeit-Überwachung der Netzwerkaktivitäten in der Menüleiste mit. Dort zeigt ein Diagramm an, wie viel gerade heruntergeladen und hochgeladen wird. Durch einen Klick auf das Menüleistensymbol wird die Anzeige erweitert, sodass weitere Details sichtbar werden. Außerdem lassen sich über das Ausklapp-Menü die Benachrichtigungsoptionen auswählen, die letzten Netzwerkaktivitäten auflisten sowie Regeln verwalten und die Einstellungen von Little Snitch aufrufen.

Little Snitch 6 beenden und Symbol aus der Menüleiste entfernen

Um den Test abzuschließen, habe ich mich zudem mit der Möglichkeit beschäftigt, Little Snitch 6 zu beenden und aus der Menüleiste zu entfernen. Denn zwar gibt es Anwendungsfälle, bei denen man stets und ständig einen Netzwerkmonitor bzw. eine Firewall laufen haben möchte. Es gibt aber auch den Fall, dass man diese Werkzeuge nur punktuell für bestimmte Checks und Tests nutzen will. 

Während das Hauptprogramm mit seinem Fenster und dem Dock-Symbol verschwindet, wenn man die „Beenden“-Option nutzt, da bleibt die Anzeige in der Menüleiste aktiv. Die App läuft auch weiterhin im Hintergrund, wie ich durch einen Blick in die Aktivitätsanzeige sehen konnte. Sie lässt sich über die Aktivitätsanzeige auch nicht so einfach beenden, selbst wenn man alle ihre Prozesse über „Sofort beenden“ zum Schließen zwingen will.

Was wie ein großer Nachteil klingt, kann in der praktischen Anwendung durchaus ein Vorteil sein. Denn wenn eine Schadsoftware versucht, Little Snitch über diesen Weg zu deaktivieren, um wieder Kontakt zu ihrem Server aufzubauen, wird sie das mit hoher Wahrscheinlichkeit nicht schaffen. Und das ist eine gute Sache. Wollt ihr aber unbedingt den Hauptprozess von Little Snitch beenden, dann öffnet die Systemeinstellungen, klickt links „Allgemein“ an, wählt dann rechts „Anmeldeobjekte aus“ und deaktiviert in der „Im Hintergrund erlauben“-Liste den Eintrag „Little Snitch“.

Was bedeuten die verschiedenen Prozesse?

Das Beenden der App haben wir im Rahmen des App-Tests direkt mit den Developern von Objective Development besprochen. Per E-Mail haben wir die folgenden Erklärungen erhalten, die ein bisschen mehr Aufschluss über die Schwierigkeiten beim kompletten Beenden der App sowie über die verschiedenen Prozesse geben, die man in der Aktivitätsanzeige findet.

Little Snitch besteht aus mehreren Komponenten:

1. Die App. Die kann man nach Belieben starten oder beenden, das hat keinen Einfluss darauf, ob der Filter funktioniert oder nicht. Darauf macht sie ja beim ersten Beenden auch aufmerksam.

2. Der Netzwerkmonitor. Den kann man auch nach Belieben starten und beenden. Das Starten dauert etwas länger, wenn man viele Daten hat, die angezeigt werden müssen. Deshalb wird der Monitor nicht automatisch beim Schließen des Fensters beendet. So kann er schneller wieder erscheinen.

3. Die Network Extension (at.obdev.littlesnitch.networkextension). Dieser Prozess macht das eigentliche Filtern. Früher war das eine Erweiterung, die in den Betriebssystem-Kernel geladen wurde. Jetzt ist das ein Prozess, der aber auch immer laufen muss. Auch wenn der Filter gerade nicht aktiv ist, weil ja immer noch die Statistik der Verbindungsdaten aufgezeichnet wird.

4. Der Daemon (at.obdev.littlesnitch.daemon). Das ist ein Hilfsprozess für die Network Extension. Damals, als die Network Extensions neu (und noch nicht fertig programmiert) waren, mussten wir innerhalb von wenigen Monaten eine neue Version fertig haben. Wir wussten nicht, was man in Network Extensions alles wird dürfen und was nicht und haben daher sicherheitshalber einen Hilfsprozess eingeplant. In Little Snitch Mini haben wir darauf dann verzichtet. Da wussten wir ja schon, was alles geht. Der muss jedenfalls auch immer laufen, weil er von der Network Extension benötigt wird.

5. Der Little Snitch Agent. Das ist ein Prozess, der für jeden eingeloggten User im Hintergrund läuft und (im Alert Modus) Alerts anzeigt, das Status-Menü bedient, Blocklisten up-to-date hält, bei Bedarf Standortabfragen macht usw. Das sind alles Dinge, die der Daemon nicht darf, weil er nicht in einer User-Sitzung läuft. Bei Little Snitch ist nicht vorgesehen, diesen Prozess zu beenden, weil es immer notwendig sein kann, Alerts anzuzeigen. Auch im Silent Mode werden Alerts bei potentiellen Gefahren angezeigt. Und wir wollen ja die Blocklists täglich updaten. Beim Mini kann man diesen Prozess abdrehen, weil es sowieso keine Verbindungs-Alerts gibt und weil Apple das so verlangt. Wir raten aber davon ab.

Zusammenfassung: Little Snitch als umfangreicher Netzwerkmonitor

Wie ihr seht, so stellt Little Snitch 6 eine neue Stufe in der Entwicklung der umfangreichen Netzwerkbeobachtung und Firewall-Anwendung dar. Sowohl die allgemeine Überwachung von Netzwerkaktivitäten als auch die spezielle Verwendung zur Steuerung und Blockierung einzelner Verbindung bzw. bestimmter App- und Dienste-Gruppen lässt sich jetzt noch einfacher realisieren. Ausprobieren lässt sich dies vermittels einer kostenlosen Demo-Version. Bei Gefallen und dauerhaft anzuwendenden Firewall-Einstellungen kann eine Lizenz ab 59 Euro (bzw. 39 Euro fürs Upgrade einer vorigen Version) erworben werden.

Johannes Domke

Johannes hat nach dem Abitur eine Ausbildung zum Wirtschaftsassistenten in der Fachrichtung Fremdsprachen absolviert. Danach hat er sich aber für das Recherchieren und Schreiben entschieden, woraus seine Selbstständigkeit hervorging. Seit mehreren Jahren arbeitet er nun u. a. für Sir Apfelot. Seine Artikel beinhalten Produktvorstellungen, News, Anleitungen, Videospiele, Konsolen und einiges mehr. Apple Keynotes verfolgt er live per Stream.