OPNsense vs pfSense: Welche Firewall für zu Hause?

OPNsense und pfSense sind die beiden Open-Source-Firewall-Distributionen. Beide basieren auf FreeBSD und nutzen pf (Packet Filter). Aber welche ist die bessere Wahl für Ihr Heimnetz?

Die Kontestanten

pfSense (Netgate)

Der Pionier. Seit 2004 im Markt, entwickelt von Netgate. Große Community, breite Hardware-Unterstützung, Enterprise-Einsatz.

OPNsense (Deciso)

Der Fork. 2015 von pfSense abgespalten, entwickelt von Deciso. Moderneres UI, schnellere Updates, besserer Sicherheits-Fokus.

Direktvergleich

| Eigenschaft | pfSense 2.8 | OPNsense 24.7 |
|-------------|-------------|---------------|
| Basis | FreeBSD | FreeBSD (HardenedBSD) |
| UI | Funktional, etwas alt | Modern, übersichtlich |
| Update-Geschwindigkeit | Langsamer | Schneller |
| Security | Gut | Besser (HardenedBSD) |
| Plugins | pfSense Package Manager | OPNsense Plugins |
| WireGuard | ✅ | ✅ |
| OpenVPN | ✅ | ✅ |
| HAProxy | ✅ | ✅ |
| IDS/IPS (Suricata) | ✅ | ✅ |
| Zenarmor (AI-Firewall) | ✅ | ✅ |
| Reporting | (Basic) | NtopNG, NetFlow |
| DNS (Unbound) | ✅ | ✅ |
| VLANs | ✅ | ✅ |
| Multi-WAN | ✅ | ✅ |
| Preis | Kostenlos | Kostenlos |

Features: Wo liegen die Unterschiede?

1. Security: OPNsense vorne

OPNsense läuft auf HardenedBSD, einer sicherheitsverstärkten Variante von FreeBSD. Das bietet:

ASLR (Address Space Layout Randomization)

W^X (Write XOR Execute) Memory Protection

Hardened Toolchain (PIE, RELRO, Stack Canaries)

Regelmäßige Security-Audits

pfSense nutzt Standard-FreeBSD ohne diese Härtungen.

2. Usability: OPNsense vorne

OPNsense hat ein moderneres Web-Interface. Besser strukturiert, klarere Wege, mehr Visualisierungen.

pfSense wirkt altbacken. Die Menüstruktur ist nicht immer intuitiv. Für erfahrende Netzwerker kein Problem, aber Einsteiger finden sich in OPNsense schneller zurecht.

3. Update-Geschwindigkeit: OPNsense vorne

OPNsense veröffentlicht Major Releases alle 6 Monate. Security-Patches kommen innerhalb von Tagen.

pfSense ist langsamer: Major Releases dauern oft 1-2 Jahre. Security-Patches sind zuverlässig, aber Feature-Updates selten.

4. Plugins: Beide gut

Beide Systeme haben reiche Plugin-Ökosysteme. Die wichtigsten:

| Plugin | pfSense | OPNsense |
|--------|---------|----------|
| Suricata (IDS/IPS) | ✅ | ✅ |
| HAProxy | ✅ | ✅ |
| ACME (Let's Encrypt) | ✅ | ✅ |
| WireGuard | ✅ | ✅ |
| NtopNG | ❌ | ✅ |
| Zenarmor | ✅ | ✅ |
| Telegraf (Monitoring) | ✅ | ✅ |
| BIND (DNS Server) | ✅ | ✅ |
| FritzBox DynDNS | ✅ | ✅ |
| WireGuard Config Import | ✅ | ✅ |

OPNsense hat mit NtopNG einen Vorteile bei der Netzwerk-Visualisierung. pfSense hat Zenarmor etwas besser integriert.

5. Hardware-Kompatibilität: pfSense vorne

pfSense unterstützt eine breitere Palette an Hardware, besonders:

Intel i226/i225 NICs (besser supported)

Ältere Hardware

Exotische NICs

OPNsense läuft auf fast derselben Hardware, aber bei sehr alten oder exotischen Setups kann pfSense kompatibler sein.

Hardware für Heimanwender

| Hardware | Preis | Empfohlen für |
|----------|-------|---------------|
| Protectli VP2420 (4× i226) | ~400 € | Einsteiger |
| Netgate 4100 (pfSense offiziell) | ~400 € | pfSense-Nutzer |
| Netgate 6100 | ~700 € | Prosumer |
| Qotom Q355G4 (4× i226) | ~300 € | Budget |
| Deciso OPC1 (OPNsense offiziell) | ~500 € | OPNsense-Nutzer |
| APU2E4 (PC Engines) | ~200 € | Low-Power (gebraucht) |
| Eigener Build (Intel N100) | ~250 € | DIY |

Tipp: Ein Intel N100 Mini-PC mit 4× i226 NIC (~250 €) ist die beste Price/Performance-Lösung 2026. Leise, stromsparend, leistungsstark.

👉 Firewall-Appliances auf Amazon

VPN: WireGuard auf pfSense/OPNsense

Beide Systeme unterstützen WireGuard nativ.

WireGuard-Setup (OPNsense)

Installieren Sie das os-wireguard Plugin

Neuen Server erstellen

Peer hinzufügen (QR-Code für Mobile)

Tunnel aktivieren

WireGuard-Setup (pfSense)

WireGuard Package installieren

Tunnel-Instanz erstellen

Peers hinzufügen

Firewall Rules für WG-Interface setzen

Beide Systeme sind hier gleich gut. OPNsense's UI ist etwas intuitiver.

Wann pfSense, wann OPNsense?

pfSense wählen, wenn:

Sie auf bewährte Enterprise-Lösung setzen

Maximale Hardware-Kompatibilität wichtig ist

Sie offizielle Netgate-Hardware nutzen wollen

Große Community für Support wichtig ist

OPNsense wählen, wenn:

Ihnen Security das Wichtigste ist (HardenedBSD)

Sie ein modernes, intuitives UI bevorzugen

Schnelle Updates und neue Features wichtig sind

Sie NtopNG-Netzwerkvisualisierung wollen

Sie open-source-beliebt bleiben wollen (OPNsense ist MIT-lizenziert)

Migration: pfSense zu OPNsense (und umgekehrt)

Direkte Migration?

Nein. Es gibt keinen direkten Config-Konverter. Die Systeme sind zu unterschiedlich.

Manuelle Migration

Config auf dem alten System notieren (Interfaces, Rules, VPN, DHCP)

Neues System installieren

Config manuell nachbauen

Aufwand: Für ein typisches Heimnetz 2-4 Stunden.

FAQ

Brauche ich eine dedizierte Firewall für zu Hause?

Wenn Sie nur surfen und streamen: nein (FritzBox reicht). Wenn Sie: VLANs, VPN, IDS/IPS, mehrere Netzwerke, oder Server betreiben wollen: ja.

Läuft OPNsense/pfSense auf einem Raspberry Pi?

Nein. Beide Systeme sind x86-only (FreeBSD). Für ARM-Firewalls nutzen Sie OpenWrt oder VyOS.

Kann ich meine FritzBox als Modem nutzen?

Ja. FritzBox im Modem-Mode (oder als reines Modem) → LAN-Kabel zur Firewall → Firewall übernimmt Routing. Die FritzBox kann parallel für Telefonie (DECT/ISDN) weiterlaufen.

Was ist mit UniFi USG / Dream Machine?

Die UniFi-Geräte sind gute Firewalls, aber weniger mächtig als OPNsense/pfSense. IDS/IPS ist limitiert. VPN ist rudimentär. Wer volle Kontrolle will: UniFi für LAN + OPNsense/pfSense als Firewall.

Fazit

2026 geht die Tendenz klar zu OPNsense. Bessere Security (HardenedBSD), moderneres UI, schnellere Updates. pfSense bleibt solide, ist aber zunehmend angestaubt.

Empfehlung:

Einsteiger: OPNsense auf Intel N100 Mini-PC (~250 €)

Prosumer: OPNsense auf Protectli VP2420 (~400 €)

Enterprise/Netgate-Fans: pfSense auf Netgate 6100 (~700 €)