Das Blog im Apfelpürée

Du hast dein System eingerichtet, Verbindungen geblockt, die größten Datenlöcher gestopft – aber du willst noch einen Schritt weiter. Nicht, weil du etwas zu verbergen hättest, sondern weil du verstanden hast, dass Datenschutz keine Einstellung ist, sondern eine Haltung. Jetzt geht es um den Feinschliff: zusätzliche Tools, gezielte Abschirmung und die bewusste Trennung deiner digitalen Rollen. Das klingt aufwendig und ist  es manchmal auch. Aber du wirst überrascht sein, wie viel Klarheit und Kontrolle du gewinnst, wenn du dein System zu deinem machst – nicht zu Apples.

Die nächste Stufe der Absicherung  richtet sich an alle, die mehr Kontrolle über ihr digitales Leben wollen – ohne gleich in Paranoia zu verfallen. Es geht nicht darum, sich vollständig von Apple oder dem Internet abzukoppeln, sondern darum, bewusste Entscheidungen zu treffen: Welche Dienste brauche ich wirklich? Welchen Programmen kann ich vertrauen? Und wo gebe ich ungewollt mehr preis, als mir lieb ist?

Die folgenden Maßnahmen helfen dir dabei, dein System so zu konfigurieren, dass es im Alltag nutzbar bleibt – aber im Hintergrund deutlich weniger preisgibt.

Systemstart & Dienste

Setup eines neuen Betriebssystems ohne WLAN und Apple-ID

Ein neues macOS-System lässt sich durchaus ohne WLAN und ohne Apple-ID einrichten – auch wenn Apple dies nicht gerade einfach gestaltet hat. Wer den Datenschutz wirklich ernst nimmt und ein System möglichst ohne Cloud-Anbindung betreiben will, sollte aber schon bei der Ersteinrichtung eines macOS bewusst vorgehen.

Zunächst einmal ist es wichtig, jede Internetverbindung zu unterbinden, bevor du beginnst: Wenn du die Möglichkeit hast, erstellst du dir am besten zuerst einen bootfähigen macOS-Installer auf einem USB-Stick oder einer externen Festplatte. Wie das genau geht, beschreibe ich heir allerdings nicht, das sprengt den Rahmen. Anschließend solltest du beim Instalieren das WLAN deaktivieren und gegebenenfalls das Ethernet-Kabel abziehen.

Beim Start des Macs hältst du bei Intel-Geräten die Tastenkombination Cmd + R gedrückt, um in den Wiederherstellungsmodus zu gelangen. Bei Apple-Silicon-Macs (ab M1) hältst du die Power-Taste so lange gedrückt, bis die Optionen erscheinen. Dort öffnest du zunächst das Festplattendienstprogramm, löscht die interne SSD („Macintosh HD“) und formatierst sie als APFS. Danach wählst du im Menü die Option macOS neu installieren.

Kommt während der Installation die Aufforderung, dich mit einem WLAN zu verbinden, kannst du diese überspringen oder abbrechen. Entweder über Weitere Netzwerkoptionen oder, wenn nötig, durch einen Neustart mit abgezogenem Netz. macOS versucht zwar immer wieder, dich zur Verbindung zu bewegen – aber solange du keine Verbindung herstellst, bleibt das System lokal.

Auch die Anmeldung mit der Apple-ID wird während des Einrichtungsassistenten mehrfach vorgeschlagen. Hier klickst du jeweils auf Später einrichten und anschließend auf "Nicht verwenden". Damit richtest du deinen Mac ohne iCloud, ohne Apple-ID und ohne automatische Synchronisation ein.

Nach Abschluss der Installation solltest du zuerst die Systemeinstellungen aufrufen und dort einige Funktionen manuell deaktivieren: unter anderem die

• Ortungsdienste
• Analyse & Verbesserungen
• Spotlight-Webvorschläge
• Siri und
• andere Dienste, die im Hintergrund Daten senden
• der Schlüsselbund sollte nur lokal funktionieren

Dieses Setup hat natürlich Einschränkungen: Dienste wie Siri, iCloud, App Store, Nachrichten oder FaceTime funktionieren nicht ohne Apple-ID. Wer darauf verzichten kann, gewinnt jedoch deutlich mehr Kontrolle über das eigene System – und schafft die Grundlage für ein wirklich datensparsames Arbeitsumfeld. Updates und Programme können manuell von vertrauenswürdigen Quellen bezogen und z. B. per USB eingespielt werden.

Zwischenfazit: Mit etwas Vorbereitung lässt sich ein Mac auch heute noch relativ gut offline aufsetzen und betreiben – fernab von Apple-Servern und Telemetrie. Ein guter erster Schritt in Richtung digitaler Souveränität.

Firmware-Passwort setzen

Ein Firmware-Passwort auf dem Mac schützt dein Gerät vor unerlaubtem Zugriff – etwa wenn jemand versucht, es von einem USB-Stick oder einer externen Festplatte zu starten. Solche Angriffe – bekannt als Evil Maid-Angriffe – können genutzt werden, um Schadsoftware zu installieren oder deine Daten auszulesen, selbst wenn dein System durch ein Benutzerpasswort geschützt ist.

Um ein Firmware-Passwort zu setzen, musst du in den Wiederherstellungsmodus starten. Der Weg dahin hängt davon ab, ob du einen Intel-Mac oder einen Apple-Silicon-Mac (ab M1) nutzt:

• Intel-Macs: Starte den Mac neu und halte dabei Cmd (⌘) + R gedrückt, bis das Apple-Logo erscheint.
• Apple Silicon (M1/M2): Halte nach dem Ausschalten die Power-Taste gedrückt, bis Lade Optionen erscheint, und wähle dann Optionen > Fortfahren.

Sobald du im Wiederherstellungsmodus bist, wählst du oben in der Menüleiste Dienstprogramme > Startsicherheitsdienstprogramm aus. Dort findest du die Option, ein Firmware-Passwort festzulegen. Du wirst aufgefordert, ein sicheres Passwort einzugeben und dieses zu bestätigen. Wichtig: Dieses Passwort solltest du nirgendwo verlieren, denn ohne es ist dein Mac im Zweifel nicht mehr startbar – auch nicht für dich.

Nach dem Setzen wird dein Mac bei jedem Versuch, von einem anderen Volume als dem internen Systemlaufwerk zu starten, nach dem Firmware-Passwort fragen. Das erschwert physische Angriffe erheblich und verhindert, dass Fremde einfach ein alternatives Betriebssystem oder ein Forensik-Tool booten, um Zugriff auf deine Daten zu erhalten.

Beachte: Das Firmware-Passwort ist kein Ersatz für FileVault, sondern eine zusätzliche Schutzschicht – ideal für alle, die ihren Mac auch unterwegs oder im beruflichen Umfeld nutzen.

Netzwerk & Kommunikation

Firewall + Stealth Mode aktivieren

Um deinen Mac besser gegen unerwünschte Zugriffe aus dem Netzwerk zu schützen, solltest du die integrierte Firewall aktivieren und zusätzlich den sogenannten Stealth Mode einschalten. Beides zusammen sorgt dafür, dass dein Gerät für potenzielle Angreifer schwerer auffindbar und schwerer angreifbar wird.

Gehe dazu wie folgt vor:

Öffne zunächst die Systemeinstellungen und wähle den Bereich Netzwerk oder – je nach macOS-Version – direkt Datenschutz & Sicherheit. Dort findest du unter Umständen die Option Firewall in einem separaten Reiter oder Abschnitt.

Klicke auf das Schloss-Symbol unten links, gib dein Passwort ein, um Änderungen vorzunehmen, und aktiviere anschließend die Firewall. Damit verhinderst du grundsätzlich, dass unerwünschte Verbindungen von außen zu deinem Mac aufgebaut werden können.

Anschließend klickst du auf den Button Firewall-Optionen (oder Erweiterte Optionen) und setzt dort ein Häkchen bei Stealth-Modus aktivieren. Im Stealth Mode reagiert dein Mac nicht mehr auf sogenannte Ping-Anfragen (z. B. von Portscannern) – er erscheint im Netzwerk quasi „unsichtbar“ und macht es Angreifern deutlich schwerer, überhaupt zu erkennen, dass dein Gerät vorhanden ist.

Zwischenfazit: Die Aktivierung von Firewall + Stealth Mode ist eine einfache, aber wirkungsvolle Maßnahme, um deinen Mac gegen unerwünschte Verbindungen aus dem Internet oder lokalen Netzwerken abzusichern – ganz ohne Komfortverlust im Alltag.

Little Snitch oder LuLu im Whitelist-Modus betreiben

Wenn du mit deinem Mac gezielt kontrollieren möchtest, welche Programme wann ins Internet dürfen, sind Tools wie Little Snitch oder das kostenlose LuLu ideale Begleiter. Sie setzen auf das sogenannte Outbound-Firewall-Prinzip: Während Apples eigene Firewall nur eingehende Verbindungen filtert, überwachen diese Programme ausgehende Datenverbindungen – also alle Versuche von Programmen, nach Hause zu telefonieren, Updates zu laden oder Telemetriedaten zu senden - und das sind nicht wenige Programme.

Der Whitelist-Modus ist dabei die strengste, aber auch sicherste Einstellung: In diesem Modus wird standardmäßig jede ausgehende Verbindung blockiert, außer du hast sie vorher explizit erlaubt. So bekommst du volle Kontrolle – aber eben auch viele Rückfragen am Anfang.

So gehst du vor:

1. Lade dir LuLu oder Little Snitch von der offiziellen Webseite herunter und installiere das Tool.
2. Beim ersten Start wirst du gefragt, ob du das Programm in einem bestimmten Modus betreiben möchtest. Wähle „Silent Mode – Deny“ oder „Block All / Whitelist Only“, je nach Wortlaut.
3. Das bedeutet: Nur Programme und Verbindungen, die du manuell freigibst, dürfen ins Netz. Alles andere wird blockiert – auch Apples Systemdienste, sofern du es erlaubst.
4. Wenn ein Programm eine Verbindung herstellen möchte, erscheint ein Dialogfenster mit Details zu Zieladresse, Port, Protokoll und ggf. dem Prozess. Du kannst dann entscheiden: Einmalig erlauben, dauerhaft erlauben oder immer blockieren.
5. Es ist sinnvoll, in den ersten Tagen bewusst zu beobachten, welche Programme eine Verbindung wollen – und nur die zuzulassen, denen du wirklich vertraust (z. B. dein Mailprogramm oder der Browser).

Mit der Zeit entsteht so eine individuelle Positivliste ("Whitelist"), die deinen normalen Arbeitsalltag unterstützt, aber alle unbekannten oder unnötigen Verbindungen zuverlässig unterbindet.

Wichtig: Im Whitelist-Modus kann es sein, dass manche Funktionen erst funktionieren, wenn du ihre Verbindungen explizit genehmigst. Das erfordert ein wenig Geduld – belohnt dich aber mit maximaler Transparenz und Kontrolle.

Ins Web nur mit VPN

Dass du auf Brave oder einen mit uBlock, NoScript gehärteten Firefox hatten wir bereits behandelt, ebenso hatte wir behandelt, wie du Safari sicherer machen kannst.

Ein VPN (Virtuelles Privates Netzwerk) verschlüsselt deine Internetverbindung und leitet den gesamten Datenverkehr über einen sicheren Server – meist in einem anderen Land. Dadurch wird deine IP-Adresse verschleiert, dein Standort anonymisiert und dein Provider (z. B. Telekom, Vodafone) sieht nicht mehr, welche Seiten du besuchst. Besonders in öffentlichen WLANs oder bei sensiblen Recherchen kann ein VPN ein wertvolles Werkzeug sein.

Empfehlenswerte Anbieter wie Mullvad, ProtonVPN oder IVPN setzen auf strikte Datenschutzrichtlinien, verzichten auf Nutzer-Accounts (z. B. bei Mullvad), speichern keine Logs und nutzen sichere Protokolle wie WireGuard oder OpenVPN. Diese Anbieter gelten als besonders vertrauenswürdig, weil sie regelmäßig unabhängige Sicherheits-Audits durchführen und ihren Quellcode teilweise offenlegen.

Doch so hilfreich ein VPN auch sein kann – es ist kein Allheilmittel. Viele Nutzer glauben, mit einem VPN seien sie vollkommen anonym im Netz. Das stimmt nicht. Denn\:

• Der VPN-Anbieter selbst sieht all deinen Datenverkehr – er ersetzt quasi deinen Internetprovider. Wenn du einem schlechten Anbieter vertraust, kannst du schlimmer dran sein als ohne VPN.
• Tracking im Browser (z. B. durch Cookies, Browser-Fingerprinting oder eingeloggte Google-Konten) bleibt auch mit VPN aktiv – der Schutz gilt nur für die Verbindung, nicht für dein Surfverhalten.
• VPNs können selbst zur Datenquelle werden, wenn sie Logs speichern oder unter rechtlichem Druck Daten herausgeben müssen.
• Einige Dienste (z. B. Netflix oder Online-Banking) blockieren VPN-Verbindungen – oder verhalten sich misstrauisch, wenn du ständig mit wechselnden IPs unterwegs bist.

Fazit\: Ein VPN wie Mullvad, ProtonVPN oder IVPN ist ein wichtiges Werkzeug im digitalen Selbstschutz, aber kein Freifahrtschein für vollständige Anonymität. Ein VPN verschlüsselt die Datenübertragung zwischen deinem Gerät und dem Internet – also den Weg, den deine Daten nehmen, bevor sie z. B. auf einer Webseite landen. Dadurch können Dritte (z. B. dein Internetanbieter, ein offenes WLAN oder ein Lauschangriff im Netzwerk) nicht mehr mitlesen, was du im Netz machst.

Aber\: Was du am Ziel tust – also z. B. welche Webseite du aufrufst, was du dort eingibst oder ob du getrackt wirst – das schützt der VPN nicht. Dafür müsstest du zusätzlich den Browser absichern, Tracker blockieren oder deine Logins hinterfragen.

Anders gesagt\: Ein VPN ist wie ein sicherer Tunnel, durch den deine Daten reisen – aber was du am Ende des Tunnels machst, bleibt dein Risiko.

Tools & Ergänzungen

Wen du dein System gezielt absichern will, braucht mehr als nur ein paar Systemeinstellungen – manchmal sind zusätzliche Werkzeuge notwendig, die über die Bordmittel von macOS hinausgehen. Die folgenden Tools erweitern deinen Schutz im Hintergrund: Sie überwachen Mikrofon- und Kamera-Aktivität, spüren hartnäckige Hintergrundprozesse auf oder ermöglichen dir, deine Daten ganz ohne Cloud zentral und verschlüsselt zu synchronisieren. Manche dieser Tools ersetzen unsichere Standardlösungen, andere schaffen Sichtbarkeit für Prozesse, die sonst unbemerkt im Verborgenen laufen. Keine dieser Anwendungen ist ein Allheilmittel – aber jede einzelne ist ein wertvoller Baustein für ein selbstbestimmteres und kontrolliertes digitales Arbeiten.

Noch eine Stufe weiter: Zwei Nutzerkonten

Das Anlegen von zwei Nutzerkonten auf einem Mac ist eine habwegs einfache, aber äußerst wirkungsvolle Maßnahme, um Sicherheit und Datenschutz im Alltag deutlich zu verbessern. Der Grundgedanke ist die bewusste Trennung von Nutzungsbereichen: Während du dein Hauptkonto für alltägliche Aufgaben wie E-Mail, Webrecherche, Medienkonsum oder Office-Anwendungen nutzt, dient das zweite Konto – oft auch als "Clean Account" bezeichnet – speziell für sicherheitskritische oder besonders sensible Tätigkeiten. Dort kann auf Apple-ID, iCloud, Standortdienste, Bluetooth und andere potenzielle Datenquellen komplett verzichtet werden. Auch Internetzugänge lassen sich restriktiv handhaben, etwa durch VPN-Only-Verbindungen oder den Einsatz des Tor-Browsers ohne Hintergrunddienste. Da du auch keinen AppStore nutzen wirst, musst dir deine Prorgamme allerdings auf andere Weise besorgen.

Das hat für dich dann gleich mehrere Vorteile: Zum einen reduzierst du deutlich die Angriffsfläche durch Tracking, Spyware oder kompromittierte Apps, weil das saubere Konto keine personalisierten Einstellungen, keine Cookies und keine synchronisierten Dienste enthält. Zum anderen schützt du dich vor unbeabsichtigter Datenpreisgabe, indem du ganz bewusst steuerst, welche Anwendungen und Verbindungen in welchem Kontext zugelassen sind.

Hinzu kommt ein psychologischer Aspekt: Im Fall eines Geräteverlusts, einer Beschlagnahmung oder anderer Zugriffsszenarien kann ein zweites Konto als Schutzraum dienen – es ist entweder leer, minimal eingerichtet oder sogar verschlüsselt. So erhältst du ein deutliches Plus an Kontrolle, ohne auf den Komfort deines Hauptsystems verzichten zu müssen. Zwei Nutzerkonten sind damit ein einfacher, aber effektiver Weg, die digitale Selbstverteidigung zu stärken.

Fazit:

Der Weg zu einem wirklich abgesicherten macOS-System ist nicht gerade einfacher, aber lohnt sich im Einzelfall. Wer bereit ist, sich über die Werkseinstellungen hinaus mit den Mechanismen von Tracking, Telemetrie und Angriffsszenarien auseinanderzusetzen, wird mit einem Plus an Selbstbestimmung belohnt – auch wenn es mitunter unbequem ist.

Die bisher beschriebenen Maßnahmen richten sich nicht an Paranoiker, sondern an bewusste Nutzer, die verstehen, dass digitale Sicherheit kein Zustand, sondern ein Prozess ist. Jede zusätzliche Schutzschicht – sei es ein Firmware-Passwort, eine Outbound-Firewall oder ein zweites Benutzerkonto – stärkt deine Unabhängigkeit und macht dich weniger angreifbar. Dabei geht es nie um absolute Sicherheit, sondern um informierte Entscheidungen: Welche Risiken bin ich bereit einzugehen? Und wie viel Kontrolle will ich über mein digitales Leben zurückgewinnen? Je klarer du dir darüber bist, desto besser kannst du dein System – und letztlich auch dich selbst – schützen.