Wer von macOS in die Linux-Welt wechselt, vermisst früher oder später genau ein Tool: Little Snitch. Der granulare Netzwerkmonitor war über zwei Jahrzehnte lang das Standardwerkzeug, um das Heimtelefonieren von Apps zu unterbinden.
Auf Linux sah die Landschaft lange mau aus. Es gab offene Alternativen wie OpenSnitch, die sich am gleichen Prinzip orientierten, aber nie ganz den Feinschliff des Originals erreichten. Jetzt haben die Entwickler von Objective Development eine offizielle Linux-Version veröffentlicht.
Die Begründung der Entwickler ist spannend: Sie selbst sind vermehrt auf Linux umgestiegen und haben das Tool schlichtweg vermisst. Eine wachsende Anzahl von Entwicklern sucht nach mehr Privatsphäre und architektonischer Kontrolle – eine Beobachtung, die ich absolut teile.
Die Technik: eBPF statt tiefer Kernel-Hacks
Das Herzstück der neuen Architektur ist eBPF (Extended Berkeley Packet Filter).
Statt riskante Kernel-Module zu bauen, sitzt die Logik als abgeschottetes Programm direkt im Kernel und analysiert ausgehende Verbindungen. Das passiert ohne Performance-Einbußen durch Kontextwechsel in den User-Space. Durch CO-RE (Compile Once – Run Everywhere) läuft das Ganze auf verschiedenen Kernel-Versionen, ohne dass ständig nachkompiliert werden muss.
Voraussetzung ist Kernel 6.12 mit BTF-Support (BPF Type Format). Der dazugehörige Daemon, geschrieben in Rust, wertet die eBPF-Signale aus und präsentiert sie in einer Web-Oberfläche. Man bekommt keine native Desktop-GUI, sondern verwaltet die Blocklisten und Traffic-Diagramme über localhost:3031.
Der Unterschied zu klassischen Firewalls ist elementar.
Während iptables oder nftables stur nach Ports oder IP-Adressen blocken, arbeitet Little Snitch auf App-Ebene. Der Daemon weiß, welcher Prozess die Verbindung aufbaut, und du entscheidest: immer erlauben, einmalig durchlassen oder komplett stoppen.
Zwar fehlt auf Linux die tiefe Paketinspektion (Deep Packet Inspection), die unter macOS möglich ist, aber für klassische Privatsphäre-Szenarien reicht eBPF völlig aus. Firefox funkt direkt beim Start Telemetrie nach Hause? VS Code pingt ungefragt Microsoft-Server? Das Log zeigt es gnadenlos an.
Installation
Solange dein System aktuell ist, bleibt die Installation simpel.
Kernel-Check:
uname -r
Du brauchst mindestens 6.12. Auf aktuellen Rolling-Releases wie Arch Linux klappt das out-of-the-box. Auf Fedora gibt es aktuell noch einen Bug mit Btrfs-Dateisystemen in der Version 1.0.0, wodurch Prozesse nicht sauber zugeordnet werden können. Hier sollte man auf Version 1.0.1 warten.
Pakete gibt es als .deb, .rpm und .pkg.tar.zst direkt auf der offiziellen Download-Seite.
Für Arch / Manjaro:
sudo pacman -U littlesnitch-1.0.0-x86_64.pkg.tar.zst
Danach wird der Daemon via systemd aktiviert:
sudo systemctl enable --now littlesnitch-daemon
Ein Aufruf von littlesnitch im Terminal öffnet direkt die Web-UI im Browser. Keine komplexen Config-Dateien, der Netzwerkverkehr wird sofort gescannt und visualisiert.
Grenzen und Kompromisse
Trotz all des Lobes: Es gibt einen Haken. Der eBPF-Teil und die UI sind zwar quelloffen (GPL2) und auf GitHub einsehbar, aber der Rust-Daemon selbst ist proprietär. Für absolute FOSS-Puristen ist das ein K.O.-Kriterium.
Zudem ist das Tool primär auf Privacy ausgelegt, nicht auf Hardcore-Security. Eine schadhafte App könnte versuchen, den Prozessnamen zu spoofen, da die tiefe Paket-Inspektion fehlt.
Das ist ein technischer Trade-off, den man kennen muss.