Ein DNS-Werbeblocker, und alles andere, was Warda kann

Blockieren

• Eine integrierte Liste, jede Nacht neu erstellt (Ihre Box schaut stündlich nach, ob es eine neue gibt), die Werbung, Tracker, Schadsoftware und Phishing ab der Installation blockiert.
• Schutzlisten, die schneller wachsen: Das Warda-Team übergibt seinem Analysedienst viele Adressen auf einmal; jede wird mit mehreren Quellen (VirusTotal, urlscan.io, Bedrohungs-Feeds) geprüft und automatisch in die Schutzlisten (Phishing, Schadsoftware, Betrug, Werbung …) einsortiert, die jede Box herunterlädt. Sehr beliebte Websites werden nie automatisch einsortiert – ein Mensch prüft sie –, und eine irrtümlich blockierte Website kommt schnell auf eine Whitelist. Dafür gehen nur die Adressen, die das Team einreicht, an diese Dienste, nie Daten Ihres Haushalts.
• Schutz nach Kategorie: Inhalte für Erwachsene, Glücksspiel, soziale Netzwerke, neue Domains und mehr.
• Benannte Dienste (Videoplattformen, Spiele, soziale Netzwerke) blockierbar für das ganze Netzwerk, eine Gruppe, eine Person oder ein einzelnes Gerät.
• Sichere Suche erzwungen bei den wichtigsten Suchmaschinen und bei YouTube.
• Ihre eigene Liste hat immer Vorrang: ein Klick, um eine Seite freizugeben.
• Seite „Von Warda blockiert“ (standardmäßig aktiv und empfohlen; ein Administrator kann eine andere Antwort wählen): Statt einer Seite, die nicht lädt, sieht die Person, dass Warda die Website blockiert hat und warum (ihre Kategorie oder ihre Liste), mit einem Link, um die Freigabe zu beantragen. Bei sicheren Websites (HTTPS) erscheint die Seite ohne Browserwarnung, sobald das haushaltseigene Warda-Zertifikat auf dem Gerät installiert ist: Eine Seite der Box (/certificate) stellt es bereit, mit Schritt-für-Schritt-Anleitungen für Windows, Mac, iPhone und iPad, Android, Linux und Firefox. Diese Zertifizierungsstelle erzeugt Ihre Box selbst, und sie bleibt dort: Sie verlässt die Box nie und ist nie in den Sicherungen enthalten. Manche Apps ignorieren die auf dem Gerät installierten Zertifikate und zeigen weiter ihren eigenen Fehler, und die Seite setzt die Weboberfläche der Box auf den Ports 80 und 443 voraus (bei Docker dürfen diese Ports nicht verlegt sein): Andernfalls sperrt die Box wie bisher still, und ihre Einstellungen nennen den Grund. Nur die Seite, die Sie öffnen, zeigt sie: Gesperrte Werbung und Tracker einer Seite bleiben unsichtbar. Mit Warda Business kann ein Administrator die Person die Website außerdem für 15 Minuten auf ihrem eigenen Gerät entsperren lassen, nachdem sie einen Grund gewählt hat (standardmäßig aus, ein paar Mal am Tag, nie für eine Bedrohung), und die Seite zeigt das Logo des Unternehmens.
• Regeln pro Person oder Gruppe (Beta, kostenlos): Sperren oder erlauben Sie eine Website für eine Person auf allen ihren Geräten, geteilte eingeschlossen, oder für eine ganze Gerätegruppe (die Kameras, die Gäste…), dauerhaft oder für eine Stunde, einen Tag, eine Woche. Die Regel eines Geräts geht der seiner Person vor, diese der seiner Gruppe; auf einem geteilten Tablet sperrt die Sperre einer Person, und eine Erlaubnis braucht alle. Das Journal der Anfragen und die Sperrseite nennen, wessen Regel entschieden hat.

Was Wardas Zähler zählt und wie neue Listen geprüft werden

← Zurück: Unternehmen Weiter: Sicherheit →

Sicherheit

• Schadsoftware, Phishing und Betrug für alle Geräte gesperrt, auch für die, auf denen man nichts installieren kann: Fernseher, Konsole, vernetzte Geräte.
• Reputation der Domains (Beta, kostenlos): Eine Domain, die Ihr Haushalt kaum kennt, wird dem Analysedienst von Warda vorgelegt, der seine Einschätzung gibt. Eine bösartige Domain wird für alle gesperrt, eine verdächtige für Kinder und Jugendliche und eine verdächtige Domain, die jünger als 14 Tage ist, für alle (bei neuen Installationen standardmäßig an). Ein Name, der einen bekannten nachahmt, wird schon bei seiner ersten Anfrage geprüft; alle anderen im Hintergrund: Der allererste Besuch einer nie gesehenen Domain kann also durchgehen, und wird sie als gefährlich eingestuft, folgt die Sperre binnen Minuten. Nur die registrierbare Domain verlässt die Box (beispiel.de), nie das Gerät, die Person oder die Uhrzeit.
• Täuschende Namen: Ein Name, der eine Bank oder einen bekannten Dienst mit Buchstaben eines anderen Alphabets nachahmt (аpple.com), öffnet sich nie; ein Tippfehler (paypa1.com), eine Marke an einem anderen Namen (paypal-login.help) oder in einer Subdomain versteckt (paypal.com.check-account.net) wird gemeldet, und gesperrt, wenn die Domain erst wenige Tage alt ist.
• Ein Bericht der täuschenden Namen: eine Zeile pro Name, mit dem nachgeahmten Namen, der Art, dem, was Warda getan hat (gesperrt oder gemeldet), der Zahl der Anfragen und Geräte, erstem und letztem Auftreten.
• Datenabfluss über DNS gestoppt: Ein Programm, das Daten in den abgefragten Namen versteckt, wird erkannt, seine Domain für dieses Gerät gesperrt, und Sie werden benachrichtigt.
• Angriffe über den Browser (DNS-Rebinding) gestoppt: Ein Internetname, der mit einer Adresse Ihres Zuhauses antwortet (Router, Kamera, NAS), wird gesperrt.
• Spionage-Apps (Stalkerware) erkannt: Die Server, an die diese Apps berichten, werden gesperrt, und die Person, deren Telefon überwacht wird, wird benachrichtigt, nicht nur die Administratoren.
• Fernsteuerungswerkzeuge (AnyDesk, TeamViewer…), die bei falschen Support-Anrufen eingesetzt werden, und ein Gerät, das denselben seltenen Server im Uhrwerktakt aufruft, werden gemeldet.
• Der Sicherheitsbericht erklärt, was normal ist und was nicht, mit einer Schaltfläche für jeden Punkt (Geräte, Warnungen, Schutzfunktionen, Quarantäne ansehen); ein Gerät, das sich wie ein infiziertes verhält, wird darin angezeigt.
• Ein Gerät, das infiziert scheint, kommt mit einem Klick in Quarantäne: Über Warda erreicht es nur noch seine Updates und seinen Virenschutz, bis Sie es freigeben (eine Quarantäne über die Namen: um es ganz abzutrennen, ziehen Sie den Stecker).
• Sichtbarkeit im Internet (Beta, kostenlos): einmal pro Woche oder auf Wunsch prüft der Online-Dienst von Warda von außen die riskanten Ports Ihrer eigenen öffentlichen Adresse, und nur dieser (Remotedesktop, Dateifreigaben, Kameras, Datenbanken …); Warda liest die Ports, die Ihr Router selbst geöffnet hat (UPnP), und sucht Telnet und FTP in Ihrem Netzwerk. Jeder Fund kommt mit seinem Schweregrad und einem einfachen Rat, und jeder neue wird gemeldet. UDP-Dienste und die IPv6-Freigaben der einzelnen Geräte werden nicht geprüft. Ein Befund, der 7 Tage lang nicht wiedergefunden wird, wandert in einen Verlauf, damit Sie sehen, was jetzt offen ist, und die Übersicht hat eine eigene Karte.
• Bekannte Datenlecks (Abonnement, Beta): Die E-Mail-Adressen des Haushalts werden jede Woche mit k-Anonymität gegen bekannte Datenlecks geprüft — nur die ersten 6 Zeichen eines Fingerabdrucks jeder Adresse verlassen die Box, nie die Adresse — und jedes neue Leck wird mit den nötigen Schritten gemeldet. Die Prüfungen beginnen, sobald der Datenleck-Dienst von Warda öffnet; bis dahin bleiben die Adressen gespeichert.
• Ein Passwort testen (Beta, kostenlos): Ihr Browser berechnet seinen Fingerabdruck und sendet nur dessen erste 5 Zeichen; Warda sagt Ihnen, ob das Passwort in bekannten Leaks vorkommt. Das Passwort verlässt den Browser nie.
• Verstecktes Krypto-Mining für alle gesperrt (Beta, kostenlos): Mining-Pools und Miner, die in einer Webseite laufen, antworten nicht mehr, und ein Gerät, das es versucht, wird gemeldet, die Quarantäne einen Klick entfernt.
• Eingeschränkter Modus für vernetzte Geräte (Beta, kostenlos, zu Hause wie im Unternehmen): Einige Tage lang lernt Warda die Namen, die eine Kamera, ein Fernseher oder ein Sensor braucht, und erlaubt danach nur noch diese; jeder andere Name wird gesperrt und gemeldet und lässt sich mit einem Klick wieder erlauben. Ein Programm mit eigenem Resolver umgeht ihn, wie jeden Filter über Namen.
• Diese Schutzfunktionen entschlüsseln nichts: Nur die Namen und die geantworteten Adressen werden gelesen, auf der Box. Nur drei Optionen senden Domainnamen nach außen, und jede lässt sich ausschalten: die zweite Meinung (eine verdächtige Domain, allein, um ihr Alter zu erfahren), die Reputation der Domains (die registrierbare Domain der Namen, die der Haushalt kaum kennt) und die Kollektive Basis (nur registrierbare Domainnamen, standardmäßig aus).
• Über jede Warnung entscheiden (Abonnement, Beta): das Risiko akzeptieren (die passende Freigabe), ablehnen (die Sperre oder die Quarantäne des Geräts) oder weiter beobachten (höchstens alle 14 Tage erneut gemeldet, solange es andauert); jede Entscheidung ist datiert, protokolliert und mit einem Klick rückgängig zu machen. Ein Gerät, dessen Tag viel lebhafter oder ruhiger ist als gewohnt, löst ebenfalls eine Warnung aus.
• Datenabfluss an den Eintragstypen erkannt (Beta, kostenlos, ab Warda 0.9.10): Neben der Form der Namen achtet Warda auf die Art der Einträge, die ein Gerät abfragt; eine Häufung seltener Einträge (TXT, NULL, MX, ANY…), die Daten an dieselbe Domain tragen, wird für dieses Gerät gestoppt, während Mailserver, die SPF, DKIM und DMARC prüfen, unbehelligt bleiben.
• Geräte, die womöglich ein anderes DNS nutzen (Beta, kostenlos, ab Warda 0.9.10): Ein Gerät im Netzwerk, das Warda nie fragt oder nicht mehr fragt, wird mit den zu prüfenden Punkten aufgeführt (privates DNS, VPN, iCloud Privat-Relay, sicheres DNS des Browsers, IPv6-DNS des Routers) und löst einmal am Tag eine Warnung aus. Anfragen direkt an einen anderen Server sieht Warda nicht: Sie stoppt das Schließen der Ports 53 und 853 im Router.
• Eine lizenzierte Liste zu Darstellungen sexuellen Kindesmissbrauchs (Beta, kostenlos, ab Warda 0.9.10): Eine Organisation mit der Lizenz einer befugten Stelle wie der IWF kann Warda die Adresse ihrer Hash-Liste geben; sie wird über HTTPS geladen, auf alle Geräte angewandt und ist auf der Box nie lesbar. Warda selbst besitzt keine solche Liste.
• Eine Domain analysieren (Beta, kostenlos, ab Warda 0.9.10): Von jeder Zeile des Journals der Anfragen aus fragt Analysieren den Analysedienst von Warda nach der Domain — nur die Domain verlässt die Box — und zeigt sein Urteil (bösartig, verdächtig, vertrauenswürdig oder unbekannt), eine Note von 100, die Gründe und das Alter der Domain. Eine schädliche Domain wird dem Warda-Team für die gemeinsamen Listen vorgeschlagen, nie von selbst aufgenommen: Jede Box sperrt sie, sobald das Team sie geprüft hat. Auf Ihrer eigenen Box entscheiden Sie: sperren oder erlauben. Bis zu 20 Analysen pro Stunde.

DNS-Exfiltration: was Warda erkennt

← Zurück: Blockieren Weiter: Lernen →

Lernen

• Warda lernt aus den Anfragen Ihres Netzwerks, auf drei Stufen: gering, mittel, stark.
• Jeder Vorschlag kommt mit seinem Kontext: das Gerät, die Uhrzeit, die Anfrage direkt davor.
• Ein Tab „Beobachtete Namen“ zeigt jeden verdächtigen Namen, den Warda beobachtet, und warum er noch nicht vorgeschlagen wird: erste Beobachtungstage, Wert unter Ihrer Stufe, nur von neuen Geräten oder von Servern angefragt, Wochenlimit erreicht. Eine Analyse lässt sich jederzeit starten. Ein Diagramm setzt jeden Namen gegen die Schwellen der drei Stufen (niedrig 90 %, mittel 70 %, stark 50 %), Ihre Stufe hervorgehoben, mit einer Detailansicht nach Grund und nach Rolle.
• Standardmäßig wird nichts ohne Sie blockiert: Vorschläge werden in einer wöchentlichen Zusammenfassung gebündelt.
• Sichere neue Tracker automatisch gesperrt (Option, Beta, kostenlos; nur auf der Stufe Stark): Die neuen Tracking- und Telemetrie-Namen, bei denen Warda am sichersten ist — Fernseher und vernetzte Geräte senden viele davon —, werden von selbst gesperrt, höchstens einige pro Woche, nie eine Seite, die Sie nutzen oder erlaubt haben. Jeder steht in einer Liste und lässt sich mit einem Klick rückgängig machen; danach wird er nie wieder automatisch gesperrt.
• Die Kollektive Basis (Abonnement, Beta), standardmäßig aus: Sobald ein Administrator sie einschaltet, fragt Warda den Analysedienst von Warda nach seiner Meinung zu den Namen, an denen es zweifelt – wie ein EDR, das seine Cloud um eine zweite Meinung bittet. Die Meinung (sauber, verdächtig oder bösartig, mit Gründen) erscheint bei den Vorschlägen, und gefährliche Namen, die in Ihrem Netzwerk gesehen wurden, kommen als Vorschläge mit der Markierung „Kollektive Basis“ zurück. Nichts wird je ohne Sie blockiert.
• Nur registrierbare Domainnamen verlassen die Box, nie ein Gerät, eine Person, eine Uhrzeit oder eine Adresse, und der Analysedienst erfährt nie, welche Box fragt. Das Dashboard zeigt die Kollektive Basis bei der Arbeit: letzte Austausche, in 7 Tagen erhaltene Meinungen, Zustand des Analysedienstes.
• Das Modell des Lernens (Beta, kostenlos, ab Warda 0.9.10): Die Box kann ein kleines Modell nutzen, das mit den Entscheidungen der Administratoren vieler Warda-Boxen trainiert wurde. Es macht Warda bei einem Namen mehr oder weniger sicher und kann einen verdächtigen Namen vorschlagen, den die Regeln übersehen — stets erklärt (was am meisten wog), nie ohne Sie angewandt, im selben Wochenlimit. Das Modell wird signiert geladen und läuft auf der Box: Nichts aus Ihrem Netzwerk verlässt sie dafür.

← Zurück: Sicherheit Weiter: Familie →

Familie

• Eine Karte pro Person, mit ihren Geräten, und Profile passend zum Alter.
• Kinder werden automatisch mit 15 zu Jugendlichen und mit 18 zu Erwachsenen.
• Ein Gerät, das sich mehrere Personen des Haushalts teilen, folgt dem Profil mit dem stärksten Schutz unter denen, die es nutzen; seine Zeit und seine Aktivität werden als „geteiltes Gerät“ angezeigt und zählen bei niemandem zur persönlichen Summe.
• Eine Pause für ein Gerät oder für das ganze Haus, ohne durchzulassen, was für die anderen blockiert bleibt.
• Ein Konto für jeden Erwachsenen, mit einem übersichtlichen Dashboard; ein Erwachsener, der detaillierten Berichten nicht zugestimmt hat, zählt trotzdem in den Summen mit, aber die Namen, die er besucht, bleiben privat.
• Das Anfrageprotokoll zeigt die Person hinter jedem Gerät, sonst seine Gruppe, und filtert nach Person oder Gruppe. Jedes Konto kann es öffnen: ein Mitglied sieht nur seine eigenen Geräte, die Administratoren sehen alles.
• Für alle gut lesbar: lange Listen in Seiten zu 10 bis 100 Zeilen, in der Geräteliste jede zweite Zeile leicht schattiert, eine sanfte Farbe für jede Person und jede Gruppe.
• Schutz außerhalb des Hauses (Abonnement, Beta): Ein Telefon, Tablet oder Laptop behält seine Regeln über mobile Daten und in anderen WLANs — der Online-Dienst von Warda reicht seine Anfragen an Ihre Box weiter, die mit den Regeln dieses Geräts antwortet. Ein Profil für iPhone, iPad und Mac, eine App wie RethinkDNS oder Intra unter Android, eine Einstellung in Windows 11 und in den Browsern. Ist Ihre Box nicht erreichbar, werden die Anfragen ohne Ihre Regeln beantwortet (von einem Resolver, der bekannte Schadsoftware sperrt) und gezählt.
• Mobile Daten zu Hause (Abonnement, Beta): Wechselt das außerhalb des Hauses geschützte Telefon eines Kindes kurz nach dem Aufenthalt in Ihrem Netzwerk zu mobilen Daten, werden die Eltern benachrichtigt; Warda kann nicht unterscheiden, ob das Kind noch zu Hause ist oder gerade gegangen ist, und sagt das auch. Hört in diesem Moment ein anderes Gerät des Kindes auf, Warda zu fragen, meldet Warda, dass es wahrscheinlich die geteilte Verbindung nutzt: eine Wahrscheinlichkeit, kein Beweis.
• Die Zusammenfassung der Woche (Abonnement, Beta) für die Kinder, die Jugendlichen und die Erwachsenen, die den ausführlichen Berichten zugestimmt haben, 52 Wochen aufbewahrt und jeden Montag per E-Mail über Ihren eigenen Mailserver gesendet, nie über den Online-Dienst von Warda; die Schulferien nach Ferienzone gewählt, wo das Land welche hat (Frankreich A, B, C).

Kindersicherung auf DNS-Ebene: so funktioniert sie

← Zurück: Lernen Weiter: Verschlüsseltes DNS →

Verschlüsseltes DNS

• Anfragen ins Internet standardmäßig verschlüsselt (DNS über HTTPS oder TLS), validiert mit DNSSEC.
• Ihre Geräte können mit Warda per DNS über HTTPS, TLS oder QUIC kommunizieren, mit einem Namen und einem Zertifikat, die Warda kostenlos bereitstellt.
• Sollte eine unserer Domains einmal nicht mehr verfügbar sein, würde Warda von selbst auf eine andere unserer Domains wechseln, auf eine von uns signierte Anweisung hin, und Ihnen sagen, ob Ihre Geräte seinen neuen Namen brauchen.
• Sobald die Box ihren Namen und ein gültiges Zertifikat hat, wechselt die Oberfläche von Warda von selbst zu HTTPS unter dem Namen der Box, ohne Warnung des Browsers; wird das Zertifikat ungültig, kehrt sie von selbst zu ihrem vorherigen Verhalten zurück.
• Wenn Warda ausfällt, funktioniert das Internet ohne Filterung weiter, und Sie werden benachrichtigt.
• Eine Schritt-für-Schritt-Anleitung für jede Geräteart (Android, iPhone, Mac, Windows, Linux, Browser), einen Klick entfernt in der Oberfläche; alle 15 Minuten prüft eine Sonde jedes Protokoll wirklich.

← Zurück: Familie Weiter: Netzwerk →

Netzwerk

• Ein optionaler DHCP-Server, IPv4 und IPv6, mit reservierten Adressen und lokalen Namen.
• Lokale DNS-Einträge für Ihre eigenen Dienste.
• Lokale Namen, die niemand im Netzwerk kennt (nas, .lan, .home…), beantwortet Warda selbst und schickt sie nie ins Internet: Die Namen des Hauses bleiben im Haus. Außer Haus bekommt ein über den Online-Dienst geschütztes Gerät für diese Namen keine Antwort, ebenso wenig für die lokalen Einträge und die Namen der Geräte: Sie funktionieren nur zu Hause.
• Die lokale Domain wählen Sie frei: .lan, .home.arpa, .internal, .local oder eine Domain, die Ihnen gehört. Warda warnt, ohne abzulehnen: .local ist auch die Domain von Bonjour (mDNS), sodass manche Geräte auf diese Namen langsam antworten können, und eine Domain, die es im Internet gibt, beantwortet Warda für die Geräte des Netzwerks selbst.
• Eine Netzwerkprüfung alle 5 Minuten: Die Box, die ihren eigenen IPv6-DNS-Server ankündigt, und Geräte, die den Filter nie fragen, werden erkannt – mit einer Anleitung Box für Box (Freebox, Livebox, Bbox, SFR Box, Synology…) und im Assistenten; ein Gerät mit absichtlich eigenem DNS (Drucker, Kamera) lässt sich ignorieren.
• Ein farbiger Plan des Netzwerks, der auf den Bildschirm passt, auf dem Handy wie am Computer: der Router, die Switches, die WLAN-Access-Points und die Geräte an jedem, ein Symbol je Geräteart, der Internet-Router und Warda hervorgehoben, die Verbindungen nach Art und Zustand gefärbt, und eine Legende; mit einem verwalteten Switch (SNMP, nur lesen) steht jedes Gerät an seinem Port und unter seinem Access Point.
• Der Hersteller jedes Geräts aus den drei Registern der IEEE, und Namen für Telefone mit privater Adresse: der Name, den sie der Box beim WLAN-Beitritt nennen, sonst ihr System (Apple-Gerät, Android-Telefon mit Hersteller, Windows-Computer). Die Hersteller werden jeden Tag mit den Listen neu heruntergeladen, und virtuelle Maschinen und Container werden als solche benannt.
• Eine Art für jedes Gerät, mit ihrem Symbol: Telefon, Tablet, Computer, Server, Firewall oder Router, Access Point oder Switch, Drucker, Fernseher, Spielkonsole, smarter Lautsprecher, Kamera, vernetztes Gerät, Speicher (NAS), Uhr. Warda schlägt sie nach dem vor, was es erkennt (Hersteller, System, Name), und überschreibt nie Ihre Wahl; die Liste lässt sich nach Art filtern. Das System eines Telefons mit privater Adresse wird an den Namen erkannt, die nur dieses System anfragt, und nie aus seiner Adresse geraten.
• Ein Gerät je Maschine: eine zweimal gesehene Maschine (eine neue IPv6-Adresse, ein anderer Name vom Router) wird von selbst zusammengeführt, und die Namen verlieren die lokale Domain (aus nas.home.lan wird nas); eine Zusammenführung geht auch von Hand.
• Das Dashboard erzählt, was passiert ist: der Zustand der Box live, mit Balken, die orange und dann rot werden, wenn Prozessor, Arbeitsspeicher, Speicherplatz oder Temperatur steigen, Last und Netzwerkverkehr der letzten Stunde als Diagramme; und im Aktivitätsdiagramm eine Markierung für jede Warnung, jedes Update und jeden Neustart, zu ihrer Zeit; jede Zahl des Schutzes hat ihr Symbol, und in den Berichten färben sich die Stunden der Aktivität von Grün bis Rot: die belebtesten fallen sofort auf. Das Aktivitätsdiagramm markiert auch die Aktualisierungen der Listen und die Websites der überwachten Kategorien; in den Berichten Halbringe an den Zahlen, die Anfragetypen jedes Geräts und eine auf der Box gezeichnete Weltkarte.
• Die Internet-Router von 45 Anbietern in Europa (EU, Vereinigtes Königreich, Schweiz, Norwegen) und 21 Familien privater Router, Mesh-Systeme eingeschlossen (Deco, Orbi, Velop, Nest Wifi, eero, UniFi …), vom Assistenten erkannt: Er sagt, wo Warda als DNS-Server einzutragen ist, zeigt die Box hinter Ihrem eigenen Router (doppeltes NAT) und sagt Ihnen, wann Warda besser die Adressen vergibt.
• Weitere Netzwerke des Standorts (Beta, kostenlos): Die VLANs für Gäste, Kameras oder vernetzte Geräte werden mit zwei Feldern angegeben (ein Name, ein Bereich); Warda beantwortet sie, scannt ihre Geräte mit dem Netzwerk der Box, benennt ihre Geräte danach und schlägt Netzwerke vor, die es ohne Angabe fragen sieht.
• Eine Geräteliste, die übersichtlich bleibt (Beta, kostenlos): Löschen Sie ein Gerät, mehrere auf einmal oder in einem Zug die nur über IPv6 bekannten oder seit einer Anzahl Tagen nicht gesehenen; Warda zählt sie vorher. Das Journal eines gelöschten Geräts wird entfernt, seine Zahlen bleiben in der Statistik; die Box selbst wird nie gelöscht.
• Ein Journal der Anfragen, das mit einem vollen Netzwerk Schritt hält (ab Warda 0.9.10): Bei Millionen Anfragen erscheinen die Zeilen sofort, die Gesamtzahl einen Moment später, und die Seiten lesen nie das ganze Journal.

Ausgehendes DNS am Router sperren

← Zurück: Verschlüsseltes DNS Weiter: Unternehmen →

Unternehmen

• Gruppen von Mitarbeitern und Servern, mit Regeln für alle.
• Globales Aktivitätsprotokoll und Warnungen bei sensiblen Kategorien.
• Administrator oder Mitglied in jedem Tarif. Mit Warda Business Gruppen von Konten, jede mit Rollen aus einem Katalog (Konten und Gruppen, Sicherung und Wiederherstellung, Netzwerk, Tagesgeschäft, Berichte und Protokolle, nur Lesen …); niemand vergibt ein Recht, das er selbst nicht hat, und jede Änderung wird im Aktivitätsprotokoll festgehalten. Das Notfallkonto kann nie gelöscht oder herabgestuft werden: Nur Administratoren können es zurücksetzen.
• Freigabeanfragen (Beta): Wer im Team arbeitet, wählt einen auf dem eigenen Gerät blockierten Namen, bittet um 15, 30, 45 oder 60 Minuten oder eine dauerhafte Freigabe und begründet das; ein Administrator genehmigt oder lehnt im Dashboard ab, mit einem Kommentar, und der Verlauf bewahrt jede Anfrage. Bedrohungen werden so nie freigegeben. Erlaubt es der Administrator (standardmäßig aus), kann die Person vor der Sperrseite eine Website außerdem für 15 Minuten auf ihrem Gerät entsperren, nachdem sie einen Grund gewählt hat, ein paar Mal am Tag; jede Entsperrung wird protokolliert und löst eine Warnung aus.
• Export an Ihr SIEM (Wazuh, Graylog, Elastic, Splunk, Sentinel): Warnungen, Verwaltungsprotokoll und gesperrte Namen, per Syslog in JSON oder CEF.
• Schutz vor Datenverlust (DLP, Beta) auf DNS-Ebene: Dateiübertragungen, privater Speicher, Paste-Dienste, anonyme Datei-Hoster, privater Webmail und KI-Assistenten, jeweils auf Erlauben, Warnen oder Blockieren für das Netzwerk, eine Gruppe, eine Person oder ein Gerät. Ein Bericht nach Kanal, Gerät und Person, die Ereignisse an Ihr SIEM und ein fertiger Text, um die Mitarbeitenden zu informieren, wie es das Gesetz verlangt.
• Sicherheitszentrale (Beta): eine Punktzahl von 100 mit ihrem Verlauf über 7 oder 30 Tage und die Maßnahmen nach Priorität, jede mit ihrer Schaltfläche zum Beheben: infizierte Geräte oder in Quarantäne, täuschende Namen, fehlende Sicherungen, Administratoren ohne zweiten Faktor, ausstehende Updates …
• KI-Dienste (Beta): welche Assistenten genutzt werden, von welchem Gerät und welcher Person, und seit wann; erlaubt, gemeldet oder blockiert für das Netzwerk, eine Gruppe, eine Person oder ein Gerät, alle zusammen oder einzeln (ChatGPT erlauben, DeepSeek blockieren).
• Geräterichtlinien (Beta): die Regeln jeder Gerätegruppe in einer Tabelle (Schutzfunktionen, SafeSearch, Dienste, DLP, Grundregeln) und eine Konformitätsliste: niemandem zugeordnete, stille, den Filter umgehende und in Quarantäne befindliche Geräte.
• Verzeichnis (Beta): die Personen aus Active Directory oder OpenLDAP (LDAPS oder StartTLS), aus Microsoft Entra ID oder aus Google Workspace stündlich importiert, die Gruppen des Verzeichnisses Gerätegruppen zugeordnet. Sie melden sich bei Warda mit dem Passwort des Verzeichnisses an, oder mit „Mit Microsoft anmelden“ oder „Mit Google anmelden“, und die Gruppen des Verzeichnisses geben ihnen ihre Rechte; eine im Verzeichnis deaktivierte Person wird beim nächsten Import abgemeldet. Die Konten von Warda behalten ihr eigenes Passwort, falls das Verzeichnis nicht antwortet.
• Unternehmensberichte (Beta): eine Übersicht der Woche oder des Monats, druckfertig: Anfragen, Sperren, Sicherheitswert, Warnungen, DLP und KI, nach Person und nach Geräteart; sie öffnen sich sofort, jede Stunde neu berechnet oder auf Wunsch. Mit dem Logo des Unternehmens, das auch auf der Sperrseite und der Seite der Freigabeanfragen erscheint.
• Hochverfügbarkeit (Beta): zwei gekoppelte Boxen und eine gemeinsame Adresse, IPv4 und IPv6 (VRRP, keepalived): Fällt die erste aus, antwortet die zweite an ihrer Stelle, mit jede Minute kopierten Einstellungen, und die Administratoren werden benachrichtigt. Die sekundäre Box ist schreibgeschützt, sodass nichts versehentlich an ihr geändert wird; die Berichte der primären zählen beide Boxen; ist die primäre endgültig verloren, ersetzt die sekundäre sie mit einem Klick. Die zweite Box übernimmt auch den Schutz außer Haus.
• Standorte (Beta): Die Boxen entfernter Standorte treten mit einem Code bei und werden von einer Verwaltungsbox aus verfolgt. Von der Zentrale aus: eine Richtlinie für alle Standorte (Unternehmensregeln, Schutz vor Datenabfluss, KI-Dienste, Geräterichtlinien), von der Verwaltungsbox signiert und von jeder Box geprüft, mit oder ohne lokale Ausnahmen; alle Standorte oder einige auf einmal auf die neueste signierte Version aktualisiert; ein Unternehmensbericht, der die Zahlen jedes Standorts addiert, nie einen Namen; und eine Warnung, wenn ein Standort einen Tag lang schweigt.
• Web-Proxy (Beta, standardmäßig aus): ein expliziter Proxy in der Box, den Computern vom Netzwerk angekündigt (WPAD) oder per Unternehmensrichtlinie gesetzt. Jede Website, die sie öffnen, wird nach denselben Regeln wie beim DNS entschieden, auch in einem Browser mit eigenem verschlüsseltem DNS; mit einer Firewall-Regel (Ports 80 und 443 ausgehend nur für die Box, QUIC abgelehnt) wird er zum einzigen Weg nach draußen. Jede Verbindung wird mit Website, Gerät und Volumen protokolliert, und die genutzten KI-Dienste, Dateifreigaben und Webmails werden pro Gerät gezeigt — aus dem Namen im TLS-Handshake gelesen: Nichts wird entschlüsselt, alles bleibt auf der Box. Apps von Handys und Geräten ignorieren Proxys oft: Der DNS-Filter schützt sie weiter.
• Die Warnungen des Paares und der Standorte auf dem Handy (Beta, ab Warda 0.9.10): Die Administratoren erhalten eine Push-Benachrichtigung, wenn eine Box des Paares übernimmt, wenn die andere Box verloren ist, wenn die Hauptbox ersetzt wurde oder wenn ein Standort schweigt — auch wenn die ausgefallene Box die Hauptbox ist.

DNS-Filter für ein kleines Unternehmen: so funktioniert er

← Zurück: Netzwerk Weiter: Blockieren →