Netz und Privatsphäre

Diese Seite sagt, wann NULLos ins Netz geht, wie du das Netz ein- und ausschaltest und wie wir den Netzverkehr prüfen. Dazu gehört ehrlich auch das, was vor NULLos passiert: Die Firmware deines Rechners kann schon vor dem Start Pakete senden.

Die Regel: ab Werk still

Ab Werk sendet NULLos ohne dein Zutun kein einziges Paket: kein DHCP, kein DNS, keine Zeitabfrage (NTP), kein mDNS, keine Update-Prüfung, keine Telemetrie, keine dauernde Verbindung. Das Netz kommt erst, wenn du es einschaltest.

Kommen später Netzfunktionen dazu, etwa ein automatischer Updater, dann nur so: sichtbar, abschaltbar, nur zu festen, hier genannten Zielen wie nullos.de und ohne Gerätekennung.

Netz ein- und ausschalten

An der Konsole:

Ist das Netz aus, melden Programme wie dl, fz, vc oder ssh:

Netz ist aus – mit net up einschalten

Verbindungen zum eigenen Rechner (127.0.0.1, ::1) gehen immer.

net status zeigt in der ersten Zeile den Stand, zum Beispiel netz aus (einschalten: net up). Im Desktop steht er oben rechts in der Leiste („Netz aus“). Geprüft am 31.10.2026 mit 0.3.4 in QEMU.

So prüfen wir den Netzverkehr

Wir starten NULLos in QEMU mit einer Netzkarte und schneiden jedes Paket mit, das die virtuelle Maschine sendet:

• Netz: das Benutzernetz von QEMU (-netdev user), Karte virtio-net ohne Boot-ROM.
• Mitschnitt: direkt an der Netzkarte der VM (filter-dump), ab dem Einschalten, als PCAP-Datei.
• Auswertung: mit tcpdump und Wireshark.
• Vor jedem Release läuft diese Prüfung automatisch: NULLos startet, bis zur Anmeldung, dann 300 Sekunden ohne Bedienung. Jedes Paket der VM wird gezählt. Erlaubt ist ab Werk keins.

Was man im Mitschnitt sieht und was es bedeutet:

Keine dieser Adressen gehört einem Hersteller: Beim ersten Byte 52 ist das Bit „lokal vergeben“ gesetzt.

Das Benutzernetz von QEMU antwortet selbst, auf deinem Rechner, nicht aus deinem Heimnetz. QEMU könnte aber Verbindungen über deinen Rechner nach draußen weiterleiten. Deshalb zählt die Prüfung jedes Paket, auch solche an Adressen außerhalb des QEMU-Netzes.

Was vor NULLos ins Netz geht

Bevor NULLos startet, läuft die Firmware deines Rechners (UEFI). Viele Firmwares bringen eigene Netztreiber mit und können schon dann Pakete senden. Das liegt außerhalb von NULLos, kein Betriebssystem kann es verhindern. Abschalten kannst du es nur in der Firmware selbst.

In QEMU (gemessen)

In QEMU ist die Firmware OVMF aus dem Projekt TianoCore/EDK II. Sie kommt mit QEMU mit (bei Homebrew die Datei edk2-x86_64-code.fd) und bringt einen eigenen Treiber für virtio-net und einen eigenen Netzstapel mit. Bevor NULLos läuft, sendet sie zwei IPv6-Pakete: eine Multicast-Anmeldung (MLD) und eine Prüfung der eigenen Adresse (DAD).

Abschalten lässt sich das mit einer Zusatzoption für QEMU (OVMF-Doku):

-fw_cfg name=opt/org.tianocore/IPv6Support,string=no

Gemessen am 31.10.2026 mit QEMU 11.1.2: ohne die Option zwei Pakete vor NULLos, mit ihr keins. Ganz ohne Netzkarte startest du QEMU mit -nic none.

Schalter je Hersteller

Die Menüs unterscheiden sich je Modell und Firmware-Fassung. Jede Zeile gilt für das genannte Handbuch. „unbekannt“ heißt: Das Handbuch nennt den Wert ab Werk nicht.

Nicht gefunden haben wir eine offizielle Anleitung für VMware Fusion und für UTM ohne Netzgerät.

Wenn sich etwas nicht abschalten lässt

Manche Funktionen lassen sich nicht oder nur teilweise abschalten, zum Beispiel Intel AMT vor Release 12. Willst du sicher sein, schneide den Verkehr an deinem Router mit, wenn er das kann, oder an einem zweiten Rechner, und schau, was dein Rechner sendet, bevor und nachdem NULLos startet.