Der aktuelle Stand — wichtiger als reine Feature-Listen
Beide Firewalls basieren auf demselben Kern (FreeBSD, pf-Firewall-Engine) und performen auf identischer Hardware nahezu gleich. Der eigentliche Unterschied liegt in Lizenzmodell und Entwicklungstempo, und da hat sich seit den klassischen pfSense-vs-OPNsense-Vergleichen einiges verschoben:
- pfSense Plus (die kommerzielle Variante) kostet inzwischen 129 $/Jahr, wenn sie nicht auf gekaufter Netgate-Hardware läuft — und hat seit November 2024 kein neues Release mehr bekommen.
- pfSense CE (Community Edition, kostenlos) hat mit Version 2.8 mehrere zuvor Plus-exklusive Features zurück in die freie Version geholt — ein spürbarer Kurswechsel gegenüber früheren Jahren.
- OPNsense bleibt bei einem festen Zwei-Release-Rhythmus (Januar/Juli) mit zweiwöchentlichen Sicherheitsupdates, komplett identischer Software für alle Nutzer — kein Free/Paid-Split.
Überblick
| Kriterium | pfSense CE | OPNsense |
|---|---|---|
| Basis | FreeBSD | FreeBSD (HardenedBSD) |
| Lizenz | Apache 2.0 | BSD, kein Feature-Split |
| Oberfläche | Top-Navigation, gewachsen über Jahre | Sidebar mit Volltextsuche |
| API | Begrenzt | Vollständige REST-API |
| Release-Rhythmus | Unregelmäßiger | Fest: 2×/Jahr + 2-wöchentliche Security-Updates |
| Hinter der Firma | Netgate | Deciso B.V. |
| Intrusion Detection | Snort/Suricata | Suricata (Zenarmor optional) |
Installation (beide identisch im Ablauf)
Mindestanforderungen:
CPU: Intel/AMD Dual-Core
RAM: 2 GB (4 GB empfohlen für Suricata/IDS)
Disk: 4 GB SSD
NICs: mindestens 2 (WAN + LAN), besser 3 (+ DMZ)
Empfohlene Hardware (KMU/Homelab):
Protectli Vault: mehrere NICs, lüfterlos, ca. 300 €
Intel-N100-Mini-PC: 2-4 Ports, sehr energieeffizient, ca. 150-200 €
Download: pfsense.org bzw. opnsense.org — beide als ISO/IMG für USB-Installation.
Gemeinsame Kernfunktionen
Beide bieten stateful Firewall-Regeln, NAT/Port-Forwarding, VLAN-Unterstützung (802.1Q), OpenVPN und WireGuard, DHCP-Server, DNS-Resolver (Unbound), Traffic Shaping/QoS, High Availability über CARP, und Suricata für Intrusion Detection/Prevention. Für die reine Grundfunktion als Unternehmens-Firewall unterscheiden sich beide kaum.
Wo der Unterschied in der Praxis spürbar wird
Automatisierung: Wer Firewall-Regeln per Ansible/Terraform verwalten will, kommt an OPNsense kaum vorbei — die vollständige REST-API ist dafür gebaut, pfSense CE bietet nur eingeschränkte API-Möglichkeiten.
Update-Disziplin: OPNsense zwingt durch den festen Rhythmus zu regelmäßigen, kleinen Updates. Bei pfSense hängt die Aktualität stärker davon ab, ob man CE oder das inzwischen stagnierende Plus nutzt.
Migrationsaufwand: Ein direkter Umstieg zwischen beiden ist nicht möglich (unterschiedliche Konfigurationsformate) — ein Wechsel bedeutet Neuinstallation und manuelle Übertragung der Regeln, kein Import/Export.
Wann welches wählen?
| Situation | Empfehlung |
|---|---|
| Neuinstallation ohne Altlast | OPNsense |
| REST-API für Automatisierung nötig | OPNsense |
| Bereits gekaufte Netgate-Hardware mit Plus-Lizenz | pfSense Plus (Vertragslaufzeit sinnvoll nutzen) |
| Bestehende pfSense-Umgebung, funktioniert stabil | Kein zwingender Migrationsdruck |
FAQ
Kann ich von pfSense zu OPNsense migrieren?
Nicht direkt über einen Import — die Konfigurationsformate unterscheiden sich. In der Praxis bedeutet das: OPNsense neu aufsetzen und Regeln, NAT-Einträge und VPN-Konfiguration manuell nachbauen.
Welches ist sicherer?
OPNsense läuft auf HardenedBSD mit zusätzlichen Exploit-Mitigations (ASLR, Stack-Canaries). In der Praxis sind beide für Unternehmenseinsatz ausreichend sicher — der Unterschied liegt eher in der Update-Geschwindigkeit bei neu entdeckten Schwachstellen.
Fazit
Für Neuinstallationen 2026 ist OPNsense die pragmatischere Wahl — offene Lizenz ohne Feature-Split, verlässlicher Update-Rhythmus, vollständige API. pfSense bleibt für bestehende Netgate-Hardware-Investitionen und eingespielte Teams eine solide, aber zunehmend konservativere Option.
Ich plane und betreue Firewall-Infrastruktur (pfSense wie OPNsense) für Unternehmen in Heidelberg, Mannheim, Karlsruhe und der Rhein-Neckar-Region. Beratung anfragen.