Kindererziehung ist ein schwieriges Thema und das Internet ist dabei für Eltern zwar als Informationsmedium eine Hilfe, für die Kinder kann es aber zum Schrecken werden. Vielleicht hat  der Ein oder Andere die andauernde Diskussion um Netzneutralität und Freiheit im Internet verfolgt. Hierbei geht es darum, dass kein Internetnutzer von bestimmten Inhalten ausgesperrt werden soll. Ich persönlich unterstütze diese Einstellung, möchte aber den Satz gerne erweitern und sage: "Kein volljähriger Internetnutzer soll von bestimmten Inhalten ausgesperrt werden".

Ohne Zweifel benötigt man für Kinder und Jugendliche eine Art Internet-Kindersicherung, um einen Schutz vor rechtsradikalen, pornographischen und jugendfeindlichen Seiten zu gewährleisten. Welche Arten und Kindersicherungen geeignet sind, was die EU-Initiative für mehr Sicherheit im Netz "klicksafe.de" empfiehlt und welche technischen Möglichkeiten bis hin zur Profi-Lösung existieren, damit möchte ich mich in diesem Beitrag rund um Kindersicherung im Internet befassen - vornehmlich mit der technischen Seite.

Da es sich bei dem Thema Mobbing im Internet, Kinder im Internet und Internet-Kindersicherung um sehr heikle Themen handelt, welche nicht nur mit technischen Mittel gelöst werden können, möchte ich - gleichwohl hier bei uns unüblich - zu Anfang ein paar andere Seiten empfehlen.

Diese bieten u.A. Hilfe im Bezug auf Mobbing im Internet, die wir hier nicht anbieten können. Wir können nur teilweise technische Lösungen anbieten, jedoch keine persönliche Betreuung - wir sind auf dem Gebiet auch nicht geschult. Diese findet man bei den bekannten Einrichtungen, die nachfolgend aufgeführt sind.

• Klicksafe.de Die EU-Initiative für mehr Sicherheit im Netz
• Cyber Mobbing als Thema bei der Polizei der Länder und des  Bundes
• Bundesamt für Sicherheit in der Informationstechnik über Cybermobbing

Alles in Allem möchten wir uns nachfolgend mit technischen Sicherungsmöglichkeiten befassen, da es sich hier um ein Informationsangebot rund um Technik, Computer und Internet handelt. Für persönliche Betreuung z.B. von Mobbinopfern und Dergleichen empfehle ich einer der oberen Quellen sowie der bekannten Staatsorgane und Hilfsorganisationen.

Internet-Kindersicherung mit Browser-Erweiterung

Für den beliebten Firefox-Browser gibt es ein sehr beliebtes Browser-Plugin namens "ProCon Latte Content Filter" mit welchem man im Browser einen sog. "Content Filter" einbauen kann. Dies bedeutet, dass das Plugin jeden Inhalt, den man im Browser lädt überprüft. Die Überprüfung läuft gegen eine Liste mit gesperrten Seiten (Internet-Adressen bzw. Domains) und definierten, verbotenen Begriffen. Stammt die Seite also von einer gesperrten Adresse oder beinhaltet der Inhalt gesperrte Begriffe, so wird eine Fehlermeldung angezeigt.

Selbstverständlich ist die Konfiguration, das Deaktivierung sowie das Löschen des Plugins über den Firefox passwortgeschützt. Das ist soweit auch ok, solange diese Hürde nicht überwunden werden kann. Diese Überwindung ist jedoch nicht sehr aufwendig, da bereits das Verwenden eines alternativen Browsers diese Internet-Kindersicherung komplett umgeht. Genauso verhält es sich mit einer zweiten Firefox-Installation, die dann das Passwort natürlich nicht hat. Dieses Plugin kann seine Wirkung zur Kindersicherung nur in Verbindung mit sehr restriktiven Nutzerrechten z.B. unter Windows, Mac oder Linux entfalten. Dennoch gut geeignet für Kinder, die nur mal bei YouTube ein paar Videos schauen dürfen, da es hier einfach vor Bösen Überraschungen wie z.B. anstößiger Werbung schützt.

Windows-Software als Kindersicherung auf dem Computer

Wie oben beschrieben, kann das Computer-Betriebssystem Amtshilfe beim Sperren von Inhalten für Kinder leisten. Hierbei lässt sich freigeben, wann man den Computer benutzen darf. Im Prinzip ist das auch ganz nützlich und wirkungsvoll, um die Zeit zu steuern in der Kinder den Computer verwenden dürfen. Man muss nur beachten, dass zum Einen die Kinder keine Administrator-Rechte auf Windows erhalten und keinen Zugriff auf die BIOS bzw. Mainboard Konfiguration haben.

Bei YouTube finden sich einige Anleitungen, wie man die elterliche Internet-Sperre binnen Sekunden überwindet, indem man die Uhr der Hauptplatine umstellt. In der Praxis muss man jedoch sagen, dass viele Kids mehr Ahnung von ihrem Computer haben als ihre Eltern und es dadurch für die Eltern natürlich schwer ist die BIOS Konfiguration zu sperren. Zumal bei physischen Zugriffsmöglichkeiten Kinder ab 12 Jahren auch selbst sehr schnell heraus finden, wie man das Passwort durch entfernen der Batterie der Hauptplatine zurücksetzt.

Mit dieser Zeitsteuerung hat man nun aber noch keine Inhaltssteuerung und damit die eigentliche Internet-Kindersicherung. Diese bieten z.B. Programme wie McAfee Family Protection an. Die Software bietet neben Zeitsteuerung, Inhaltsüberwachung auch Überwachung und Filterung von sog. Instant Messaging-Diensten wie ICQ und Facebook Chat sowie die Überwachung von sozialen Netzwerken zum Kinderschutz an.

Daneben finden sich noch Funktionen wie das Sperren bestimmter Arten und Videos, Musik und Dergleichen. Ein Funktionsreichtum über den jeder Mitarbeiter der Staatssicherheit der DDR neidisch gewesen wäre. Jetzt muss man zur Ernüchterung aber wiederum auch sagen, dass es sich hierbei um eine Windows Software handelt. Das heißt, der Schutzmechanismus muss auf dem jeweiligen Computer installiert werden und greift dort ein. Dies bedeutet dann eben auch, dass eine etwaige Internet-Kindersicherung nicht auf Macintosh-Computern, iPhone- und Android Smartphones funktioniert. Mit einer Boot-CD (d.h. starten eines Beriebssystems über CD) kann man den Schutz dann auch umgehen.

Die Internet-Kindersicherung der Fritzbox

In vielen Haushalten findet sich eine sog. Fritzbox, welche im Prinzip nichts anderes ist als ein handelsüblicher Router. Die Firma AVM hat sich den Markennamen ausgedacht, der sich mittlerweile bei vielen Menschen dadurch eingeprägt hat. Als Router ist das Gerät zentraler Angelpunkt für alle Daten, die aus dem Internet ein- und ausgehen.

Die FritzBox bietet auch direkt eine eingebaute Internet-Kindersicherung: dazu zählen zwei grundsätzliche Funktionen; zum Einen die Zeitsteuerung für den Zugang pro Computer und zum Anderen das Sperren von bestimmten Internetseiten.

Dabei ist es - wie bei vielen Konfigurationen - wichtig, dass man insbesondere auf die Details achtet. Die Zugänge und Systemidentifikationen müssen richtig konfiguriert sein. D.h. der Zugang zum Netzwerk muss auf der FritzBox stark eingeschränkt werden. Die MAC Adressen (eindeutige Identifikation der jeweiligen Netzwerkkarte) müssen von allen Geräten eingetragen sein und es darf nur genehmigten Geräten der Zugriff erlaubt werden - ansonsten stecken die Kids einfach eine andere Netzwerkkarte ein. Das hat zwar den Nachteil, dass man neue Geräte immer erst registrieren muss, aber auch den Vorteil, dass man weiß wer das eigene Netzwerk benutzt. Eine Anleitung zur Konfiguration der FritzBox Internet-Kindersicherung Schritt für Schritt findet man direkt bei AVM: Anleitung für Fritzbox-Kindersicherung.

Zeitsteuerung der Fritzbox Internet-Kindersicherung

Die Zeitsteuerung der Fritzbox Kindersicherung funktioniert relativ einfach. Man loggt sich an der Fritzbox ein und sieht dort eine Übersicht aller im Netzwerk befindlichen Geräte. Nun kann man ein Gerät auswählen und über eine Maske festlegen, wann der Nutzer bzw. das Kind das Internet verwenden kann und wann nicht.

Als ich angefangen habe, diesen Artikel hier zu schreiben, war ich fest davon ausgegangen, dass die Kindersicherung von AVM die Geräte anhand der MAC Adresse registriert. Weit gefehlt! Wie sich herausstellt verwendet die FritzBox von AVM ein relativ eigenmächtiges Verfahren mit den Hostnamen der Computer. In vielen Foren im Internet findet sich daher die Information, dass das einfache Ändern des Hostnamens oder der IP-Adresse des Computers schon zum Überlisten der Internet-Kindersicherung von AVM ausreicht.

In einem Newsletter der Firma AVM findet sich der Satz "Haben Sie einen kleinen Experten im Haus, muss die Kindersicherung besonders sicher sein.", wozu AVM auch noch folgende Tipps mit gibt: "Wie sie die Kindersicherung richtig sicher machen". Das hilft aber nur, wenn der "kleine Experte" nur soweit Experte ist, dass er nicht in der Lage ist sich mit einem anderen Benutzer anzumelden oder einfach eine Boot-CD (Windows oder Ubuntu) einzulegen. Für das iPhone, iPad, Android Telefone und Tablets sowie Mac OSX Computer (von Linux ganz zu schweigen) hilft das nicht.

Die WLAN Zugriffsbeschränkung per MAC Adresse hilft hier auch nicht, da diese nur für WLAN greift und sich der Computer dann dennoch eine IP-Adresse selbst aussuchen darf. Da das so ein entscheidender Sicherheitsnachteil ist, der zudem jedweder Begründung entbehrt, wird es wohl nur eine Frage der Zeit sein, bis AVM hier eine Geräteerkennung auf Basis der MAC Adresse macht und dann wäre nur noch sog. MAC Spoofing ein probates Mittel dagegen.

Webseiten-Sperre der FritzBox Kindersicherung

Ebenfalls im Kindersicherungsrepertoire der FritzBox ist ein sog. "Content Filter", der es erlaubt auf klassische Weise bestimmte Internetseiten zu sperren. Das funktioniert so, dass der Computer bei der Anfrage an die FritzBox, welche IP Adresse denn z.B. zu www.kammerath.net gehört, statt der korrekten IP Adresse 188.121.55.1 dann die Eigene (z.B. 192.168.178.1) heraus gibt. Dies bedeutet, dass der Computer dann die Daten nicht an z.B. meinen Server sondern an die FritzBox leitet und diese sagt dann einfach "Ätschibätsch, ist gesperrt".

Das Umgehen dieses Filters gestaltet sich relativ einfach. Viele Anbieter bieten öffentlich verfügbare alternative DNS Server. Damit kann man entsprechende Content Filter Sperren umgehen und somit auch jene der FritzBox Kindersicherung.

Hierzu trägt man einfach die Google Public DNS Server mit der IP Adresse 8.8.8.8 und 8.8.4.4 ein und in Zukunft fragt der eigene Rechner direkt bei Google nach und nicht mehr bei der FritzBox. Es bestünde natürlich noch die Möglichkeit für die Nutzer den DNS Port 53 zu sperren, was jedoch unweigerlich bei der Systemkonfiguration der FritzBox dazu führen würde, dass diese sich auch selbst von DNS aussperren und somit vollständig blockieren würde. AVM sollte hier die Firewall-Konfiguration so anpassen, dass es möglich wäre, dass ausschließlich die FritzBox DNS Pakete auf UDP 53 ins WAN senden darf. Idealerweise würde sie DNS Pakete erkennen und direkt verwerfen oder manipulieren.

Fazit zur FritzBox Kindersicherung von AVM

Die Kindersicherung der FritzBox ist für Kinder bis etwa 15 Jahren gut geeignet. Danach schaffen es insbesondere Jungen schnell und leicht auch die Kindersicherung zu umgehen. Mädchen werden mit Sicherheit Hilfe von Freunden erhalten. Schafft man es, den Zugriff auf das Internet auf einen Windows PC zu beschränken, so kann man dort eventuell weiteren Schutz durch einen eingeschränkten Benutzer und weitere Sicherungssoftware erzielen. Alles in Allem würde ich die FritzBox Kindersicherung dennoch empfehlen. Man darf sich nur nicht zu 100% darauf verlassen, denn bombensicher ist diese ist; Für Kinder geeignet und einfach zu bedienen jedoch allemal.

Was man unternehmen kann, wenn man wirklich ausgebuffte Profi-Kids zu Hause sitzen hat, das möchte ich nachfolgend einmal erläutern.

Profi-Internet-Kindersicherung mit Linux-Router

In meinem Artikel "OpenWrt auf dem TP-Link WR1043ND installieren" habe ich bereits beschrieben, wie man das Embedded Linux "OpenWrt" auf einem handelsüblichen TP-Link WR1043ND Router installiert und diesen damit zum schweizer Taschenmesser der Netzwerktechnik umrüstet. Mitnichten handelt es sich dabei um einen einfachen, für Laien schnell oder überhaupt umzusetzenden Vorgang. Für Freunde des Linux-Betriebssystems wird es jedoch eine Freude sein Ihren Nachkommen ein System gegenüber zu stellen, welches in Sachen Sicherheit und Schutz seines gleichen sucht. Alle anderen sollten sich lieber im Handel umsehen, da dies wirklich gewisses Fachwissen erfordert.

Ich werde nicht, wie bei anderen Anleitungen, hier Schritt für Schritt für Laien erklären, wie es zu konfigurieren ist. Dies würde schlichtweg den Rahmen spregen und hätte das Format eines ganzen Buches zum Thema Internet-Kindersicherung unter Linux. Die Punkte werde ich kurz anreißen und erläutern, wie es geht. Interessierte, sollten sich mit entsprechenden Büchern und Dokumentation zu Netzwerken mit Linux jedoch zurecht finden.

Abschirmung mit statischen DHCP und MAC-Filter

Als Grundlage für sichere Kommunikation müssen wir zunächst sämtliche Teilnehmer isolieren. Dies bedeutet, dass wenn ein Teilnehmer seine IP Adresse eigenständig ändert, wir diesen vom Netzwerkverkehr ausschließen oder gleich behandeln wie mit gültiger IP Adresse. Mit statischen DHCP Regeln legen wir zunächst einmal fest, dass alle Teilnehmer per DHCP fest vorgegebene IP Adressen erhalten. Dazu setzen wir in OpenWrt folgenden Parameter "dynamicdhcp" in der Datei "/etc/config/dhcp" auf "0". Dies bedeutet, dass Teilnehmer keine IP-Adresse aus dem DHCP Pool erhalten, sondern Ihre MAC Adresse in der Datei "/etc/ethers" registriert sein muss.

config dhcp lan
        option interface        lan
        option start            100
        option limit            150
        option leasetime        72h
        option dynamicdhcp      0

Dies führt nun dazu, dass Teilnehmer die nicht registriert sind zwar keine IP Adresse über DHCP beziehen können, sich aber sehr wohl selbst eine IP Adresse vergeben können. In "/etc/ethers" wird die MAC Adresse mit einem Hostnamen verknüpft, dessen IP Adresse sich dann in "/etc/hosts" befindet. Übrigens kann man mit "/etc/hosts" auch DNS-basierte Content-Sperren umsetzen, wie ich in meinem Artikel "Abzocker aussperren" beschrieben habe. Das funktioniert im Übrigen auch wie oben genannt mit der Fritzbox.

Damit wir solche Ethernet-Aktivitäten von Teilnehmern im LAN und WLAN erkennen können, benötigen wir die Software "ARPWatch", mit welcher wir entsprechende Aktivitäten erfassen können. Durch ARPWatch erfahren wir, ob MAC Spoofing eingesetzt wird, um z.B. die eigene MAC Adresse auf die des Mobiltelefons oder Computers von Papa oder Mama zu ändern.

Sicherstellen, dass die Verwendung nur zu bestimmten Zeiten stattfindet, machen wir mit der "/etc/config/firewall" Konfiguration, indem wir grundsätzlich jedweden Traffic auf das WAN Interface sperren und nur auf MAC Adressebene freigeben.

#Disallow all WAN traffic                    
config rule                                
        option src              lan              
        option dest             wan              
        option target           DROP  

Das ist zwar eine extrem harte Regel, wird aber dazu führen, dass in der Firewallkonfiguration explizit alle MAC Adresse jeweils freigegeben werden müssen. Man könnte es natürlich auch andersherum machen und grundsätzlich sämtlichen Traffic freigeben und dann entsprechend sperren. Das Problem ist nur, dass man dann ausgehebelt ist, wenn Sohnemann einfach die Netzwerkkarte austauscht. Mit der Freigaberegel haben fremde bzw. neue MAC Adressen erst gar keine Chance Daten über das WAN interface hinaus zu bekommen. Man könnte auch genauso den "option dest" Teil entfernen und sämtlichen Traffic blockieren - auch im LAN.

Zeitsteuerung mit MAC-Filter und Freigabeverfahren

Grundsätzlich gilt bei Sicherheitssystemen, dass es immer besser ist Freigaben zu verwalten als Sperrlisten. Am Ende muss man mehr sperren als man freigeben muss. Für die freiheitlich-demokratische Grundordnung der Bundesrepublik und die Freiheit in der EU ist es jedoch besser Erwachsenen grundsätzlich erst einmal ihre informelle Selbstbestimmung zu gestatten. Ich möchte hier noch einmal erwähnen, dass ich Internetsperren nur für Minderjährige angebracht finde - wenn nicht sogar nur für Kinder und nicht einmal Jugendliche. Unter OpenWrt brauchen wir für die Zeitsteuerung das Paket "iptables-mod-ipopt". Dieses erlaubt es uns dann zeitbasierte Firewalleinträge zu machen - so auch den Folgenden:

config rule
        option src              lan
        option dest             wan
        option src_mac          00:00:00:00:00:00
        option extra            '-m time --weekdays Mon,Tue,Wed,Thu,Fri --timestart 15:00 --timestop 18:00'
        option target           ACCEPT

Dieser Eintrag besagt nun, dass die MAC Adresse 00:00:00:00:00:00 (fiktive Adresse wohlgemerkt und auch nicht sehr ideenreich) von Montag bis Freitag zwischen 15 und 18 Uhr das Internet verwenden bzw. Traffic über den WAN Port transportieren darf. Wir könnten jetzt noch restriktiver sein und nur TCP Port 80 (HTTP) freigeben. Somit wäre auch eine Dienstesteuerung möglich, sodass z.B. auch bestimmte Adressen nur zu bestimmten Uhrzeiten erreichbar wären. Die Möglichkeiten sind groß, man sollte es jedoch nicht übertreiben. Für das Wochenende würde man hier zusätzlich eine separate Regel erstellen. Wohlgemerkt ist das nicht sehr komfortabel, aber als Internet-Kindersicherung extrem effektiv und sicher.

Durchsetzen der Content-Filter mit DNS Blockierung

Wie ich bereits oben beim FritzBox Thema erwähnt habe, geht es bei dem Gerät nicht DNS nur für die Netzwerkteilnehmer im LAN zu sperren. Für unseren TP-Link mit OpenWrt ist dies natürlich ein Kinderspiel. In der Firewall-Konfiguration in "/etc/config/firewall" fügen wir Folgendes hinzu und starten anschließend die Firewall mit "/etc/init.d/firewall restart" neu.

#Disallow external DNS                     
config rule                                
        option src              lan        
        option src_dport        53         
        option dest             wan        
        option proto            udp        
        option target           DROP 

Danach werden alle an den Router angeschlossenen Clients nicht mehr in der Lage sein werden DNS Pakete mit UDP auf Port 53 über die WAN-Schnittstelle hinaus zu transportieren. Sie werden gezwungen sein ihre DNS Anfragen ausschließlich an unseren TP-Link zu richten. Dies schützt im Übrigen auch Rechner, die vom sog. DNSChanger betroffen sind (Infos siehe http://www.dns-ok.de/), da deren Hijacking-Versuch dann fehl schlägt. Für den Client sieht die DNS Abfrage dann wie folgt aus (ich habe wieder den Google Public DNS verwendet).

jan@tpad:~> nslookup www.kammerath.ru
Server:		192.168.1.1
Address:	192.168.1.1#53

Non-authoritative answer:
www.kammerath.ru	canonical name = kammerath.ru.
Name:	kammerath.ru
Address: 188.121.55.1

jan@tpad:~> nslookup www.kammerath.ru 8.8.8.8
;; connection timed out; no servers could be reached

Zusätzlich müssen wir jedoch nach erfolgreichem Sperren für die LAN Clients sicherstellen, dass der Router selbst noch DNS Abfragen bei unserem ISP machen kann. Das ist jedoch dadurch gelöst, dass wir in der Firewall-Konfiguration als "src" das "lan" angegeben haben. Da der Router direkt über sein WAN interface die DNS Pakete versendet, lässt iptables bzw. die Firewall diese dann auch wie folgt zu sehen gewähren.

root@core:/etc/config# nslookup www.kammerath.ru 8.8.8.8
Server:    8.8.8.8
Address 1: 8.8.8.8 google-public-dns-a.google.

Name:      www.kammerath.ru
Address 1: 188.121.55.1 n1nlhg110c1110.shr.prod.ams1.secureserver.

Somit haben wir nun also sichergestellt, dass die Nutzer nur unseren DNS verwenden und somit auch dessen Content-Sperren verwenden müssen. Letztlich können die Nutzer nun nur noch DNS Abfragen über bestimmte Website machen und einen lokalen DNS oder ihre eigene Hosts Datei verwenden, um die Sperre zu umgehen. Hierfür helfen dann nur noch IP-Sperren in der Firewall-Konfiguration, was recht mühsehlig werden kann. Ich bin jetzt auch zu Faul ein Skript zu schreiben, welches eine Liste von Domains als IP Adresse mit iptables sperrt.

Fazit zur Internet-Kindersicherung

Kindersicherung im Internet; das geht technisch einigermaßen effiktiv, günstig und professionell. Schade finde ich, dass die beschriebene Vorgehensweise mit OpenWrt noch keinen kommerziellen Anbieter gefunden hat. Die Lösung ist somit für die breite Masse leider noch nicht verfügbar. Schön wäre es, wenn der Platzhirsch seine Kindersicherung entsprechend professionalisieren würde. Autoritäre Regime wenden bereits heute sehr zum Leid vieler Menschne solche Techniken ein. Da ist es eigentlich Schade, dass man diese nicht der breiten Masse für positive Dinge wie Kinder- und Jugendschutz zur Verfügung stellt. Daher lautet mein Urteil abschließend: Wer Linux beherrscht greift unmittelbar zu OpenWrt (Ein Must-Have für alle Linuxer!). Otto-Normalverbraucher muss auf FritzBox und Windows-Spezailsoftware wie jene von McAfee zurürck greifen. Hat dann also schwächeren Schutz und bezahlt dennoch bedeutend mehr. Sobald die Kids zu Ihrem Mobilelefon greifen oder dies womöglich an Ihren Rechner anschließen, ist es mit der Kontrolle sowieso fast vorbei. Da hilft nur noch Rede und Aufklärung. Ohnehin ist das Gespräch in der Familie wahrscheinlich effektiver als jede technische Maßnahme.

Abschließend noch ein Dank dafür, dass ich die Bilder von AVM und Klicksafe.de benutzen darf und deswegen auch meine Empfehlung an diese Stellen. Das Eingangs als erstes gezeigte Bild mit den Polizeibeamten entstammt Wikipedia und ist unter der Creative Commons Lizenz veröffentlicht. Falls Jemand noch technische bzw. sachliche Fragen zu diesem Thema hat, so kann er sich gerne an mich wenden (Kontakt siehe ganz unten).

Bücher zum Thema „Pubertät“