Was die Freigabe für Netzwerkerweiterungen unter macOS ist

Jedes Programm, das unter macOS einen virtuellen Netzwerkadapter anlegen und den Systemverkehr durch seinen eigenen Tunnel leiten will, muss diese Fähigkeit über Apples Framework NetworkExtension beantragen. Apple setzt diesen Mechanismus seit macOS 10.15 Catalina durch; er ersetzt die älteren, weit mächtigeren Kernel-Erweiterungen (kexts).

Das Framework hat zwei Hälften: Die App bringt ein Stück Code mit, das mit erhöhten Systemrechten laufen soll, und das System zeigt eine Bestätigungsabfrage. Erst wenn Sie persönlich auf „Erlauben“ klicken, wird dieser Code tatsächlich geladen und beginnt, Verkehr zu verarbeiten. Lassen Sie diesen Schritt aus, bleibt die Erweiterung „ausstehend“ – deshalb zeigt das Symbol des Clients endlos „Verbinden“, ohne dass es je klappt.

• Alles, was einen virtuellen Adapter anlegen und Verkehr übernehmen kann, könnte theoretisch all Ihre unverschlüsselten Netzwerkdaten sehen und unbemerkt umleiten – genau die Fähigkeit, die Spionagesoftware am meisten will. Apple hat das von „funktioniert, sobald installiert“ auf „erfordert einen Klick in den Systemeinstellungen“ umgestellt, damit niemand diese Fähigkeit ohne Ihr Wissen erlangt.
• Diese Abfrage erscheint nur **beim ersten Mal**: Ist ein Client einmal freigegeben, lösen normale Verbindungen und Neustarts sie nie wieder aus. Sie kommt zurück, wenn Sie das System neu installieren, eine frische Kopie des Clients installieren oder die Freigabe selbst in den Systemeinstellungen abschalten.
• Jeder der drei Clients muss diese Hürde einzeln nehmen – das System verwaltet die Freigabe pro anfragendem Programm, nicht als einen globalen Schalter. Das ist kein doppelter Aufwand, sondern die tatsächliche Feinheit der Prüfung.

Apple hat in Sequoia die Verwaltung von „Anmeldeobjekten“ und „Erweiterungen“ zusammengelegt. Netzwerkerweiterungen finden Sie jetzt in der Kategorieansicht dieses neuen Bereichs statt einzeln aufgelistet.

1. Öffnen Sie Systemeinstellungen → Allgemein → Anmeldeobjekte & Erweiterungen.
2. Scrollen Sie unten zum Abschnitt „Erweiterungen“ und stellen Sie die Ansicht oben rechts vom Standard auf „Nach Kategorie“ um – sonst gehen Netzwerkerweiterungen in einer langen Liste mit Dutzenden anderer Systemerweiterungen unter.
3. Suchen Sie in der Ansicht „Nach Kategorie“ die Kategorie „Netzwerkerweiterungen“ und klicken Sie auf das ⓘ daneben, um sie aufzuklappen.
4. Suchen Sie Ihren Client (Tailscale / Cisco Secure Client / Hiddify) und schalten Sie den Schalter daneben ein.
5. macOS fragt nach Ihrem Anmeldepasswort oder einer Bestätigung per Touch ID – damit wird bestätigt, dass die Person am Rechner die Freigabe erteilt und nicht der Client selbst.
6. Nach der Bestätigung steht der Schalter auf „Ein“. Gehen Sie zurück zum Client und verbinden Sie neu – diesmal sollte der Tunnel normal aufgebaut werden.

Diese beiden Versionen nutzen den älteren Einstieg; Hinweis und Formulierungen in den Systemeinstellungen unterscheiden sich von Sequoia. Gehen Sie stattdessen so vor.

1. Starten Sie den Client normal und klicken Sie einmal auf Verbinden – das System zeigt die Abfrage erst nach einem echten Verbindungsversuch, nicht schon, weil die App installiert ist.
2. Es erscheint eine Systemmitteilung, etwa mit dem Titel „Systemerweiterung blockiert“. Sie können sie schließen oder ignorieren; im nächsten Schritt suchen Sie die Einstellung selbst.
3. Öffnen Sie Systemeinstellungen → Datenschutz & Sicherheit und scrollen Sie nach unten (nicht ganz oben – meist etwa in der Mitte der Seite), bis Sie eine Zeile sehen wie „Das Laden der Systemsoftware vom Entwickler ‚<Name des Client-Entwicklers>‘ wurde blockiert.“
4. Klicken Sie neben dieser Zeile auf „Erlauben“; macOS fragt zur Bestätigung nach Ihrem Anmeldepasswort.
5. Gehen Sie zurück zum Client und verbinden Sie neu – diesmal sollte der Tunnel normal aufgebaut werden.

Unter Ventura / Sonoma ist der Name in Anführungszeichen nach „Entwickler“ bei jedem Client anders. Gleichen Sie ihn mit dem Client ab, den Sie tatsächlich installieren, und klicken Sie nicht auf „Erlauben“, wenn der Name nicht Ihren Erwartungen entspricht:

• Privat (Tailscale): erscheint als „Tailscale Inc.“ – an einem echten Gerät bestätigt.
• Cisco (Cisco Secure Client): sollte als „Cisco Systems, Inc.“ erscheinen, ebenfalls noch nicht bestätigt.
• Hiddify: sollte als „Hiddify Team“ erscheinen, ebenfalls noch nicht bestätigt.

• „Ich finde die Zeile nicht, die in den Systemeinstellungen stehen soll“: Stellen Sie sicher, dass Sie den Client wirklich gestartet und wie oben beschrieben einmal auf Verbinden geklickt haben – das System zeigt die Zeile erst, nachdem es eine echte Ladeanfrage der Erweiterung erhalten hat. Eine installierte, aber nie geöffnete App erzeugt sie nicht.
• „Ich habe versehentlich auf ‚Nicht erlauben‘ geklickt / die Mitteilung geschlossen“: Sie müssen keinen Rückgängig-Knopf suchen – gehen Sie einfach zurück zum Client und klicken Sie erneut auf Verbinden. Das System zeigt dieselbe Abfrage noch einmal, und Sie können die Schritte oben durchgehen; einmal Wegklicken sperrt Sie nicht dauerhaft aus.
• „Auf einem Firmen-Mac ist die Schaltfläche ‚Erlauben‘ ausgegraut“: Meist sperrt eine MDM-Richtlinie (Geräteverwaltung) die Einstellung – nur die IT-Abteilung kann die Freigabe in ihrer Konsole erteilen. Bitten Sie die IT, den Client in die Liste der zugelassenen Systemerweiterungen aufzunehmen.
• „Ich habe zwei der drei Clients installiert, aber nur einer hat nach Freigabe gefragt“: Der andere wurde vermutlich noch nicht gestartet und verbunden – siehe den ersten Punkt oben.