- OPNsense und pfSense stammen aus derselben Wurzel und laufen beide auf FreeBSD, entwickeln sich aber seit 2015 komplett unabhängig voneinander.
- OPNsense ist immer und vollständig kostenlos, ohne Funktionen hinter einer Bezahlschranke. Bei pfSense gibt es eine kostenlose Community Edition (CE) und eine kommerzielle Plus-Version.
- pfSense CE galt lange als vernachlässigt, bekommt seit der Version 2.8.0 aber wieder deutlich mehr neue Funktionen.
- Ein Umstieg zwischen beiden Systemen bedeutet, die Firewall-Regeln von Hand nachzubauen – ein direkter Import der Konfiguration funktioniert nicht.
Wer sich im Homelab von der Fritzbox verabschieden und eine eigene Firewall aufsetzen will, landet fast zwangsläufig bei zwei Namen: OPNsense und pfSense. Beides sind komplette Betriebssysteme, die aus einem gewöhnlichen Mini-PC oder einer alten Kiste eine vollwertige Firewall mit Routing, VPN und Netzwerküberwachung machen. Der Artikel klärt, woher die beiden kommen, was sie heute unterscheidet – und für wen sich welches System eignet.
Zwei Systeme, eine gemeinsame Wurzel
OPNsense und pfSense basieren beide auf FreeBSD, einem eigenständigen, seit Jahrzehnten gepflegten Unix-artigen Betriebssystem, das für seine Stabilität und sein sauberes Netzwerk-Fundament bekannt ist. Interessant ist die Geschichte dahinter: OPNsense ist 2014/2015 als Abspaltung („Fork“) von pfSense entstanden – und zwar als Reaktion einiger ehemaliger pfSense-Entwickler auf die damalige Firmenpolitik, nicht umgekehrt. Wer also liest „pfSense ist das Original, OPNsense nur ein hübscherer Klon“, bekommt nur die halbe Wahrheit: Das stimmt bei der Herkunft, ignoriert aber, dass sich OPNsense seit der Trennung komplett eigenständig weiterentwickelt – und in Update-Tempo und Oberfläche inzwischen von vielen eher als Vorreiter wahrgenommen wird als als Nachzügler.
Entwickelt wird OPNsense von der niederländischen Firma Deciso, die zusätzlich eigene Hardware und Supportverträge verkauft. Die Software selbst bleibt dabei komplett unter der BSD-2-Clause-Lizenz – einer sehr freizügigen Open-Source-Lizenz – veröffentlicht, ohne dass Funktionen hinter einer Bezahlversion versteckt wären. pfSense wird vom US-Unternehmen Netgate entwickelt und existiert in zwei Ausführungen: der kostenlosen Community Edition (CE) und der kommerziellen Plus-Version, die auf Netgate-eigener Hardware vorinstalliert ist oder als kostenpflichtige Lizenz für eigene Hardware beziehungsweise virtuelle Maschinen erhältlich ist.
Entwicklungstempo: Wer bringt wie oft neue Funktionen?
OPNsense folgt einem festen Rhythmus: zweimal im Jahr, im Januar und im Juli, erscheint eine größere Version, dazwischen gibt es wöchentliche kleinere Updates. Die Version 25.1 „Ultimate Unicorn“ kam am 29. Januar 2025 heraus – passend zum zehnjährigen Jubiläum mit einem neuen Erscheinungsbild. Die Version 25.7 „Visionary Viper“ folgte am 23. Juli 2025 mit einem überarbeiteten Einrichtungsassistenten, einem neuen „Strict Web UI Mode“ (das Web-Interface läuft dabei nicht mehr mit den vollen Rechten des Systems, was ein Sicherheitsrisiko im Fall einer Lücke verringert) sowie einem aktualisierten Dashboard.
Bei pfSense sah es einige Zeit anders aus: Die kostenlose CE-Version lief lange faktisch im Wartungsmodus, während Netgates Entwicklungsressourcen überwiegend in die Plus-Version flossen. Im Netgate-Forum wurde deswegen wiederholt gefragt, ob CE langfristig überhaupt eine Zukunft hat. Mit der Version 2.8.0 im Jahr 2025 hat Netgate diesen Trend teilweise umgekehrt und mehrere zuvor Plus-exklusive Funktionen zurück in die kostenlose CE-Version geholt, darunter eine automatische Konfigurationssicherung und ein neuer Unterbau für PPPoE-Verbindungen (das Einwahlverfahren, das viele DSL-Anschlüsse nutzen). Aktuell liegt CE bei Version 2.9.0 mit Sicherheitskorrekturen für WireGuard (ein modernes, schlankes VPN-Protokoll) und SSH (der verschlüsselte Fernzugriff auf die Kommandozeile). Die Plus-Version ist inzwischen ebenfalls auf ein Jahr/Monat-Schema umgestiegen, statt fortlaufender 2.x-Nummern.
Wer für pfSense oder OPNsense fertige Hardware kaufen will, sollte wissen, dass Netgate im Mai 2025 die Preise für mehrere seiner Hardware-Serien angehoben hat, teils begleitet von Lieferengpässen. Konkrete aktuelle Preise nennen wir hier bewusst nicht, weil sie sich seither mehrfach geändert haben – ein Blick auf die Netgate-Website vor dem Kauf lohnt sich.
OPNsense vs. pfSense im Überblick
| Merkmal | OPNsense | pfSense CE | pfSense Plus |
|---|---|---|---|
| Entwickler | Deciso (Niederlande) | Netgate (USA) | Netgate (USA) |
| Kosten | Kostenlos, keine Bezahlschranke | Kostenlos | Kostenpflichtig oder auf Netgate-Hardware vorinstalliert |
| Release-Rhythmus | Zwei Major-Versionen im Jahr (Januar/Juli) plus wöchentliche Updates | Unregelmäßiger, wieder mehr Funktionszufluss seit 2.8.0 | Jahr/Monat-Schema (z. B. 25.03, 25.07) |
| Aktuelle Version | 25.7 „Visionary Viper“ | 2.9.0 | 25.11 |
| Besonderheit | Volle Funktionsfreiheit, moderneres Web-Interface | Community-getragen, seit 2.8.0 wieder im Aufwind | Kommerzieller Support, Fokus auf Netgate-Appliances |
Welche Hardware eignet sich fürs Homelab?
Beide Systeme laufen auf gewöhnlichen x86-Mini-PCs, solange die Netzwerkkarten mitspielen. In der Community wird dabei immer wieder empfohlen, auf Netzwerkchips von Intel (etwa die Modelle i225-V oder i226) zu setzen statt auf Realtek-Chipsätze – Letztere gelten unter FreeBSD-basierten Systemen wie OPNsense und pfSense bei Dauerbelastung als anfälliger für Instabilität. Als beliebte, herstellerneutrale Mini-PC-Hardware für dieses Einsatzgebiet gilt zum Beispiel die Protectli-Vault-Serie, die sowohl mit OPNsense als auch mit pfSense CE läuft.
CWWK Mini PC N150 Firewall Appliance (6 Port i226-V 2.5GbE, DDR5 8GB RAM, 128GB NVMe SSD)
Lüfterloser Mini-PC mit sechs 2,5-Gigabit-Anschlüssen und Intel-Netzwerkchips – bringt RAM und SSD schon mit und ist damit direkt startklar für OPNsense oder pfSense.
Häufige Irrtümer im Klartext
Ein paar Annahmen, die in Foren und älteren Artikeln immer wieder auftauchen, sich aber nicht mehr uneingeschränkt halten oder schon immer falsch waren:
- „pfSense CE bekommt keine neuen Funktionen mehr, nur noch Fehlerkorrekturen.“ Das traf über weite Strecken zu, wurde aber durch Version 2.8.0 relativiert, die mehrere Plus-Funktionen zurück in die kostenlose CE-Version brachte.
- „Man kann die Konfiguration einfach zwischen OPNsense und pfSense hin- und herschieben, weil beide XML exportieren.“ Funktioniert in der Praxis nicht: Die Konfigurationsschemata beider Systeme haben sich seit der Trennung 2015 zu weit auseinanderentwickelt. Ein Umstieg bedeutet, die eigenen Firewall-Regeln von Hand nachzubauen.
- „Eine normale Router-Firmware reicht doch auch.“ OPNsense und pfSense sind dedizierte Firewall-Betriebssysteme für eigene Hardware oder einen Mini-PC – sie spielen in einer anderen Liga als die Firmware eines Consumer-Routers und lohnen sich vor allem, wenn man Netzwerksegmente, VPNs oder detaillierte Regeln selbst verwalten will.
Fazit: Welches System passt zu dir?
Wer keine Kompromisse bei der Funktionsvielfalt eingehen will und ein modernes, häufig aktualisiertes Web-Interface schätzt, ist mit OPNsense gut bedient – alles ist von Anfang an kostenlos und ohne Bezahlschranke nutzbar. Wer lieber bei pfSense bleibt, etwa weil man bereits Erfahrung damit hat oder auf Netgate-Support setzen möchte, findet mit der CE-Version seit 2.8.0 wieder ein aktiver gepflegtes kostenloses System – für kommerzielle Anforderungen mit Support-Vertrag bleibt Plus die naheliegende Wahl. Für die reine Homelab-Nutzung zuhause spricht aktuell mehr für OPNsense, allein schon wegen der garantierten Funktionsfreiheit und des planbaren Update-Rhythmus.