Fritzbox ablösen durch OPNsense: Wann KMU wechseln sollten

Die AVM Fritzbox ist im deutschen Mittelstand allgegenwärtig — zu Recht. Sie ist zuverlässig, gut dokumentiert und für den privaten Einsatz sowie kleine Büros mit einer Handvoll Geräten ausgezeichnet geeignet. Sobald ein Unternehmen aber wächst, mehrere Standorte anbindet, ein sauberes VLAN-Konzept braucht oder regulatorische Anforderungen an die Firewall stellt, stößt die Fritzbox an ihre Grenzen.

In diesem Artikel zeigen wir, an welchen Punkten Sie die Umstellung planen sollten, welche Hardware für eine OPNsense-Appliance sinnvoll ist und wie Sie den Wechsel im Parallelbetrieb ohne echtes Wartungsfenster durchführen.

Fünf Kipppunkte: Wann die Fritzbox nicht mehr reicht

Die folgenden Anforderungen treffen wir bei DATAZONE-Kunden regelmäßig — und sie sind der klassische Auslöser für den Wechsel:

1. Mehrere VLANs mit echter Trennung. Die Fritzbox kennt nur zwei getrennte Netze: LAN und Gastnetz. Wer Server, Clients, VoIP, Drucker, IoT und WLAN-Gäste voneinander trennen möchte, kann das mit einer Fritzbox nicht abbilden. Managed Switches erwarten 802.1Q-Trunks von der Firewall, und OPNsense liefert diese nativ.

2. Feingranulare Firewall-Regeln. Die Fritzbox erlaubt nur einfaches Port-Forwarding und rudimentäre Kindersicherungs-Regeln. Eine echte Firewall-Policy nach Deny-by-Default, mit Regeln pro Quell- und Ziel-Segment, mit Zeitfenstern, GeoIP-Filter oder Ratenbegrenzung, ist nicht möglich. OPNsense bringt den vollen pf-Regelsatz mit inklusive Aliases, Schedules und Logging pro Regel.

3. VPN-Konzentrator mit skalierbaren Zugängen. Die Fritzbox unterstützt IPSec und seit einigen Versionen auch WireGuard. Die Verwaltung von 20+ Remote-Nutzern, Site-to-Site-Tunneln mit BGP, Split-Tunneling-Policies oder zertifikatsbasierten OpenVPN-Rollouts ist damit aber nicht praktikabel. Wer Homeoffice, Außendienst und einen zweiten Standort konsolidieren will, braucht einen echten VPN-Konzentrator.

4. MDM-taugliche Segmentierung. Sobald ein Mobile-Device-Management wie Intune, Kandji oder Jamf im Spiel ist oder ein SIEM/EDR die Endpoints beobachtet, muss das Netz Client-Isolation, ein definiertes Onboarding-VLAN und dynamische Zuordnung per RADIUS/802.1X leisten. Die Fritzbox kennt kein 802.1X — Sie bräuchten also parallel einen dedizierten RADIUS/NAC. OPNsense integriert sich sauber mit FreeRADIUS oder externem NAC.

5. SNMP, NetFlow und zentrales Monitoring. Für ein RMM- oder Monitoring-System — Zabbix, Checkmk, LibreNMS oder unser DATAZONE Control — müssen Firewall, Switches und Access Points per SNMP oder NetFlow Daten liefern. Die Fritzbox bietet nur ein rudimentäres TR-064-Interface und kein SNMP. OPNsense unterstützt SNMPv3, NetFlow v9 und IPFIX out of the box.

OPNsense vs. Fritzbox: Feature-Vergleich

Anforderung	AVM Fritzbox 7590 / 7690	OPNsense 25.7
VLANs (802.1Q)	Kein Trunk, nur LAN + Gast	Unbegrenzt, native Trunk-Ports
Firewall-Regeln	Port-Forwarding, Kindersicherung	Voller pf-Regelsatz, Aliases, Schedules
VPN Site-to-Site	IPSec (1 Tunnel praxisrelevant)	IPSec, WireGuard, OpenVPN, mehrere Tunnel
VPN Roadwarrior	WireGuard, MyFritz	WireGuard, OpenVPN, IPSec/IKEv2, SAML
RADIUS / 802.1X	Nein	FreeRADIUS-Plugin, RADIUS-Client
SNMP-Monitoring	Nein (nur TR-064)	SNMPv3, NetFlow v9, IPFIX
IDS / IPS	Nein	Suricata mit ET Open / ET Pro
Multi-WAN / Failover	Nein (nur LTE-Backup)	Multi-WAN, Policy Routing, Gateway-Groups
High Availability	Nein	CARP-Failover Aktiv/Passiv
Logging / Reporting	Rudimentär	Vollständig, exportierbar, ELK-tauglich

Die Fritzbox bleibt in einem Bereich unschlagbar: als All-in-One-Gerät für Homeoffice und Kleinstbüros mit integriertem DSL- oder Glasfaser-Modem, Telefonie und DECT. Sobald ein Unternehmen aber eigene VoIP-Anlage, Managed WLAN und dediziertes Modem betreibt, kippt diese Rechnung.

Hardware-Empfehlungen für die OPNsense-Appliance

Die Hardware richtet sich nach WAN-Bandbreite, Anzahl VLANs und IDS/IPS-Nutzung. Für 2026 empfehlen wir drei Klassen:

Klein — bis 1 Gbit/s WAN, 5–25 Nutzer, ohne IDS Deciso DEC697, Protectli VP2420 oder ein vergleichbares Fanless-System mit Intel N100 / N305, 8 GB DDR4, 128 GB NVMe, 4× 2.5 GbE Intel i226. Reicht für die meisten Handwerks-, Kanzlei- und Agenturbetriebe.

Mittel — bis 2,5 Gbit/s WAN, 25–100 Nutzer, mit Suricata IDS Deciso DEC2752 oder ein Custom-Build auf Intel Xeon E-2314 / E-2378, 16 GB ECC RAM, 240 GB NVMe, 6× 1 GbE plus 2× 10 GbE SFP+. Genug Reserve für Suricata-Regelsätze und Traffic-Shaping.

Groß — 10 Gbit/s WAN, > 100 Nutzer, HA-Cluster, VPN-Konzentrator Deciso DEC3852 im CARP-Cluster oder eine Supermicro-Plattform mit Xeon Silver 4310, 32 GB ECC, 480 GB NVMe RAID1, 4× 10 GbE SFP+. Für Mehrstandort-Umgebungen mit BGP und mehreren hundert WireGuard-Peers.

Wichtig in allen Klassen: Intel-NICs (i210, i225/i226, X710, X550-T2). Realtek-Chips können unter FreeBSD zu Paketverlust und CPU-Overhead führen — das ist einer der häufigsten Fehler bei selbstgebauten Boxen. ECC-RAM ist ab der mittleren Klasse Pflicht.

Migration in der Praxis: Parallelbetrieb ohne Downtime

Ein harter Rip-and-Replace-Umzug ist selten nötig. Wir gehen typischerweise in fünf Schritten vor:

Schritt 1 — OPNsense hinter der Fritzbox aufbauen. Die neue OPNsense-Appliance wird an einem LAN-Port der Fritzbox angeschlossen und erhält per DHCP eine Adresse. Auf der Fritzbox richten wir sie als „Exposed Host” ein oder legen einen dedizierten Port-Forward auf die WAN-Adresse der OPNsense. Damit lassen sich alle VLANs, Firewall-Regeln, DHCP-Scopes und VPN-Zugänge in Ruhe konfigurieren, ohne dass produktive Nutzer betroffen sind.

Schritt 2 — Managed Switch vorbereiten. Der zentrale Switch bekommt einen VLAN-Trunk zur OPNsense sowie die Access-Ports für die neuen VLANs. Bis zum Cutover bleiben die alten Access-Ports weiter im „alten” Netz an der Fritzbox — die Umschaltung erfolgt Port für Port.

Schritt 3 — Testnutzer umziehen. Ein bis zwei Test-Arbeitsplätze werden auf die neuen OPNsense-VLANs geschaltet. In dieser Phase prüfen wir DHCP, DNS, Drucker-Erreichbarkeit, SMB-Freigaben, VPN und Internet-Zugriff. Fehler in Firewall-Regeln fallen jetzt auf, nicht beim Go-Live.

Schritt 4 — Cutover WAN. Sobald alle VLANs funktionieren, wird die WAN-Leitung von der Fritzbox auf die OPNsense umgezogen. Bei Glasfaser bedeutet das entweder direkte GPON-SFP-Kopplung oder die Fritzbox bleibt als reines Modem im Bridge-Modus davor. Bei DSL kann ein Draytek Vigor 165 oder ein Zyxel VMG als Modem-Only-Gerät dienen. Diese Cutover-Nacht ist das einzige echte Wartungsfenster.

Schritt 5 — Fritzbox rückbauen oder als Telefonanlage weiterbetreiben. Die Fritzbox kann als reines DECT/VoIP-Gerät im Management-VLAN weiterleben — das rettet vorhandene Handteile und die integrierte Telefonanlage. Wer die Telefonie ohnehin auf eine dedizierte Anlage wie 3CX, STARFACE oder Placetel migriert, entsorgt die Fritzbox sachgerecht.

Ein einfacher WireGuard-Roadwarrior-Zugang, den wir im Rahmen von Schritt 1 gerne aufbauen, sieht auf der OPNsense zum Beispiel so aus:

# /usr/local/etc/wireguard/wg0.conf (Ausschnitt, generiert von OPNsense)
[Interface]
Address    = 10.0.99.1/24
ListenPort = 51820
PrivateKey = <server-private-key>

[Peer]
# Notebook Geschaeftsleitung
PublicKey  = <peer-public-key>
AllowedIPs = 10.0.99.10/32

Der Rollout an den Endgeräten erfolgt per QR-Code aus der OPNsense-Oberfläche — pro Nutzer in unter zwei Minuten produktiv.

Typische Stolpersteine

Fritzbox als DECT-Insel vergessen. Wenn die Fritzbox weiter als DECT-Basis dient, muss sie im richtigen VLAN hängen und darf keinen DHCP-Server mehr aktiv haben. Doppelte DHCP-Server sind die häufigste Ursache für „Internet weg” nach Migrationen.

MyFritz und Fritz-Fernzugang nachziehen. Alle Fernzugänge, die über MyFritz-DDNS oder Fritz-VPN liefen, müssen auf OPNsense-WireGuard oder OpenVPN migriert und den Nutzern neu ausgerollt werden. Das ist Kommunikationsaufgabe, nicht Technik.

Statische Routen in Anwendungen. ERP- und Warenwirtschaftssysteme haben manchmal Firewall-IP-Adressen fest verdrahtet, etwa für Lizenzserver. Diese Systeme müssen vor dem Cutover angepasst werden.

SIP-ALG unbedingt deaktivieren. OPNsense hat kein SIP-ALG im Weg — die Fritzbox schon. Wer VoIP-Telefone im Netz betreibt, muss die SIP-Registrierungen nach dem Umzug prüfen. In den meisten Fällen läuft VoIP nach dem Wechsel sogar stabiler, weil die Fritzbox nicht mehr in die SIP-Pakete eingreift.

Fazit

Die Fritzbox ist ein hervorragendes Endkundengerät und in vielen KMU der richtige Startpunkt. Sobald aber Multi-VLAN, echte Firewall-Policies, ein VPN-Konzentrator, MDM-taugliche Segmentierung oder SNMP-Monitoring gefordert sind, ist der Wechsel auf OPNsense fällig — und mit dem beschriebenen Parallelbetrieb ohne echtes Downtime-Risiko machbar. Die Hardware-Kosten liegen für ein KMU-taugliches Setup meist zwischen 800 und 2.500 Euro, die Software ist Open Source.

---

DATAZONE unterstützt Sie bei Planung und Migration von der Fritzbox auf OPNsense: Hardware-Auswahl, VLAN-Konzept, Firewall-Regeln, VPN-Rollout und Betrieb. Kontaktieren Sie uns — wir übernehmen den Wechsel im Parallelbetrieb, ohne Downtime für den laufenden Geschäftsbetrieb.