Firefox Enterprise: was die Konsole übernimmt und was der Firefox kostenlos schon steuert

Mozilla hat am 12. Oktober 2026 Firefox Enterprise angekündigt, am 13. Oktober kam die erste Version auf den Kanal. Dahinter steckt der bekannte Firefox und eine Verwaltungskonsole, die der Kunde im eigenen Netz betreibt. Wir haben die neue Policy-Referenz von Mozilla gegen die offenen Vorlagen und unsere eigenen Besucherzahlen gemessen. Der Befund: Die Kontrollen, über die alle reden, stecken schon seit Jahren im kostenlosen Firefox, ausgerechnet die bequeme Variante davon ist jetzt eine Enterprise-Funktion.

Was Mozilla verspricht

Die Ankündigung setzt beim Thema Abhängigkeit an und nennt den Browser als die Ebene, die in der Souveränitätsdebatte fehle. Identitätsanbieter, SIEM und MDM sollen bleiben, nur die Verwaltungsinfrastruktur für den Browser wechselt zum Kunden. Als Zahl nennt Mozilla rund 200 Millionen Firefox-Nutzer im Monat, eine Herstellerangabe ohne unabhängige Quelle. Thunderbird Enterprise ist angekündigt, dieselbe Konsole soll später Mail, Kalender und Kontakte verwalten.

Die Release Notes zu Version 158.0 vom 13. Oktober beschreiben, was die Konsole übernimmt. Sie verwaltet Benutzer, Sitzungen und Organisationseinheiten, prüft die Gerätehaltung und meldet Beschäftigte ab, wenn ein Gerät die Vorgabe verliert. Dazu kommen Remote Settings, Sync, Telemetrie, Absturzsammlung und die Browser-Updates, alles auf der Infrastruktur des Kunden. Beschäftigte melden sich mit dem firmeneigenen Single Sign-on an, bevor sie surfen können. Mozilla nennt OpenID Connect inklusive der Zweifaktor-Stufe des Providers.

Dazu kommen Wasserzeichen auf sensiblen Seiten, ein Lockdown-Modus mit abzuschaltender JIT-Compilierung und eigenem Container pro Seite, verschlüsselte Profildaten mit dem Schlüssel aus der Konsole, ein Access Connector als Proxy für interne Seiten ohne VPN, eine Mindestversion für Updates und eine Fernabmeldung für verlorene Notebooks. Sicherheitsereignisse laufen in die eigene Konsole und sind pro Kategorie erst nach Freischaltung aktiv. Auch das sind Herstellerangaben aus den Release Notes, ein unabhängiger Test steht aus.

Zehn Richtlinien gibt es nur mit der Konsole

Mozilla führt seit Kurzem eine separate Administratoren-Referenz, zuletzt gepflegt am 13. Oktober 2026. Ein Abgleich vom 14. Oktober gegen die maschinenlesbaren Vorlagen im offenen Repo von policy-templates Version 8.4 vom 13. Oktober bringt die Differenz. Die Referenz listet 138 Richtlinien, das offene Schema enthält 126 Schlüssel. Zwölf Schlüssel führt nur die neue Referenz, zehn davon haben im normalen Firefox und im ESR-Zweig in der Kompatibilitätstabelle den Eintrag Not supported und hängen am Enterprise-Kanal:

Zwei der zwölf Schlüssel sind keine Enterprise-Funktionen: ClearOnShutdown geht seit Firefox 158 und im Enterprise-Kanal, im ESR fehlt es. Und EnterprisePoliciesEnabled, der Totalschalter für Richtlinien überhaupt, taucht im JSON-Schema nicht als Eigenschaft auf.

Der Schlüssel DataLossPrevention ist die Funktion, über die alle Meldungen schreiben. Er definiert Regeln mit den Aktionen TextPaste, FileUpload, FileDownload und Print, dazu Domains, reguläre Ausdrücke für den Inhalt, Warnung oder Block und einen eigenen Meldungstext. Kann die Engine kein Urteil fällen, greift FallbackResult und der Standardwert heißt block. Das Beispiel in der Mozilla-Doku warnt beim Einfügen in chatgpt.com und claude.ai. Der Haken beim Abgleich: Im kostenlosen Firefox und im ESR steht bei dieser Richtlinie Not supported, sie kommt also mit dem Kanal und der Konsole.

DisableLocalPolicies kann nach eigenem Hinweis der Doku nicht über policies.json, Gruppenrichtlinien oder ein macOS-Plist gesetzt werden. Beides zusammen heißt: Die bequeme Domain-Regel und die Kontrolle darüber, wer überhaupt Richtlinien setzt, hängen an der Konsole.

Dabei fällt ein Widerspruch auf. Die Release Notes nennen Version 158 die erste Veröffentlichung von Firefox Enterprise, die Kompatibilitätstabellen derselben Doku führen Enterprise-Funktionen ab 149 und 150. Eine der beiden Angaben ist ein Dokumentationsfehler, wir hängen an keiner Zahl daraus eine Bewertung.

Was der kostenlose Firefox schon seit Jahren steuert

Der Datenabfluss im Browser ist keine neue Baustelle. ContentAnalysis ist im normalen Firefox seit 125.0.1 und im ESR seit 128 drin und spricht einen DLP-Agenten über dasselbe Protokoll an, das Google für Chrome definiert hat. Standardmäßig abgefangen werden die Zwischenablage, Ziehen und Ablegen, Dateiuploads und der Druck. Der Download kam später dazu und ist dort standardmäßig ausgeschaltet. Bei Verbindungsproblemen zum Agenten lautet die Standardeinstellung Ablehnung, der Timeout steht auf 300 Sekunden, eine Signaturprüfung für den Agenten gibt es auch. Ohne laufenden Agenten bleibt bei Enabled alles blockiert, wer das nicht will, setzt DefaultResult auf Warnung oder Freigabe.

AIControls, seit Firefox 149.0.2 und ESR 153 verfügbar, regelt die KI-Funktionen des Browsers: Seitenübersetzung, Alt-Texte in PDFs, Tab-Gruppen-Vorschläge, Stichpunkte in Link-Vorschauen, das Chatbot-Panel und seit Firefox 150 die Fenstereinordnung. Jeder Schlüssel hat available oder blocked plus Locked gegen Nutzeränderungen. Abgedeckt ist Mozillas eigenes Angebot, die Seite eines fremden KI-Dienstes erreicht AIControls nicht. Wer Mitarbeitern ChatGPT und Co im Browser untersagen will, greift zu WebsiteFilter. Sie existiert seit Firefox 60, arbeitet mit Übereinstimmungsmustern und akzeptiert maximal 1000 Einträge je Liste.

Alle diese Richtlinien liegen in denselben offenen Vorlagen, die auch die ADMX-Datei für Gruppenrichtlinien erzeugen. Die Zählung in der Datei vom 13. Oktober ergibt 424 Einträge bei 271 Kilobyte, verteilt auf policies.json, Gruppenrichtlinien, Intune-OMA-URIs und macOS-Plist. Der kostenlose Weg ist also nicht arm, er ist nur Handarbeit.

Zwei Wege, dieselbe Aktion zu stoppen

Beide Wege stoppen dieselbe Aktion, der Unterschied liegt im Betrieb. Die eingebaute Engine rechnet laut Mozilla auf dem Gerät, Inhalte gehen für die Prüfung über kein Netz. Ein dritter Anbieter mit eigenem Agenten verdrängt sie: Setzt man ContentAnalysis auf Enabled, ignoriert der Browser die DataLossPrevention-Regeln. Eine Firma mit gewachsenem DLP gewinnt also nichts Neues, sie bekommt nur einen weiteren Ort, an dem Regeln gepflegt werden.

Die Engine-Streuung ist das zweite Argument von Mozilla und für uns messbar. Auf unserem Blog laufen 92,6 Prozent der Sitzungen auf der Blink-Engine, Gecko erreicht 4,7 Prozent. Gemessen in der Umami-Datenbank von senn-tech.com, eine Seite, vier Wochen, mit Botschutz; über Kundenflotten sagt die Zahl nichts. Sie sagt etwas über die Lage: Wer heute Browser-Diversität will, kauft kein zweites Produkt, er legt einen zweiten Zweig für die Fälle an, in denen eine Sicherheitslücke in einer Engine den kompletten Bestand betrifft. Ein flächiger Wechsel von Edge oder Chrome auf Firefox ist für ein KMU mit 30 Arbeitsplätzen eine Schulungsfrage, keine Lizenzfrage.

Was offen bleibt

Mozilla nennt keinen Preis. Die Support-Seite unterscheidet drei Stufen: Community ohne Vertrag, Standard als Teil von Firefox Enterprise mit E-Mail-Kanal, Portal und gemeinsamer Ansprechperson, Premium als Aufpreis mit benannter technischer Ansprechperson und Geschäftsbesprechungen pro Quartal. Auch der Bericht von Dr. Windows vom 13. Oktober hält fest, dass konkrete Preise fehlen.

Die Systemanforderungen der Seite vom 14. Oktober nennen nur die Client-Seite: Windows 10 oder neuer, macOS 10.15 oder neuer, unter Linux glibc ab 2.17 und GTK+ ab 3.14, dazu 2 GB RAM und 500 MB Platz unter Windows. Was die Konsole selbst an Servern, Datenbank, Speicher und Pflege braucht, ist öffentlich nicht dokumentiert. Für eine Kalkulation in einem KMU fehlt damit der Teil, der den Ausschlag gibt, denn die Konsole übernimmt wie gesehen auch Sync, Telemetrie, Absturzsammlung und Updates.

Auf der KI-Governance-Seite führt Mozilla vier Werte aus dem IBM Cost of Data Breach Report 2026 auf, unter anderem 43 Prozent Unternehmen mit einem Vorfall durch nicht regierte KI-Nutzung. Die IBM-Seite bestätigt den Bericht und eine Rekordsumme im Durchschnittsschaden, die vier einzelnen Zahlen von Mozilla haben wir bei IBM in dieser Form nicht nachweisen können. Sie bleiben Herstellerzitat.

Die Compliance-Etiketten DORA, DSGVO, NIS2, ISO 27001 und SOC 2 auf der Trust-Center-Seite sind eine Behauptung der Eignung, kein Nachweis. Mozilla verlinkt dort ein Dokument zu geteilten Verantwortlichkeiten und eine Datenflussbeschreibung, beide zuletzt am 24. September 2026 aktualisiert und ausdrücklich ohne Rechtsberatung. Eine NIS2-Nachweisliste ist damit nicht gefüllt, die Nachweispflicht bleibt beim Unternehmen.

Was Administratoren und Kommentierende sagen

Die Ankündigung lief auf Hacker News mit 776 Punkten und 328 Kommentaren (Thread zur Produktseite) und mit 28 Punkten und 3 Kommentaren (Thread zum Mozilla-Blog). Wir haben den größeren Thread bis zum Beginn der Kommentarebene gelesen, rund zwei Drittel des Textes, und geben die Haltungen sinngemäß wieder. Es sind Meinungen einzelner Kommentierender.

Zustimmung kommt mit dem Argument, ein Angebot für Unternehmen sei für Mozilla ein vernünftiger Einnahmeweg neben den Suchverträgen und längst überfällig. Skepsis hat drei Richtungen. Unternehmen zahlten kaum für einen Browser, solange Chrome und Edge verfügbar sind. Mozilla baue Funktionen, die niemand gefordert habe. Und Werbung und Telemetrie hätten das Vertrauen beschädigt. Aus Betreibersicht fällt eine praktische Anmerkung auf: Es gebe weiterhin keinen einfachen Weg, den Sync-Server ohne Mozilla-Konto selbst zu betreiben, und es fehle ein öffentlicher Preis. Eine eigene Gruppe stört sich am Wortlaut der Produktseite, nach der Datenschutz, Unabhängigkeit und Kontrolle „zuerst" kommen: Das lese sich, als sei Datenschutz im normalen Firefox nachrangig oder hinter einer Bezahlschranke. Zur DLP-Funktion selbst und zur Lizenz haben wir in dem gelesenen Teil keine fachliche Diskussion gefunden.

Unabhängige Berichte kommen von heise online, Dr. Windows, Help Net Security, Linuxiac und It's FOSS. Sie übernehmen die Angaben von Mozilla, eine eigene Prüfung der Konsole nennt keiner.

Was sich diese Woche einstellen lässt

Wer Firefox im Bestand hat, kann die Kontrollen ohne Einkauf testen. Die ADMX-Dateien aus Version 8.4 in die zentrale Richtlinienverwaltung einhängen, EnterprisePoliciesEnabled aktivieren und dann vier Entscheidungen getrennt treffen:

1. AIControls auf blocked mit Locked für die KI-Funktionen des Browsers, die niemand freigegeben hat.
2. WebsiteFilter mit den KI-Seiten, die im Haus unerwünscht sind. Bis 1000 Einträge je Liste, Ausnahmen als zweite Liste.
3. ContentAnalysis nur zusammen mit einem Agenten aktivieren, sonst steht am Ende die Stillstandsvariante mit pauschaler Ablehnung.
4. Den ESR-Zweig festlegen und die policies.json wie jede andere Konfiguration im Versionsrepo ablegen.

Eine Demo-Anfrage lohnt, sobald zwei Dinge publiziert sind: ein Preis und die Anforderungen an die Konsole. Bis dahin läuft die Frage, wohin Daten von Mitarbeitenden beim Kopieren in einen KI-Dienst fließen, bei uns über den eigenen AI-Stack, der keine fremde Seite braucht. Kontrollen im Browser sind die zweite Stufe und die fehlt bei den meisten Firmen, egal welcher Browser dort läuft.

So haben wir gemessen

Wir haben am 14. Oktober 2026 die maschinenlesbare Schemadatei der offenen policy-templates in Version 8.4 gelesen (126 Schlüssel im Schema) und die ADMX-Datei gezählt (424 Einträge, 271 Kilobyte). Die Referenz von Mozilla führt 138 Richtlinien, die Differenz sind zwölf Schlüssel. Zehn davon tragen in den Kompatibilitätstabellen für normales Firefox und ESR den Eintrag Not supported. Die Browser-Verteilung stammt aus der Umami-Datenbank von senn-tech.com für 15. September bis 14. Oktober 2026 (1.738 Sitzungen). Die Funktionen der Konsole selbst haben wir nicht getestet, es gibt keine öffentliche Testversion.

Weiterführende Quellen

Primärquellen

• Mozilla, Ankündigung Firefox Enterprise, 12.10.2026
• Release Notes Firefox Enterprise 158.0, 13.10.2026
• Firefox-Administratoren-Referenz mit Kompatibilitätstabellen, Stand 13.10.2026
• policy-templates v8.4, offene Vorlagen inklusive ADMX, 13.10.2026
• Systemanforderungen Firefox Enterprise 158.0

Herstellerangaben

• Mozilla, AI Governance und Trust Center, Stand 13.10. beziehungsweise 24.09.2026

Unabhängige Berichte

• heise online, Mozilla startet Firefox Enterprise, 13.10.2026
• Dr. Windows, Mozilla Enterprise: Firefox und Thunderbird sollen Europas Souveränität stärken, 13.10.2026
• Help Net Security, Firefox Enterprise lets companies block shadow AI in the browser, 13.10.2026
• Linuxiac, Mozilla Launches Firefox Enterprise, 13.10.2026
• It's FOSS, Firefox Enterprise with self-hosted browser management

Community

• Hacker News, 776 Punkte und 328 Kommentare: news.ycombinator.com/item?id=50070302
• Hacker News, 28 Punkte und 3 Kommentare: news.ycombinator.com/item?id=50067390