Heimnetzwerk absichern: welche Router-Einstellungen wirklich zählen
Der Router ist das Gerät im Haushalt, das am längsten läuft und am seltensten angefasst wird. Meist steht er jahrelang im Auslieferungszustand hinter dem Fernseher, obwohl jedes andere Gerät über ihn ins Netz geht. Wir haben zusammengestellt, welche Einstellungen tatsächlich einen Unterschied machen und welche man sich sparen kann.
Warum der Router das wichtigste Gerät im Haushalt ist
Er ist die Grenze zwischen dem eigenen Netz und dem offenen Internet, und er läuft rund um die Uhr. An ihm hängen längst nicht mehr nur Rechner und Smartphones, sondern Fernseher, Kameras, Sprachassistenten, Thermostate und Drucker. Fällt der Router aus, steht der Haushalt digital still. Wird er übernommen, hat ein Angreifer Zugriff auf alles, was dahinter liegt.
Erschwerend kommt die Nutzungsdauer hinzu. Ein Router bleibt im Schnitt deutlich länger im Betrieb als ein Smartphone, häufig sieben Jahre und mehr, und bei Geräten, die der Zugangsanbieter mitliefert, entscheidet oft dieser über den Zeitpunkt eines Austauschs. In dieser Zeit ändert sich die Bedrohungslage erheblich, die Konfiguration im Wohnzimmer dagegen selten.
Der Auslieferungszustand ist kein Sicherheitskonzept
Die aufgedruckten WLAN-Schlüssel moderner Geräte sind in der Regel brauchbar. Das Problem liegt woanders. Bei vielen Modellen ist das Passwort für die Verwaltungsoberfläche entweder identisch mit dem WLAN-Schlüssel oder es lautet schlicht admin. Wer im Netz steht, kommt damit an die Konfiguration, und von dort aus lässt sich der gesamte Datenverkehr umleiten.
Die Einstellungen, die tatsächlich etwas bewirken
| Einstellung | Wirkung | Aufwand | Anmerkung |
|---|---|---|---|
| Admin-Passwort vom WLAN-Schlüssel trennen | hoch | einmalig | sonst führt der Weg vom Netz direkt in die Konfiguration |
| Automatische Firmware-Aktualisierung | hoch | einmalig | sonst bleiben bekannte Lücken monatelang offen |
| WPA3 statt WPA2 | hoch | einmalig | gemischter Betrieb hält ältere Geräte am Netz |
| WPS abschalten | hoch | einmalig | die achtstellige PIN ist durchprobierbar |
| Fernzugriff deaktivieren | hoch | einmalig | wird im Haushalt praktisch nie gebraucht |
| Gastnetz einrichten | hoch | einmalig | trennt Geräte ohne Update-Versorgung vom Rest |
| UPnP abschalten | mittel | einmalig | Spielekonsolen brauchen danach eventuell Nacharbeit |
| Netzwerknamen ohne Personenbezug | mittel | einmalig | Nachname und Wohnungsnummer gehören nicht hinein |
| Netzwerknamen verstecken | keine | entfällt | die Kennung wird ohnehin übertragen und ist auslesbar |
Admin-Passwort und Firmware
Das Verwaltungspasswort gehört getrennt vom WLAN-Schlüssel gesetzt und sollte nirgends sonst verwendet werden. Genauso wichtig ist die automatische Firmware-Aktualisierung, sofern das Gerät sie anbietet. Bekannte Router-Lücken werden noch Monate nach Veröffentlichung eines Updates ausgenutzt, weil die Geräte einfach niemand anfasst. Wer kein automatisches Update hat, sollte zweimal im Jahr manuell nachsehen.
WPA3 statt WPA2, und WPS abschalten
Für die Verschlüsselung des Funknetzes ist WPA3 der aktuelle Stand, den die Wi-Fi Alliance als Nachfolger von WPA2 definiert hat. Viele Router bieten einen gemischten Betrieb an, damit ältere Geräte weiter funktionieren. Abschalten sollte man dagegen WPS, also die Anmeldung per Knopfdruck oder achtstelliger PIN. Diese PIN lässt sich in überschaubarer Zeit durchprobieren, und der Komfortgewinn steht in keinem Verhältnis dazu.
Fernzugriff und automatische Portfreigaben
Zwei Funktionen öffnen das Netz nach aussen, ohne dass es auffällt. Der Fernzugriff auf die Verwaltungsoberfläche wird selten gebraucht und gehört deaktiviert. Und UPnP erlaubt es Programmen im Netz, selbstständig Ports nach aussen freizugeben. Praktisch für Spielekonsolen, unpraktisch, wenn ein befallenes Gerät sich damit eine Tür öffnet.
Der Netzwerkname verrät mehr als nötig
Eine Kleinigkeit, die häufig übersehen wird: Der Name des Funknetzes ist für die gesamte Nachbarschaft sichtbar. Nachname, Wohnungsnummer oder Strassenname gehören dort nicht hinein, weil sich damit ein Anschluss einer Person zuordnen lässt. Das Verstecken des Netzwerknamens bringt hingegen nichts, die Kennung wird trotzdem übertragen und ist mit einfachen Mitteln auslesbar. Der Aufwand erschwert nur die eigene Einrichtung neuer Geräte.
Ein Gastnetz für alles, was nicht mitreden muss
Nahezu jeder aktuelle Router kann ein zweites, getrenntes Funknetz aufspannen. Dort gehören alle Geräte hinein, die ins Internet müssen, aber nichts im Heimnetz zu suchen haben, also die Kamera, der Saugroboter oder der smarte Lautsprecher. Wird eines dieser Geräte übernommen, erreicht der Angreifer von dort aus nicht den Rechner oder den Netzwerkspeicher.
Warum das gerade bei günstigen Geräten zählt
Bei preiswerter Smart-Home-Hardware endet die Versorgung mit Aktualisierungen oft nach kurzer Zeit, teils noch während das Produkt im Handel steht. Diese Geräte bleiben trotzdem jahrelang im Betrieb. Ein Gastnetz ist der einfachste Weg, sie zu nutzen, ohne dem gesamten Haushalt ihr Sicherheitsniveau aufzuzwingen.
Was der Router nicht leisten kann
Seine Schutzwirkung endet an der eigenen Haustür. Sobald ein Gerät das Haus verlässt und in fremden Netzen hängt, greift keine dieser Einstellungen mehr, und dafür braucht es andere Mittel, etwa die Frage, warum ein VPN sinnvoll sein kann. Ebenso wenig schützt der Router vor gefälschten Mails oder Zugangsdaten, die bei einem Anbieter abfliessen. Welche Massnahmen im Haushalt zuerst kommen, ordnet der digitale Verbraucherschutz des BSI ein.
Hinzu kommt eine Abhängigkeit, die sich technisch nicht wegkonfigurieren lässt. Wie stark der Alltag an einzelnen Diensten hängt, hat sich gezeigt, als ein Ausfall bei Facebook weltweit auch Anmeldungen bei fremden Anwendungen lahmlegte. Ein gut konfigurierter Router ändert daran nichts.
Ein Wartungstermin im Jahr genügt
Der Aufwand ist überschaubar. Einmal jährlich die Firmware prüfen, das Verwaltungspasswort ansehen, die Liste der verbundenen Geräte durchgehen und unbekannte Einträge klären. Wer dabei gleich das Gastnetz einrichtet, hat den grössten Teil der sinnvollen Massnahmen erledigt. Alles darüber hinaus ist Feinarbeit und für die meisten Haushalte verzichtbar.
Ein Punkt gehört allerdings auf die Liste, sobald das Gerät älter wird. Erhält ein Router keine Aktualisierungen mehr, hilft keine Einstellung weiter, und ein Austausch ist dann die einzige wirksame Massnahme. Ob ein Modell noch versorgt wird, steht in der Regel auf den Supportseiten des Herstellers. Bei Leihgeräten des Zugangsanbieters lohnt eine Nachfrage, denn ein Tausch ist dort meist kostenfrei möglich.
Häufige Fragen
Welche Einstellung bringt am meisten?
Ein eigenes Verwaltungspasswort, getrennt vom WLAN-Schlüssel. Bei vielen Modellen ist beides identisch oder das Passwort lautet schlicht admin.
Wer im Netz steht, kommt damit an die Konfiguration, und von dort aus lässt sich der gesamte Datenverkehr umleiten.
Bringt es etwas, den Netzwerknamen zu verstecken?
Nein. Die Kennung wird trotzdem übertragen und ist mit einfachen Mitteln auslesbar. Der Aufwand erschwert nur die eigene Einrichtung neuer Geräte.
Sinnvoll ist dagegen, den Namen ohne Personenbezug zu wählen: Nachname, Wohnungsnummer oder Strassenname gehören dort nicht hinein.
Wofür ist ein Gastnetz gut?
Für alles, was ins Internet muss, aber nichts im Heimnetz zu suchen hat: Kamera, Saugroboter, smarter Lautsprecher.
Wird eines dieser Geräte übernommen, erreicht ein Angreifer von dort aus weder den Rechner noch den Netzwerkspeicher.
Muss WPS wirklich aus?
Die achtstellige PIN lässt sich in überschaubarer Zeit durchprobieren, und der Komfortgewinn steht in keinem Verhältnis dazu.
Die Anmeldung neuer Geräte dauert ohne WPS wenige Sekunden länger und verlangt lediglich den WLAN-Schlüssel.
Wie oft sollte man den Router prüfen?
Einmal im Jahr genügt: Firmware prüfen, Verwaltungspasswort ansehen, die Liste der verbundenen Geräte durchgehen und unbekannte Einträge klären.
Ohne automatische Aktualisierung sind zwei Termine im Jahr die bessere Wahl, weil bekannte Lücken noch Monate nach einem Update ausgenutzt werden.
Was tun, wenn der Router keine Updates mehr bekommt?
Dann hilft keine Einstellung weiter, und ein Austausch ist die einzige wirksame Massnahme. Ob ein Modell noch versorgt wird, steht in der Regel auf den Supportseiten des Herstellers.
Bei Leihgeräten des Zugangsanbieters lohnt eine Nachfrage, denn ein Tausch ist dort meist kostenfrei möglich.