WLAN-Router absichern: Die wichtigsten Einstellungen Schritt für Schritt

von

Einen WLAN-Router sichern Sie mit wenigen Einstellungen ab: eigenes Passwort für die Benutzeroberfläche, WPA2 oder besser WPA3 mit einem langen WLAN-Schlüssel, automatische Updates, ein Gastnetz für fremde und smarte Geräte und abgeschaltete Zusatzfunktionen wie Fernzugriff und WPS. Danach ist Ihr Heimnetz deutlich schwerer angreifbar als im Auslieferungszustand vieler Geräte, und Fachwissen brauchen Sie dafür nicht.

Kurz zusammengefasst

Der Router ist die Tür zwischen Internet und Heimnetz. Das BSI nennt acht Basismaßnahmen: Standard-Passwort ändern, automatische Updates einschalten, ein WLAN-Passwort mit mindestens 20 zusammenhanglosen Zeichen vergeben, den voreingestellten Netzwerknamen ersetzen, die Firewall prüfen, WPA2 oder WPA3 nutzen, den Fernzugriff abschalten und ein Gastnetz einrichten. Zusätzlich lohnt es sich, WPS und selbstständige Portfreigaben (UPnP) nur dann aktiv zu lassen, wenn Sie sie wirklich brauchen.

Warum ist der Router das wichtigste Gerät im Heimnetz?

Über den Router läuft jede Verbindung Ihrer Geräte ins Internet, deshalb wirkt eine Lücke dort auf alle angeschlossenen Geräte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt ungesicherte Router ausdrücklich als Einfallstor: Wer von außen eindringt, kann den Router selbst und die Geräte dahinter kompromittieren und den Nutzern persönlichen oder finanziellen Schaden zufügen.

Praktisch heißt das: Ein Angreifer, der Ihren Router kontrolliert, kann Datenverkehr umleiten, Geräte im Netz angreifen oder Telefoniefunktionen missbrauchen. Ein ungeschütztes WLAN ist eine zweite, eher lokale Gefahr. Wer in Funkreichweite sitzt, etwa in der Nachbarwohnung, kann sich bei schwachem Schlüssel einwählen und Ihren Anschluss mitnutzen.

Die gute Nachricht: Die meisten Angriffe zielen auf Geräte mit Werkseinstellungen, alter Firmware oder unnötig geöffneten Diensten. Genau diese Punkte können Sie selbst abstellen, ohne Netzwerktechniker zu sein. Wie wichtig solche Grundregeln generell sind, erklärt unser Beitrag zu den Grundregeln der IT-Sicherheit.

Schritt 1: Das Passwort für die Router-Oberfläche ändern

Ändern Sie zuerst das Kennwort, mit dem Sie sich an der Benutzeroberfläche des Routers anmelden. Dieses Kennwort ist nicht dasselbe wie der WLAN-Schlüssel. Es schützt alle Einstellungen, also auch die Verschlüsselung, Portfreigaben und bei vielen Modellen die Telefonie.

Laut BSI werden immer noch Router mit Standardpasswörtern wie „admin“ oder „1234“ ausgeliefert. Diese Kombinationen kennen Angreifer genauso gut wie Sie. Neuere Geräte haben ab Werk ein individuelles Kennwort, das meist auf dem Typenschild steht. Auch das sollten Sie ersetzen, denn jeder, der das Gerät in die Hand nimmt oder ein Foto der Unterseite sieht, kennt es.

Das BSI empfiehlt für die Oberfläche mindestens acht Zeichen aus verschiedenen Zeichenarten und betont in seiner Router-Broschüre: Je länger, desto besser. Nutzen Sie ein Kennwort, das Sie sonst nirgends verwenden, und legen Sie es in einem Passwort-Manager ab. Hilfe beim Bilden eines guten Kennworts finden Sie in unserer Anleitung Wie erstelle ich ein sicheres Passwort?

Die Oberfläche erreichen Sie über die Adresse, die im Handbuch oder auf der Rückseite des Routers steht. Häufig ist das eine IP-Adresse wie 192.168.178.1 oder 192.168.0.1, bei der FRITZ!Box zusätzlich http://fritz.box. Wenn Ihr Router es anbietet, rufen Sie die Konfiguration über https auf. Auch das rät das BSI.

Schritt 2: WPA3 oder WPA2 einschalten und einen langen WLAN-Schlüssel vergeben

Stellen Sie die WLAN-Verschlüsselung auf WPA2, WPA3 oder den Mischmodus „WPA2 + WPA3“. Das BSI nennt WPA2 und WPA3 die derzeit sichersten Verfahren für Funknetze. WEP sollte laut BSI nicht mehr verwendet werden, weil es keinen ausreichenden Schutz bietet. Unterstützt Ihr Router weder WPA2 noch WPA3, rät das BSI zu einem neuen Gerät.

WPA3 ist die modernere Variante. Viele ältere Smartphones, Drucker oder Steckdosen beherrschen es aber nicht. Deshalb gibt es den Übergangsmodus „WPA2 + WPA3“: Neue Geräte verbinden sich mit WPA3, ältere weiter mit WPA2, beides unter demselben Netzwerknamen und mit demselben Schlüssel. Bei der FRITZ!Box ist dieser Modus laut Hersteller schon in den Werkseinstellungen aktiv.

Mindestens so wichtig wie das Verfahren ist der Schlüssel selbst. Das BSI empfiehlt mindestens 20 zusammenhanglose Zeichen. Viele Router haben ab Werk bereits einen solchen Schlüssel. Ist Ihrer kürzer, ändern Sie ihn. Verwenden Sie dafür auf keinen Fall dasselbe Passwort wie für die Router-Oberfläche.

Ein langer Schlüssel ist lästig beim Eintippen, aber Sie geben ihn pro Gerät nur einmal ein. Für Besuch gibt es das Gastnetz mit eigenem Schlüssel und QR-Code (dazu weiter unten). Ändern Sie bei dieser Gelegenheit auch den Netzwerknamen (SSID), falls er Hersteller oder Modell verrät. Das BSI empfiehlt einen Namen, der nichts über Ihren Router oder Sie persönlich aussagt. Also nicht „Familie Müller 3. OG“.

Schritt 3: Firmware-Updates automatisch installieren lassen

Aktivieren Sie automatische Updates, damit bekannte Sicherheitslücken geschlossen werden, ohne dass Sie daran denken müssen. Das BSI empfiehlt ausdrücklich, diese Option zu nutzen. Suchen Sie im Menü nach „System“, „Update“ oder „Firmware“ und dort nach einer Auto-Update-Einstellung.

Haben Sie den Router vom Internetanbieter gemietet, spielt der Anbieter Updates oft per Fernwartung ein. Fragen Sie im Zweifel nach, ob und wie regelmäßig das passiert. Bei FRITZ!Boxen von Providern fehlt das Menü „Update“ laut Hersteller sogar ganz, weil der Anbieter die Aktualisierung übernimmt.

Ein Router, für den der Hersteller keine Updates mehr liefert, ist ein Kandidat für den Austausch. Wenn Sie ohnehin ein neues Gerät kaufen, achten Sie auf das IT-Sicherheitskennzeichen des BSI auf der Verpackung. Damit sichern Hersteller bestimmte Sicherheitseigenschaften zu, und über den aufgedruckten QR-Code gelangen Sie zur Produktinformationsseite beim BSI.

Schritt 4: Gastnetz einrichten und Smart-Home-Geräte dorthin umziehen

Richten Sie ein Gastnetz ein und verbinden Sie Besuchergeräte sowie vernetzte Haushaltsgeräte dort statt im Hauptnetz. Das BSI nennt ausdrücklich Saugroboter, Rollladensteuerungen und smarte Türklingeln als Kandidaten. Der Grund: Solche Geräte bekommen oft seltener Updates als Laptop oder Smartphone. Liegen sie in einem getrennten Netz, kann ein unsicheres Gerät weniger Schaden anrichten. Onlinebanking, Homeoffice und Ihre Dateien bleiben im Hauptnetz.

So gehen Sie laut BSI vor: Gastzugang im Menü „WLAN“ (je nach Modell auch „Netzwerk“ oder „Gastnetzwerk“) aktivieren, einen neutralen Namen vergeben, ein Passwort mit mindestens 20 zufälligen Zeichen setzen und als Verschlüsselung mindestens WPA2, möglichst WPA3 wählen. Viele Router erzeugen einen QR-Code, den Gäste nur scannen müssen.

Eine Einschränkung sollten Sie kennen: Geräte im Gastnetz sehen das Heimnetz nicht. Smart-Home-Geräte, die über die Cloud des Herstellers gesteuert werden, funktionieren dort in der Regel weiter. Anders ist es bei Geräten, die Ihre App direkt im lokalen Netz ansprechen, und bei Bridges oder Hubs. Die bleiben besser im Heimnetz, sonst findet die Steuer-App sie nicht mehr. Probieren Sie es Gerät für Gerät aus.

Schritt 5: Fernzugriff, UPnP und WPS abschalten, wenn Sie sie nicht brauchen

Schalten Sie alle Zusatzfunktionen ab, die Sie nicht nutzen, allen voran den Fernzugriff auf die Router-Oberfläche. Viele Router lassen sich auch von unterwegs über das Internet konfigurieren. Das BSI rät, zu prüfen, ob diese Funktion aktiv ist, und sie abzuschalten, falls Sie sie nicht benötigen. Gleiches gilt für alle anderen Zusatzdienste wie Medienserver, die Sie nicht verwenden.

Portfreigaben und UPnP prüfen

Über eine Portfreigabe wird ein Gerät in Ihrem Netz aus dem Internet erreichbar. Über das Protokoll UPnP (bei manchen Routern auch PCP) können Geräte und Programme solche Freigaben selbst anlegen, etwa Spielkonsolen. Das ist bequem, aber Sie verlieren den Überblick, was gerade offen ist. Das BSI empfiehlt, Ports nur freizugeben, wenn die technischen Auswirkungen klar sind, und bei Netzwerkspeichern (NAS) riskante Freigaben ganz zu vermeiden und stattdessen ein VPN zu nutzen.

Schauen Sie deshalb in die Liste der Portfreigaben Ihres Routers. Einträge, die Sie keinem Gerät zuordnen können, löschen Sie. Erlauben Sie selbstständige Freigaben nur Geräten, die sie wirklich brauchen. Die Firewall des Routers lassen Sie eingeschaltet und ändern dort nur etwas, wenn Sie wissen, welcher Port wofür steht.

WPS nur bei Bedarf einschalten

Auch WPS (Wi-Fi Protected Setup) gehört zu den Zusatzfunktionen, die Sie abschalten sollten, sobald alle Geräte verbunden sind. WPS ist eine Komfortfunktion: Ein Knopfdruck am Router oder eine PIN ersetzt das Eintippen des WLAN-Schlüssels. Das ist praktisch für Repeater oder Drucker, öffnet aber ein zusätzliches Anmeldeverfahren neben dem eigentlichen Schlüssel.

Als problematisch gilt vor allem die PIN-Variante. Sicherheitsforscher haben schon 2011 gezeigt, dass sich die achtstellige PIN wegen ihrer Prüfung in zwei Hälften per Ausprobieren knacken lässt. Die technische Richtlinie des BSI für Router-Hersteller (TR-03148) erlaubt die PIN-Methode deshalb nur, wenn sie im Auslieferungszustand abgeschaltet ist und für jedes neu angemeldete Gerät eine neue PIN entsteht. In den acht Verbraucher-Tipps des BSI taucht WPS allerdings nicht auf. Abschalten ist also eine vernünftige Vorsicht, keine Pflicht. Wer WPS selten braucht, schaltet es dauerhaft ab und bei Bedarf kurz wieder ein.

Wichtig für WPA3-Nutzer: Laut FRITZ! lassen sich WPA3-Verbindungen nicht per WPS einrichten. Sie müssen den Schlüssel dafür ohnehin von Hand eingeben.

Beispiel FRITZ!Box: Wo finde ich die Einstellungen?

Bei der FRITZ!Box erreichen Sie alle genannten Einstellungen über die Benutzeroberfläche unter http://fritz.box. Die Tabelle zeigt die Menüpfade, wie sie der Hersteller in seiner Wissensdatenbank und Online-Hilfe beschreibt. Je nach FRITZ!OS-Version und Modell können die Bezeichnungen leicht abweichen. Provider-Geräte haben teils einen eingeschränkten Funktionsumfang.

Einstellung Menüpfad in der FRITZ!Box Was Sie tun
Kennwort der Oberfläche System > FRITZ!Box-Benutzer Beim Benutzer auf „Bearbeiten“, neues Kennwort eintragen, „Übernehmen“
Verschlüsselung WLAN > Sicherheit > Verschlüsselung „WPA2 + WPA3“ wählen, Netzwerkschlüssel prüfen
WPS WLAN > Sicherheit > WPS-Schnellverbindung Haken bei WPS entfernen, übernehmen
Automatische Updates System > Update > Auto-Update „Über neue FRITZ!OS-Versionen informieren und neue Versionen automatisch installieren“ aktivieren
Gastnetz WLAN > Gastzugang „Gastzugang aktiv“ und „privater WLAN-Gastzugang“ wählen, Name und Schlüssel vergeben
Fernzugriff Internet > Freigaben > FRITZ!Box-Dienste Internetzugriff über HTTPS deaktivieren, falls nicht benötigt
Portfreigaben, UPnP Internet > Freigaben > Portfreigaben Unbekannte Einträge löschen, „Selbstständige Portfreigaben für dieses Gerät erlauben“ nur gezielt setzen

Zwei Hinweise zur FRITZ!Box: Die Option „Sicherheitseinstellungen für den WLAN-Zugang auf eine erhöhte Kompatibilität für ältere WLAN-Geräte optimieren“ ist ab Werk aktiv und findet sich ebenfalls unter WLAN > Sicherheit > Verschlüsselung. Wenn alle Ihre Geräte aktuell sind, können Sie sie abschalten. Und im Gastzugang gibt es die Zusatzeinstellung „WLAN-Geräte dürfen untereinander kommunizieren“. Die brauchen Sie, wenn Smart-Home-Geräte im Gastnetz miteinander sprechen sollen.

Wichtig

Notieren Sie das neue Router-Kennwort, bevor Sie auf „Übernehmen“ klicken. Ein geändertes und vergessenes FRITZ!Box-Kennwort lässt sich laut Hersteller nicht mehr auslesen. Dann bleibt nur der Push-Service „Kennwort vergessen“, falls er vorher eingerichtet war, oder das Zurücksetzen auf Werkseinstellungen. Nach einer Änderung des WLAN-Schlüssels müssen Sie außerdem alle Geräte neu verbinden.

Checkliste: Router Schritt für Schritt absichern

Die folgende Tabelle fasst die Schritte in einer sinnvollen Reihenfolge zusammen. Arbeiten Sie sie am besten mit einem per Kabel verbundenen Rechner ab, dann verlieren Sie beim Ändern des WLAN-Schlüssels nicht die Verbindung.

Nr. Maßnahme Ziel
1 Kennwort der Router-Oberfläche ändern Individuell, lang, nirgends sonst genutzt
2 Auto-Update einschalten, aktuelle Firmware prüfen Sicherheitslücken schließen sich von selbst
3 Verschlüsselung auf WPA2 + WPA3 oder WPA3 Kein WEP, kein offenes Netz
4 WLAN-Schlüssel prüfen Mindestens 20 zusammenhanglose Zeichen
5 Netzwerknamen ändern Kein Hinweis auf Modell, Name oder Adresse
6 WPS abschalten Nur bei Bedarf kurz aktivieren
7 Gastnetz einrichten, Smart-Home-Geräte umziehen Unsichere Geräte vom Hauptnetz trennen
8 Fernzugriff und ungenutzte Dienste deaktivieren Weniger Angriffsfläche von außen
9 Portfreigaben und UPnP durchsehen Nur bekannte, benötigte Freigaben
10 Firewall-Status prüfen Eingeschaltet lassen

Ein Termin im Kalender, etwa zweimal im Jahr, hilft beim Nachkontrollieren. Prüfen Sie dann, ob Updates angekommen sind, welche Geräte im Netz hängen und ob neue Portfreigaben aufgetaucht sind.

Was tun, wenn jemand Fremdes im WLAN war?

Wenn Sie in der Geräteliste des Routers ein Gerät sehen, das Sie nicht zuordnen können, ändern Sie zuerst den WLAN-Schlüssel und danach das Kennwort der Router-Oberfläche. Damit fliegt jedes fremde Gerät aus dem Netz, und Sie verbinden Ihre eigenen Geräte neu.

Gehen Sie dann systematisch vor:

  • Prüfen Sie Portfreigaben, Fernzugriff und angelegte Benutzerkonten. Löschen Sie alles, was Sie nicht selbst eingerichtet haben.
  • Bei Routern mit Telefonie: Kontrollieren Sie die Telefonieeinstellungen und die Anrufliste auf Verbindungen ins Ausland oder zu Sonderrufnummern.
  • Installieren Sie die aktuelle Firmware, falls Auto-Update aus war.
  • Haben Sie den Verdacht, dass Einstellungen manipuliert wurden, die Sie nicht nachvollziehen können, setzen Sie den Router auf Werkseinstellungen zurück und richten ihn mit dieser Checkliste neu ein.
  • Bei ungewöhnlichen Telefonkosten oder Hinweisen auf Missbrauch Ihres Anschlusses informieren Sie Ihren Anbieter und erstatten Anzeige bei der Polizei.

Ein unbekanntes Gerät ist übrigens nicht automatisch ein Eindringling. Oft sind es ein vergessener Fernseher, ein Saugroboter oder das Handy des Besuchs vom letzten Wochenende. Die Gerätenamen in der Liste helfen bei der Zuordnung.

Häufige Fragen

Reicht WPA2 noch aus?

Ja, mit einem langen, zufälligen Schlüssel ist WPA2 laut BSI weiterhin ein sicheres Verfahren. WPA3 bietet mehr Schutz und ist die bessere Wahl, wenn Ihre Geräte es unterstützen. Der Mischmodus „WPA2 + WPA3“ verbindet beides ohne Nachteile für neuere Geräte.

Bringt es etwas, den WLAN-Namen zu verstecken?

Wenig. Ein versteckter Netzwerkname hält Gelegenheitsnutzer ab, aber kein Werkzeug, das Funkverkehr mitschneidet. Wichtiger ist ein neutraler Name, der nichts über Modell oder Bewohner verrät, und ein starker Schlüssel.

Sollte ich einen MAC-Filter einrichten?

Das BSI führt den MAC-Filter unter den erweiterten Einstellungen. Er erlaubt nur bekannten Netzwerkkarten den Zugang. Viele aktuelle Smartphones verwenden allerdings je WLAN eine eigene, private MAC-Adresse, was die Pflege der Liste aufwendiger macht. Ein Ersatz für eine starke Verschlüsselung ist der Filter nicht.

Was ist, wenn mein Router keine Updates mehr bekommt?

Dann sollten Sie ihn ersetzen. Bekannte Lücken in solchen Geräten werden nicht mehr geschlossen. Bei Mietgeräten wenden Sie sich an Ihren Anbieter, beim Neukauf achten Sie auf das IT-Sicherheitskennzeichen des BSI.

Muss ich den WLAN-Schlüssel regelmäßig ändern?

Nein, ein langer, zufälliger Schlüssel muss nicht turnusmäßig geändert werden. Ändern sollten Sie ihn, wenn er in falsche Hände geraten sein könnte, etwa nach einem Auszug eines Mitbewohners oder wenn er irgendwo aufgeschrieben herumlag.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren