Sicherheit des Heimrouters: Grundeinrichtung an einem Abend
Der Router ist die einzige Tür zwischen all Ihren Geräten und dem Internet, wird aber meist nur einmal eingerichtet und dann vergessen. Ein paar Schritte an einem einzigen Abend schließen die häufigsten Lücken und machen es jedem, der in Ihr Netzwerk eindringen will, deutlich schwerer.
Ändern Sie das voreingestellte Admin-Passwort
Werksseitige Zugangsdaten wie admin/admin stehen direkt im Handbuch, und fertige Listen solcher Kombinationen kursieren frei im Netz. CISA rät ausdrücklich dazu, sowohl den Benutzernamen als auch das Passwort für den Router-Login zu ändern, da Standard-Zugangsdaten öffentlich einsehbar sein können (CISA, Home Network Security).
- Öffnen Sie die Admin-Oberfläche Ihres Routers — meist über 192.168.0.1 oder 192.168.1.1 im Browser.
- Vergeben Sie ein langes Admin-Passwort, das Sie nirgendwo sonst verwenden.
- Ändern Sie dabei auch den Netzwerknamen (SSID), falls er das Gerätemodell verrät — das liefert Angreifern eine Liste bekannter Schwachstellen.
Aktivieren Sie WPA3 oder eine starke WLAN-Verschlüsselung
Der Verschlüsselungstyp entscheidet, ob ein Nachbar oder ein zufälliger Passant Ihren WLAN-Verkehr mitlesen kann. Wählen Sie in den WLAN-Sicherheitseinstellungen WPA3, und falls einige Ihrer Geräte es nicht unterstützen, den gemischten Modus WPA2/WPA3 oder mindestens WPA2 mit AES-Verschlüsselung. Veraltetes WEP und altes WPA sollten Sie gar nicht mehr verwenden.
Laut Wi-Fi Alliance bietet WPA3-Personal besseren Schutz gegen das Erraten von Passwörtern und ist seit 2020 für Geräte mit dem Zertifikat Wi-Fi CERTIFIED verpflichtend (Wi-Fi Alliance, Security). Machen Sie auch das Netzwerkpasswort selbst lang: Die NSA empfiehlt eine Passphrase mit mindestens 20 Zeichen. Wie Sie die richtige Verschlüsselung wählen und ein starkes Passwort erstellen, lesen Sie in unserem Beitrag zur WLAN-Sicherheit.
Halten Sie die Router-Firmware aktuell
Die Firmware ist das Betriebssystem Ihres Routers, und darin werden regelmäßig Schwachstellen gefunden. Ein Gerät ohne aktuelle Updates wird als Erstes kompromittiert und reißt den Rest des Netzwerks mit sich. CISA nennt regelmäßige Firmware-Updates einen der wirksamsten Schritte, und die NSA rät, wo möglich automatische Updates zu aktivieren.
- Aktivieren Sie automatische Firmware-Updates, falls Ihr Router das unterstützt.
- Prüfen Sie alle ein bis zwei Monate manuell in der Admin-Oberfläche auf eine neue Version.
- Hat der Hersteller vor Jahren aufgehört, Updates bereitzustellen, sollten Sie über einen Austausch des Geräts nachdenken.
Schalten Sie WPS und die Fernverwaltung aus
WPS (Verbindung per Knopf oder PIN-Code) ist praktisch, aber der achtstellige PIN lässt sich per Brute-Force knacken und öffnet Außenstehenden den Zugang zum Netzwerk. Die Fernverwaltung erlaubt den Zugriff auf die Router-Oberfläche aus dem Internet — ist sie aktiviert, ist die Oberfläche von außen sichtbar und wird zum Ziel automatisierter Angriffe. CISA empfiehlt, beide Einstellungen zu deaktivieren.
- Suchen Sie die Option WPS und schalten Sie sie aus.
- Deaktivieren Sie die Fernverwaltung (ebenso Telnet- und SSH-Zugriff aus dem externen Netz).
- Erlauben Sie den Zugriff auf die Admin-Oberfläche nur aus dem lokalen Netzwerk.
Richten Sie ein separates Netzwerk für Gäste und smarte Geräte ein
Eine smarte Glühbirne, eine günstige Kamera oder ein Saugroboter bleibt oft jahrelang ohne Update. Die NSA empfiehlt, das Haupt-WLAN, ein Gast-WLAN und ein IoT-Netzwerk getrennt zu halten, damit ein kompromittiertes schwaches Gerät nicht den Weg zum gesamten Netzwerk öffnet (NSA, Best Practices for Keeping Your Home Network Secure).
- Aktivieren Sie ein Gastnetzwerk und verbinden Sie damit Geräte von Gästen und alle smarten Geräte.
- Reservieren Sie das Haupt-WLAN für Computer und Smartphones mit persönlichen Daten.
- Falls Ihr Router es unterstützt, verhindern Sie, dass Geräte im Gastnetzwerk einander sehen (Client-Isolation).
Was Sie sonst noch schließen sollten
Der Router schützt das Netzwerk innerhalb Ihres Zuhauses, aber Ihr Datenverkehr außerhalb ist weiterhin für Ihren Internetanbieter und den Betreiber des Zugangspunkts im Café oder Hotel sichtbar. Die Verschlüsselung Ihres Datenverkehrs mit einer App wie HamikVPN fügt eine zusätzliche Schutzebene für die Verbindung selbst hinzu, besonders in fremden Netzwerken. Wie das auf Verbindungsebene funktioniert, lesen Sie in unserem Artikel zu den Grundlagen der Verschlüsselung, und für Smartphones und Tablets gibt es eine eigene Sicherheits-Checkliste für Android. Diese Schritte lassen sich an einem Abend erledigen, danach reicht eine Kontrolle alle paar Monate, um den Router in Schuss zu halten.