Fast jede Diskussion über Heimnetz-Sicherheit dreht sich um Endgeräte, um Virenschutz und um Passwörter. Der Router steht dabei selten im Mittelpunkt, obwohl er die einzige Stelle ist, durch die aller Verkehr läuft. Wer ihn sauber konfiguriert, hebt das Sicherheitsniveau des gesamten Haushalts an, und zwar für jedes Gerät gleichzeitig, auch für solche, auf denen sich gar keine Schutzsoftware installieren lässt.
Der Admin-Zugang ist der erste Punkt
Zwei Passwörter sind an einem Router zu unterscheiden, und sie werden häufig verwechselt. Das WLAN-Passwort brauchen Geräte, um sich mit dem Funknetz zu verbinden. Das Geräte-Passwort öffnet die Konfigurationsoberfläche, in der sich alles ändern lässt. Für die Sicherheit ist das zweite das kritischere.
Aktuelle Geräte werden mit individuell voreingestellten Passwörtern ausgeliefert, die meist auf einem Aufkleber am Gehäuse stehen. Das ist deutlich besser als früher, hat aber zwei Schwächen: Jeder, der das Gerät in die Hand nimmt, kann den Aufkleber lesen, und bei einem Werksreset gilt wieder der Ausgangswert. Setze deshalb ein eigenes, langes Passwort und lege es im Passwortmanager ab.
Prüfe außerdem, ob dein Router die Anmeldung mit einem zweiten Faktor oder mit einer Bestätigung am Gerät absichern kann. Einige Modelle verlangen bei sicherheitsrelevanten Änderungen einen Tastendruck am Gehäuse, das ist ein wirksamer Schutz gegen Zugriffe aus dem Netz.
Firmware-Updates automatisieren
Router laufen jahrelang unbeachtet durch. Genau das macht bekannte Schwachstellen so wirksam: Ein Fehler, der seit zwei Jahren behoben ist, existiert auf einem nie aktualisierten Gerät weiterhin. Schalte die automatische Aktualisierung ein. Falls dein Modell nur “Benachrichtigung” statt “automatisch installieren” anbietet, hinterlege eine E-Mail-Adresse, die du wirklich liest.
Der zweite Teil betrifft das Alter der Hardware. Hersteller pflegen Modelle nur über einen begrenzten Zeitraum. Wenn dein Gerät seit Jahren keine Updates mehr bekommt, hilft keine Einstellung, dann steht ein Austausch an. Die Support-Dauer ist ein Kaufkriterium, das auf keiner Verpackung steht, aber in den Herstellerangaben zum Produktlebenszyklus zu finden ist.
Verschlüsselung und WLAN-Name
| Einstellung | Empfehlung | Hintergrund |
|---|---|---|
| Verschlüsselung | WPA3, ersatzweise WPA2/WPA3 gemischt | WPA2 allein ist noch nutzbar, WEP und WPA gelten als überholt |
| WLAN-Passwort | mindestens 20 Zeichen, zufällig | Länge wirkt stärker als Sonderzeichen |
| Netzname (SSID) | neutral, ohne Namen oder Adresse | Rückschlüsse auf Bewohner vermeiden |
| SSID verstecken | nicht nötig | leicht zu umgehen, verursacht Verbindungsprobleme |
| WPS per Knopfdruck | nur kurzzeitig aktivieren | dauerhaft aktiv erleichtert unbefugte Anmeldung |
| Gastnetz | einrichten und vom Heimnetz trennen | isoliert Besuchergeräte und IoT-Technik |
Zum Netznamen ein praktischer Hinweis: Standardnamen verraten oft das Modell und damit potenzielle Schwachstellen, Namen mit Nachnamen verraten die Wohnung. Ein neutraler Fantasiename löst beides. Verstecken musst du das Netz dafür nicht, das bringt kaum etwas und stört Geräte, die versteckte Netze schlecht handhaben.
Gastnetz und die Trennung von IoT-Geräten
Die wirkungsvollste Einzelmaßnahme nach dem Admin-Passwort ist ein zweites Netz. Fast jeder Router bringt ein Gastnetz mit, das vom Hauptnetz getrennt ist und dessen Teilnehmer nicht auf Netzwerkspeicher, Drucker oder andere Rechner zugreifen können.
Dort gehören zwei Gruppen hinein:
- Besuchergeräte, über deren Zustand du nichts weißt
- vernetzte Kleingeräte, also Steckdosen, Lampen, Lautsprecher, Kameras, Saugroboter und ähnliche Technik
Der Grund für die zweite Gruppe ist einfach: Diese Geräte bekommen selten Updates, lassen sich nicht absichern und sind trotzdem dauerhaft online. Steht so ein Gerät im selben Netz wie dein Notebook, ist es ein möglicher Ausgangspunkt für Zugriffe auf alles andere. Im Gastnetz bleibt der Schaden eingegrenzt.
Achte darauf, dass die Client-Isolation aktiv ist, damit sich die Geräte im Gastnetz auch untereinander nicht sehen. Und prüfe vorher, welche Funktionen du verlierst: Eine WLAN-Kamera, die ihre Bilder in die Cloud schickt, funktioniert im Gastnetz problemlos, eine Kamera, die auf einen Netzwerkrecorder im Hauptnetz aufzeichnet, dagegen nicht. Auch ein smartes Türschloss sollte man vor dem Umzug ins Gastnetz kurz prüfen, weil manche Bridges den Kontakt zur zugehörigen App im getrennten Netz verlieren.
Portfreigaben, UPnP und Fernzugriff
Von außen erreichbar zu sein ist der Punkt, an dem aus einer Schwachstelle ein Risiko wird. Drei Einstellungen entscheiden darüber:
UPnP erlaubt Geräten im Netz, sich selbst Ports nach außen freizuschalten. Bequem, aber du erfährst nicht, was gerade offen ist. Abschalten und die wenigen wirklich benötigten Freigaben manuell setzen.
Portfreigaben solltest du inventarisieren. Öffne die Liste im Router und prüfe, ob du zu jedem Eintrag weiß, warum er existiert. Alles ohne klare Begründung kommt weg. Besonders kritisch sind Freigaben auf Kameras, Recorder und Netzwerkspeicher, die dann ungeschützt aus dem Internet erreichbar sind.
Ein häufiger Irrtum dabei: Eine Portfreigabe auf ein Gerät mit Passwortschutz sei unbedenklich. Das stimmt nur, solange dieses Gerät fehlerfrei ist und aktuelle Software fährt. Bei Kameras und Recordern ist beides erfahrungsgemäß selten der Fall, und eine offene Freigabe wird von automatisierten Scans binnen Stunden gefunden. Der sichere Weg führt deshalb immer über einen verschlüsselten Tunnel statt über einzelne direkt erreichbare Dienste.
Fernzugriff auf den Router selbst ist im Auslieferungszustand meist aus und sollte es bleiben. Wenn du wirklich von unterwegs auf dein Heimnetz zugreifen willst, ist der saubere Weg ein VPN-Server auf dem Router. Viele Modelle bringen das mit, häufig auf WireGuard-Basis. Damit steht genau eine verschlüsselte Tür offen statt mehrerer einzelner Dienste. Worauf es dabei ankommt, steht im VPN-Ratgeber.
Weitere Einstellungen, die sich lohnen
- Netzwerkübersicht durchgehen: Die Liste der verbundenen Geräte einmal komplett prüfen und unbekannte Einträge klären.
- Zeitgesteuertes WLAN: Nachts abschalten reduziert die Angriffsfläche und spart nebenbei Strom.
- DNS-Server bewusst wählen: Manche Router erlauben eigene DNS-Einträge, teils mit Filterfunktion gegen bekannte Schadseiten.
- Konfiguration sichern: Ein Export der Einstellungen erspart nach einem Defekt viel Arbeit. Die Datei gehört verschlüsselt abgelegt.
- WPS nur kurz nutzen: Die Kopplung per Knopfdruck ist praktisch, sollte aber nicht dauerhaft aktiv bleiben.
Was das für die Kaufentscheidung bedeutet
Wenn ohnehin ein neuer Router ansteht, entscheiden weniger die beworbenen Geschwindigkeiten als diese Punkte:
- Zugesagte Update-Dauer des Herstellers, nachlesbar in den Angaben zum Produktlebenszyklus
- Echtes Gastnetz mit Client-Isolation, nicht nur ein zweiter Netzname
- Eingebauter VPN-Server, damit du für den Fernzugriff keinen Dienst brauchst
- Getrennte Netze oder VLAN-Funktion, wenn du viele vernetzte Geräte betreibst
- Automatische Firmware-Updates ohne Zutun
Wichtiger als das Modell ist am Ende die Konfiguration. Ein gut eingerichtetes Mietgerät des Internetanbieters ist sicherer als ein teures Gerät, bei dem UPnP aktiv ist, alte Portfreigaben stehen und das Admin-Passwort noch vom Aufkleber stammt.
Häufige Fragen
Wie oft sollte ich die Router-Firmware aktualisieren?
Am besten gar nicht manuell, sondern über die automatische Update-Funktion, die praktisch jeder aktuelle Router mitbringt. Wenn du sie bewusst abgeschaltet hast, solltest du mindestens quartalsweise nachsehen. Sicherheitsrelevante Updates kommen unregelmäßig, deshalb ist die Automatik der zuverlässigere Weg.
Ist der Router meines Internetanbieters unsicher?
Nicht grundsätzlich. Mietgeräte der großen Anbieter werden in der Regel automatisch mit Updates versorgt, was ein echter Vorteil ist. Der Nachteil liegt eher bei fehlenden Einstellmöglichkeiten, etwa wenn sich kein getrenntes Gastnetz oder keine feste DNS-Konfiguration einrichten lässt.
Was bringt WPA3 gegenüber WPA2?
WPA3 erschwert das nachträgliche Entschlüsseln aufgezeichneter Verbindungen und macht das Durchprobieren von Passwörtern deutlich aufwendiger. Ältere Geräte unterstützen es teilweise nicht, dafür gibt es den gemischten Betrieb WPA2/WPA3. Ein langes WLAN-Passwort bleibt in beiden Fällen die Grundlage.
Soll ich den WLAN-Namen verstecken?
Das bringt kaum Sicherheitsgewinn, weil sich ein verstecktes Netz mit einfachen Mitteln trotzdem finden lässt, und es verursacht Probleme bei manchen Geräten. Sinnvoller ist, den Namen so zu wählen, dass er keinen Rückschluss auf Person, Wohnung oder Hersteller zulässt. Ein Netzname mit Nachname und Hausnummer ist die schlechtere Idee als ein sichtbarer, aber neutraler Name.
Muss ich UPnP wirklich abschalten?
UPnP erlaubt Geräten im Netz, selbstständig Ports nach außen zu öffnen, ohne dass du davon erfährst. Für Spielekonsolen und manche Anwendungen ist das bequem, sicherheitstechnisch ist es eine offene Tür. Schalte es ab und richte die wenigen tatsächlich benötigten Freigaben von Hand ein.