Dein Router ist das einzige Gerät im Haushalt, das dauerhaft mit dem Internet verbunden ist und gleichzeitig jeden Datenstrom deines Netzwerks sieht. Trotzdem wird er meist einmal eingerichtet und dann nie wieder angefasst. Diese Checkliste geht in einer halben Stunde durch alle relevanten Einstellungen – von den drei Punkten, die sofort erledigt sein müssen, bis zu den Optionen, die man guten Gewissens abschalten kann.
Die drei Dinge, die zuerst passieren müssen
1. Firmware aktualisieren und Auto-Update aktivieren. Router-Firmware enthält einen kompletten Netzwerkstack, und dort werden regelmäßig Lücken geschlossen. Ein Gerät mit Firmware von vor zwei Jahren ist das größte Einzelrisiko in deinem Netz. Schalte die automatische Aktualisierung ein, wenn dein Modell sie anbietet – bei Routern ist das einer der wenigen Fälle, in denen automatische Updates uneingeschränkt sinnvoll sind.
2. Router-Passwort ändern. Nicht das WLAN-Passwort, sondern das für die Konfigurationsoberfläche. Bei vielen Geräten steht es auf einem Aufkleber, und bei manchen Modellen lässt sich daraus ein Muster ableiten. Nimm ein langes, eigenes Passwort und leg es im Passwortmanager ab.
3. WLAN-Verschlüsselung auf WPA3 stellen, oder auf den gemischten Modus WPA2/WPA3, wenn ältere Geräte im Netz sind. Falls dein Router noch WPA oder TKIP anbietet: beides abschalten. WEP ist seit Jahren in Minuten zu knacken und sollte nirgends mehr auftauchen.
Ein Detail, über das ich selbst gestolpert bin: WPA3 setzt PMF (Protected Management Frames) zwingend voraus. Das ist an sich eine gute Sache – PMF schützt die Verwaltungspakete des WLANs und verhindert unter anderem, dass jemand Geräte per gefälschtem Deauth-Paket aus dem Netz wirft. Manche sehr alten Smart-Home-Geräte streiken damit aber selbst im gemischten Modus, weil ihr WLAN-Chip mit PMF nicht umgehen kann. Wenn sich also nach der Umstellung genau eine Steckdose oder ein Sensor nicht mehr verbindet, liegt es meist daran und nicht am Passwort. Dann bleibt oft nur das Gastnetz auf reinem WPA2 – was für solche Geräte sowieso der bessere Platz ist, dazu weiter unten mehr.
Beim WLAN-Passwort selbst zählt Länge mehr als Komplexität. Eine Passphrase aus vier zufälligen Wörtern mit über 20 Zeichen ist praktisch unangreifbar und lässt sich Gästen ansagen, ohne dass jemand Sonderzeichen buchstabieren muss.
Was du abschalten solltest
Jetzt kommen die Funktionen, die Komfort versprechen und Angriffsfläche liefern.
WPS. Die Ein-Knopf-Anmeldung fürs WLAN. Die PIN-Variante des Verfahrens hat eine bekannte Schwäche, die einen Angriff auf das WLAN-Passwort deutlich beschleunigt. Falls dein Router zwischen Push-Button und PIN unterscheidet, schalte mindestens die PIN-Methode ab. Einmal ein langes Passwort eintippen ist der bessere Weg.
UPnP. Universal Plug and Play erlaubt Geräten im Netz, sich selbst Portweiterleitungen im Router einzurichten – ohne dass du davon erfährst. Das ist bequem für Konsolen und manche Anwendungen und gleichzeitig genau der Mechanismus, über den kompromittierte Geräte sich von außen erreichbar machen. Ich habe es aus und richte die zwei Weiterleitungen, die ich brauche, manuell ein.
Fernzugriff auf die Konfigurationsoberfläche aus dem Internet. Diese Funktion heißt je nach Hersteller Fernwartung, Remote Management oder Internetzugriff. Wenn du sie nicht ausdrücklich brauchst: aus. Eine aus dem Internet erreichbare Router-Oberfläche wird automatisiert gescannt, und zwar innerhalb von Stunden nach dem Freischalten.
Telnet, SSH und alte Verwaltungsdienste, sofern du sie nicht selbst nutzt. Bei einigen Providergeräten sind solche Dienste ab Werk aktiv.
Pro-Tipp: Notiere dir, was du abschaltest. Wenn in drei Monaten eine Anwendung nicht mehr funktioniert, weißt du sonst nicht, wo du suchen musst.
Was du nicht abschalten musst
Zwei Tipps halten sich seit zwanzig Jahren in Ratgebern und bringen praktisch nichts.
SSID verstecken. Ein WLAN, das seinen Namen nicht sendet, ist nicht unsichtbar. Die Geräte, die sich damit verbinden, senden den Namen weiterhin – und werden dadurch sogar leichter verfolgbar. Für Angreifer mit passenden Werkzeugen ist ein verstecktes Netz in Sekunden gefunden. Der einzige verlässliche Effekt ist, dass Gäste dich fragen müssen, warum sich ihr Handy nicht verbindet.
MAC-Filter. Klingt nach Zugangskontrolle, ist aber keine. MAC-Adressen werden unverschlüsselt übertragen und lassen sich mit einem Befehl fälschen. Gegen einen echten Angreifer hilft das nicht, und du hast bei jedem neuen Gerät Arbeit. Als Ordnungsinstrument im Heimnetz gibt es sinnvollere Wege.
Was stattdessen wirkt, ist banal: ein langes WPA3-Passwort. Damit ist der Rest zweitrangig.
Gäste-WLAN richtig nutzen
Das Gäste-WLAN ist eine der wenigen Funktionen, die echten Sicherheitsgewinn bringen und fast nichts kosten. Entscheidend ist die Einstellung, mit der Geräte im Gastnetz nicht auf das Hauptnetz zugreifen dürfen. Bei vielen Routern ist das die Standardeinstellung, bei manchen nicht – prüfe es.
Der eigentliche Nutzen liegt aber nicht bei Besuchern. Das Gastnetz ist der einfachste Platz für alle Geräte, die du nicht kontrollieren kannst: Saugroboter, smarte Steckdosen, Fernseher, Überwachungskameras, Sprachassistenten. Diese Geräte bekommen selten lange Sicherheitsupdates, laufen mit fremder Firmware und brauchen in der Regel nur Internetzugang, keinen Zugriff auf deine Rechner.
Die Grenze dieser Lösung: Smart-Home-Geräte, die mit einer Zentrale im Hauptnetz sprechen müssen, funktionieren so nicht. Wer das sauber trennen will, braucht VLANs mit gezielten Freigaben – der Aufbau steht im Beitrag zur VLAN-Trennung im Heimnetz. Für die meisten Haushalte ist das Gastnetz trotzdem der beste Kompromiss aus Aufwand und Wirkung.
Der Fernzugriff auf das eigene Netz
Hier machen die meisten den gefährlichsten Fehler: Sie öffnen einen Port. Ein per Portweiterleitung ins Internet gestellter NAS-Server, eine Kamera oder eine Smart-Home-Zentrale wird gefunden – nicht weil jemand dich sucht, sondern weil der gesamte IPv4-Adressraum permanent automatisiert gescannt wird. Das sind gut vier Milliarden Adressen, und mit passender Bandbreite ist dieser Raum in Minuten einmal komplett abgeklopft.
Dasselbe gilt zunehmend auch für IPv6-Freigaben, und das wird oft übersehen. Viele Anschlüsse laufen heute als Dual-Stack oder DS-Lite, und dabei hängen deine Geräte per IPv6 direkt im Netz – ohne NAT davor, jedes mit einer weltweit erreichbaren Adresse. Geschützt sind sie nur durch die Firewall im Router, und zwar genau so lange, wie du dort keine IPv6-Freigabe einrichtest. Öffnest du eine, ist das Gerät unmittelbar aus dem Internet erreichbar. Der IPv6-Adressraum ist zwar viel zu groß, um ihn wie IPv4 vollständig durchzuscannen – dafür wird gezielt gesucht: über Adressen, die aus DNS-Einträgen, Logfiles oder Diensten nach außen geleakt sind, und über die bekannten Präfixe der großen Provider, in denen sich das Suchfeld erheblich eingrenzen lässt. „Meine IPv6-Adresse findet ja niemand“ ist deshalb keine Sicherheitsmaßnahme.
Der richtige Weg ist ein VPN. Du baust von außen einen verschlüsselten Tunnel ins eigene Netz und nutzt dann alles so, als wärst du zu Hause. Nach außen ist nur ein einziger Dienst erreichbar, und der ist genau dafür gebaut. Viele Router bringen WireGuard oder IPSec inzwischen mit; die Einrichtung dauert zwanzig Minuten und ist im Beitrag zum Fernzugriff per WireGuard beschrieben.
Wenn du trotzdem einen Dienst direkt veröffentlichen musst: nicht den Standardport nutzen, Zugriff auf bekannte IP-Bereiche beschränken, wenn möglich, und in jedem Fall Zwei-Faktor-Authentifizierung aktivieren.
DNS: die Einstellung mit der größten Wirkung auf den Alltag
Jede Verbindung beginnt mit einer DNS-Abfrage. Wer diese Abfragen beantwortet, weiß, welche Dienste du nutzt – und kann Antworten manipulieren.
Standardmäßig nutzt dein Router die DNS-Server deines Providers. Das funktioniert, ist aber nicht die einzige Option. Du kannst im Router einen anderen Resolver eintragen, und moderne Geräte unterstützen dabei DNS over TLS, wodurch die Abfragen verschlüsselt übertragen werden.
Der nächste Schritt ist ein eigener DNS-Filter im Netz, der Werbe- und Trackingdomains gar nicht erst auflöst. Das wirkt geräteübergreifend, also auch auf dem Fernseher und dem Tablet, wo sich kein Browser-Blocker installieren lässt. Wie so ein Aufbau funktioniert, ist ein eigenes Thema – wichtig für die Router-Konfiguration ist nur, dass du den Filter als DNS-Server im DHCP hinterlegst und einen Fallback einplanst, damit bei Ausfall des Filters nicht das gesamte Internet stillsteht.
Das Gerät selbst: Position, Kanäle, Reserven
Zwei Dinge, die keine Sicherheitsthemen sind, aber im selben Konfigurationsdurchgang erledigt werden können.
Kanalwahl. Im 2,4-GHz-Band sind in Deutschland nur die Kanäle 1, 6 und 11 überlappungsfrei nutzbar. Das gilt allerdings nur bei einer Kanalbandbreite von 20 MHz. Stellst du auf 40 MHz, belegt jeder Kanal doppelt so viel Platz – und dann gibt es im 2,4-GHz-Band praktisch keine überlappungsfreie Kombination mehr. In einer dicht bebauten Umgebung ist 20 MHz deshalb fast immer die bessere Wahl: weniger theoretischer Durchsatz, aber deutlich stabilere Verbindungen. Wenn dein Router auf automatisch steht und das WLAN abends schlechter wird, lohnt ein Blick auf die Nachbarschaft, eine feste Kanalwahl und eben die Bandbreiteneinstellung. Im 5-GHz-Band ist mehr Platz, dort darf 40 oder 80 MHz gern bleiben – dafür kommt die Reichweite nicht so weit durch Wände.
Aufstellort. Frei stehend, möglichst zentral, nicht im Schrank und nicht hinter dem Fernseher. Die Details stehen im Beitrag WLAN-Router richtig aufstellen. Und wenn du ohnehin über neue Hardware nachdenkst, klärt der Artikel Wifi 7: lohnt sich das Upgrade?, ob der Wechsel für dein Nutzungsprofil etwas bringt.
Providergerät oder eigener Router?
Seit der Routerfreiheit in Deutschland darfst du dein Endgerät selbst wählen. Ob das sinnvoll ist, hängt vom Providergerät ab.
Für ein eigenes Gerät spricht: mehr Kontrolle über Einstellungen, meist längerer Update-Support, keine Fernwartung durch den Anbieter. Dagegen spricht: Du bist für die Konfiguration allein verantwortlich, und im Störungsfall verweist der Provider gern auf die fremde Hardware.
Mein Kriterium ist der Update-Stand. Ein Providergerät, das regelmäßig Firmware bekommt, ist völlig in Ordnung. Ein Modell, das seit Jahren keine Aktualisierung mehr gesehen hat, gehört ersetzt – unabhängig davon, ob es noch funktioniert. Einen konkreten Vergleich zweier verbreiteter Geräte gibt es im Beitrag Speedport Smart 4 vs. Fritzbox 5690 Pro.
Einmal im Jahr: die Kontrollrunde
Zum Abschluss die Routine, die ich mir in den Kalender gelegt habe. Sie dauert zehn Minuten. Zum Abhaken:
- Geräteliste durchsehen. Jedes Gerät, das du nicht zuordnen kannst, ist ein Anlass zum Nachsehen – meistens ist es der vergessene Saugroboter, manchmal aber auch der Nachbar, dem du mal das Passwort gegeben hast.
- Geräte umbenennen. „espressif_a4b2″ sagt dir nichts, „Steckdose Waschmaschine“ schon. Das macht jede künftige Kontrolle erst möglich.
- Portweiterleitungen prüfen und alles löschen, was du nicht mehr brauchst.
- Firmwarestand kontrollieren, auch wenn Auto-Update aktiv ist.
- Konfiguration exportieren. Die meisten Router bieten eine Sicherungsdatei. Nach einem Werksreset oder Gerätetausch ersparst du dir damit eine Stunde Handarbeit.
- WLAN-Passwort neu bewerten. Nicht routinemäßig ändern – das bringt nichts, wenn es lang und einzigartig ist. Aber wenn du es in der Zwischenzeit an mehrere Leute weitergegeben hast, ist ein Wechsel sinnvoll, und das Gastnetz übernimmt künftig diese Rolle.
Die ehrliche Einordnung zum Schluss: Kein Privathaushalt ist das Ziel eines gezielten Angriffs. Was tatsächlich passiert, sind automatisierte Scans, die nach bekannten Lücken und offenen Diensten suchen. Genau dagegen wirken die Punkte oben – aktuelle Firmware, ein langes Passwort, keine offenen Ports. Das ist unspektakulär, und es reicht.
