In einem normalen Haushalt hängen heute zwischen zwanzig und fünfzig Geräte am Netz, und jedes davon hat Software. Router, Repeater, NAS, Drucker, Fernseher, Steckdosen, Kameras, Staubsauger, Thermostate. Für die meisten dieser Geräte hat sich noch nie jemand gefragt, welche Firmware darauf läuft – und bei einigen ist die Antwort: die vom Auslieferungstag, aus dem Jahr 2021.
Das ist kein moralisches Problem, sondern ein praktisches. Ich gehe hier die Reihenfolge durch, in der ich Firmware aktualisiere, die drei Regeln, die vor jedem Update gelten, und die Entscheidung, die am Ende wichtiger ist als jedes Update: was mit Geräten passiert, für die es keine mehr gibt.
Was Firmware ist und warum sie anders zu behandeln ist als Software
Firmware ist die Software, die fest zum Gerät gehört und seine Grundfunktionen bereitstellt – die Wikipedia definiert sie als Schicht zwischen Hardware und austauschbarer Anwendungssoftware, gespeichert in Flash, EEPROM oder ROM. Der Unterschied zur normalen Software ist für uns entscheidend: Ein fehlgeschlagenes Programm-Update kannst du deinstallieren. Ein fehlgeschlagenes Firmware-Update kann das Gerät unbrauchbar machen, weil die Software, die den Fehler beheben müsste, selbst beschädigt ist. Im Netz heißt das „bricken“ – aus dem Gerät wird ein Ziegelstein.
Deshalb gilt für Firmware eine andere Risikorechnung. Nicht „so schnell wie möglich“, sondern „mit Vorbereitung, in der richtigen Reihenfolge, und bei den richtigen Geräten zuerst“.
Die drei Regeln vor jedem Firmware-Update
- Konfiguration sichern. Fast jedes Gerät mit Weboberfläche kann seine Einstellungen als Datei exportieren. Mach das, bevor du auf „Aktualisieren“ klickst – nicht danach. Ein Update kann Einstellungen zurücksetzen, und die halbe Stunde, die du mit dem Wiedereinrichten verbringst, ist unbezahlte Arbeit.
- Per Kabel, nicht über WLAN. Ein Firmware-Update über eine Funkverbindung, die während des Schreibvorgangs abbricht, ist der Klassiker unter den Bricking-Ursachen. Wo es irgendwie geht: Netzwerkkabel.
- Stabilen Strom sicherstellen. Nicht bei Gewitter, nicht während im Haus die Waschmaschine anläuft, und bei Servern und NAS am besten hinter einer kleinen USV – welche Größe dafür reicht, steht in meinem Beitrag zur USV für NAS und Homelab.
Pro-Tipp: Notier vor dem Update die alte Versionsnummer. Wenn das Gerät danach anders funktioniert, ist die erste Frage immer „was war vorher drauf“ – und die Antwort steht nach dem Update nirgends mehr.
Die Reihenfolge: nach Angriffsfläche, nicht nach Bequemlichkeit
Nicht alle Geräte sind gleich dringend. Die Reihenfolge ergibt sich daraus, wie direkt ein Gerät vom Internet aus erreichbar ist und was ein Angreifer damit anfangen könnte.
Platz 1: der Router. Er ist das einzige Gerät, das permanent und direkt am Internet hängt. Hier gilt: automatische Updates einschalten und zusätzlich einmal im Quartal nachsehen, ob sie auch gelaufen sind. Alles andere an der Absicherung – Fernzugriff, WPS, Gastnetz, UPnP – steht in meiner Checkliste zum Absichern des Routers. Falls dein Anbieter gerade die Umstellung auf Glasfaser durchzieht, ändert sich auch die Gerätekette im Haus; worauf dabei zu achten ist, habe ich bei der Glasfaser-Umstellung beschrieben.
Platz 2: alles mit Weboberfläche und Datenzugriff. NAS, Homelab-Server, Netzwerkspeicher. Diese Geräte haben nicht nur eine Angriffsfläche, sie halten auch deine Daten. Die Hersteller veröffentlichen dafür Sicherheitsmeldungen – Synology etwa führt eine öffentliche Advisory-Liste mit Schweregrad und Status, und vergleichbare Seiten gibt es bei allen größeren Anbietern. Ein Blick pro Quartal reicht.
Platz 3: alles, was von außen erreichbar ist. Portfreigaben, DynDNS, Kamerazugriff. Wer stattdessen einen VPN-Zugang benutzt, hat diese Kategorie weitgehend abgeschafft – das ist der Grund, warum ich den WireGuard-Weg jeder Portfreigabe vorziehe.
Platz 4: der Rest. Fernseher, Drucker, Steckdosen, Sensoren. Hier reicht ein halbjährlicher Durchgang – mit zwei Ausnahmen, die ihre eigenen Absätze verdienen.
Der Drucker: das Update, das Funktionen wegnimmt
Das ist die unangenehme Ausnahme, und ich sage sie offen: Bei Tintendruckern haben mehrere Hersteller Firmware-Updates ausgerollt, die Patronen von Drittanbietern nachträglich sperren. Technisch sind das Sicherheitsupdates, praktisch kostet dich so ein Update den Zugang zu günstigem Verbrauchsmaterial.
Meine Haltung dazu: Ein Drucker im eigenen Netz, der nicht aus dem Internet erreichbar ist und nicht in einem Cloud-Druckdienst hängt, hat eine überschaubare Angriffsfläche. Wer Fremdpatronen benutzt, darf hier bewusst entscheiden, automatische Updates abzuschalten – und sollte dann das Gerät konsequent ins isolierte Netz stellen und den Fernzugriff deaktivieren. Das ist eine Abwägung, keine Nachlässigkeit. Wichtig ist nur, dass es eine Entscheidung ist und kein Vergessen.
IoT-Geräte: die Dunkelzone
Steckdosen, Sensoren, Lampen, Kameras und Saugroboter sind die Geräte, bei denen man am wenigsten weiß. Viele bekommen ihre Updates stillschweigend über die Hersteller-App, andere nie. Drei Dinge helfen.
- Über die Zentrale aktualisieren, nicht pro Gerät. Zigbee- und Matter-Geräte bekommen ihre Updates über den Hub oder die Bridge. Dort gibt es meist eine Liste mit verfügbaren Firmware-Versionen – das ist der einzige Ort, an dem man sie überhaupt sieht.
- Batteriegeräte vor dem Update aufladen oder Batterien tauschen. Ein Funk-Update eines Sensors mit halb leerer Knopfzelle ist ein Abbruch mit Ansage, und manche Geräte kommen danach nicht mehr ins Netz.
- Was keine Updates mehr bekommt, wird isoliert. Ein eigenes Netz oder VLAN ohne Internetzugang, nur erreichbar von der Smart-Home-Zentrale. Wie das praktisch aufgebaut wird, steht in meinem Beitrag zum Trennen von IoT-Geräten per VLAN.
Beim Smartphone ist dieselbe Frage besonders schmerzhaft, weil das Gerät alles enthält und überall mitgeht – welche Optionen bleiben, wenn der Hersteller den Support beendet, habe ich in Das Handy bekommt keine Updates mehr aufgeschrieben.
Woher du weißt, ob ein Update dringend ist
Die Changelogs der Hersteller sind oft nichtssagend („Verbesserungen der Stabilität“). Wenn du wissen willst, ob hinter einem Update eine echte Lücke steckt, führt der Weg über die Schwachstellendatenbanken. Die National Vulnerability Database des NIST sammelt Schwachstellen mit CVE-Nummer, Schweregrad und betroffenen Produkten. Für den Hausgebrauch reicht meist die Suche nach Hersteller und Modell.
- Schweregrad hoch oder kritisch und das Gerät ist von außen erreichbar: sofort aktualisieren, auch außerhalb der Routine.
- Schweregrad mittel, Gerät nur im lokalen Netz: beim nächsten Durchgang mitnehmen.
- Angriff setzt physischen Zugriff voraus: entspannt. Wer in deinem Wohnzimmer steht, hat andere Möglichkeiten.
- Kein Hersteller-Update verfügbar, Lücke aber bekannt: Das ist der Moment, in dem das Gerät seinen Platz im Netz verliert und ins isolierte Segment wandert.
Wenn es schiefgeht: der Weg zurück
Ein abgebrochenes Firmware-Update ist seltener fatal, als der Begriff „bricken“ vermuten lässt – die meisten Geräte haben eine zweite Ebene, die genau dafür da ist. Man muss nur wissen, in welcher Reihenfolge man sucht, statt in Panik den Reset-Knopf zu drücken.
- Erst zehn Minuten warten. Viele Geräte schreiben nach dem eigentlichen Update noch Konfigurationsdaten um und sind in dieser Phase nicht erreichbar. Ein Stromabzug mitten in dieser Phase ist die eigentliche Gefahr – nicht das Update selbst.
- Dann das zweite Firmware-Abbild. Router, NAS und viele Switches halten zwei Versionen parallel und starten die alte, wenn die neue nicht hochkommt. Bei manchen Modellen löst man das mit zwei schnellen Stromunterbrechungen hintereinander aus – das steht in der Anleitung des Herstellers und sollte man vorher gelesen haben, nicht hinterher suchen.
- Dann der Wiederherstellungsmodus. Viele Hersteller bieten ein Recovery-Werkzeug für den Rechner an, das ein Gerät über eine feste IP-Adresse und eine direkte Kabelverbindung wiederbelebt. Dafür braucht man: das Programm, die passende Firmware-Datei und einen Rechner mit statisch gesetzter Adresse im gleichen Bereich – was sich leichter einrichten lässt, wenn der Adressplan dokumentiert ist.
- Zuletzt der Werksreset. Er ist nicht der erste Schritt, sondern der letzte, weil er die Konfiguration löscht. Mit der exportierten Konfigurationsdatei von vorhin ist das halb so schlimm – ohne sie verbringt man den Abend mit dem Wiedereinrichten.
Eine Einschränkung, die man kennen sollte: Eine Konfigurationsdatei aus einer älteren Firmware lässt sich nach einem größeren Versionssprung nicht immer wieder einspielen. Deshalb lohnt es, zusätzlich zur Exportdatei die wichtigsten Einstellungen als Screenshots zu haben – WLAN-Namen, Portfreigaben, DHCP-Reservierungen, VPN-Zugänge.
Nach dem Update: die fünf Minuten, die man gern überspringt
Ein Firmware-Update ist nicht fertig, wenn das Gerät neu gestartet ist. Es ist fertig, wenn du geprüft hast, was es verändert hat. Bei mir hat ein Router-Update einmal die Portfreigaben behalten, aber die DNS-Einstellung zurückgesetzt – zwei Wochen lang lief die Namensauflösung über den Provider statt über meinen eigenen Filter, ohne dass etwas kaputt war.
- Versionsnummer notieren, alte Version daneben
- Prüfen, ob die eigenen DNS-Einträge und Zeitserver noch stehen
- Gastnetz, Fernzugriff und UPnP nachsehen – Updates schalten Vorgaben gern wieder ein
- DHCP-Reservierungen kontrollieren, damit Geräte ihre Adressen behalten (siehe DHCP-Reservierung statt feste IP)
- Ein Gerät aus jeder Kategorie testen: Drucken, Streamen, Zugriff aufs NAS
- Smart-Home-Automationen stichprobenweise auslösen
- Supportende des Geräts nachsehen und in die Dokumentation eintragen
Der letzte Punkt ist der, der aus einer einmaligen Aktion eine Routine macht. Firmware-Stände und Supportende gehören in dieselbe Liste wie Adressplan und Gerätebestand – ich habe das in meinem Beitrag zum Dokumentieren des Heimnetzes als eigene Spalte beschrieben, und sie ist die unangenehmste von allen, weil sie sichtbar macht, welche Geräte eigentlich schon aus der Zeit gefallen sind.
Wenn nach einem Update etwas nicht mehr geht, ist der Reflex übrigens meist der falsche: Nicht gleich auf Werkseinstellungen zurücksetzen. Der Unterschied zwischen Neustart, Reset und Werksreset ist größer, als die Knöpfe vermuten lassen – hier steht, welcher was tut. Und für die Rechnerseite derselben Routine, also den monatlichen Patchday, gilt dasselbe Prinzip in schnellerem Takt: Der Tag nach dem Patchday.
Mein Fazit nach zwei Jahren mit dieser Routine: Der Aufwand liegt bei etwa einer halben Stunde pro Quartal. Der Gewinn ist nicht, dass nichts passiert – der Gewinn ist, dass ich bei jedem Gerät weiß, ob es noch versorgt wird. Das ist die Information, nach der ich beim nächsten Kauf entscheide.
