Heimnetz dokumentieren: Adressplan, Gerätebestand und die Seite Papier für den Notfall

Dein Heimnetz ist dokumentiert – im Kopf. Das funktioniert, solange du zu Hause bist, gesund bist und das Problem nicht gerade darin besteht, dass du nicht mehr auf den Server kommst, auf dem die Notizen liegen. Ich habe die Dokumentation zweimal nachgeholt: einmal nach einem Routertausch, bei dem ich drei Abende damit verbracht habe herauszufinden, welches Gerät eigentlich die feste IP .47 hatte. Und einmal, weil jemand aus der Familie aus dem Urlaub angerufen hat und wissen wollte, warum die Kamera offline ist.

Eine Heimnetz-Dokumentation ist keine Doktorarbeit. Es sind vier Listen, eine Seite Papier und zwanzig Minuten pro Quartal. Mittwoch ist dafür der ideale Termin: Das Netz läuft, du hast keinen Störfall, und genau dann ist Inventur sinnvoll – nicht, wenn es brennt.

Vier Listen, mehr nicht

Der häufigste Fehler ist der Versuch, alles zu erfassen. Dokumentation, die zu groß ist, wird nicht gepflegt und ist nach einem halben Jahr falsch – und eine falsche Dokumentation ist schlimmer als keine, weil du ihr glaubst. Das hier ist der Umfang, der sich bei mir gehalten hat:

• Adressplan – welche IP-Bereiche wofür reserviert sind.
• Gerätebestand – was im Netz hängt, mit Name, Adresse, MAC und Standort.
• Firmware- und Supportstände – was aktualisiert wird und was keine Updates mehr bekommt.
• Zugänge – wo die Passwörter liegen, nicht welche es sind.

Der Adressplan: Bereiche festlegen, nicht einzelne Adressen verwalten

Private Netze benutzen die Adressbereiche, die RFC 1918 dafür reserviert hat: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Welchen du nimmst, ist technisch gleichgültig – mit einer praktischen Ausnahme: Wenn du dich per VPN in ein fremdes Netz verbindest, das ebenfalls 192.168.178.0/24 benutzt, kollidieren die Bereiche. Wer VPN nutzt, fährt mit einem ungewöhnlichen Netz wie 192.168.37.0/24 deutlich entspannter.

Wichtiger als der Bereich ist die Aufteilung darin. Mein Schema, das sich in jedem /24-Netz anwenden lässt:

• .1 – Router, immer.
• .2 bis .19 – Infrastruktur: Switches, Access Points, Managementoberflächen.
• .20 bis .49 – Server und Dienste: NAS, Homelab, Smart-Home-Zentrale, Drucker.
• .50 bis .99 – Geräte mit Reservierung: Kameras, Steckdosen, Fernseher, alles, was man wiederfinden muss.
• .100 bis .199 – DHCP-Pool für Besuch, Handys, Notebooks.
• .200 bis .254 – frei, für Experimente und für den Tag, an dem du ein zweites Netz brauchst.

Entscheidend ist, den DHCP-Pool im Router auf diesen Bereich zu begrenzen. Steht er von Werk aus auf .2 bis .254, vergibt der Router irgendwann eine Adresse, die du als feste eingetragen hast, und dann hast du einen Konflikt, der nur sporadisch auftritt – die schlimmste Fehlerklasse überhaupt. Und vergib feste Adressen nicht im Gerät, sondern als Reservierung im Router: Warum das der robustere Weg ist, habe ich in meinem Beitrag zur DHCP-Reservierung statt fester IP auseinandergenommen. Wer bei Netzmaske und Gateway unsicher ist, findet die Grundlagen in IP-Adressen verstehen.

Gerätebestand: einmal scannen, dann abgleichen

Die Geräteliste des Routers ist der schnellste Startpunkt, zeigt aber nur, was der Router kennt – und sie zeigt gern Namen wie „ESP-3F2A1C“. Für die vollständige Aufnahme scanne ich das Netz. Der Befehl dafür steht in der Nmap-Dokumentation zur Host-Erkennung:

# Wer ist ueberhaupt da? Kein Portscan, nur Erreichbarkeit
nmap -sn 192.168.37.0/24

# Mit MAC-Adresse und Herstellerkennung (als root/Administrator)
sudo nmap -sn 192.168.37.0/24

# ARP-Tabelle als schnelle Alternative ohne Zusatzwerkzeug
arp -a

Das Ergebnis trägst du in eine Tabelle mit fünf Spalten ein: Name, IP, MAC, Standort, Zweck. Die MAC-Adresse ist die wichtigste davon, weil sie das Gerät identifiziert, auch wenn sich die IP ändert – und weil die ersten drei Byte den Hersteller verraten, was bei der Zuordnung von „ESP-3F2A1C“ hilft.

Pro-Tipp: Scanne nur dein eigenes Netz. Ein Portscan in einem fremden Netz – Hotel, Ferienwohnung, Arbeitgeber – ist kein Kavaliersdelikt. Und sei nicht überrascht, wie viele Geräte auftauchen: Bei mir waren es 41, geschätzt hatte ich 25. Die Differenz bestand aus Steckdosen, zwei alten Handys als Kamera-Ersatz und einem Gerät, das ich zehn Minuten nicht zuordnen konnte und das sich als die Waschmaschine entpuppte.

Wer mehrere Netze fährt, dokumentiert die Zuordnung gleich mit – welches VLAN, welche SSID, was darf wohin. Die Begründung dafür und die Umsetzung stehen in meinem Beitrag zum Trennen von IoT-Geräten per VLAN.

Firmware-Stände: die Spalte, die weh tut

Diese Liste ist unangenehm, weil sie sichtbar macht, was man verdrängt. Zwei Spalten reichen: aktuelle Firmware-Version und – die wichtigere – bis wann der Hersteller Sicherheitsupdates liefert.

• Router zuerst. Er hängt direkt am Internet und ist das einzige Gerät, bei dem ein offenes Loch das ganze Netz betrifft. Automatische Updates einschalten, Version notieren.
• NAS und alles mit Weboberfläche. Hier lohnt der Blick, ob das Modell überhaupt noch versorgt wird – bei NAS-Geräten ist nach fünf bis sieben Jahren oft Schluss.
• Kameras, Steckdosen, Türklingeln. Die größte Dunkelzone. Was keine Updates mehr bekommt, gehört ins IoT-Netz ohne Internetzugang oder in den Müll.
• Smartphones und Tablets. Dass ein Gerät ohne Sicherheitsupdates nicht sofort unbenutzbar ist, aber Konsequenzen hat, habe ich in Smartphone ohne Sicherheitsupdates aufgeschrieben.

Beim Router dokumentiere ich zusätzlich die Zugangsdaten des Anschlusses selbst, also was bei einem Tausch wieder eingetragen werden muss. Wer gerade auf Glasfaser umgestellt wird, kennt das Problem – die Reihenfolge und die nötigen Angaben stehen in meinem Beitrag zur Glasfaser-Umstellung. Und wer wissen will, was seine Leitung wirklich liefert, bevor er sie dokumentiert: Warum der Speedtest nichts aussagt.

Zugänge: in den Passwortmanager, nicht in die Tabelle

Die Dokumentation enthält keine Passwörter. Sie enthält, wo sie liegen. Das ist der Unterschied zwischen einer nützlichen Liste und einem Generalschlüssel, der im Klartext auf dem NAS liegt.

• Passwortmanager als einzige Quelle. Eine lokale Datenbank wie bei KeePassXC hat den Vorteil, dass du sie selbst sicherst und selbst in der Hand hast; ein Cloud-Dienst den Vorteil der Verfügbarkeit. Beides ist vertretbar, keines von beiden ist eine Textdatei.
• Zweiter Faktor mitdenken. Die Wiederherstellungscodes der wichtigsten Konten gehören ausgedruckt in einen Ordner, nicht in dieselbe Datenbank, die ohne zweiten Faktor nicht aufgeht.
• Eine Seite Papier für den Notfall. Router-Modell, Zugangsdaten des Anschlusses, Standort der Doku, Hauptpasswort des Managers im versiegelten Umschlag. Wer das für übertrieben hält, hat noch nie aus dem Urlaub erklärt, wie man einen Router neu startet – der Unterschied zwischen Neustart, Reset und Werksreset ist dabei übrigens entscheidend, hier steht warum.
• Wo es ohne Passwort geht, ist es besser. Für die eigenen Konten lohnt der Blick auf Passkeys im Alltag – weniger Einträge, die veralten können.

Topologie: fünf Zeilen Text schlagen jedes Diagrammwerkzeug

Ich habe es mit Zeichenprogrammen versucht. Das Ergebnis sah gut aus und war nach dem ersten Umbau falsch. Was sich hält, ist eine Textdatei neben den Tabellen – die ändert man in zehn Sekunden:

ONT (Keller)
 +- Router .1          FritzOS, Auto-Update an
     +- Switch .2      Flur, 8 Port, unmanaged
     |   +- NAS .20    Buero, 2x4 TB, Supportende 2028
     |   +- Homelab .21  Mini-PC, Proxmox
     +- AP .3          OG, eigene SSID fuer IoT
         +- IoT-Geraete .50-.99   kein Internetzugang
     +- WLAN-Pool .100-.199       Handys, Besuch

Das ist die ganze Topologie. Sie passt in jede Notiz-App, lässt sich versionieren und erklärt einem Fremden in dreißig Sekunden, wie das Netz aufgebaut ist.

Bleibt die Frage, wohin die Dateien gehören. Nicht nur auf das NAS, das in der Dokumentation beschrieben wird – das ist ein Henne-Ei-Problem, das genau dann auffällt, wenn das NAS das Problem ist. Bei mir liegt die Doku im Passwortmanager als Anhang, zusätzlich in der Cloud und zusätzlich als ausgedruckte Seite im Ordner. Drei Kopien, zwei Medien, eine außer Haus: Das ist dieselbe 3-2-1-Regel wie bei allem anderen.

Vier Spalten, die ich erst nach dem Routertausch dazugenommen habe

Die ersten Versionen meiner Dokumentation enthielten nur Technik. Was gefehlt hat, waren die kaufmännischen Dinge – und genau die braucht man im Störfall.

• Kaufdatum und Garantieende. Bei einem Netzteildefekt nach zwanzig Monaten ist das die Information, die über „Gewährleistung“ oder „Neukauf“ entscheidet. Ein Ordner mit den Rechnungen als PDF gehört daneben.
• Miete oder Eigentum. Router, Medienreceiver und manchmal das Glasfasermodem gehören dem Anbieter. Wer das nicht notiert, findet es beim Anbieterwechsel heraus – mit Rückgabefristen.
• Seriennummer. Für Support-Fälle, für die Versicherung und für die Diebstahlanzeige. Fünf Minuten einmal, nie wieder suchen.
• Kabelwege. Welche Netzwerkdose im Wohnzimmer auf welchen Port im Keller geht. Ich habe das mit einem Kabeltester an einem Nachmittag aufgenommen und dabei zwei Dosen gefunden, die gar nicht angeschlossen waren.

Pro-Tipp: Beschrifte die Hardware passend zur Dokumentation. Ein Aufkleber mit Name und IP auf dem Gerät – „nas-01 / .20″ – spart bei jedem Umbau den Abgleich mit der Tabelle. Dieselben Namen in Router, Dokumentation und auf dem Gehäuse: Das ist die unspektakulärste Verbesserung in meinem Netz und die, die ich am häufigsten nutze.

Die Quartals-Checkliste

• Netz scannen, neue Geräte in die Tabelle, verschwundene streichen
• DHCP-Pool gegen den Adressplan prüfen, Konflikte ausschließen
• Firmware von Router, NAS, Access Point und Drucker prüfen
• Supportende-Spalte aktualisieren, abgekündigte Geräte markieren
• Zugänge im Passwortmanager auf Vollständigkeit prüfen
• Notfallseite ausdrucken, alte Version schreddern
• Topologie-Datei auf den aktuellen Stand bringen
• Datum der Inventur in die Datei schreiben

Das Datum ist der Punkt, über den ich am längsten gelacht habe und der am meisten bringt. Eine Dokumentation ohne Datum ist eine Behauptung. Mit Datum weißt du beim nächsten Störfall, wie weit du ihr trauen kannst – und ob die Inventur nicht vielleicht doch schon zwei Jahre her ist.

Dieselbe Logik läuft bei mir auf zwei weiteren Baustellen: beim monatlichen Windows-Patchday, den ich in Der Tag nach dem Patchday beschrieben habe, und beim Homelab, wo Container-Updates ohne Rückweg am teuersten sind.