Router zuerst: Die Checkliste
Das BSI beschreibt den Router als zentrale Schnittstelle zwischen Internet und Heimnetz. Dringen Angreifer in ihn ein, können sie nicht nur das Gerät selbst, sondern alle angeschlossenen Geräte gefährden, etwa um Daten abzugreifen, Schadsoftware zu installieren oder den Anschluss für Angriffe auf andere zu missbrauchen. Die folgenden Punkte stammen aus den BSI-Basisempfehlungen und dem Wegweiser „8 Tipps für ein sicheres Heimnetzwerk“.
- HauptnetzEigene Rechner und SmartphonesWPA3 bzw. WPA2/WPA3, langes WLAN-Passwort
- GastnetzBesucheigenes Passwort, kein Zugriff aufs Hauptnetz
- Gastnetz oder separates NetzSmart-Home-Gerätegetrennt, weil sie seltener Updates bekommen
Checkliste Router-Check in zehn Minuten
- Firmware aktuell halten: Updates schließen bekannte Sicherheitslücken. Suche in der Router-Oberfläche unter „System“ nach „Update“ oder „Firmware“ und aktiviere, wenn möglich, automatische Updates. Hast du den Router von deinem Provider, frage dort nach, ob er die Firmware per Fernwartung aktualisiert.
- Eigenes Admin-Passwort vergeben: Standard-Zugangsdaten wie „admin“ oder „1234“ kennen auch Angreifer. Das BSI nennt das Router-Passwort ausdrücklich getrennt vom WLAN-Passwort.
- Langes WLAN-Passwort: Mindestens 20 zusammenhanglose Zeichen empfiehlt das BSI, sofern der Router nicht schon ein werkseitiges Passwort dieser Länge hat.
- Netzwerknamen ändern: Er soll nichts über Hersteller, Modell oder dich verraten.
- Verschlüsselung WPA2 oder WPA3: Unter „WLAN“ und „Sicherheit“ einstellen. Mehr dazu im nächsten Abschnitt.
- Unnötige Funktionen abschalten: Das BSI nennt Zusatzdienste wie Medienplayer als mögliches Einfallstor. Dazu zählt auch WPS: Das BSI riet 2023 im Zusammenhang mit Sicherheitslücken in drei Routermodellen, diese für den Betrieb nicht nötige Funktion zu deaktivieren (Quelle: BSI-Newsletter vom 27.04.2023).
- Fernzugriff nur, wenn nötig: Im Menü „Internet“ unter „Freigaben“ den Internetzugriff auf den Router entfernen, wenn du ihn nicht brauchst.
- Firewall prüfen: Sie ist laut BSI standardmäßig aktiv. Ändere Einstellungen nur, wenn du die Ports kennst.
- Gastnetz einrichten: Für Besuch und für unsichere oder smarte Geräte (siehe unten).
Die Bezeichnungen der Menüpunkte unterscheiden sich je nach Modell und Firmware-Version, wie das BSI ausdrücklich anmerkt. Für Details zu deinem Gerät hilft das Handbuch des Herstellers. Beim Kauf eines neuen Routers nennt das BSI das IT-Sicherheitskennzeichen als mögliches Kaufkriterium.
WPA2 oder WPA3: Was ist der Unterschied?
WEP sollte laut BSI nicht mehr verwendet werden. WPA2 mit einem Pre-Shared-Key gilt als wirksam, solange das Passwort lang und komplex genug ist: Der Schlüssel dient dazu, bei jeder Anmeldung einen eigenen Sitzungsschlüssel zu erzeugen, schützt aber nur, wenn das Passwort nicht erraten werden kann.
WPA3 bringt nach BSI-Angaben ein höheres Sicherheitsniveau, unter anderem gegen sogenannte Wörterbuch-Angriffe. Die Wi-Fi Alliance erklärt den Mechanismus: WPA3 nutzt das Verfahren „Simultaneous Authentication of Equals“ (SAE) zum Aushandeln der Schlüssel, um Passwort-Erratungsversuche Dritter besser abzuwehren. Auf ihrer Sicherheitsseite beschreibt sie außerdem, dass WPA3-Netze veraltete Protokolle ausschließen und geschützte Management-Frames verlangen. WPA3 ist dort für Wi-Fi-CERTIFIED-Geräte verpflichtend.
Für dich heißt das: Unterstützen Router und Geräte WPA3, nimm WPA3. Geht das wegen älterer Geräte nicht, ist WPA2 nach BSI-Empfehlung weiterhin eine akzeptable Wahl, vorausgesetzt das Passwort ist lang. Manche Router bieten einen Mischbetrieb beider Standards an. Wie er sich bei deinem Modell verhält, steht in dessen Hilfe, nicht in den BSI-Seiten. Unterstützt dein Router weder WPA2 noch WPA3, rät das BSI zum Umstieg auf ein neueres Modell.
Gastnetz: Besuch und Smart Home getrennt halten
Ein Gäste-WLAN ist ein zweites, vom Heimnetz getrenntes Netz. Selbst wenn auf dem Gerät eines Gastes Schadsoftware läuft, bleibt dein Heimnetz davon getrennt. Das BSI empfiehlt außerdem, smarte Geräte wie Saugroboter, Rollladensteuerung oder Türklingel dorthin zu legen und so von Onlinebanking und Homeoffice zu trennen.
Die Einrichtung läuft laut BSI meist so: Router-Oberfläche öffnen, Menü „WLAN“ (alternativ „Netzwerk“ oder „Gastnetzwerk“), „Gastzugang“ aktivieren, neuen Namen und ein starkes Passwort vergeben und die Verschlüsselung auf mindestens WPA2, wenn möglich WPA3 stellen. Gib die Zugangsdaten nur auf Nachfrage weiter. Das BSI nennt Zettel, QR-Code des Routers oder das Teilen zwischen Smartphones als Wege.
Die Trennung in Netzsegmente ist übrigens kein Heimnetz-Spezialthema: Sie ist ein Grundgedanke dessen, was in Was ist Zero Trust Security? für Unternehmen beschrieben wird.
Unterwegs: Öffentliche WLANs
Die Behauptung, man dürfe öffentliche WLANs „niemals ohne VPN“ nutzen, ist überspitzt. Eine ehrliche Einordnung liegt zwischen „gefährlich“ und „harmlos“.
Was das BSI sagt: Die Nutzung fremder WLANs birgt Risiken, vor allem wenn du den Betreiber nicht kennst: Daten können abgegriffen oder Schadsoftware eingeschleust werden. Das BSI empfiehlt, WLAN nur einzuschalten, wenn du es brauchst, vertrauliche Daten in fremden Netzen möglichst nicht abzurufen und, falls das unvermeidbar ist, ein VPN zu nutzen. Bankgeschäfte sollten laut BSI in öffentlichen WLANs vermieden werden.
Was HTTPS leistet: HTTPS sichert die Kommunikation zwischen Browser und Webserver in Integrität und Vertraulichkeit. Das BSI betont zugleich, dass ein VPN etwas anderes ist, nämlich eine verschlüsselte Verbindung zwischen deinem Gerät und einem VPN-Server. Ein VPN kann auch Daten von Apps schützen, nicht nur Browserverkehr. Unsere Einordnung: Seiten und Apps, die durchgehend verschlüsselt kommunizieren, geben einem Mitleser im selben WLAN wenig her. Das BSI empfiehlt entsprechend, beim Surfen auf HTTPS (Schlosssymbol) zu achten. Das Restrisiko liegt bei Diensten, die nicht oder nur teilweise verschlüsselt sind, und bei Täuschung, etwa durch einen gefälschten Hotspot.
Gefälschte Hotspots: Das BSI beschreibt im IT-Grundschutz-Baustein NET.2.2 den „Rogue Access Point“: Ein Angreifer richtet in der Nähe einen eigenen Zugangspunkt mit passendem Netzwerknamen ein, sodass Nutzer sich bei einem Netz anmelden, das nur vorgibt, das Zielnetz zu sein. Besonders in öffentlichen Hotspots sei das ein beliebtes Angriffsmittel. Der Baustein empfiehlt deshalb unter anderem, die automatische Anmeldung an WLANs zu deaktivieren und selten genutzte Netze aus der Historie zu löschen.
Wann ein VPN hilft und was es nicht kann
Ein VPN verschlüsselt laut BSI den Datenverkehr zwischen deinem Gerät und dem VPN-Server und verringert so im öffentlichen Hotspot das Risiko des Ausspähens durch andere Nutzer. Empfohlen wird es auch, wenn du von unterwegs auf dein Heimnetz zugreifen willst.
Seine Grenzen nennt das BSI ebenfalls:
- Die Verschlüsselung endet am VPN-Server, danach gilt wieder die Sicherheit der Zielseite.
- Du verlagerst das Vertrauen auf den Anbieter, denn dein gesamter Datenverkehr läuft über dessen Server. Das BSI nennt die Auswahl „Vertrauenssache“.
- Kostenlose Angebote werden laut BSI nicht selten mit persönlichen Daten bezahlt.
- Browser-Plugins verschlüsseln nur den Transfer von Webseiten, nicht den gesamten Verkehr.
- Ein VPN ersetzt weder Updates noch Aufmerksamkeit bei Phishing. Es betrifft nur den Weg deiner Daten, nicht, was du auf einer gefälschten Seite eingibst. Das ist unsere Einordnung, keine Aussage der BSI-Seiten.
Sinnvoll ist ein VPN damit vor allem dann, wenn du unterwegs sensible Dinge erledigen musst und dem Anbieter oder deinem eigenen Heimrouter-VPN vertraust. Als Dauerschutz für beliebiges Surfen ist es weder zwingend noch ein Allheilmittel. In manchen Ländern sind VPNs zudem verboten, auch darauf weist das BSI vor Reisen hin.
Die Hinweise sind allgemein gehalten. Hast du den Verdacht, dass dein Router oder ein Konto übernommen wurde, ändere zuerst die Passwörter, schalte, wo möglich, den zweiten Faktor ein (siehe Zwei-Faktor-Authentifizierung) und wende dich bei finanziellem Schaden an Bank und Polizei.