WLAN für zuhause
WLAN zuhause absichern: Verschlüsselung, Passwort, Geräteliste
Ein Heimnetz lässt sich in einer halben Stunde ordentlich absichern. Die meisten Lücken entstehen nicht durch raffinierte Angriffe, sondern durch Werkseinstellungen, die nie jemand geändert hat.
Die Verschlüsselung: WPA3, WPA2 oder gemischt
Verschlüsselung sorgt dafür, dass niemand mitlesen kann, was zwischen deinem Handy und dem Router durch die Luft geht. Aktuell ist WPA3. Es schützt das Passwort besser gegen Ausprobieren. Und wer das Passwort später erfährt, kann früher mitgeschnittenen Verkehr damit nicht nachträglich entschlüsseln.
Im Router heißt die Einstellung meist „Verschlüsselung“ oder „Sicherheit“. Stell sie auf WPA3, wenn alle deine Geräte damit umgehen können. Hast du noch einen älteren Drucker, eine Spielkonsole oder ein Smart-Home-Gerät, das nur WPA2 kennt, nimm den gemischten Modus. WPA2 mit AES ist weiterhin solide, solange das Passwort stark ist. WEP, WPA ohne Zahl und TKIP haben dagegen in keinem Netz mehr etwas zu suchen.
Ein Passwort, das hält
Gegen WPA2 lässt sich ein Passwort offline durchprobieren, wenn jemand den Anmeldevorgang mitschneidet. Je länger das Passwort, desto aussichtsloser ist das. Das BSI empfiehlt für WLAN-Schlüssel mindestens 20 Zeichen. Klingt viel. Vier oder fünf zufällige Wörter hintereinander kommen leicht darüber und lassen sich trotzdem auf dem Fernseher eintippen.
Aktuelle Router haben ab Werk ein zufälliges, langes Passwort auf dem Aufkleber. Das ist sicher, solange der Aufkleber nicht für jeden Besucher sichtbar im Flur klebt. Ältere Geräte mit kurzen Standardpasswörtern solltest du umstellen.
Vergiss das zweite Passwort nicht: das für die Benutzeroberfläche des Routers. Wer dort hineinkommt, kann alles umstellen, auch das WLAN-Passwort. Es sollte ein anderes sein als das für das Funknetz.
WPS: bequem und unnötig offen
WPS verbindet Geräte per Tastendruck am Router oder per achtstelliger PIN. Das PIN-Verfahren lässt sich seit langem in kurzer Zeit knacken. Viele Router haben es deshalb abgeschaltet, manche nicht. Sieh nach und schalte WPS ganz aus, wenn du es nicht brauchst. Für den neuen Repeater kannst du es kurz aktivieren und danach wieder deaktivieren.
Die Geräteliste: wer ist eigentlich im Netz
Im Router steht eine Liste aller Geräte, die gerade verbunden sind oder einmal verbunden waren. Geh sie einmal in Ruhe durch. Bei vielen Einträgen steht ein Hersteller oder ein Gerätename, bei manchen nur eine Zahlenkette.
Unbekannte Einträge sind meist harmlos: der alte Laptop, das Handy des Besuchs vom letzten Sommer, die Steckdose mit App. Neuere Handys melden sich außerdem mit wechselnden Adressen an und tauchen dadurch mehrfach auf. Findest du ein Gerät, das du nicht zuordnen kannst und das gerade aktiv ist, sperre es und ändere danach das WLAN-Passwort.
Gib den Geräten, die du kennst, einen Namen. Beim nächsten Blick fällt ein Fremder dann sofort auf.
Fernzugriff, Portfreigaben, UPnP
Viele Router lassen sich aus dem Internet bedienen, über ein Konto beim Hersteller oder über eine Freigabe. Brauchst du das nicht, schalte es ab. Dasselbe gilt für Portfreigaben, die irgendwann einmal für ein Spiel oder eine Kamera angelegt wurden. Jede offene Tür ist eine, die du kennen solltest.
UPnP erlaubt Geräten im Netz, sich selbst Freigaben im Router anzulegen. Das ist bequem für Konsolen und manche Apps. Es heißt aber auch, dass ein schlecht gesichertes Gerät sich selbst nach außen öffnen kann. Wenn nichts im Haushalt es braucht, schalte es aus.
Smart-Home-Geräte und Besuch ins Gästenetz
Kameras, Steckdosen, Lampen und Saugroboter bekommen oft nur wenige Jahre Updates. Im selben Netz wie dein Laptop sind sie eine mögliche Schwachstelle. Viele Router können ein Gästenetz aufspannen, das vom Heimnetz getrennt ist. Dort sind solche Geräte gut aufgehoben, solange du sie nicht über eine App im Heimnetz steuern musst. Wie du ein Gästenetz einrichtest, steht im Artikel Gäste-WLAN einrichten.
Was wenig bringt
Zwei Tipps halten sich hartnäckig und schützen kaum. Den Netznamen zu verstecken hält niemanden ab, der gezielt sucht, denn deine Geräte rufen den Namen trotzdem regelmäßig in die Luft. Ein MAC-Filter, der nur bekannte Geräteadressen zulässt, lässt sich umgehen, weil sich Adressen fälschen lassen. Beides macht dir im Alltag mehr Arbeit als einem Angreifer.
Den Netznamen solltest du trotzdem ändern, wenn er deinen Nachnamen, deine Adresse oder das Routermodell verrät. Etwas Neutrales reicht.
Die halbe Stunde für dein Netz
- Verschlüsselung auf WPA3 oder WPA2/WPA3 stellen
- WLAN-Passwort prüfen, mindestens 20 Zeichen
- Eigenes, anderes Passwort für das Routermenü
- WPS abschalten
- Firmware-Updates automatisch einspielen lassen
- Fernzugriff, alte Portfreigaben und UPnP prüfen
- Geräteliste durchgehen und bekannte Geräte benennen
- Besuch und Smart-Home-Geräte ins Gästenetz
Wie du dich verhältst, wenn du nicht im eigenen, sondern in einem fremden Netz bist, steht im Artikel Öffentliches WLAN sicher nutzen.
Häufige Fragen
Soll ich WPA2 oder WPA3 einstellen?
WPA3, wenn alle deine Geräte es unterstützen. Gibt es noch ältere Geräte, die nur WPA2 können, nimm den gemischten Modus WPA2/WPA3. Dann verbinden sich neue Geräte mit WPA3 und alte weiter mit WPA2. Ältere Verfahren wie WEP oder WPA ohne Zahl gelten als unsicher und gehören abgeschaltet.
Wie lang sollte ein WLAN-Passwort sein?
Lang genug, dass es niemand durch Ausprobieren findet. Das BSI empfiehlt für WLAN-Schlüssel mindestens 20 Zeichen. Ein Satz aus mehreren zufälligen Wörtern ist lang und trotzdem gut einzutippen. Das ab Werk vergebene Passwort auf dem Aufkleber ist bei aktuellen Routern meist schon zufällig und ausreichend lang.
Sollte ich WPS am Router ausschalten?
Ja, wenn du es nicht regelmäßig brauchst. Vor allem das PIN-Verfahren gilt seit Jahren als angreifbar. Die Variante per Tastendruck ist weniger kritisch, öffnet aber für kurze Zeit eine Tür, durch die sich jedes Gerät in Reichweite verbinden kann. Du kannst WPS bei Bedarf kurz einschalten und danach wieder aus.
Wie sehe ich, wer in meinem WLAN ist?
Im Menü des Routers gibt es eine Liste aller verbundenen und bekannten Geräte, meist unter Heimnetz, Netzwerk oder Geräte. Dort stehen Name, Adresse und oft der Zeitpunkt der letzten Verbindung. Ein unbekanntes Gerät kannst du dort sperren. Danach solltest du das WLAN-Passwort ändern.