Ohne WLAN geht es nicht: Fast alle Geräte im Heimnetz gehen über eine kabellose Funkverbindung online.
Was bequem ist, muss aber nicht sicher sein. Denn da die WLAN-Signale Ihres Routers auch außerhalb Ihrer Wohnung empfangen werden können, kann sich ein potenzieller Angreifer ins Heimnetz schleichen, ohne dass Sie ihn sehen.
Doch selbst Gäste, die erlaubterweise Notebook oder Smartphone mitbringen, wollen Sie nicht unbedingt ins Heimnetz lassen, wo sie Zugang zu privaten oder persönlichen Inhalten wie Familienfotos, Steuerdokumenten oder Arbeitsunterlagen bekommen, weil diese sich auf einem NAS oder einem Netzwerkrechner befinden.
Ohne WLAN-Schutz geht es also auch nicht.
Doch dabei sollten Sie immer abwägen, was wirklich hilft und welche Maßnahme Sicherheit nur verspricht, aber Ihnen vor allem Aufwand verursacht. Am besten bauen Sie daher Schritt für Schritt eine WLAN-Schutzmauer um Ihr Heimnetz: Wir empfehlen dafür sieben essenzielle Maßnahmen.
Mit drei weiteren Schritten können Sie die WLAN-Sicherheit perfektionieren – ob sie sich für Ihr WLAN lohnen, müssen Sie allerdings selbst entscheiden.
2. Die beste Verschlüsselung
In aktuellen Wi-Fi-6-Routern wie einer AVM Fritzbox 5590 ist es vernünftig, die beiden Verschlüsselungsmethoden „WPA3“ und „WPA2“ gemeinsam zu aktivieren, damit auch ältere Geräte ins WLAN kommen.
IDG
Mit dem WLAN-Passwort verschlüsselt der Router die Datenübertragung. Dafür nutzt er den eingestellten Sicherheitsstandard. Die derzeit sicherste WLAN-Verschlüsselung ist WPA3.
Wer einen aktuellen Wi-Fi-6-Router besitzt oder einen vom Hersteller aktualisierten Wi-Fi-4/5-Router, sollte auf jeden Fall WPA3 nutzen – alle Wi-Fi-6- und -7-Clients sowie einige Wi-Fi-4/5-Clients unterstützen WPA3.
Doch in den meisten Heimnetzen sind auch ältere WLAN-Clients unterwegs, die WPA3 nicht beherrschen.
Wenn Sie im Router ausschließlich diesen Standard festlegen, können sich diese Geräte nicht mehr im WLAN anmelden. Deshalb bieten alle Router an, für die WLAN-Verschlüsselung neben WPA3 auch das ältere WPA2 zu aktivieren.
WLAN-Probleme gelöst: ein und nicht http://fritz.box. Denn bei der HTTP-Adresse werden die Anmeldedaten unverschlüsselt übertragen und könnten abgefangen werden.
Rufen Sie die HTTPS-Seite zum ersten Mal auf, müssen Sie eine Sicherheitsausnahme im Browser hinzufügen – in Firefox zum Beispiel per Klick auf „Erweitert“ und „Risiko akzeptieren und fortfahren“, da der Browser das SSL-Zertifikat des Routers nicht kennt. In einigen Routern müssen Sie den HTTPS-Zugriff erst im Menü aktivieren.
7. Deaktivieren Sie WPS
Eigentlich ist WPS fürs WLAN sehr bequem: Damit lässt sich jedes Gerät per Knopfdruck sicher verschlüsselt mit dem Router verbinden. Ansonsten müssen Sie auf dem Client das WLAN-Passwort von Hand eintippen, was nicht nur zeitaufwendig, sondern auch fehlerträchtig ist.
WPS kann aber auch jede andere Person nutzen, die an den Router herankommt, um heimlich ins WLAN zu gelangen. Denn diese Anmeldung funktioniert auch dann, wenn Sie das ursprüngliche WLAN-Passwort geändert haben.
Schalten Sie deshalb die WPS-Funktion im Router nach dem Einrichten Ihres Heimnetzes ab. In der Fritzbox geht das unter „WLAN –› Sicherheit –› WPS-Schnellverbindung“, indem Sie den Haken vor „Push- Button-Methode aktiv“ entfernen. Wenn Sie einen neuen WLAN-Client verbinden möchten, können Sie die Funktion kurzzeitig wieder einschalten.
8. WLAN-Reichweite reduzieren
Wen die Funkwellen Ihres WLANs nicht erreichen, der kann sich dort auch nicht einschleichen. Deshalb vermindern Sie die Angriffsfläche, indem Sie die WLAN-Reichweite reduzieren. Im Idealfall ist das WLAN-Signal außerhalb der Wohnung dann so schwach, dass es sich dort nicht mehr empfangen lässt.
Andererseits sollte diese Maßnahme nicht die Verbindungsqualität der eigenen WLAN-Clients beeinträchtigen. Wo die Grenze liegt, lässt sich nicht allgemein beantworten, da die Funkbedingungen in jedem WLAN anders sind – Sie müssen es ausprobieren.
In der Fritzbox finden Sie die Einstellung unter „WLAN –› Funkkanal“, indem Sie die Option „Funkkanal-Einstellungen anpassen“ aktivieren. Dort reduzieren Sie die maximale Sendeleistung beispielsweise auf „50%“. Haben Sie damit keine Verbindungsprobleme im Heimnetz, können Sie die Änderung beibehalten.
Diese Sicherheitsmaßnahme bringt allerdings nichts, wenn es ein Profi auf Ihr WLAN abgesehen hat: Mit spezieller Ausrüstung (wie Richtfunkantennen etc.) kann er die reduzierten Signale Ihres WLANs trotzdem empfangen.
Fritzbox: So schalten Sie das voreingestellte Benutzerkonto ab
Ab Werk ist in AVM-Routern ein Standardbenutzerkonto aktiviert. Sie rufen es mit dem auf der Unterseite des Gehäuses abgedruckten Passwort („Fritzbox-Kennwort“) auf. Um die Sicherheit zu erhöhen, sollten Sie dieses Konto aber abschalten: Nutzen Sie besser die Anmeldung mit Benutzername und Kennwort.
Wenn Sie ein neues Konto in der Fritzbox anlegen, sollten Sie den neuen Benutzer nicht „admin“ nennen. Anschließend aktivieren Sie für ihn alle Berechtigungen mit Ausnahme von VPN und Internetzugang.
IDG
Gehen Sie im Fritzbox-Routermenü dafür auf „System –› Fritzbox-Benutzer –› Benutzer“. Hier steht das werksseitig angelegte Benutzerkonto, dessen Benutzername sich aus dem Wort „fritz“ und vier angehängten Ziffern zusammensetzt, also beispielsweise „fritz2156“.
Legen Sie ein neues Konto an über die Schaltfläche „Benutzer hinzufügen“. Vergeben Sie dafür im folgenden Fenster einen beliebigen Benutzernamen und ein mindestens zehnstelliges Kennwort aus Klein- und Großbuchstaben sowie Ziffern. Die direkt darunter angezeigte Kennwortqualität sollte „gut“ oder „stark“ sein. Notieren Sie sich die Zugangsdaten auf einem Zettel.
Setzen Sie für dieses Konto vor alle Berechtigungen einen Haken – außer vor „VPN“ und „Zugang aus dem Internet erlaubt“. Da die zweite und dritte Berechtigung in der ersten eingeschlossen sind, sind diese automatisch aktiv. Beim „Zugang zu den NAS-Inhalten“ belassen Sie den Lese- und Schreibzugriff für „alle an der Fritzbox verfügbaren Speicher“.
Sie sollten nicht nur das Standardkonto mit dem Namen „fritz<4Ziffern>“ abschalten. Deaktivieren Sie außerdem auch die Einstellung „Liste der Benutzernamen … anzeigen“.
IDG
Mit „Übernehmen“ speichern Sie den neuen Benutzer ab. Der neu angelegte Benutzer taucht nun in der Liste der Fritzbox-Benutzer auf. Entfernen Sie ganz unten den Haken vor „Liste der Benutzernamen bei Anmeldung im Heimnetz anzeigen“ und „Übernehmen“ Sie die Änderung.
Melden Sie sich danach über die drei Punkte rechts oben im Fenster aus dem Fritzbox-Menü ab. Aktualisieren Sie die Seitenansicht gegebenenfalls über die Taste F5, und melden Sie sich nun mit Ihrem neuen Benutzernamen und Kennwort an.
Nun gehen Sie erneut zu „System –› Fritzbox-Benutzer –› Benutzer“ und klicken beim ursprünglichen Benutzer „fritz<4Ziffern>“ ganz rechts auf das runde „Bearbeiten“-Symbol (Stift). Entfernen Sie ganz oben den Haken vor „Benutzerkonto aktiv“ und bestätigen Sie unten mit „Übernehmen“.
Damit haben Sie das Standardkonto abgeschaltet, und das Kennwort auf der Unterseite des Routergehäuses stellt kein Sicherheitsrisiko mehr dar. Ab jetzt melden Sie sich mit Ihrem neu angelegten Benutzerkonto an der Fritzbox an.
9. SSID verbergen
IDG
In nahezu jedem WLAN-Router gibt es eine Einstellung, mit der Sie den Namen des WLANs verstecken können. Der Router sendet dann seine SSID nicht aus, was auf einem Client die Anmeldung an diesem WLAN erschwert.
In einer Fritzbox geht das beispielsweise unter „WLAN –› Funknetz“, wenn Sie in diesem Bereich rechts ganz nach unten scrollen und dort „Name des WLAN-Funknetzes verstecken“ aktivieren.
Siehe auch: Sollten Sie im WLAN unterschiedliche Netzwerknamen vergeben?
Ein Windows-Rechner, der noch nicht mit diesem Router verbunden war, zeigt dann unter „Verfügbare Netzwerke“ anstelle der WLAN-SSID nur „Ausgeblendetes Netzwerk“ an. Wer sich mit diesem Netzwerk verbinden will, muss zunächst die korrekte SSID und dann das WLAN-Passwort eingeben.
Für zufällige Angreifer mag das eine Sicherheitshürde darstellen. Wer sich ein bisschen auskennt, kann allerdings mit der Tool-Suite „aircrack-ng“ für Linux die verborgene SSID erkennen und anzeigen lassen. Insofern ist das Verstecken der SSID kein besonders effektiver WLAN-Schutz.
Wenn Sie die SSID im WLAN-Router verbergen, erscheint dieses Funknetz in der WLAN-Anzeige eines Windows-Rechners als „Ausgeblendetes Netzwerk“. Um sich dort anzumelden, müssen Sie neben dem WLAN-Passwort auch die SSID kennen und eintragen.
IDG
10. Zugang per MAC-Filter schützen
Der MAC-Filter im Router sorgt dafür, dass nur Clients ins WLAN kommen, die der Router kennt. Er identifiziert sie anhand der eindeutigen MAC-Adresse, die er bei der ersten Anmeldung speichert.
Aktivieren Sie den MAC-Filter, nachdem Sie Ihre Clients einmal mit dem Router verbunden haben, wird er jedem neuen Gerät die Anmeldung im WLAN verweigern – selbst, wenn Sie dort die korrekten Zugangsdaten eingeben.
Ähnlich wie eine versteckte SSID ist der MAC-Filter aber nur eine niedrige Schutzschwelle: Mit einer sogenannten MAC-Spoofing-Attacke können sich Angreifer trotzdem Zugang zum WLAN verschaffen.
Zudem kann der MAC-Filter auch Ihnen schnell lästig werden, da Sie den Filter für jedes Gerät, das Sie ins WLAN aufnehmen wollen, aus- und wieder einschalten müssen.
Außerdem wechseln aus Datenschutzgründen viele aktuelle Geräte wie zum Beispiel iPhones regelmäßig ihre MAC-Adresse, was die Sicherheit per MAC-Filter erschwert. Hat ein Heimnetzgerät mehrere Netzwerkschnittstellen, müssen Sie dafür mehrere Ausnahmen im MAC-Filter anlegen.
SOCIAL SHARE CARD GENERATOR