Fritzbox öffnet plötzlich Port 80: Was das für die Sicherheit bedeutet

Beim Check des Fritzbox-Protokolls fällt Ihnen folgender Eintrag auf: „Freigabe für Port 80 wird temporär für die Zertifikatsausstellung durch letsencrypt.org eingerichtet“. Sie sind ein wenig beunruhigt, denn nach Ihrem Wissen haben Sie dem Router nicht erlaubt, selbstständig Portfreigaben einzurichten.

In diesem Fall dürfen Sie jedoch unbesorgt sein: Zwar ist Port 80 sicherheitsrelevant – er ist der Standardport für das http-Protokoll. Normalerweise nutzen ihn Browser zur Datenübertragung von Webinhalten.

Dabei wird der Port 80 im Router allerdings nur geöffnet, wenn darüber Antworten auf Anfragen erfolgen, die ursprünglich von einem Heimnetzgerät kommen – wie zum Beispiel die Inhalte einer Webseite, deren URL Sie zuvor auf dem Browser dieses Geräts eingegeben haben.

Ist Port 80 permanent geöffnet, kann man darüber das Menü der Fritzbox oder andere Heimnetzgeräte aus dem Internet erreichen. Dieses Risiko mindern Sie durch ein starkes Kennwort für das jeweilige Menü.

Außerdem sind die über diesen Port laufenden Daten nicht verschlüsselt: Ein Angreifer, der sich zwischen Ihrem Heimnetz und dem Ziel der Übertragung platziert hat, könnte sensible Daten wie Passwörter daher abgreifen – eine sogenannte Man-in-the-Middle-Attacke.

Foundry

Aus diesem Grund sollten Browserverbindungen das verschlüsselte https-Protokoll und dessen Standardport 443 nutzen: Das macht die Fritzbox automatisch, wenn Sie über Myfritz einen Fernzugriff auf Ihren Router eingerichtet haben.

Eine verschlüsselte https-Verbindung setzt voraus, dass die daran beteiligten Geräte sich vertrauen können: Das stellen sogenannte TLS- oder SSL-Zertifikate sicher. Wenn Sie das Menü Ihrer Fritzbox auf einem Notebook aufrufen, das sich nicht im Heimnetz befindet, sendet der Router ein entsprechendes Zertifikat an den Laptop.

Dessen Browser kann dadurch feststellen, dass er eine Verbindung zur richtigen Fritzbox aufgebaut hat. Erhält der Browser dagegen kein gültiges Zertifikat oder kennt er es nicht, gibt er eine Warnung aus wie: „Dies ist keine sichere Verbindung“ oder „Diese Verbindung ist nicht verschlüsselt“.

Um die Browserwarnung zu vermeiden, unterstützt die Fritzbox seit Fritz-OS 7 Zertifikate von Let’s Encrypt. Das ist eine öffentliche Zertifizierungsstelle, deren Zertifikate alle Browser anerkennen. Ob Ihre Fritzbox diesen Dienst schon nutzt, können Sie in deren Menü feststellen:

Unter „Internet –› My FRITZ!-Konto“ ist dann im Abschnitt „Sicherheitshinweise im Browser“ die Option „Zertifikat von letsencrypt.org verwenden (empfohlen)“ markiert.

Foundry

Allerdings müssen diese Zertifikate in regelmäßigen Abständen – üblicherweise alle 90 Tage – erneuert werden. Dies erledigt die Fritzbox selbstständig: Das entsprechende Verfahren erfordert aber zwingend einen Zugriff von der Zertifikatsstelle auf die Fritzbox über Port 80, den der Router deswegen für eine kurze Zeit öffnet.

Nachdem das Zertifikat erneuert wurde, schließt er den Port wieder bis zum nächsten Zertifikatstermin. Seit Fritz-OS 7.25 meldet Ihnen die Fritzbox in den Ereignissen, dass sie den Port 80 zu diesem Zweck kurz geöffnet hat – ein Sicherheitsrisiko für Ihr Heimnetz besteht dadurch nicht.

Lesetipp: Fritzbox-Alarm: Diese Modelle sollten Sie nicht mehr einsetzen