Sicherheit für Ihr WLAN - PCtipp zeigt wie!

Viele Router-Nutzer haben ihr Gerät samt WLAN vor Jahren gestartet und seitdem nie wieder die Benutzeroberfläche geöffnet. Hand aufs Herz: Wann haben Sie das letzte Mal Ihren Router und das WLAN geprüft? Gut, dass viele Internet-Router automatisch Updates machen. Allerdings: Die oft neu installierten Sicherheitsfunktionen werden nicht immer automatisch aktiviert. Wir haben einige Tipps und Tricks für Sie, mit denen Sie Ihren WLAN-Router auf den neuesten Stand im Hinblick auf Sicherheit bringen.

Auf WPA3 umstellen

Damit niemand Ihre WLAN-Verbindung zwischen Notebook und Router belauschen kann, setzt Ihr Gerät eine Verschlüsselung ein. Der Standard ist Wi-Fi Protected Access oder kurz WPA. Falls Ihr Router nicht steinalt ist, beherrscht er WPA und WPA2. Die aktuellen Router unterstützen auch den besten Standard WPA3, so etwa die Swisscom Box 4 und 5 oder die Sunrise Connect Box 3.

Zahlreiche ältere Router haben in den vergangenen Jahren Updates bekommen, da WPA3 erst seit 2020 in vielen Geräten vorhanden ist bzw. per Update aufgerüstet wurde. Wurde Ihr Router aufgerüstet, ist die Funktion oft nicht aktiv, da sie noch auf «WPA/WPA2» steht. Wählen Sie in Ihrer Nutzeroberfläche im Bereich WLAN und Sicherheit hier einfach WPA2/WPA3 aus und bestätigen Sie den Wechsel mit Speichern, Bild 1.

Hinweis: Wie Sie in das Menü Ihres WLAN-Routers gelangen, lesen Sie im Handbuch oder in den FAQ Ihres Providers. Gängig ist die Eingabe einer Adresse im Webbrowser, gefolgt von einem Log-in mittels Benutzenamen und Kennwort.

Sie können nach der Umstellung die verbundenen Geräte einfach weiter benutzen. Ihr neues Notebook oder Smartphone verwendet automatisch die sicherste Verschlüsselung und schwenkt so auf WPA3 um.

Sie hätten auch die Möglichkeit, nur WPA3 zu nutzen, aber davon raten wir Ihnen ab. Denn nicht jedes Gerät ist so neu, dass es WPA3 beherrscht und daher das immer noch sichere WPA2 benötigt. Somit haben Sie keine Geräteausfälle. Ist das doch der Fall, haben Sie noch ein altes Gerät mit WPA. Das wäre sogar gut, da dieser Schutz vollkommen veraltet und in Minuten zu knacken ist. Im Vergleich: WPA2 zu knacken, dauert Monate.

SSID: Name mit Fantasie

Bei Einsatz eines neuen Routers wird bei der Einrichtung oft abgefragt, wie das WLAN heissen soll, das ist im Fachjargon die SSID (Service Set Identifier). Viele Nutzer verwenden hier leider nur zu oft eine Kombination mit dem Familiennamen, etwa «Meiers-WLAN». Damit ist Ihr WLAN schnell zu identifizieren, falls jemand versucht, unerlaubt darauf zuzugreifen. Nutzen Sie besser Fantasienamen wie «Castleweb» oder «Funkzelle100», Bild 2.

Das Ändern der SSID ist einfach. Sie können den WLAN-Namen in den WLAN-Einstellungen Ihres Routers einfach umbenennen und speichern. Nach einem kurzen Moment taucht Ihr WLAN mit dem neuen Namen auf. Aber: Sofern Sie Ihr Funknetz schon länger nutzen, bedeutet das Ändern des Namens allerdings, dass sich jedes Gerät neu anmelden muss. Das ist zwar mit etwas Aufwand verbunden, aber es steigert die Sicherheit, dass man Ihr Netz nicht identifizieren kann.

Absolute Sicherheit: 2FA

Der Zugang zu einem Router ist immer durch ein Passwort geschützt. Das ist inzwischen ein festes Sicherheitsmerkmal. Falls jemand Zugang zu Ihrem WLAN hat, kann er auf die Konfigurationsoberfläche des Routers zugreifen, wenn er das Passwort kennt. Auf diese Weise können sensible Daten im Gerät verändert werden. Einige wenige Router bieten daher einen erweiterten Schutz an: eine 2-Faktor-Authentifizierung (kurz 2FA) bei der Änderung von besonders wichtigen Daten. Die Fritz!Box kennt zum Beispiel diese Funktion, die sich unter anderem per Authenticator-App steuern lässt, Bild 3.

Dazu wird die Funktion lediglich eingerichtet und etwa Googles Authenticator-App für Android oder iOS genutzt. Danach muss jede wichtige Änderung mit einem Code aus der App bestätigt werden. Der Code ändert sich dabei alle 60 Sekunden.

WPS-Knopf ist nicht sicher

Seit vielen Jahren finden sich an den WLAN-Routern der sogenannte WPS-Knopf. Das steht für Wi-Fi Protected Setup. Der Knopf soll das Verbinden von mobilen Geräten erleichtern. So lässt sich zum Beispiel der Knopf drücken und man hat 10 Sekunden Zeit, sich mit einem WLAN-fähigen Gerät einzuloggen.

Allerdings wurde WPS vor längerer Zeit schon als unsichere Technik eingestuft und ist somit seit der Android-Version 10 oder 11 aus den Funktionen verschwunden. Allerdings ist bei den meisten Routern noch WPS aktiv und der Knopf vorhanden. Sollten andere Personen ohne Ihr volles Vertrauen Zugriff auf den Router haben, schalten Sie das Ganze einfach ab. Meist reicht es im Bereich WLAN oder Sicherheit beim Punkt WPS, den Haken zu entfernen und danach zu speichern, Bild 8.

Falls Sie doch einmal einen Drucker oder ein anderes WLAN-fähiges Gerät per WPS verbinden müssen, lassen sich die Funktion und der Knopf schnell reaktivieren oder WPS direkt über die Bedienoberfläche nutzen.

Fernzugriff wirklich nötig?

Viele Nutzer aktivieren den Fernzugriff auf ihren Router – meist sogar als Nutzer mit Admin-Rechten. Dabei stellt sich die Frage: Ist das wirklich nötig? Sie bieten damit das Gerät für einen Zugriff über das Internet an und schützen den Zugang meist nur per Name und einfachem Passwort.

Bereits vor einigen Jahren haben zum Beispiel viele Nutzer einer Fritz!Box berichtet, dass in ihren Protokollen zahlreiche Log-in-Versuche mit Namen und Passwort zu finden waren. Wer aber nicht in die Protokolle schaut, merkt diese Zugriffsversuche nicht einmal. Daher lautet unser Tipp: Schalten Sie den Fernzugriff ab. Das ist wesentlich sicherer.

Falls Sie ihn dennoch unbedingt haben wollen, sollten Sie einerseits VPN nutzen und die Benutzerrechte nicht so hoch setzen. Viele Router bieten das an. In unserem Beispiel lassen sich drei Ebenen von Benutzerrechten festlegen, Bild 9: Vollzugriff, Nur Lese-Zugriff und Individuelle Einstellungen. Wenn der Fernzugriff unbedingt sein muss, senken Sie für mehr Sicherheit die Zugriffsrechte.

Auch der Zugriff per VPN auf den Router ist wesentlich sicherer, allerdings nicht immer so einfach einzurichten.

Tipp: Bei einer Fritz!Box bekommen sie vom Hersteller alle Daten, die für einen Log-in mit einer VPN-Software am Smartphone oder PC nötig sind.

Firmware aktualisieren

Einige Nutzer setzen anstatt eines Routers vom Internetanbieter einen eigenen WLAN-Router ein, der mehr Möglichkeiten anbietet. Dabei wird das Gerät des Providers in den Bridge-Modus gesetzt und zum Modem degradiert; der neue WLAN-Router übernimmt alle anderen Aufgaben. Allerdings: Bei einem Provider-Gerät wird automatisch die vorhandene Firmware geprüft und bei Bedarf aus der Ferne durch den Provider aktualisiert – etwa bei Sicherheitsproblemen. Wie geht das bei  einem nachgeschalteten Router?

Meistens funktioniert es hier nicht automatisch, wie das auch immer wieder aus den Medien zu erfahren ist. So gab es erst zu Beginn des Jahres wieder Warnungen zu alten D-Link-Routern, da sich dort Sicherheitslücken in der Firmware fanden und somit Angreifer das Gerät übernehmen konnten. Das ist auch bei ASUS-Routern in den Jahren davor schon passiert. Daher: Schauen Sie unbedingt in Ihrem privat genutzten Router nach, ob die Firmware auf dem letzten Stand ist, Bild 10.

Notieren Sie die Nummer und schauen Sie im Internet nach, ob es wirklich die jüngste Version ist. Manchmal hilft auch eine Suchanfrage nach Hersteller, Modell und Firmware-Version weiter.

Wenn Sie sehen, dass es keine Updates mehr gibt und das Modell inzwischen unsicher ist, sollten Sie sich einen neuen WLAN-Router gönnen.

Mac-Adresse

Sie wollen Ihren WLAN-Zugriff absolut sicher machen, haben aber keine Lust auf lange, komplizierte Passwörter? Dann sollten Sie den Zusatzschutz nutzen, der die Anmeldung nur mit der passenden Mac-Adresse erlaubt: das sogenannte Mac-Adressen-Whitelisting. Diese unverwechselbare Kennung hat jedes Netzwerkgerät – zum Beispiel ein Smartphone.

Vorteil: Kein anderes Gerät kann sich mit dem WLAN-Passwort anmelden, wenn nicht zuvor die Mac-Adresse auf die Whitelist gesetzt wurde.

Nachteil: Manche Geräte nutzen eine zufällig generierte (randomisierte) MAC-Adresse. Diese funktionieren nach dem ersten Anmelden, danach aber eventuell nicht mehr. Weiterhin unterstützen klassische Router von Internetanbietern wie Sunrise oder Swisscom kein Mac-Adressen-Whitelisting. Das geht nur mit anderen Routern wie einer Fritz!Box.

Wenn Sie einen weiteren WLAN-Router wie eine Fritz!Box haben und sein Netz nutzen, gehen Sie am besten folgendermassen vor: Sie loggen sich ein und wechseln zum Bereich WLAN/Sicherheit. Dort finden Sie eine Liste aller aktuell eingeloggten Geräte samt Namen, IP-Adresse und Mac-Adresse sowie eine Liste aller ehemals aktiven Geräte. Ganz am Ende dieser Liste findet sich der aktive Eintrag Alle neuen WLAN-Geräte zulassen. Wenn Sie hier auf WLAN-Zugang auf die bekannten WLAN-Geräte beschränken umschalten, sind nur die gerade aktiven Geräte zugelassen. Um neue Geräte zu erlauben, müssen Sie entweder die Mac-Adresse per Hand eintragen oder Sie schalten kurz zurück zum Zugang für alle Geräte, loggen sich ein und schalten danach wieder das Mac-Adressen-Whitelisting ein, Bild 11.

IoT-Geräte ins Privatnetz

Smarthome-Geräte sind seit Jahren extrem beliebt. Allerdings stammen viele Geräte aus dem Reich der Mitte und sind im Hinblick auf Sicherheit nicht immer gut aufgestellt. Oft offenbaren sich nach Jahren der Nutzung Schwachstellen, durch die Angreifer eindringen können, da viele Geräte via Internet erreichbar sind.

Aber es gibt auch dafür geschickte Lösungen: Nutzen Sie ihr Gastnetzwerk oder einen WLAN-Access-Punkt (das kann ein zweiter WLAN-Router sein) bei dem Sie ausschliesslich Ihre IoT-Geräte anmelden. Damit haben die Geräte zwar Internetzugang, können aber nicht auf Ihr internes Netz zugreifen und daher nicht auf Daten oder Laufwerksfreigaben.

Im Beispiel an einer Fritz!Box haben wir das Gastnetz «MasterIoT» genannt und ganz normal verschlüsselt. Alle Geräte arbeiten so einwandfrei und mit dem geringsten Risiko für das eigene Netz, Bild 12.