Einen WLAN-Router absichern

Neben der Wahl einer starken Verschlüsselung können Sie zahlreiche praktische Einstellungen vornehmen, um einen WLAN-Router zu härten und Angriffe zu erschweren. Härtung bedeutet, die Möglichkeiten zu verringern, über die ein Angreifer in das Netzwerk eindringen oder es missbrauchen könnte. Diese Lektion führt Sie durch konkrete, prüfungsrelevante Maßnahmen, die Administratorinnen und Administratoren zur Absicherung eines WLAN-Routers ergreifen sollten – von Passwörtern bis zur Firmware.

Beginnen Sie mit der Grundlage: Aktivieren Sie WPA3 oder, falls WPA3 nicht verfügbar ist, WPA2 mit AES. Verwenden Sie niemals WEP oder WPA-TKIP. Legen Sie anschließend eine starke, eindeutige Passphrase fest, die lang und zufällig ist und weder aus einem Wörterbuchwort noch aus dem Standardwert besteht. Ein schwacher PSK kann auch bei WPA2 offline geknackt werden. Die Qualität der Passphrase bestimmt daher unmittelbar, wie sicher das Netzwerk tatsächlich ist.

Router werden mit bekannten Standardbenutzernamen und -passwörtern wie admin/admin ausgeliefert, die für jedes Modell online veröffentlicht sind. Ein Angreifer, der die Administrationsseite erreicht, kann den Router übernehmen. Ändern Sie die standardmäßigen Administratordaten sofort in ein starkes, eindeutiges Passwort. Damit schützen Sie die Routerkonfiguration selbst – unabhängig von der WLAN-Passphrase, mit der sich Benutzerinnen und Benutzer verbinden.

Die Firmware eines Routers enthält die Software, die auf dem Gerät ausgeführt wird, und erhält im Laufe der Zeit Sicherheitsupdates. Veraltete Firmware kann bekannte und ausnutzbare Schwachstellen enthalten. Aktualisieren Sie die Firmware regelmäßig, um diese Lücken zu schließen, und aktivieren Sie automatische Updates, falls verfügbar. Ein ungepatchter Router ist ein leichtes Ziel, selbst wenn alles andere gut konfiguriert ist. Die Firmware aktuell zu halten, ist daher unverzichtbar.

WPS (Wi-Fi Protected Setup) ermöglicht die Verbindung per Knopfdruck oder über eine kurze PIN. Das ist zwar bequem, aber die PIN-Methode ist bekanntermaßen unsicher: Angreifer können die 8-stellige PIN per Brute-Force ausprobieren und dadurch das WLAN-Passwort ermitteln. Als Best Practice sollten Sie WPS deaktivieren, insbesondere die PIN-Funktion. So entfernen Sie einen einfachen Angriffsweg, der Ihre starke Passphrase umgehen kann.

Richten Sie für Besucher ein separates Gastnetzwerk ein. Es bietet Internetzugang und schirmt Gäste zugleich von den Geräten in Ihrem Hauptnetzwerk ab, sodass sie Ihre Computer, Drucker oder freigegebenen Dateien nicht erreichen können. Diese Isolation begrenzt außerdem die Auswirkungen eines kompromittierten Gastgeräts. Ein Gastnetzwerk mit eigenem Passwort ist eine einfache und wirksame Möglichkeit, die Gefährdung durch nicht vertrauenswürdige Benutzer zu begrenzen.

Berücksichtigen Sie Ihre SSID (den Netzwerknamen). Vermeiden Sie Namen, die persönliche Daten oder das Routermodell verraten, da dies einem Angreifer helfen kann. Das Ausblenden der SSID, also das Nichtübertragen ihres Namens, wird manchmal empfohlen, bietet jedoch nur wenig echte Sicherheit: Der Name lässt sich weiterhin ermitteln und Verbindungen können dadurch komplizierter werden. Eine starke Verschlüsselung ist weitaus wichtiger als das Verbergen des Namens.

Mit der MAC-Filterung können sich nur Geräte mit aufgeführten Hardwareadressen verbinden. Das klingt sicher, bietet aber nur einen schwachen Schutz, da ein Angreifer eine gültige MAC-Adresse, die er im Netzwerkverkehr beobachtet hat, leicht fälschen kann. Außerdem kann die Verwaltung aufwendig sein. Betrachten Sie die MAC-Filterung höchstens als kleine zusätzliche Hürde und niemals als Ersatz für starke Verschlüsselung und Authentifizierung.

Fassen wir die Maßnahmen in einer Checkliste zusammen. Das folgende Snippet enthält die wichtigsten Schritte. Wenn Sie sie gemeinsam umsetzen, verringern Sie die Angriffsfläche eines WLANs erheblich. Den größten Nutzen bringen eine starke Verschlüsselung mit einer starken Passphrase, geänderte Administratordaten, eine aktualisierte Firmware und deaktiviertes WPS. Die übrigen Maßnahmen bieten zusätzliche Sicherheit in mehreren Ebenen.

Viele Router bieten eine Fernverwaltung, über die Sie die Administrationsseite aus dem Internet erreichen können. Das ist zwar bequem, setzt die Router-Anmeldung aber weltweit Angreifern aus, die danach suchen. Sofern Sie diese Funktion nicht wirklich benötigen, deaktivieren Sie die Fernadministration, damit die Verwaltungsschnittstelle nur aus Ihrem eigenen Netzwerk erreichbar ist. Schalten Sie außerdem andere nicht benötigte Dienste ab, etwa UPnP, falls es nicht erforderlich ist, um die Angriffsfläche weiter zu verkleinern.

Durch Härtung wird aus einem standardmäßig konfigurierten, verwundbaren Router ein deutlich schwierigeres Ziel. Verwenden Sie WPA3 oder WPA2-AES mit einer starken Passphrase, ändern Sie die standardmäßigen Administratordaten, aktualisieren Sie die Firmware, deaktivieren Sie WPS und richten Sie ein Gastnetzwerk ein. Beachten Sie, dass MAC-Filterung und ausgeblendete SSIDs nur geringfügig helfen. Zusammengenommen bilden diese Maßnahmen die praktische und prüfungsrelevante Vorgehensweise zur Absicherung jedes WLANs.

Sichern Sie einen WLAN-Router durch mehrere aufeinander aufbauende Maßnahmen ab: Aktivieren Sie WPA3 oder WPA2-AES mit einer starken, eindeutigen Passphrase; ändern Sie die standardmäßigen Administratordaten; aktualisieren Sie die Firmware regelmäßig; deaktivieren Sie WPS (die PIN lässt sich per Brute-Force knacken); und richten Sie ein isoliertes Gastnetzwerk ein. Beachten Sie, dass MAC-Filterung (fälschbar) und das Ausblenden der SSID nur geringfügig zur Sicherheit beitragen. Den größten Nutzen bringen starke Verschlüsselung, eine starke Passphrase, gepatchte Firmware und deaktiviertes WPS.