Gefahr im Heimnetz: BSI rät, diese Einstellungen im Router sofort abzuschalten

Viele Router-Funktionen setzen auf maximale Bequemlichkeit – allerdings auf Kosten der IT-Sicherheit. Um das eigene Heimnetzwerk nach den Empfehlungen der IT-Sicherheitsbehörde abzuschotten, sollten Sie folgende Einstellungen in der Benutzeroberfläche Ihres Routers prüfen und anpassen:

UPnP (Universal Plug and Play) – Die automatische Portfreigabe

UPnP erlaubt es Geräten im lokalen Netzwerk, eigenständig Ports im Router zu öffnen, ohne dass der Nutzer dies manuell bestätigen muss. Das ist zwar komfortabel für Spielekonsolen oder Streaming-Boxen, birgt aber eine enorme Gefahr: Schleicht sich Schadsoftware auf einen PC oder ein Smart-Home-Gerät ein, kann sie über UPnP selbstständig Tore zum Internet aufstoßen und sensible Daten ausleiten.

Empfehlung: Deaktivieren Sie die automatische bzw. selbstständige Portfreigabe vollständig.

So geht’s: Unter Internet > Freigaben > Portfreigaben bei allen Geräten die Option „Selbstständige Portfreigaben für dieses Gerät erlauben“ deaktivieren.

Fernwartung / HTTPS-Zugriff aus dem Internet

Die Option zur Fernwartung ermöglicht es, von unterwegs über das Internet auf die Benutzeroberfläche des Routers zuzugreifen. Ist diese Funktion aktiviert, ist die Anmeldemaske Ihres Routers für das gesamte Weltweit-Web sichtbar und wird schnell Ziel von automatisierten Brute-Force-Angriffen (Erraten von Passwörtern).

Empfehlung: Schalten Sie den direkten Internet-Fernzugriff ab. Benötigen Sie unterwegs Zugriff auf Ihr Heimnetzwerk, nutzen Sie stattdessen eine verschlüsselte VPN-Verbindung (wie WireGuard oder IPsec), die von modernen Routern kostenfrei angeboten wird.

So geht’s: Unter Internet > Freigaben > FRITZ!Box-Dienste den Haken bei „Internetzugriff auf die FRITZ!Box über HTTPS aktiviert“ entfernen.

WPS (Wi-Fi Protected Setup) per PIN

WPS soll das Verbinden neuer WLAN-Geräte vereinfachen – entweder per Knopfdruck (PBC) oder per 8-stelliger PIN. Während der Knopfdruck relativ sicher ist, weist die PIN-Methode gravierende Sicherheitslücken auf. Angreifer können die PIN mit speziellen Werkzeugen innerhalb weniger Stunden per Brute-Force knacke und so Zugang zum WLAN erlangen.

Empfehlung: Deaktivieren Sie die WPS-PIN-Methode dauerhaft. Nach der Ersteinrichtung aller Geräte empfiehlt das BSI sogar, WPS komplett abzuschalten.

So geht’s: Unter WLAN > Sicherheit > Reiter WPS die Option „WPS aktiv“ abwählen.

Veraltete Netzwerkprotokolle (SMBv1 & alte WPA-Standards)

Manche Router bieten für integrierte NAS-Funktionen (Speicher an der Fritzbox) noch das völlig veraltete Dateifreigabeprotokoll SMBv1 an. Dieses Protokoll gilt als hochgradig unsicher und war in der Vergangenheit das Haupteinfallstor für Erpressungstrojaner wie „WannaCry“. Ähnliches gilt für veraltete WLAN-Verschlüsselungen wie WPA1 (TKIP).

Empfehlung: Erzwingen Sie die Nutzung moderner Standards wie SMBv2/v3 sowie mindestens WPA2 (CCMP) oder den aktuellen Standard WPA3.

So geht’s:

• Für NAS: Unter Heimnetz > Speicher (NAS) die Unterstützung für „SMBv1“ deaktivieren.
• Für WLAN: Unter WLAN > Sicherheit den Modus „WPA2 + WPA3“ wählen.

Neben dem gezielten Abschalten gefährlicher Funktionen rät das BSI zu weiteren grundlegenden Schutzmaßnahmen:

Ein hohes Maß an IT-Sicherheit im eigenen Zuhause erfordert oft nur wenige Klicks im Menü des WLAN-Routers. Während Hersteller aus Komfortgründen viele Schnittstellen ab Werk aktivieren, sollten Verbraucher selbst aktiv werden: Das Deaktivieren von UPnP, Fernzugriff und WPS schließt die gefährlichsten Hintertüren für Angreifer aus dem Netz. Wer zusätzlich auf moderne Verschlüsselungsverfahren und regelmäßige Updates setzt, schützt seine Privatsphäre wirksam und nachhaltig.

Quellen & Weiterführende Informationen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): Empfehlungen für WLAN-Router und Heimnetzwerke
• BSI für Bürger: WLAN-Router sicher konfigurieren
• AVM Service-Portal: Sicherheitshinweise für die FRITZ!Box
• Bildmaterial: www.dall-e-free.com