Dein Heim-WLAN ist die Eingangstür zu allem: zum Online-Banking, zum Smart-TV, zur Heizung, zum Kühlschrank. Wenn die Tür offen steht, hat das Konsequenzen. Und sie steht öfter offen, als die meisten denken. Das NCSC verzeichnet jedes Jahr Tausende Meldungen über kompromittierte Heimnetzwerke – meistens nicht, weil jemand gezielt angegriffen wurde, sondern weil drei einfache Einstellungen nie gesetzt wurden.
Das hier ist keine Anleitung, wie Du Deinen Router auseinanderschraubst. Das sind fünf Einstellungen, die Du in zehn Minuten erledigst und die danach jahrelang halten.
1. Das Werks-Passwort vom Router – sofort raus
Jeder Router hat ein Standard-Login für die Konfiguration. Steht oft auf dem Aufkleber unten am Gerät. Diese Daten sind im Internet öffentlich auffindbar – ja, wirklich, für jedes Modell. Wer Zugriff auf Dein WLAN bekommt (siehe Punkt 3), kann mit dem Standardpasswort den Router fernsteuern, DNS-Server umleiten und Dich auf gefälschte Banking-Seiten schicken.
Mach das jetzt: Im Browser 192.168.1.1 oder 192.168.0.1 aufrufen, einloggen mit den Werks-Daten, sofort ein eigenes Passwort vergeben. Mindestens 12 Zeichen, gemischt. Notiere es im Passwort-Manager – der nächste Artikel handelt davon.
2. WPA3 oder WPA2 – nicht weniger
Im WLAN-Menü Deines Routers gibt es eine Einstellung «Sicherheit» oder «Verschlüsselung». Stehen dort die Optionen WPA3, WPA2, WPA oder WEP – nimm WPA3, wenn der Router es unterstützt, sonst WPA2 (AES). WEP und das alte WPA sind seit Jahren gebrochen. Wenn Dein Router nur WEP kann, ist er älter als zehn Jahre und sollte ersetzt werden. Punkt.
Bei «WPA2/WPA3 Mixed Mode» gilt: nimm den, ausser ältere Geräte werfen Verbindungsfehler. Gemischt ist immer noch besser als WPA2-only.
3. WLAN-Passwort – ja, das ist nicht dasselbe wie das Router-Passwort
Punkt 1 schützt die Konfiguration des Routers. Das WLAN-Passwort schützt, wer überhaupt ins Netz reinkommt. Beide Passwörter müssen unterschiedlich und gut sein.
Was hilft: ein Satz mit fünf bis sechs zufälligen Wörtern. kaffee-fenster-blau-zwei-tropf-69 ist sicherer als P@ssw0rd! und Du kannst es Dir merken. Vermeide Geburtsdaten, Hausnummern, Kindernamen. Diebe von WLAN-Zugängen probieren genau diese Muster zuerst.
4. Gäste-WLAN für alles, was nicht Familie ist
Smart-TV, Saug-Roboter, Türklingel mit Kamera, der Drucker. Alles «smart», alles im Netz, alles mit einer Sicherheits-Historie, bei der man weinen möchte. Diese Geräte gehören nicht ins Hauptnetz, in dem Dein Laptop und Dein Smartphone hängen.
Praktisch jeder Router der letzten Jahre kann ein Gäste-WLAN. Eigene SSID, eigenes Passwort, isoliert vom Hauptnetz. IoT-Kram dort hin, fertig. Wenn der Saug-Roboter dann eine Sicherheitslücke hat – und das wird er irgendwann – kommt der Angreifer wenigstens nicht direkt an Dein Steuerformular.
5. Firmware-Updates – einmal im Quartal
Router bekommen Sicherheits-Updates. Die musst Du oft selbst auslösen, oder zumindest die Auto-Update-Funktion einschalten, wenn vorhanden. Im Router-Menü unter «System», «Wartung» oder «Firmware».
Setze Dir einen Kalendereintrag: alle drei Monate kurz reinschauen. Dauert keine fünf Minuten. Router, die seit 2020 keine Updates mehr bekommen, sind End-of-Life und sollten ersetzt werden – auch wenn sie technisch noch laufen.
Das war’s
Fünf Einstellungen, einmal gemacht, jahrelang sicher. Wenn Du jetzt unsicher bist, ob Dein Router das alles kann: Hersteller und Modell googeln plus «Anleitung WPA3» oder «Gäste-WLAN aktivieren». Oder den Provider anrufen. Bei Swisscom, Sunrise und Quickline gibt es brauchbare Schritt-für-Schritt-Anleitungen.
Wenn Dein Router älter als acht Jahre ist und keine Updates mehr bekommt: Die hundert Franken für ein neues Modell sind günstiger als ein gehacktes Online-Banking-Konto.
Quelle: NCSC – Bundesamt für Cybersicherheit, Empfehlungen für Heimnetzwerke (ncsc.admin.ch).