Router absichern: Checkliste fürs Heimnetz

Dein Router ist Haustür, Klingel und Poststelle deines Heimnetzes in einem, und auf ihm läuft Software, die niemand zu aktualisieren daran denkt. Diese Checkliste gibt jedem Schloss einen Test, den du in wenigen Minuten machst.

Kurzantwort

Wie sicherst du einen Heimrouter ab? Arbeite diese Prüfungen der Reihe nach ab: Stelle fest, ob das Modell noch Updates bekommt, ändere das Admin-Passwort, schalte ungenutzten Fernzugriff aus, nutze WPA2 oder WPA3 mit langem WLAN-Passwort, deaktiviere die WPS-PIN, prüfe UPnP und Portfreigaben, lass die Firewall an und schicke Gäste ins Gastnetz. Das sind die Punkte, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) für Heimrouter nennt [1][2][3]. Ersetze den Router nur, wenn der Hersteller das Ende der Updates erklärt oder das Gerät weder WPA2 noch WPA3 kann. Ein Testbericht, ein neuer WLAN-Standard oder das Gefühl „alt“ ist kein Beleg.

So funktioniert’s

1. Wisse, was du hast. Lies Modellname und Hardware-Version vom Typenschild ab. Notiere, ob das Gerät dir gehört oder dein Internetanbieter es gestellt hat. Bei einer vom Anbieter gestellten FRITZ!Box fehlt das Menü „Update“, weil der Anbieter neue FRITZ!OS-Versionen automatisch einspielt [6]. Prüfweg: Schreibe Modell, Hardware-Version und Eigentümer des Geräts auf einen Zettel. Jeder weitere Schritt braucht sie.
2. Updates sind Prüfpunkt eins. Updates schließen bekannte Sicherheitslücken, und das BSI rät, automatische Updates einzuschalten, wo der Router sie anbietet [1]. Hat dein Router keine Automatik, prüfe regelmäßig und abonniere den Newsletter des Herstellers, der Firmware früh ankündigen kann [3]. FRITZ!Box-Modelle installieren in der Grundeinstellung neue FRITZ!OS-Versionen einige Wochen nach der Veröffentlichung, genannt Auto-Update Stufe III [6]. Telekom-Speedport-Router spielen Firmware nachts ein, wenn sie eingeschaltet und online sind; der Speedport 7 aktualisiert nur so, andere Modelle nur bei aktivierter Funktion EasySupport [18]. Prüfweg: Öffne die Update-Seite des Routers (bei der FRITZ!Box: System, Update, dann die Schaltfläche „Neues FRITZ!OS suchen“ [6]), notiere die installierte Version und vergleiche sie mit der neuesten Version, die der Hersteller für dein Modell nennt. AVM führt die Sicherheitskorrekturen jeder FRITZ!OS-Version außerdem auf einer eigenen Seite auf, du siehst also, was ein Update schließt [9].
3. Finde das Support-Ende, bevor es dich findet. Ein aktueller Router, der keine Fixes mehr bekommt, ist nächstes Jahr ein Router mit bekannten Lücken. Das BSI bittet Käufer, Hersteller zu bevorzugen, die in der Vergangenheit mindestens fünf Jahre lang Software-Updates geliefert haben [3]. Seine Technische Richtlinie TR-03148 für Hersteller erwartet, dass sie veröffentlichen, wie lange sie schwere Schwachstellen beheben, und in der Router-Oberfläche anzeigen, wenn der Support endet [4]. Ob dein Modell das tut, ist zu prüfen, nicht vorauszusetzen. Der nächste Abschnitt zeigt, wo jede Marke diese Angaben ablegt. Prüfweg: Finde die Herstellerangabe zu deinem genauen Modell mit Hardware-Version und notiere Seite und Datum.
4. Admin-Passwort und Benutzer. Standardpasswörter wie „admin“ kennen auch Angreifer, ändere sie also sofort; je länger das neue, desto besser [1]. Bietet die Oberfläche HTTPS im eigenen Netz an, nutze es und melde dich danach ab [3]. AVM rät bei der FRITZ!Box zu individuellen Benutzernamen, nichts Erratbarem wie admin, guest, fritzbox, remote oder user, und zu einem Passwort, das du nirgends sonst nutzt; ein Passwortmanager hilft [7]. Prüfweg: Melde dich ab und mit den neuen Daten wieder an. Bei der FRITZ!Box listet System, Ereignisse, System jede Anmeldung mit Benutzername, IP-Adresse und Uhrzeit [7].
5. Fernzugriff: aus, solange du ihn nicht brauchst. Das BSI sagt, Zusatzfunktionen wie der Fernzugriff gehören abgeschaltet, wenn du sie nicht nutzt, weil sie ein Einfallstor sein können [1]. Brauchst du ihn wirklich, empfiehlt das CSBW-Faktenblatt aus Baden-Württemberg, ihn von einer fachkundigen Person einrichten zu lassen [5], und das BSI fordert dann HTTPS und ein stärkeres Passwort [3]. Bei der FRITZ!Box zeigt Diagnose, Sicherheit, Abschnitt „FRITZ!Box-Dienste“, welche Dienste aus dem Internet erreichbar sind; schalte ungenutzte aus, beachte aber, dass der HTTPS-Zugriff für MyFRITZ!Net nötig ist [7]. TP-Link rät von seiner Fernverwaltungsfunktion ab und verweist auf die App Tether [14]. Prüfweg: Versuche von einem Gerät mit Mobilfunk, nicht in deinem WLAN, die Anmeldeseite des Routers über deine öffentliche Adresse zu öffnen. Der Beispielabschnitt zeigt dafür einen Portscan.
6. WLAN-Verschlüsselung. Das BSI nennt WPA2 und WPA3 als aktuell sicherste WLAN-Verschlüsselung und sagt, ein Router, der keins von beiden kann, solle durch ein neueres Modell ersetzt werden [1]. Das CSBW-Faktenblatt empfiehlt den kombinierten Modus WPA2 plus WPA3, bei älteren Modellen WPA2 mit CCMP und keinesfalls die veralteten Verfahren WPA oder WEP [5]. Prüfweg: Sieh auf der WLAN-Sicherheitsseite des Routers nach. Unter Linux zeigt nmcli device wifi list eine Spalte SECURITY für jedes Netz in Reichweite [25]. Wie WPA3 dort bezeichnet wird, konnten wir aus dem Handbuch nicht bestätigen; die Router-Seite ist deshalb die Hauptprüfung.
7. WLAN-Passwort und Netzwerkname. Das WLAN-Passwort ist nicht das Router-Passwort. Das BSI rät zu mindestens 20 zusammenhanglosen Zeichen, anders als das Admin-Passwort, und zum Ändern, wenn deins kürzer ist [1]. Dieselbe Zahl steht in BSI-CS 131 [3]. Der Netzwerkname sollte Angreifern weder dein Routermodell noch deinen Namen verraten [1]. Prüfweg: Zähle die Zeichen und stelle sicher, dass WLAN-Schlüssel und Admin-Passwort sich unterscheiden.
8. WPS. Wi-Fi Protected Setup ist der Knopf oder die PIN, mit der Geräte sich ohne Tippen des Passworts verbinden. Das BSI zählt die WPS-PIN-Methode zu den Diensten, die du abschalten sollst [3]. Das CSBW-Faktenblatt erlaubt nur die Push-Button-Methode, weil bei den anderen Varianten immer wieder Lücken auftauchen [5]. BSI TR-03148 sagt, PIN-basiertes WPS dürfe es nur geben, wenn es im Auslieferungszustand aus ist und für jedes Gerät eine neue PIN entsteht [4]. Ein Dokument des österreichischen Sicherheitsportals zur FRITZ!Box rät, WPS gleich nach dem Einbinden von Repeatern auszuschalten und die Tastensperre zu nutzen, damit niemand per Tastendruck ein Gerät hinzufügen kann [22]. Prüfweg: Finde die WPS-Einstellung auf der WLAN-Seite. Eine PIN-Option sollte nicht aktiv sein.
9. UPnP. UPnP erlaubt Geräten im Netz, den Router von sich aus um geöffnete Ports zu bitten. BSI-CS 131 nennt UPnP-IGD zusammen mit der WPS-PIN unter den Diensten, die normalerweise deaktiviert sein sollten [3]. Der Preis: Manche Konsolen, Spiele und Peer-to-Peer-Programme laufen dann nicht mehr richtig; unsere Lexikoneinträge zu UPnP und NAT-Typ erklären, was dann passiert. Bei der FRITZ!Box ist die Erlaubnis eine Einstellung je Gerät, selbstständig Portfreigaben per UPnP oder TR-064 einzurichten [11]. Prüfweg: Liste die aktuellen Zuordnungen auf. Unter Linux listet das Werkzeug upnpc -l (Paket miniupnpc) die Weiterleitungen auf, die der Router meldet [23]. Auch die Portfreigabe-Liste des Routers zeigt sie.
10. Portfreigaben und Exposed Host. Eine Freigabe öffnet ein Tor in der Firewall, und das Gerät dahinter ist dann direkt aus dem Internet erreichbar [10]. Das BSI sagt, eingerichtete Portweiterleitungen regelmäßig auf Notwendigkeit zu prüfen und nicht mehr benötigte zu deaktivieren [3]. AVM hat FRITZ!OS um einen Risikohinweis für Freigaben der Ports 80 oder 443 ergänzt [11]. Prüfweg: Öffne die Liste (bei der FRITZ!Box: Internet, Freigaben [12][7]) und lösche jeden Eintrag, den du nicht erklären kannst. Unsere Einschätzung: Willst du von außen auf dein Zuhause zugreifen, ist eine Freigabe für einen VPN-Server wie WireGuard sicherer als fünf Freigaben für fünf Dienste; unser Guide zu WireGuard und Tailscale vergleicht beide Wege.
11. Firewall und überflüssige Dienste. Das BSI sagt, prüfe, dass die Firewall an ist und der Haken bei „Internetzugriff auf Router aktiviert“ nicht gesetzt ist [1]. Eine FRITZ!Box weist unaufgeforderte eingehende Daten standardmäßig ab, hält alle TCP- und UDP-Ports geschlossen und versteckt Geräte hinter NAT [10]. Darüber hinaus will das BSI jeden Dienst abgeschaltet sehen, den du nicht brauchst, etwa Medienserver oder die NAS-Funktion des Routers, und empfiehlt Rufsperren für Ausland und Mehrwertnummern, am besten beim Anbieter, weil das auch bei einem gehackten Router wirkt [3]. AVM gibt denselben Rat zur Telefonie [7]. Prüfweg: die Liste der aktiven Dienste im Router und die Rufsperrliste.
12. Gastnetz. Gäste bekommen ein eigenes WLAN, damit sie deine Rechner und dein Onlinebanking nicht sehen [1]. Laut dem österreichischen Portal haben Geräte im FRITZ!Box-Gastnetz nur Internetzugang und sind vom Hauptnetz getrennt, und das Gastnetz sollte so gut gesichert sein wie das Hauptnetz; betreibe es nicht als öffentlichen Hotspot [22]. Das BSI ergänzt, es auszuschalten, wenn es niemand braucht, und seinen Schlüssel öfter zu wechseln [3]. Prüfweg: Verbinde ein Smartphone mit dem Gastnetz und versuche, die Router-Anmeldung und ein Gerät im Hauptnetz zu öffnen. Beides muss scheitern. Willst du mehr trennen als Gäste, etwa Smart-Home-Geräte, geht unser VLAN-Guide weiter.
13. Ersetzen oder behalten? Kaufe einen neuen Router nur auf Beleg. Beleg eins: Der Hersteller erklärt dein Modell für End of Life, End of Support oder End of Maintenance. TP-Link und ASUS sagen in ihren Richtlinien, dass sie ein neues Produkt empfehlen, sobald ein Modell vom Markt ist [13][16]. Beleg zwei: Der Router kann weder WPA2 noch WPA3, was das BSI als Grund zum Wechsel nennt [1]. Kein Beleg: ein fehlender WLAN-Standard, ein schlechter Test, das Alter eines Modells ohne Herstelleraussage. Nennt der Hersteller kein Datum, wie AVM es derzeit nicht tut [21], gilt die Lage als unbekannt: Frage den Support des Herstellers schriftlich und setze dir eine Erinnerung. Für einen gemieteten Router ist der Anbieter zuständig; frag ihn.
14. Dranbleiben. Einstellungen verändern sich: Ein Firmware-Update, eine neue Konsole oder ein Besucher kann sie ändern. Prüfweg: Trage dir einmal im Quartal einen Termin ein, wiederhole Update-Prüfung, Freigabeliste, UPnP-Liste und den Test von außen und notiere das Ergebnis. Eine FRITZ!Box kann dir außerdem eine Mail schicken, wenn sich jemand aus dem Internet anmeldet [7].

Wo die Update-Belege liegen

Update-Zeiträume kommen vom Hersteller oder gar nicht. Die Tabelle zeigt, wo jede Marke sie ablegt, Stand 25. Okt. 2026. Die Seiten sind teils regional; sieh auf der Seite deines Landes nach.

Ein Praxisbeispiel

Das ist ein Beispiel, kein Bericht über unser Netz. Wir machen keine Aussage dazu, welchen Router Bytearium nutzt oder wie es um ihn steht. Angenommen, eine FRITZ!Box mit aktuellem FRITZ!OS. Menünamen ändern sich zwischen Versionen; folge der Logik, wenn eine Bezeichnung abweicht.

1. Update-Prüfung: System, Update, neues FRITZ!OS suchen, Version notieren [6].
2. Sicherheitsübersicht: Diagnose, Sicherheit, Abschnitt „FRITZ!Box-Dienste“; schalte aus, was du nicht nutzt [7].
3. Freigaben: Internet, Freigaben; lösche Portfreigaben, die du nicht erklären kannst [7][12].
4. WLAN: Prüfe Verschlüsselung, Schlüssellänge, WPS und Gastnetz auf den WLAN-Seiten [22].
5. Test von außen: Schalte dein Smartphone auf Mobilfunk, das WLAN aus, lies die öffentliche Adresse deines Routers auf dessen Statusseite ab und führe von einem Laptop an dieser anderen Verbindung aus, nur gegen deine eigene Adresse, aus:

nmap -Pn -p 80,443,8080,8443 203.0.113.7

Ersetze die Dokumentationsadresse 203.0.113.7 durch deine eigene öffentliche Adresse. Nmap meldet jeden Port als open, closed oder filtered; open heißt, etwas antwortet, filtered heißt, eine Firewall blockt ihn [24]. Du willst keinen offenen Port, den du nicht erklären kannst. Von innen prüfst du, was der Router von sich aus geöffnet hat:

upnpc -l

Die Ausgabe listet Weiterleitungen mit externem Port, Protokoll und internem Host [23]. Eine leere Liste ist ein gutes Zeichen; ein Eintrag von einem längst deinstallierten Spiel ist ein Grund, das Gerät zu suchen. Schließe mit dem Gastnetz-Test aus Punkt 12 ab und notiere Datum und Ergebnisse.

Prüfliste

• Lies Modell und Hardware-Version vom Typenschild ab und notiere, ob der Router dir oder deinem Anbieter gehört.
• Installiere die aktuelle Firmware und schalte automatische Updates ein, wo es sie gibt.
• Finde die Herstellerangabe zu Updates oder Support-Ende für dein genaues Modell und notiere Seite und Datum.
• Ändere das Admin-Passwort und nutze einen individuellen Benutzernamen, nicht admin.
• Schalte den Fernzugriff auf den Router aus, solange du ihn nicht brauchst, und teste per Mobilfunk, dass die Anmeldeseite nicht antwortet.
• Stelle WPA2 oder WPA3 ein, niemals WEP, WPA oder ein offenes WLAN.
• Vergib ein WLAN-Passwort mit mindestens 20 zusammenhanglosen Zeichen, das sich vom Admin-Passwort unterscheidet.
• Deaktiviere die WPS-PIN und nutze die Tastenmethode nur für den Moment, in dem du ein Gerät hinzufügst.
• Prüfe UPnP, teste mit upnpc -l und lösche oder verbiete Zuordnungen, die du nicht erklären kannst.
• Lösche Freigaben, die du nicht brauchst, und bevorzuge eine VPN-Freigabe statt vieler Dienstfreigaben.
• Lass die Firewall an und schalte Dienste wie Medienserver, NAS-Funktion und ungenutzte Telefonfunktionen aus.
• Schicke Gäste und Besucher ins Gastnetz und beweise per Smartphone, dass es das Hauptnetz nicht erreicht.
• Kaufe einen neuen Router nur, wenn der Hersteller das Support-Ende erklärt oder dem Router WPA2 und WPA3 fehlen.
• Wiederhole die Prüfungen jedes Quartal und notiere das Datum.

Passt dazu: UPnP: automatische Portfreigabe; VLANs zu Hause: IoT und Gäste trennen; WireGuard oder Tailscale fürs Homelab; NAT-Typ bei Konsolen und Spielen; WPA3: WLAN-Sicherheit; Exposed Host (Router). Mehr zum Thema im Bereich IT-Sicherheit. Dort, wo der Router aufhört, setzen zwei Guides an: Passkeys und 2FA: Konten richtig absichern; Firewall zu Hause: OPNsense oder pfSense.