Laurence CadieuxUpdate (August 2026): Wir haben diesen Artikel erneut geprüft und die Tipps für heutiges Heim-WLAN aktualisiert — stärkere Verschlüsselungsempfehlungen, Trennung von Gästen und IoT, Firmware-Hygiene und mehr — bei unveränderter Neun-Tipps-Struktur.
In einem kürzlich erschienenen Artikel über Cybersicherheitstipps, die Eltern ihren Kindern beibringen sollten, haben wir hervorgehoben, dass Heimnetzwerke — anders als viele glauben — oft alles andere als sicher sind. Leider freuen sich darüber vor allem Hacker.
Da Sie Hacker bestimmt nicht glücklich machen wollen, finden Sie hier 9 Tipps für ein sichereres WLAN zu Hause (übrigens ein großes DANKE an Community-Mitglied Scott Bowling für die Idee zu diesem Artikel!).
1. Moderne WLAN-Verschlüsselung nutzen (möglichst WPA3)
Das Problem: Fast jeder Router bietet Verschlüsselung an, aber der aktivierte Modus (oder ein Überbleibsel aus einer alten Konfiguration) kann trotzdem schwach sein. Veraltete Optionen wie WEP oder ältere WPA/TKIP-Modi sind in einem Netzwerk, das Banking-, Arbeits- und Privatkonten trägt, nicht akzeptabel.
Was Sie tun können: Wählen Sie in den Router-Einstellungen WPA3-Personal, wenn jedes Gerät, das Ihnen wichtig ist, das unterstützt. Bei einem Mix älterer Geräte nutzen Sie den WPA2/WPA3-Übergangsmodus nur als vorübergehende Brücke und wechseln Sie vollständig zu WPA3, sobald es geht. Vermeiden Sie WEP und ältere WPA/TKIP vollständig.
Die Wi-Fi Alliance hat WPA3-Personal um eine stärkere passwortbasierte Authentifizierung (SAE) herum entwickelt, die Offline-Wörterbuchangriffen besser widersteht als klassisches WPA2-Personal PSK. Trotzdem reicht Verschlüsselung allein nicht: Sie brauchen noch ein starkes Netzwerkpasswort. Das ist Tipp 2.
2. Das Standard-WLAN-Passwort durch eine starke Passphrase ersetzen
Das Problem: Das werkseitige WLAN-Passwort zu belassen ist eine offene Einladung. Ebenso, ein kurzes, erratbares Passwort wiederzuverwenden, das Sie schon für E-Mail oder Social Media nutzen. Besonders bei WPA2 bleibt eine schwache Passphrase eine realistische Angriffsfläche.
Was Sie tun können: Setzen Sie eine einzigartige WLAN-Passphrase, die lang und schwer zu erraten ist. Zielen Sie auf etwas, das für Sie einprägsam und für Angreifer unangenehm ist:
- Mindestens 15 Zeichen (länger ist besser)
- Eine Mischung ungewöhnlicher Wörter reicht; Sie brauchen keine unlesbare Symbolsuppe
- Keine Tastaturfolgen (
qwerty), offensichtlichen Ersetzungen (P@ssw0rd), einzelnen Wörterbucheinträgen oder persönlichen Details (Namen, Geburtstage, Adresse)
Wie wir bereits in Passwörter vs. Passphrasen erklärt haben, ist eine Phrase wie bluepoodleParisairplanepeanuts in der Regel leichter zu merken und schwerer zu knacken als ein kurzes „komplexes“ Passwort.
Wenn Sie Router-Geheimnisse nicht auswendig lernen wollen, speichern Sie sie in einem Passwortmanager. Für den privaten Gebrauch ist Devolutions Password Manager (und der breitere Pfad zu den kostenlosen Tools) ein solider Einstieg, damit WLAN-Schlüssel und Admin-Passwort nicht ewig in einer Notizen-App leben.
3. Die standardmäßigen Admin-Zugangsdaten des Routers ändern
Das Problem: Router-Admin-Portale leben oft noch unter Adressen wie http://192.168.1.1 oder http://192.168.0.1, und viele werden noch mit einer bekannten Standard-Kombination aus Benutzername und Passwort ausgeliefert (oder einem Aufkleber-Passwort, das nie rotiert wird). Wer dieses Portal erreicht, kann DNS ändern, Remotezugriff öffnen oder Sie aussperren.
Was Sie tun können: Ändern Sie das Admin-Passwort auf etwas Einzigartiges und Starkes — anders als die WLAN-Passphrase. Nutzen Sie idealerweise einen klar beschrifteten Passwortmanager-Eintrag (Heimrouter Admin), damit Sie nicht versucht sind, das SSID-Passwort wiederzuverwenden oder es auf einen Zettel unter dem Modem zu schreiben.
4. Remote-Management deaktivieren
Das Problem: Manche Router erlauben den Zugriff auf die Admin-Oberfläche aus dem öffentlichen Internet. Selbst mit Passwort exponiert das eine Anmeldeseite (und mögliche Bugs) für die ganze Welt. Schwache Admin-Zugangsdaten verschärfen das Risiko.
Was Sie tun können: Deaktivieren Sie Remote-Management / Remote-Administration / WAN-seitigen Admin-Zugriff in der Router-Oberfläche. Danach sollten nur Geräte im lokalen Netzwerk das Admin-Portal erreichen. Wenn Sie wirklich Offsite-Management brauchen, nutzen Sie einen dedizierten, sicheren Remote-Access-Ansatz statt den Admin-Port des Routers fürs Internet offen zu lassen.
5. WPS deaktivieren
Das Problem: Wi-Fi Protected Setup (WPS) sollte das Pairing per Taste oder PIN erleichtern. In der Praxis sind viele Implementierungen seit Jahren schwach, und PIN-basiertes WPS hat eine lange Geschichte von Brute-Force-Missbrauch, der den Netzwerkschlüssel preisgeben kann.
Was Sie tun können: Schalten Sie WPS aus. Ein neues Gerät einmal mit der WLAN-Passphrase zu verbinden ist ein kleiner Aufwand gegenüber dem Risiko, einen bekannten schwachen Onboarding-Pfad aktiv zu lassen.
6. Router-Firmware aktuell halten
Das Problem: Router-Firmware ist Software. Sie bekommt CVEs — genau wie Telefone und Laptops. Angreifer scannen nach bekannten anfälligen Modellen; ein ungepatchtes Heim-Gateway bleibt ein beliebter Einstiegspunkt.
Was Sie tun können:
- Prüfen Sie die Support-Seite des Herstellers auf die aktuelle Firmware und wenden Sie Updates planmäßig an
- Aktivieren Sie automatische Updates, wenn Ihr Router sie anbietet und Sie dem Kanal des Herstellers vertrauen
- Hat der Hersteller Ihr Modell vor Jahren aufgegeben, ist das ein Grund für neuen Hardware-Ersatz — kein Grund, auf das Beste zu hoffen
Die CISA-Hinweise zur Absicherung von Funknetzwerken bleiben eine nützliche Basisliste für Zuhause und kleine Büros.
7. Den Standard-Netzwerknamen (SSID) ändern
Das Problem: Standard-SSIDs verraten oft Marke oder Modell des Routers (NETGEAR42, LinksysXXXX). Nachbarn sehen so, wer die Werkseinstellungen gelassen hat, und Angreifer können gezielter bekannte Schwachstellen oder Default-Credential-Muster ausprobieren. Persönliche SSIDs (Johns-Haus, Ahornstrasse-123) leaken Identität auf andere Weise.
Was Sie tun können: Benennen Sie die SSID in etwas Einzigartiges und Langweiliges um, das nicht Ihren Namen, Ihre Adresse, Telefonnummer oder das exakte Routermodell enthält. Kreative Witze gehören nicht in eine Ausstrahlung auf die Straße.
8. Gäste und IoT-Geräte in ein separates Netzwerk legen
Das Problem: Die SSID zu verstecken war ein beliebter „Tipp“, ist aber weitgehend Security Theater. Fähige Scanner finden versteckte Netze trotzdem, und viele Clients fragen den versteckten Namen im Klartext ab — was ihn ohnehin leaken kann. Das größere moderne Risiko ist einfacher: Handys von Freunden, Smart-TVs, Kameras, Lampen und andere IoT-Gadgets teilen dasselbe LAN wie Arbeitslaptops und Privat-PCs.
Was Sie tun können: Richten Sie ein Gastnetzwerk ein (oder eine zweite SSID / IoT-VLAN, falls Ihr Router das unterstützt) und legen Sie Besucher sowie die meisten Smart-Home-Geräte dorthin. Handys, Computer und alles mit Arbeits- oder Banking-Daten bleiben im Hauptnetz. Aktivieren Sie Client-Isolation auf der Gastseite, wenn die Option vorhanden ist, damit ein kompromittierter Smart Plug weniger als Pivot zu Ihrem Laptop taugt.
Diese eine Änderung bringt in der Praxis meist mehr Schutz, als das Verstecken der SSID je gebracht hat.
9. Jedes verbundene Gerät gepatcht und schlank halten
Das Problem: Ein gehärteter Router rettet Sie nicht, wenn ein kompromittiertes Telefon, Laptop oder eine Kamera bereits innerhalb des Perimeters ist. Heimnetze sammeln mehr Endpunkte denn je, und viele IoT-Geräte erhalten lange vor dem Entsorgungstag keine Updates mehr.
Was Sie tun können:
- Halten Sie OS- und App-Updates auf Handys, Tablets und Computern aktuell
- Nutzen Sie seriösen Endpoint-Schutz, wo es sinnvoll ist
- Entfernen Sie Geräte, die Sie nicht mehr nutzen; ein aufgegebenes Smart-Gadget bleibt Angriffsfläche
- Bevorzugen Sie Hersteller, die noch Sicherheitsupdates liefern, und legen Sie alles andere ins Gast-/IoT-Netz aus Tipp 8
- Prüfen Sie, welche Geräte tatsächlich mit dem WLAN verbunden sind, und werfen Sie Unbekanntes raus
Das Fazit
Angreifer bevorzugen leichte Ziele: Standardpasswörter, uralte Firmware, aktiviertes WPS und ein flaches Netz voll ungepatchter Gadgets. Keiner der Tipps oben braucht ein Enterprise-Budget. Sie brauchen nur einen kurzen Durchgang durch die Router-Einstellungen, die die meisten Menschen nach dem Installationstag nie wieder öffnen.
Sichern Sie zuerst Verschlüsselung und Passwörter, schließen Sie Remote-Admin und WPS, bleiben Sie gepatcht, benennen Sie die langweiligen Defaults um und trennen Sie dann Gäste und IoT von den Geräten, die zählen. Diese Kombination macht Ihr Heim-WLAN weiterhin deutlich unattraktiver zum Ausprobieren.
Wenn Sie einen sichereren Ort für die langen Passphrasen brauchen, die diese Tipps erzeugen, versuchen Sie Devolutions Password Manager.
Mathieu Morrissette
Sebastien Duquette
Steven Lafortune