Router absichern: Vollständiger Sicherheits-Guide 2026

Warum muss ich meinen Router überhaupt absichern?

Weil ein ungesicherter Router das gesamte Heimnetz exponiert – für Datendiebstahl, Überwachung und Missbrauch.

Der Router ist das einzige Gerät, das permanent zwischen Ihrem Heimnetz und dem Internet steht. Jede Verbindung läuft durch ihn hindurch. Wird er kompromittiert, hat ein Angreifer potenziell Zugriff auf sämtlichen Datenverkehr – Bankverbindungen, Passwörter, Kommunikation. Hinzu kommen angeschlossene Smart-Home-Geräte, die selbst oft kaum abgesichert sind.

Besonders unangenehm: Ein Angreifer muss nicht einmal physischen Zugang zum Gerät haben. Über das WLAN, über offene Ports oder unsichere Dienste wie UPnP kann ein Angriff vollständig aus der Ferne erfolgen – oft unbemerkt über Monate.

Welche Sicherheitsrisiken bestehen bei einem ungesicherten Router?

Brute-Force-Angriffe, DNS-Hijacking, Man-in-the-Middle-Angriffe und Botnet-Einbindung sind die häufigsten realen Bedrohungen.

Ein nicht abgesicherter Router ist ein Einladungsschreiben. Angreifer scannen das Internet systematisch nach verwundbaren Geräten – automatisiert, rund um die Uhr. Besonders gefährlich ist DNS-Hijacking: Dabei wird der DNS-Server im Router manipuliert, sodass Nutzer beim Aufruf legitimer Websites auf gefälschte Seiten umgeleitet werden, ohne es zu bemerken.

Man-in-the-Middle-Angriffe ermöglichen das Mitlesen verschlüsselter Verbindungen, wenn der Angreifer sich zwischen Router und Endgerät positioniert. Brute-Force-Attacken testen systematisch Passwörter durch – bei Standard-Zugangsdaten oft erfolgreich in Sekunden.

Was passiert, wenn jemand unbefugten Zugriff auf meinen Router erhält?

Der Angreifer kontrolliert den gesamten Datenverkehr, kann Geräte übernehmen und das Netzwerk für illegale Aktivitäten missbrauchen.

Neben dem Abgreifen sensibler Daten kann ein kompromittierter Router in ein Botnet eingebunden werden – dann wird er ohne Wissen des Besitzers für DDoS-Angriffe auf andere Ziele genutzt. Rechtlich problematisch: Die Aktivitäten laufen über die eigene IP-Adresse.

Wie ändere ich das Standard-Administratorpasswort meines Routers?

Öffnen Sie die Router-Oberfläche (meist 192.168.1.1 oder 192.168.0.1), melden Sie sich an und suchen Sie unter „System“ oder „Verwaltung“ die Passwort-Einstellung.

Die genaue Navigation hängt vom Hersteller ab. Bei FRITZ!Box-Routern findet sich die Option unter System → FRITZ!Box-Benutzer. Bei Asus-Routern unter Administration → System. Das neue Passwort sollte sofort, vor jeder weiteren Konfiguration gesetzt werden.

Was ist ein sicheres Router-Passwort?

Mindestens 16 Zeichen, Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen – kein Wort aus dem Wörterbuch.

Ein guter Ansatz: eine zufällige Passphrase aus vier bis fünf unverbundenen Wörtern, ergänzt durch Zahlen und Sonderzeichen. Passwort-Manager wie Bitwarden oder KeePass generieren und speichern solche Zugangsdaten sicher. Das Admin-Passwort des Routers sollte sich vom WLAN-Passwort unterscheiden.

Wie greife ich auf die Router-Oberfläche zu?

Geben Sie die Standard-Gateway-Adresse in Ihren Browser ein – typischerweise 192.168.1.1, 192.168.0.1 oder fritz.box.

Die genaue Adresse steht meist auf einem Aufkleber an der Unterseite des Routers oder im mitgelieferten Handbuch. Alternativ zeigt Ihnen die Eingabe von ipconfig (Windows) oder ip route (Linux/Mac) den Standard-Gateway Ihres Netzwerks.

Sollte ich den Standard-Benutzernamen des Routers ändern?

Ja, sofern Ihr Router das erlaubt. Ein geänderter Benutzername erschwert automatisierte Angriffe spürbar.

Nicht alle Router bieten diese Option. Wo sie verfügbar ist – etwa bei Asus oder Netgear – sollte sie genutzt werden. „admin“ als Benutzername ist in jeder Angriffsdatenbank der erste Versuch.

Was ist eine Router-Firmware und warum ist sie wichtig?

Firmware ist das Betriebssystem des Routers. Veraltete Firmware enthält bekannte Sicherheitslücken, die aktiv ausgenutzt werden.

Anders als bei Windows oder macOS erhalten viele Nutzer keine sichtbaren Hinweise auf ausstehende Updates. Dabei veröffentlichen Hersteller wie AVM, Asus oder TP-Link regelmäßig Patches für kritische Schwachstellen. Ein Router mit Firmware von 2020 ist heute in vielen Fällen verwundbar – das ist keine Übertreibung.

Wie aktualisiere ich die Firmware meines Routers?

In der Router-Oberfläche unter „Firmware“, „Update“ oder „System“ finden Sie die Update-Funktion – entweder automatisch oder manuell über die Hersteller-Website.

Laden Sie Firmware ausschließlich von der offiziellen Hersteller-Website herunter. Drittquellen können manipulierte Firmware enthalten. Nach einem Update empfiehlt sich ein Neustart des Routers.

Sollte ich automatische Firmware-Updates aktivieren?

Für die meisten Heimanwender: Ja. Automatische Updates schließen Sicherheitslücken ohne manuellen Aufwand.

Der einzige relevante Nachteil: Ein Update kann selten zu Kompatibilitätsproblemen führen. Für professionelle Setups mit spezifischen Konfigurationen empfiehlt sich vorheriges Testen. Im Heimbereich überwiegen die Vorteile klar.

Welche WLAN-Verschlüsselung ist die sicherste?

WPA3 ist aktuell der stärkste Standard. WPA2-AES ist als Fallback noch sicher, wenn WPA3 nicht verfügbar ist.

Wie stelle ich WPA3 auf meinem Router ein?

In den WLAN-Einstellungen des Routers unter „Sicherheit“ oder „Wireless Security“ den Modus auf WPA3-Personal oder WPA2/WPA3-Übergangsmodus setzen.

Der Übergangsmodus (Mixed Mode) erlaubt gleichzeitig WPA2- und WPA3-Geräte. Das ist für Haushalte mit älteren Endgeräten sinnvoll. Rein WPA3 sollte nur aktiviert werden, wenn alle Geräte im Netzwerk den Standard unterstützen.

Was mache ich, wenn mein Router nur WPA2 unterstützt?

WPA2-AES ist noch sicher – aber prüfen Sie, ob ein Firmware-Update WPA3 nachträglich aktiviert, und erwägen Sie mittelfristig einen Router-Wechsel.

WPA2 mit einem starken Passwort bietet im Heimbereich noch ausreichenden Schutz. Kritischer als der Verschlüsselungsstandard ist oft das Passwort selbst. Ein schwaches WPA2-Passwort ist angreifbarer als ein starkes WPA2-Passwort – das klingt trivial, wird aber häufig übersehen.

Sollte ich meinen WLAN-Netzwerknamen (SSID) ändern?

Ja. Der Standard-SSID verrät Hersteller und Modell – das erleichtert gezielten Angriff. Ein neutraler Name ohne persönliche Daten ist besser.

Namen wie „FRITZ!Box 7590″ oder „TP-Link_4A2F“ signalisieren dem Angreifer sofort, welches Gerät er vor sich hat – und welche bekannten Schwachstellen er testen sollte. Ein neutraler Name ohne Wohnort, Namen oder Wohnungsnummer ist die richtige Wahl.

Ist es sicherer, die SSID zu verbergen?

Nein – das ist Security through Obscurity. Es hält nur unerfahrene Nutzer ab, nicht Angreifer.

Versteckte SSIDs sind mit einfachen Tools wie Wireshark oder Kali Linux innerhalb von Sekunden sichtbar zu machen. Schlimmer noch: Geräte, die sich mit einem versteckten Netzwerk verbinden, senden die SSID aktiv aus – was neue Risiken erzeugt. Der Aufwand lohnt nicht.

Was ist MAC-Adressfilterung – und sollte ich sie aktivieren?

MAC-Filterung erlaubt nur bekannte Geräte ins Netzwerk. Sie ist kein verlässlicher Schutz, da MAC-Adressen trivial gefälscht werden können.

MAC-Spoofing ist mit jedem modernen Betriebssystem in wenigen Sekunden möglich. Ein Angreifer, der ohnehin den WLAN-Verkehr beobachtet, sieht die erlaubten MAC-Adressen und kopiert sie einfach. Als einzige Schutzmaßnahme ist die MAC-Filterung wertlos – als ergänzende Schicht in einem Mehrschichten-Schutzkonzept hat sie marginalen Wert.

Was ist WPS und sollte ich es deaktivieren?

WPS (Wi-Fi Protected Setup) vereinfacht die Geräteverbindung, hat aber kritische Sicherheitslücken – es sollte deaktiviert werden.

Die PIN-basierte WPS-Methode ist anfällig für Brute-Force-Angriffe, da die 8-stellige PIN effektiv in zwei 4-stellige Hälften aufgeteilt wird – das reduziert die Angriffsfläche auf maximal 11.000 Versuche. Viele ältere Router können dadurch in Minuten kompromittiert werden. Die Deaktivierung findet sich in der Router-Oberfläche unter WLAN-Einstellungen.

Was ist UPnP und welche Risiken bestehen?

UPnP öffnet automatisch Ports für Netzwerkgeräte – ohne Bestätigung durch den Nutzer. Das ist praktisch, aber sicherheitstechnisch riskant.

Schadsoftware kann UPnP nutzen, um Ports zu öffnen und Verbindungen nach außen herzustellen, ohne dass der Nutzer etwas davon bemerkt. Spielekonsolen und Smart-TVs nutzen UPnP gerne – für Sicherheitsbewusste ist die manuelle Port-Konfiguration die bessere Alternative. UPnP deaktivieren, wenn keine spezifische Anwendung darauf angewiesen ist.

Sollte ich den Remote-Zugriff auf meinen Router deaktivieren?

Ja, in fast allen Heimszenarien unbedingt. Remote-Zugriff eröffnet einen direkten Angriffsvektor aus dem Internet.

Fernzugriff auf die Router-Verwaltung ist ein Service, den die meisten Privatanwender nie brauchen – aber der aktiv ausgenutzt wird. Die Deaktivierung findet sich meist unter „Fernwartung“, „Remote Management“ oder „WAN-Zugriff“. Wenn Fernzugriff wirklich benötigt wird, dann ausschließlich über VPN absichern.

Was ist Port-Forwarding – und ist es gefährlich?

Port-Forwarding leitet Internetanfragen an ein bestimmtes Gerät im Heimnetz weiter. Falsch konfiguriert, öffnet es direkte Einfallstore.

Wer einen Heimserver, eine Überwachungskamera oder eine Spielekonsole von außen erreichbar machen will, nutzt Port-Forwarding. Das Problem: Jeder geöffnete Port ist potenziell angreifbar. Ports sollten nur für bekannte, notwendige Dienste geöffnet werden – mit starken Passwörtern auf den Zielgeräten.

Was ist eine Router-Firewall – und reicht sie aus?

Die integrierte Firewall blockt unerwünschten eingehenden Datenverkehr. Sie ist ein notwendiger Grundschutz, aber keine vollständige Sicherheitslösung.

Moderne Heimrouter bringen eine Stateful Packet Inspection (SPI) Firewall mit, die ausreicht, um einfache Angriffe abzuwehren. Sie erkennt jedoch keine Malware auf Endgeräten oder ausgehende Verbindungen von bereits infizierten Geräten. Für den Heimbereich bietet sie trotzdem soliden Basisschutz – vorausgesetzt, sie ist aktiv.

Welche DNS-Einstellungen sind sicherer?

Statt Provider-DNS empfehlen sich Cloudflare (1.1.1.1), Google (8.8.8.8) oder Quad9 (9.9.9.9) – letzterer mit aktivem Malware-Blocking.

DNS-Hijacking manipuliert die DNS-Auflösung im Router, um Nutzer auf gefälschte Seiten umzuleiten. Wer sichere, externe DNS-Server verwendet und die Router-Zugangsdaten ändert, reduziert dieses Risiko erheblich. Quad9 filtert dabei bekannte Malware-Domains aktiv – ein unterschätzter Sicherheitsgewinn ohne Mehraufwand.

Was ist ein Gastnetzwerk – und warum ist es sinnvoll?

Ein Gastnetzwerk isoliert Besucher und unsichere Geräte vom Hauptnetzwerk – ein einfaches, aber wirkungsvolles Sicherheitsprinzip.

Wer Besucher ins WLAN lässt, gibt ihnen Zugang zum Netzwerk. Mit einem Gastnetzwerk können diese das Internet nutzen, haben aber keinen Zugriff auf NAS, Heimserver oder andere Geräte im Hauptnetz. Dasselbe gilt für Smart-Home-Geräte: Sie sind oft schlecht gesichert – ein eigenes VLAN oder Gastnetzwerk begrenzt den potenziellen Schaden bei einer Kompromittierung.

Was ist ein VPN am Router – und brauche ich das?

Ein Router-VPN schützt den gesamten Netzwerkdatenverkehr ohne Konfiguration auf jedem Einzelgerät. Sinnvoll für datenschutzbewusste Nutzer.

Router wie FRITZ!Box oder Asus-Modelle unterstützen VPN-Verbindungen nativ. Wer einen VPN-Dienst nutzt, kann ihn direkt auf dem Router einrichten – dann profitieren alle angeschlossenen Geräte automatisch. Das erhöht Privatsphäre und schützt vor bestimmten Angriffsformen, ersetzt aber nicht die übrigen Sicherheitsmaßnahmen.

Wie erkenne ich, ob jemand unbefugt in meinem WLAN ist?

Prüfen Sie die Liste verbundener Geräte in der Router-Oberfläche. Tools wie Fing oder Angry IP Scanner zeigen alle aktiven Netzwerkteilnehmer.

Unbekannte Geräte in der Geräteliste sind das sicherste Indiz. Auffällig sind auch unerklärlich langsame Verbindungen oder ungewöhnlicher Datenverkehr in den Router-Logs. Im Verdachtsfall: WLAN-Passwort sofort ändern und alle Geräte neu verbinden.

Was mache ich, wenn ich ein unbekanntes Gerät im Netzwerk finde?

Gerät im Router-Interface blockieren, WLAN-Passwort ändern, Logs prüfen und Router auf Werkseinstellungen zurücksetzen, wenn der Verdacht auf einen Hack besteht.

Zunächst identifizieren: Könnte es ein vergessenes Gerät sein? Smart-TVs, alte Tablets oder IoT-Geräte sind häufige Kandidaten. Lässt sich das Gerät nicht zuordnen, sollte das Passwort sofort geändert werden. Bei konkretem Verdacht auf Kompromittierung ist ein vollständiger Reset der einzig sichere Weg.

Wie oft sollte ich mein WLAN-Passwort ändern?

Es gibt keinen fixen Rhythmus. Ein starkes Passwort muss nicht regelmäßig geändert werden – aber nach jedem Sicherheitsvorfall oder unbekanntem Gerät im Netz sofort.

Wie erkenne ich, ob mein Router gehackt wurde?

Anzeichen: veränderte DNS-Einstellungen, unbekannte Portfreigaben, unerwartete Geräteanmeldungen, geänderte Admin-Zugangsdaten oder unerklärlich hoher Datenverkehr.

Regelmäßiger Blick in die Router-Logs und DNS-Einstellungen ist die einfachste Präventionsmaßnahme. Veränderte DNS-Server sind ein klassisches Zeichen für DNS-Hijacking. Wer seine Basiskonfiguration kennt, erkennt Veränderungen schnell.

Was sind die wichtigsten Router-Sicherheitseinstellungen auf einen Blick?

Diese sieben Maßnahmen decken die kritischsten Angriffsvektoren ab und sollten nach jedem Router-Kauf sofort umgesetzt werden.

a) Admin-Passwort und ggf. Benutzernamen ändern
b) Firmware auf den aktuellen Stand bringen, automatische Updates aktivieren
c) WPA3 oder WPA2-AES als WLAN-Verschlüsselung setzen
d) WPS und UPnP deaktivieren
e) Remote-Zugriff ausschalten
f) Gastnetzwerk für Besucher und Smart-Home-Geräte einrichten
g) DNS-Server auf sichere Alternativen wie Quad9 oder Cloudflare setzen

Wie teste ich, ob mein Router wirklich sicher konfiguriert ist?

Tools wie Shields Up! (GRC), Router Checker von F-Secure oder der ShieldsUp-Port-Scan prüfen Ihren Router auf offene Ports und Schwachstellen.

Der GRC ShieldsUp-Test ist kostenlos, browserbasiert und zeigt in Sekunden, welche Ports von außen sichtbar sind. F-Secure Router Checker prüft die DNS-Konfiguration auf Manipulationen. Beide Tests sollten nach jeder größeren Konfigurationsänderung durchgeführt werden.