Wird Ihr Gerät trotz korrektem WLAN-Passwort abgewiesen, blockiert meist der MAC-Filter im Router den Zugriff. Ermitteln Sie die tatsächlich gesendete MAC-Adresse des Clients, deaktivieren Sie die zufällige MAC-Adresse für dieses SSID und tragen Sie den Wert exakt in die Whitelist ein.
Symptome
- Verbindungsaufbau bricht sofort nach der WLAN-Anmeldung ab, obwohl das Passwort stimmt.
- Router-Log meldet „Association denied – MAC not allowed" oder ähnlich.
- Neues Smartphone oder Notebook erhält keine IP-Adresse per DHCP.
- Ein Gerät verbindet sich mal, dann wieder nicht, ohne erkennbaren Grund.
- Nur Gastgeräte sind betroffen, alle bekannten Geräte funktionieren normal.
Häufige Ursachen
Gerät fehlt in der Whitelist
Der Router lässt nur explizit eingetragene MAC-Adressen zu. Neue oder ausgetauschte Geräte werden ohne Eintrag konsequent abgewiesen.
Zufällige (private) MAC-Adresse
iOS, Android 10+, Windows 10/11 senden pro SSID eine randomisierte MAC. Der in der Whitelist gepflegte Wert stimmt dann nicht mehr mit der aktuell gesendeten Adresse überein.
Tippfehler oder falsches Trennzeichen
Router erwarten oft ein bestimmtes Format (AA:BB:CC:DD:EE:FF oder AA-BB-CC-DD-EE-FF). Ein vertauschtes Zeichen oder eine falsche Zeichenlänge macht den Eintrag wirkungslos.
Falsches Interface gefiltert
Bei Dualband-Routern gelten Whitelist-Regeln teils getrennt für 2,4 GHz und 5 GHz oder pro SSID. Ein Client, der sich ins falsche Band einbucht, erscheint als nicht autorisiert.
Blacklist- statt Whitelist-Modus
Wird der Filtermodus versehentlich auf „Deny" für alle Einträge gesetzt, sperrt der Router genau die Geräte, die eigentlich erlaubt sein sollten.
Schritt-für-Schritt-Lösung
- MAC-Filter im Router-Adminbereich lokalisieren
Melden Sie sich am Router an (typisch 192.168.0.1 oder 192.168.178.1) und öffnen Sie den Bereich WLAN oder Sicherheit. Bei FRITZ!Box heißt die Option „WLAN-Zugang auf bekannte Geräte beschränken", bei TP-Link „Wireless MAC Filtering". Prüfen Sie, ob die Funktion aktiv ist und welcher Modus (Allow/Deny) gesetzt ist. - Tatsächliche MAC-Adresse des Clients auslesen
Verlassen Sie sich nicht auf Aufkleber. Unter Windows: `ipconfig /all` und die Zeile „Physische Adresse" des WLAN-Adapters lesen. Unter macOS: Systemeinstellungen › Netzwerk › WLAN › Details › Hardware. Unter Android: Einstellungen › Über das Telefon › Status. Bei iOS: Einstellungen › WLAN › (i) neben dem Netz. - Zufällige MAC-Adresse für dieses Netz deaktivieren
Aktivieren viele Geräte pro SSID eine private MAC. Unter iOS: WLAN › (i) › „Private WLAN-Adresse" ausschalten. Unter Android: WLAN › Netz gedrückt halten › Erweitert › MAC-Adresstyp auf „Geräte-MAC". Unter Windows 11: Einstellungen › Netzwerk › WLAN › Netzwerkeigenschaften › „Zufällige Hardwareadressen" deaktivieren. - MAC-Adresse korrekt in die Whitelist eintragen
Kopieren Sie die Adresse exakt und beachten Sie das vom Router geforderte Trennzeichen. Vergeben Sie einen sprechenden Kommentar wie „Laptop-Marie", damit spätere Änderungen nachvollziehbar bleiben. Speichern Sie die Regel und warten Sie, bis der Router die Konfiguration übernommen hat. - Regelbereich und Band prüfen
Ist der Filter pro SSID oder pro Frequenzband definiert, tragen Sie das Gerät in alle relevanten Listen ein. Prüfen Sie zusätzlich, ob eine übergeordnete Kindersicherung, Zeitplan- oder Zugriffsregel den Client trotz Whitelist erneut blockiert. - Client neu verbinden und Router-Log kontrollieren
Trennen Sie das WLAN am Gerät vollständig („Dieses Netzwerk ignorieren") und verbinden Sie es neu. Öffnen Sie im Router das System- oder WLAN-Protokoll und prüfen Sie den letzten Verbindungsversuch. Ein Eintrag „associated" bestätigt den Erfolg, „denied" verweist auf eine noch abweichende MAC. - Fallback: MAC-Filterung deaktivieren und WPA3 nutzen
MAC-Filterung ist keine echte Sicherheitsmaßnahme, weil Adressen fälschbar sind. Wenn der Aufwand den Nutzen übersteigt, schalten Sie den Filter ab und setzen stattdessen auf WPA2/WPA3 mit einem starken Passwort und ein separates Gastnetz für unbekannte Geräte.
Häufige Symptome, wahrscheinliche Ursache und passende Maßnahme
| Symptom | Wahrscheinliche Ursache | Erste Maßnahme |
|---|---|---|
| Verbindung wird sofort getrennt | Gerät nicht in Whitelist | MAC ermitteln und eintragen |
| Adresse ändert sich bei jedem Verbindungsversuch | Private/randomisierte MAC aktiv | Zufalls-MAC pro SSID deaktivieren |
| Eintrag vorhanden, trotzdem kein Zugriff | Falsches Format oder Tippfehler | Trennzeichen und Zeichenlänge prüfen |
| Nur 5-GHz-Gerät blockiert | Filter greift pro Band | Regel für beide Bänder anlegen |
| Alle Geräte betroffen | Modus steht auf „Deny all" | Filtermodus auf „Allow list" umstellen |
| Log meldet „Association denied" | MAC nicht autorisiert | Log-Eintrag mit Whitelist abgleichen |
So beugen Sie vor
- Pflegen Sie eine Liste aller autorisierten Geräte mit Besitzer, MAC und Datum außerhalb des Routers.
- Deaktivieren Sie zufällige MAC-Adressen konsequent nur im eigenen, vertrauenswürdigen WLAN.
- Nutzen Sie ein separates Gastnetz ohne MAC-Filter für Besucher und IoT-Geräte.
- Prüfen Sie nach Firmware-Updates, ob die Filterregeln unverändert übernommen wurden.
Häufige Fragen
Warum ändert sich die MAC-Adresse meines Smartphones ständig?
Aktuelle iOS- und Android-Versionen erzeugen pro SSID eine zufällige MAC, um Tracking zu erschweren. Solange die private Adresse aktiv ist, weicht sie vom Wert in Ihrer Whitelist ab. Deaktivieren Sie die private WLAN-Adresse für dieses eine Netz und tragen Sie anschließend die dann angezeigte Hardware-MAC ein.
Ist MAC-Filterung überhaupt eine sinnvolle Sicherheitsmaßnahme?
MAC-Filterung erschwert nur den Gelegenheitsanschluss. Ein Angreifer kann eine zulässige MAC-Adresse mitschneiden und fälschen (Spoofing), sobald er in Reichweite ist. Setzen Sie den Filter höchstens als zusätzliche Hürde ein. Der eigentliche Schutz ist ein starkes WPA2- oder WPA3-Passwort und ein getrenntes Gastnetz.
Kann ich mehrere Geräte gleichzeitig zur Whitelist hinzufügen?
Viele Router bieten in der Liste der verbundenen Clients eine Schaltfläche „Zur erlaubten Liste hinzufügen". Das ist deutlich weniger fehleranfällig als das manuelle Abtippen. Bei Business-Geräten (z. B. UniFi, MikroTik) lassen sich Whitelists per CSV oder API pflegen, was bei größeren Beständen den Aufwand spürbar senkt.
Sie brauchen Unterstützung beim WLAN-Zugriff im Unternehmen? Vereinbaren Sie ein Beratungsgespräch mit unserem Netzwerk-Team.