Um unerlaubten Netzwerkzugang zu blockieren, melden Sie sich am Router an, prüfen Sie die Liste verbundener Geräte auf fremde MAC-Adressen, ändern Sie sofort das WLAN-Passwort auf WPA2/WPA3-AES, deaktivieren Sie WPS und aktivieren Sie MAC-Filterung. Anschließend Firmware aktualisieren und ein separates Gäste-WLAN einrichten.
Symptome
- Unbekannte Geräte oder MAC-Adressen tauchen in der DHCP-Client-Liste des Routers auf.
- Deutlicher Bandbreiteneinbruch, obwohl kein eigener Download oder Streaming läuft.
- Router-LED für WLAN blinkt dauerhaft, auch wenn alle eigenen Geräte ausgeschaltet sind.
- Smart-Home-Geräte reagieren verzögert, verlieren die Verbindung oder werden unerwartet neu gestartet.
- Warnmeldungen des Routers über fehlgeschlagene Anmeldeversuche oder geänderte Konfiguration.
Häufige Ursachen
Schwaches oder wiederverwendetes WLAN-Passwort
Kurze Passwörter oder solche aus geleakten Datenbanken lassen sich per Wörterbuchangriff in Stunden knacken. Besonders kritisch bei WPA2-PSK ohne SAE.
Aktiviertes WPS mit PIN-Verfahren
Die achtstellige WPS-PIN ist konstruktionsbedingt in zwei 4-stellige Hälften teilbar und per Pixie-Dust-Angriff oft innerhalb von Minuten überwindbar.
Veraltete Router-Firmware
Bekannte Schwachstellen in älteren Firmware-Ständen ermöglichen Remote-Zugriff auf das Admin-Panel, teils sogar ohne gültige Zugangsdaten.
Offenes oder falsch konfiguriertes Gäste-WLAN
Ein Gäste-Netz ohne Passwort oder ohne Isolation zum Hauptnetz gibt Fremden nicht nur Internet, sondern oft auch Zugriff auf interne Ressourcen wie NAS oder Drucker.
Standard-Zugangsdaten am Router
Kombinationen wie admin/admin oder auf dem Gerätelabel aufgedruckte Standardpasswörter sind in öffentlichen Datenbanken gelistet und werden gezielt gescannt.
Schritt-für-Schritt-Lösung
- Verbundene Geräte im Router-Panel prüfen und dokumentieren
Öffnen Sie im Browser die Router-Adresse (typisch 192.168.1.1, 192.168.0.1 oder fritz.box) und melden Sie sich als Administrator an. Rufen Sie den Bereich für DHCP-Clients oder verbundene Geräte auf. Notieren Sie zu jeder MAC-Adresse Hersteller und Hostname. Bekannte Geräte abhaken, unbekannte separat listen. - WLAN-Passwort und Verschlüsselung sofort erneuern
Wechseln Sie unter WLAN-Sicherheit auf WPA3-Personal oder, falls ältere Clients bestehen, auf den Mischmodus WPA2/WPA3 mit AES. TKIP komplett abschalten. Vergeben Sie ein Passwort mit mindestens 16 zufälligen Zeichen aus Groß-, Kleinbuchstaben, Ziffern und Sonderzeichen und speichern Sie es in einem Passwortmanager. - WPS deaktivieren und Admin-Zugang absichern
Schalten Sie WPS in allen Varianten (PIN, Push-Button, PBC) explizit aus. Ändern Sie zusätzlich das Router-Administratorpasswort weg vom Werkswert. Deaktivieren Sie, sofern nicht benötigt, den Fernzugriff (Remote Management, HTTPS über WAN) und beschränken Sie das Admin-Interface auf das LAN-Segment. - MAC-Filterung als zusätzliche Hürde aktivieren
Legen Sie unter Zugriffskontrolle eine Whitelist Ihrer bekannten Geräte an oder setzen Sie unbekannte MAC-Adressen auf die Blacklist. MAC-Filter ersetzen keine Verschlüsselung, da MACs gefälscht werden können, erhöhen aber den Angriffsaufwand und dokumentieren erlaubte Endgeräte sauber. - Router-Firmware und Client-Systeme aktualisieren
Prüfen Sie im Router-Menü unter System oder Wartung auf Firmware-Updates und installieren Sie diese. Aktivieren Sie automatische Updates, falls verfügbar. Bringen Sie parallel Betriebssystem-, Treiber- und Firmware-Stände Ihrer Endgeräte auf den aktuellen Patchlevel, damit über Clients keine Hintertür entsteht. - Netzwerk segmentieren: Gäste-WLAN und IoT trennen
Richten Sie ein isoliertes Gäste-WLAN mit eigenem SSID, eigenem Passwort und aktivierter Client-Isolation ein. Verlagern Sie Smart-Home-Geräte, Kameras und ältere IoT-Hardware in ein separates VLAN oder das Gäste-Netz. Damit erreicht ein kompromittiertes Gerät weder Arbeitsrechner noch NAS. - Protokollierung aktivieren und laufend überwachen
Schalten Sie im Router das Systemprotokoll ein und speichern Sie es idealerweise per Syslog auf einem separaten Ziel. Achten Sie auf wiederholte fehlgeschlagene Anmeldungen, unbekannte DHCP-Leases oder ungewöhnliche Portöffnungen. Prüfen Sie das Protokoll wöchentlich, um Angriffsversuche früh zu erkennen. - Endgeräte nach dem Vorfall bereinigen
Melden Sie alle bekannten Geräte mit dem neuen Passwort neu am WLAN an. Führen Sie auf Windows-, macOS- und Mobilgeräten einen aktuellen Malware-Scan durch. Ändern Sie Passwörter für kritische Dienste (E-Mail, Online-Banking, Cloud-Speicher), falls die Zugangsdaten während der fremden Nutzung übertragen wurden.
Symptom, wahrscheinliche Ursache und konkrete Gegenmaßnahme bei Verdacht auf unbefugten Netzwerkzugriff.
| Symptom | Wahrscheinliche Ursache | Maßnahme |
|---|---|---|
| Unbekannte MAC in DHCP-Liste | Fremdgerät mit gültigem WLAN-Passwort verbunden | Passwort ändern, MAC blockieren, WPS deaktivieren |
| Wiederholte fehlgeschlagene Admin-Logins | Brute-Force gegen Router-Panel | Admin-Passwort ändern, Remote Management aus, Fail2Ban-fähige Firmware nutzen |
| Bandbreite dauerhaft ausgelastet | Fremdes Streaming oder Torrent im Netz | Trafficquelle im Router identifizieren, Gerät sperren, QoS aktivieren |
| Router-Einstellungen wurden verändert | Kompromittierter Admin-Zugang | Werksreset, Firmware-Update, neue Zugangsdaten, Konfiguration aus Backup prüfen |
| Gäste sehen interne Geräte | Gäste-WLAN ohne Client-Isolation | Client-Isolation aktivieren, Gäste-Netz in eigenes VLAN legen |
| Smart-Home-Geräte werden gekapert | IoT-Gerät im Hauptnetz, veraltete Firmware | IoT in Gäste-/IoT-VLAN verschieben, Firmware aktualisieren, Werkspasswort ändern |
So beugen Sie vor
- Passwörter mindestens jährlich rotieren und in einem Passwortmanager verwalten.
- Regelmäßig, etwa monatlich, die Liste verbundener Geräte im Router kontrollieren.
- Automatische Firmware-Updates für Router und Access Points aktivieren, sofern verfügbar.
- Für Besucher grundsätzlich das getrennte Gäste-WLAN nutzen, niemals das produktive Hauptnetz.
Häufige Fragen
Wie erkenne ich zuverlässig, ob jemand mein WLAN mitbenutzt?
Verlassen Sie sich nicht auf die Bauchgefühl-Methode über die Internetgeschwindigkeit. Rufen Sie stattdessen im Router die DHCP-Client-Liste sowie die Tabelle aktiver WLAN-Verbindungen auf und vergleichen Sie jede MAC-Adresse mit Ihrer eigenen Inventarliste. Zusätzlich hilft ein Netzwerkscanner wie Fing oder Angry IP Scanner, um Geräte im Subnetz zu enumerieren und Hersteller anhand des MAC-Präfixes zu identifizieren.
Reicht MAC-Filterung als Schutz aus?
Nein. MAC-Adressen werden unverschlüsselt im WLAN übertragen und lassen sich mit wenigen Kommandos fälschen. Ein Angreifer mit Netzwerksniffer liest gültige MACs mit und übernimmt eine davon. MAC-Filterung ist sinnvoll als zusätzliche Schicht, die Grundabsicherung liefern aber ausschließlich starke WPA2- oder WPA3-Verschlüsselung, ein langes Passwort und ein deaktiviertes WPS.
Was tun, wenn der Angreifer bereits Zugriff auf das Router-Panel hatte?
Setzen Sie den Router auf Werkseinstellungen zurück, spielen Sie die aktuelle Firmware ein und konfigurieren Sie ihn von Grund auf neu, statt ein altes Backup einzuspielen. Vergeben Sie neue Zugangsdaten für Admin-Konto und WLAN, deaktivieren Sie Fernwartung und WPS. Prüfen Sie DNS-Einstellungen, Portweiterleitungen und statische Routen auf manipulierte Einträge, denn genau dort verstecken Angreifer gern Persistenz.
Lassen Sie Ihre Netzwerkkonfiguration von unserem IT-Support prüfen und absichern.