Unbefugten Netzwerkzugang blockieren Sie in drei Schritten: Melden Sie sich am Router an, identifizieren Sie fremde MAC-Adressen in der Client-Liste und setzen Sie sie auf die Blockliste. Anschließend ändern Sie das WLAN-Passwort, aktivieren WPA3 oder WPA2-AES und deaktivieren WPS. Damit ist der Zugang zuverlässig verschlossen.
Symptome
- Unbekannte Geräte oder MAC-Adressen erscheinen in der DHCP-Client-Liste des Routers.
- Die Internetgeschwindigkeit bricht zu ungewöhnlichen Zeiten ohne erkennbaren Grund ein.
- Der Datenverbrauch steigt sprunghaft, obwohl die eigenen Geräte inaktiv sind.
- Smart-Home-Geräte reagieren träge, verlieren die Verbindung oder starten neu.
- Router-LEDs blinken auch nachts durchgehend im Datenverkehrsrhythmus.
Häufige Ursachen
Schwaches oder wiederverwendetes WLAN-Passwort
Kurze Passphrasen oder Standardkennwörter lassen sich per Wörterbuchangriff knacken. Häufig ist das Werkspasswort noch aktiv oder wurde auf mehreren Diensten wiederverwendet.
Aktiviertes WPS mit PIN-Verfahren
Die achtstellige WPS-PIN ist strukturell angreifbar und lässt sich in wenigen Stunden per Brute-Force ermitteln. Viele Router liefern WPS werksseitig aktiv aus.
Veralteter Verschlüsselungsstandard
WEP und WPA-TKIP gelten als gebrochen. Wer noch mit diesen Verfahren funkt, öffnet Angreifern die Tür trotz vermeintlich starkem Passwort.
Offenes oder ungeschütztes Gäste-WLAN
Ein Gastnetz ohne Passwort oder ohne Isolation vom Hauptnetz erlaubt es Fremden, ins interne Segment vorzudringen und dort NAS, Drucker oder Kameras zu erreichen.
Nicht gepatchte Router-Firmware
Bekannte Sicherheitslücken in älterer Firmware ermöglichen Umgehung der Authentifizierung. Ohne regelmäßige Updates bleibt der Router dauerhaft angreifbar.
Schritt-für-Schritt-Lösung
- Router-Oberfläche öffnen und verbundene Clients auflisten
Rufen Sie im Browser die Router-IP auf, typischerweise 192.168.0.1, 192.168.1.1 oder fritz.box. Melden Sie sich mit Admin-Zugangsdaten an und öffnen Sie den Bereich für angeschlossene Geräte, DHCP-Clients oder WLAN-Übersicht. Notieren Sie MAC-Adresse, Hostname und Verbindungszeit jedes Eintrags. - Fremde Geräte anhand von MAC-Adresse und Hersteller identifizieren
Gleichen Sie jede MAC mit Ihren eigenen Geräten ab. Die ersten sechs Zeichen (OUI) verraten den Hersteller, prüfbar über öffentliche OUI-Datenbanken. Alles, was Sie nicht zuordnen können, gilt als verdächtig und muss isoliert werden. - Verdächtige Clients trennen und per MAC-Filter sperren
Nutzen Sie im Router die Funktion Zugriffskontrolle, MAC-Filter oder Kindersicherung, um die fremde MAC auf die Sperrliste zu setzen. Alternativ arbeiten Sie mit einer Whitelist, die ausschließlich bekannte Geräte zulässt. Speichern und WLAN-Modul neu starten. - WLAN-Passwort ändern und WPA3 oder WPA2-AES erzwingen
MAC-Filter allein reichen nicht, da Angreifer MAC-Adressen fälschen können. Vergeben Sie eine neue Passphrase mit mindestens 16 zufälligen Zeichen. Stellen Sie den Verschlüsselungsmodus auf WPA3-Personal oder mindestens WPA2-AES um und deaktivieren Sie WPA-TKIP-Kompatibilität, sofern möglich. - WPS deaktivieren und Admin-Zugang absichern
Schalten Sie WPS-Pushbutton und WPS-PIN vollständig ab. Ändern Sie zusätzlich das Admin-Passwort des Routers und deaktivieren Sie die Fernverwaltung über das Internet, falls diese nicht zwingend benötigt wird. - Firmware aktualisieren und automatische Updates einschalten
Prüfen Sie im Router-Menü auf verfügbare Firmware-Updates und installieren Sie die aktuelle Version des Herstellers. Aktivieren Sie, sofern angeboten, die automatische Update-Funktion, damit Sicherheitslücken zeitnah geschlossen werden. - Gastnetz einrichten und vom Hauptnetz isolieren
Legen Sie ein separates Gäste-WLAN mit eigener SSID und eigenem Passwort an. Aktivieren Sie die Client-Isolation, sodass Gäste weder untereinander noch auf interne Ressourcen wie NAS, Drucker oder Kameras zugreifen können. - Netzwerkprotokolle überwachen und Baseline dokumentieren
Notieren Sie sich alle legitimen MAC-Adressen und aktivieren Sie das Router-Log oder eine Monitoring-App. Prüfen Sie wöchentlich die Verbindungshistorie. Anomalien wie unbekannte Hostnamen oder Verbindungen zu untypischen Uhrzeiten lassen sich so früh erkennen.
Symptom, wahrscheinliche Ursache und passende Maßnahme im Überblick
| Symptom | Wahrscheinliche Ursache | Erste Maßnahme |
|---|---|---|
| Unbekannte MAC in Client-Liste | Fremder Client hat sich eingebucht | MAC sperren, Passwort ändern |
| Internet plötzlich langsam | Fremder Nutzer streamt oder lädt | Traffic pro Client prüfen, blockieren |
| WPS-LED blinkt ungefragt | Aktiver WPS-Angriff oder Fehlbedienung | WPS im Router deaktivieren |
| Login am Router schlägt fehl | Admin-Passwort wurde geändert | Router auf Werk zurücksetzen, neu einrichten |
| Neue SSID neben eigener sichtbar | Rogue Access Point im Umfeld | WLAN-Scan durchführen, Standort lokalisieren |
| Smart-Home-Geräte offline | IP-Konflikt oder Sperre durch Angreifer | DHCP-Leases prüfen, Geräte neu koppeln |
So beugen Sie vor
- WLAN-Passwort mindestens jährlich sowie nach jedem Gästebesuch mit vielen unbekannten Geräten wechseln.
- SSID-Namen ohne Hinweis auf Hersteller, Standort oder Familiennamen vergeben.
- Router physisch so platzieren, dass das Signal nicht unnötig weit auf die Straße strahlt.
- Nicht benötigte Dienste wie UPnP, Telnet und Fernwartung im Router deaktivieren.
Häufige Fragen
Reicht ein MAC-Filter aus, um mein WLAN zu schützen?
Nein. MAC-Adressen lassen sich mit wenigen Befehlen fälschen (MAC-Spoofing), sobald ein Angreifer eine gültige Adresse mitgeschnitten hat. Der Filter ist eine sinnvolle Ergänzung, ersetzt aber niemals eine starke WPA3- oder WPA2-AES-Verschlüsselung mit langer Passphrase und deaktiviertem WPS.
Wie erkenne ich, ob mein Router bereits kompromittiert wurde?
Warnzeichen sind geänderte DNS-Server-Einträge, unbekannte Portweiterleitungen, ein plötzlich funktionierendes oder gesperrtes Admin-Passwort sowie neue Firmware-Versionen, die Sie nicht installiert haben. Setzen Sie den Router in diesem Fall auf Werkseinstellungen zurück und richten Sie ihn mit neuen Zugangsdaten komplett neu ein.
Sollte ich die SSID meines WLANs verstecken?
Das Verstecken der SSID bringt kaum Sicherheitsgewinn, da das Netz beim ersten Client-Zugriff ohnehin sichtbar wird. Wichtiger sind eine starke Verschlüsselung, ein langes Passwort und deaktiviertes WPS. Verstecken erschwert lediglich Gelegenheitsscans, nicht aber ernsthafte Angreifer mit passenden Werkzeugen.