Router-Sicherheits-Checkliste für 2026

Sie haben gerade einen neuen Router ausgepackt, oder wieder eine Schlagzeile über ein Botnetz aus lauter Heimroutern gelesen, und es ist Ihnen aufgefallen: Sie haben das Admin-Panel Ihres Routers noch nie geöffnet, seit der ISP-Techniker gegangen ist. Mir ging es die ersten zwei Jahre genauso.

TL;DR

Ändern Sie zuerst das Standard-Admin-Passwort — das dauert 90 Sekunden und blockiert den mit Abstand häufigsten Angriff auf Heimrouter.
Firmware aktualisieren, dann eine wiederkehrende Erinnerung setzen — die meisten Router werden nach dem ersten Tag nie wieder gepatcht.
Nutzen Sie WPA3, falls Ihr Router es unterstützt; sonst WPA2-AES. Niemals WPA2-TKIP.
Deaktivieren Sie WPS und UPnP. Beide tauschen ein wenig Komfort gegen eine große Angriffsfläche.
Verschieben Sie IoT-Geräte (Smart-Steckdosen, Kameras, der Fernseher) in ein separates Gäste-Netzwerk oder VLAN, nicht ins Hauptnetzwerk.

KEY-STAT: 89% — Anteil der Router-Besitzer, die die Firmware ihres Routers noch nie aktualisiert haben, laut einer IBM/Instana-Umfrage von Anfang 2025 — der Hauptgrund, warum Botnetze immer wieder leichte Ziele finden.

Warum Ihr Router das eine Gerät ist, das niemand prüft

Jedes andere Gerät in Ihrem Netzwerk bekommt etwas Aufmerksamkeit. Sie patchen Ihren Laptop, aktualisieren Ihr Smartphone, betreiben vielleicht sogar einen Virenscanner. Der Router steht in der Ecke, blinkt, erledigt den wichtigsten Job überhaupt — entscheidet, was in Ihr Heimnetzwerk hinein- und herausgeht — und fast niemand meldet sich nach dem Einrichtungstag noch einmal dort an.

Genau deshalb ist er das Ziel. Ein kompromittierter Router muss sich nicht erst in Ihren Laptop hacken; er sitzt einfach zwischen Ihrem Laptop und dem Internet und liest oder leitet alles um, was durchläuft. Es ist das Gerät mit der höchsten Hebelwirkung in Ihrem Zuhause — und das am wenigsten geprüfte.

Ich betreibe zu Hause ein Proxmox-Homelab, was bedeutet, dass ich tatsächlich darüber nachdenken muss, was ins Internet exponiert ist — nicht theoretisch, sondern weil eine falsch konfigurierte Router-Einstellung einen Dienst offenlegen kann, den ich nie veröffentlichen wollte. Im Folgenden der exakte Durchgang, den ich an meinem eigenen Router gemacht habe (einer FRITZ!Box 7590, in deutschen Haushalten weit verbreitet), Bildschirm für Bildschirm, mit der Begründung für jede Änderung — nicht nur eine Liste von Einstellungen zum Umlegen.

Schritt 1: Standard-Zugangsdaten ändern

Das ist der Schritt, den jede Checkliste zuerst nennt, und das zu Recht. Router werden mit einem werksseitigen Admin-Login ausgeliefert — oft buchstäblich admin / admin oder admin / password — und internetweite Scanner testen genau diese Kombinationen kontinuierlich gegen jede erreichbare IP-Adresse, unabhängig davon, ob Sie je individuell ins Visier genommen wurden.

Als ich meinen aktuellen Router eingerichtet habe, war das der erste Bildschirm: System → FRITZ!Box-Benutzer → Ihr Benutzername. Ich habe ein individuelles Passwort mit mindestens 16 Zeichen gesetzt, generiert von einem Passwort-Manager statt aus dem Kopf getippt — das Admin-Panel ist nicht etwas, in das Sie sich oft genug einloggen, um ein einprägsames, aber schwaches Passwort zu rechtfertigen.

Warning

Falls Sie das noch nie geändert haben, tun Sie es, bevor Sie den Rest dieses Artikels lesen. Es ist die Änderung mit der höchsten Wirkung auf dieser Liste und dauert unter zwei Minuten.

Schritt 2: Firmware aktualisieren — und dranbleiben

Veraltete Firmware ist eine der am häufigsten ausgenutzten Schwachstellen bei Heimroutern, gerade weil die meisten Menschen sie einmal aktualisieren, am Einrichtungstag, und danach nie wieder. Hersteller patchen echte Schwachstellen in regelmäßigem Rhythmus; diese Patches nützen nichts, wenn sie zwei Jahre lang nicht heruntergeladen werden.

Bei meinem Router liegt das unter System → Update → FRITZ!OS. Die meisten Consumer-Router haben einen vergleichbaren Bildschirm, und die meisten auch einen Schalter für "automatische Updates" — aktivieren Sie ihn. Falls Ihrer keine automatischen Updates unterstützt, ist die Lösung kein einmaliger Besuch dieses Artikels; es ist eine wiederkehrende Kalendererinnerung, denn ein Router, der nie wieder geprüft wird, ist funktional dasselbe wie ein Router, der nie aktualisiert wird.

Note

Router-Hersteller sind uneinheitlich darin, wie lange sie ein Modell weiter patchen — meist irgendwo zwischen 3 und 7 Jahren ab Release. Ist Ihr Router jenseits dieses Fensters und erhält keine Updates mehr, hilft das Härten der folgenden Einstellungen weiterhin, ist aber ein echtes Argument für einen Hardware-Austausch.

Schritt 3: Auf WPA3 umstellen — oder WPA2-AES, falls nicht unterstützt

Bei der WLAN-Verschlüsselung haben sich die größten Sprünge in der realen Sicherheit im letzten Jahrzehnt ereignet, und hier kursiert auch am meisten veralteter Rat.

Standard	Status	Reale Gefährdung
WPA2-TKIP	Veraltet	Bekannte kryptografische Schwächen; mit gängigen Tools knackbar
WPA2-AES (CCMP)	Akzeptabel	Kein praktischer Bruch; weiterhin der Fallback, falls WPA3 nicht verfügbar
WPA3	Empfohlen	Individualisierte Verschlüsselung pro Sitzung (SAE), resistent gegen Offline-Wörterbuchangriffe

Unterstützen Ihr Router und jedes Gerät, das Sie besitzen, WPA3, nutzen Sie es — zu finden auf dem WLAN-Sicherheitsbildschirm, meist beschriftet mit WLAN → Sicherheit oder ähnlich. Spricht auch nur ein älteres Gerät in Ihrem Netzwerk nur WPA2, bieten die meisten Router einen WPA2/WPA3-Übergangsmodus, statt Sie zu einer Entscheidung zu zwingen. Wählen Sie aus Bequemlichkeit niemals WPA2-TKIP oder eine "offene" Option.

Schritt 4: WPS und UPnP deaktivieren

Diese beiden Funktionen existieren rein aus Bequemlichkeitsgründen, und beide erweitern, was ein Angreifer in Ihrem Netzwerk — oder in Funkreichweite — anrichten kann.

WPS (Wi-Fi Protected Setup) lässt Sie ein Gerät per Knopfdruck oder achtstelliger PIN verbinden, statt Ihr volles WLAN-Passwort einzugeben. Das Problem: Die PIN wird in zwei Hälften verifiziert, was den effektiven Suchraum so weit verkleinert, dass sie auf günstiger Hardware in wenigen Stunden per Brute-Force geknackt werden kann — unabhängig davon, wie stark Ihr eigentliches WLAN-Passwort ist.

UPnP (Universal Plug and Play) lässt Geräte in Ihrem Netzwerk automatisch Ports an Ihrem Router öffnen, ohne Sie zu fragen. Das ist praktisch für Spielekonsolen und manche Smart-Home-Hubs. Es ist aber auch die Methode, mit der Malware auf einem kompromittierten Gerät still ein Loch durch Ihre Firewall stoßen kann, ohne dass Sie je eine Aufforderung sehen.

Warning

WPS ist die eine Einstellung auf dieser Liste, von der die meisten Menschen noch nie gehört haben, und sie ist diejenige, die ein starkes WLAN-Passwort vollständig zunichtemacht. Deaktivieren Sie es unter WLAN → Sicherheit → WPS oder dem Äquivalent an Ihrem Router.

Schritt 5: Fernzugriff von der WAN-Seite deaktivieren

Manche Router erlauben den Login ins Admin-Panel von außerhalb Ihres Heimnetzwerks — nützlich, wenn Sie den Router eines Verwandten aus der Ferne verwalten, für fast alle anderen nutzlos und riskant. Ein vom Internet aus erreichbares Admin-Panel ist ein Ziel für automatisierte Scanner, sobald es aktiviert ist, unabhängig davon, ob Sie das Standardpasswort geändert haben.

Prüfen Sie Internet → Zugriffsberechtigung (oder das Äquivalent Ihres Routers) und stellen Sie sicher, dass der Fernzugriff/WAN-seitige Zugriff deaktiviert ist, es sei denn, Sie haben einen konkreten, dauerhaften Grund dafür.

Schritt 6: IoT-Geräte in ein separates Netzwerk verschieben

Ihr Laptop und Ihre Smart-Steckdose müssen sich nicht gegenseitig sehen können. Die meisten Consumer-IoT-Geräte — Kameras, Steckdosen, der Fernseher, der Saugroboter — haben eine schlechtere Sicherheitsbilanz als Ihre primären Geräte, und ist eines erst kompromittiert, kann es bei gemeinsamer Netzwerkzugehörigkeit direkt Ihren Laptop, Ihr NAS und Ihr Homelab ausspähen.

Die Lösung ist Netzwerksegmentierung: ein Gästenetzwerk für nicht vertrauenswürdige Geräte, oder ein echter VLAN-Split, falls Router und Switches das unterstützen. In meinem Setup sieht der Split so aus:

VLAN 1 (Vertrauenswürdig): Laptop, Smartphone, Homelab-Management-Interface
VLAN 2 (Gast/IoT):          Smart-TV, Smart-Steckdosen, Saugroboter, jedes Gerät,
                             dessen Firmware Sie nicht selbst konfiguriert haben

Die meisten Consumer-Router bieten eine Basisversion davon als "Gästenetzwerk"-Schalter an — aktivieren Sie ihn, verschieben Sie alles, dem Sie nicht vollständig vertrauen, dorthin, und halten Sie es getrennt vom Netzwerk, das Ihr Laptop für WireGuard zurück in Ihr Homelab nutzt.

Schritt 7: SSID umbenennen — ohne sich zu identifizieren

Sind die obigen Einstellungen erledigt, ist die Umbenennung Ihres WLAN-Netzwerks ein kleiner Schritt, aber kostenlos. Vermeiden Sie Namen mit Nachnamen, Wohnungsnummer oder Marke und Modell des Routers — insbesondere der Modellname kann einem Angreifer genau verraten, welche bekannten Schwachstellen er ausprobieren sollte.

Die Einstellung, die die meisten Checklisten überspringen: DNS

Die meisten Router-Härtungs-Checklisten hören bei den obigen Einstellungen auf. Eine Sache übersehen sie durchweg: was Ihr Router standardmäßig mit DNS macht. Sofern Sie es nicht geändert haben, sendet jedes Gerät in Ihrem Netzwerk jede Domain, die Sie besuchen — standardmäßig im Klartext — an den DNS-Resolver, den Ihr ISP zugewiesen hat. Verschlüsseltes DNS ändert, was dieser Traffic preisgibt, für jeden, der zwischen Ihnen und dem Resolver sitzt, auch später im öffentlichen WLAN. Es ist eine Fünf-Minuten-Änderung auf dem WAN/DNS-Einstellungsbildschirm des Routers, und diese Checkliste wäre ohne sie unvollständig.

Router-Härtungs-Checkliste (zum Kopieren)

Standard-Admin-Benutzername/-Passwort ändern.
Firmware aktualisieren; automatische Updates aktivieren, falls verfügbar.
WLAN-Sicherheit auf WPA3 stellen (oder WPA2-AES, falls WPA3 nicht unterstützt wird).
WPS deaktivieren.
UPnP deaktivieren.
Fernzugriff/WAN-seitigen Admin-Zugriff deaktivieren.
IoT-Geräte in ein Gästenetzwerk oder VLAN verschieben.
SSID auf etwas Nicht-Identifizierendes umbenennen.
DNS-Resolver auf eine verschlüsselte Option statt des ISP-Standards umstellen.

Der gesamte Vorgang dauert bei den meisten Consumer-Routern 20–30 Minuten und bringt Sie deutlich vor die Mehrheit der Heimnetzwerke, an denen seit der Installation noch nie eine einzige Einstellung angefasst wurde.

Häufig gestellte Fragen

Ist es wirklich notwendig, das Standard-Router-Passwort zu ändern?

Ja — es ist der mit Abstand wichtigste Schritt auf dieser Liste. Automatisierte Internet-Scanner testen Standard-Admin-Zugangsdaten kontinuierlich gegen jede erreichbare IP-Adresse, nicht nur gegen Router, die jemand gezielt ins Visier genommen hat.

Brauche ich WPA3, oder reicht WPA2 noch?

WPA2-AES (nicht TKIP) ist weiterhin akzeptabel, falls Ihre Hardware kein WPA3 unterstützt. WPA3 ist die bessere Wahl, wenn verfügbar, da es Offline-Wörterbuchangriffe abwehrt, wo WPA2 das nicht kann — aber ein starkes WPA2-AES-Passwort ist weit besser als ein ungepatchtes WPA3-Setup mit schwachen Zugangsdaten an anderer Stelle.

Sollte ich UPnP auf meinem Router deaktivieren?

Für die meisten Heimanwender: ja. UPnP lässt jedes Gerät in Ihrem Netzwerk automatisch Ports öffnen, was für manche Spielekonsolen praktisch ist, aber auch Malware auf einem kompromittierten Gerät einen Weg gibt, unbemerkt durch Ihre Firewall zu stoßen.

Wie oft sollte ich nach Router-Firmware-Updates suchen?

Aktivieren Sie automatische Updates, falls Ihr Router das unterstützt. Falls nicht, setzen Sie eine wiederkehrende Erinnerung — mindestens alle paar Monate —, da die meisten Router nach der Ersteinrichtung nie wieder geprüft werden.

Alle Angaben ohne Gewähr. Dieser Beitrag dient allgemeinen Informationszwecken und ersetzt keine individuelle technische Beratung.