Router absichern 2026: Die wichtigsten Einstellungen
Der Router ist das Eingangstor ins Heimnetz - und das schwächste Glied, wenn er nicht richtig konfiguriert ist. Standardpasswort, aktiviertes WPS, veraltete Firmware und offene Ports sind die Einfallstore die Angreifer systematisch ausnutzen. Was nach jeder Router-Einrichtung sofort geändert werden muss.
Die häufigsten Sicherheitslücken
Aus eigener Erfahrung mit Kundenprojekten ist die Liste der Schwächstellen kurz und immer dieselbe: Standardpasswort nie geändert, Firmware seit Jahren nicht aktualisiert, offene Ports die niemand mehr braucht. Das ist kein Einzelfall - das ist die Regel.
Das Factsheet des Cybersicherheitszentrums Baden-Wurttemberg bestätigt: Standard-Adminpassworter und schwache WLAN-Schlüssel bleiben eine der größten Schwächstellen. Viele Router werden mit "admin/admin" oder dem aufgedruckten Default-Passwort betrieben - das ist für Angreifer der erste Versuch.
Dazu kommen veraltete Firmware mit ungepatchten Lücken, unsichere WLAN-Verschlüsselung (WEP ist seit Jahren geknackt, WPA/TKIP kaum besser), schlecht implementiertes WPS und unnoetige Dienste wie UPnP, die unbemerkt Ports nach aussen öffnen konnen.
Wie Router angegriffen werden
Beim DNS-Hijacking ändern Angreifer die DNS-Server-Einstellungen im Router. Alle Geräte im Netzwerk fragen dann einen bösartigen DNS-Server an und landen bei Phishing-Seiten oder Malware-Domains, auch wenn sie die richtige URL eintippen. Die geänderten DNS-Einstellungen lassen sich im Router-Menü erkennen, fallen aber den meisten Nutzern nie auf. Fortinet erklärt den Ablauf solcher Angriffe detailliert.
Das KadNap-Botnet hat weltweit mindestens 14.000 Heimrouter kompromittiert - vor allem Asus-Geräte mit veralteter Firmware. Kompromittierte Router werden als "Residential Proxies" für kriminellen Traffic missbraucht: DDoS-Angriffe, Credential-Stuffing, Malware-Verteilung. Der Nutzer merkt davon meist nichts, außer dass die Internetverbindung gelegentlich langsamer wird.
Das FBI hat 2025 explizit vor veralteten WLAN-Routern ohne Sicherheitsupdates gewarnt: Cyberkriminelle greifen gezielt solche Geräte an, um Schadsoftware einzuschleusen und sie in Botnetze einzubinden.
Vier gefährliche Irrtümer
"Mein Router ist sicher, weil er neu ist." Neue Router kommen oft mit Standardpasswörtern, aktiviertem WPS und unnützen Diensten vorkonfiguriert. Ohne Anpassung bleibt die Angriffsfläche groß. Ein neuer Router ist kein sicherer Router.
"NAT schutzt mich ausreichend." NAT und die integrierte Stateful-Firewall blockieren viele eingehende Verbindungen. Sie schutzen aber nicht gegen Schwächstellen in der Router-Firmware selbst, nicht gegen Malware auf internen Geräten die nach aussen kommuniziert, und nicht gegen manipulierte DNS-Einstellungen.
"WPS ist nur eine Komfortfunktion, aber harmlos." Das Security Insider erklärt: Schlecht implementiertes WPS - besonders das PIN-Verfahren - kann Angreifern ermöglichen, den WLAN-Schlüssel im Klartext zu erhalten und WPA2 oder WPA3 damit vollständig auszuhebeln.
"Provider-Router sind automatisch sicher konfiguriert." Auch Provider-Geräte brauchen regelmäßige Firmware-Updates, Passwortänderungen und das Deaktivieren unnützer Funktionen. Viele Haushalte nutzen denselben Router 10 Jahre und länger - ohne eine einzige Einstellung je überprüft zu haben.
Router absichern: Schritt für Schritt
Das IT-Daily-Leitfaden und die BSI-nahen Empfehlungen des Cybersicherheitszentrums BW kommen zur gleichen Prioritätenliste:
- Admin-Passwort sofort ändern. Um ins Adminmenü zu kommen, geben Sie die IP-Adresse Ihres Routers im Browser ein. FRITZ!Box-Nutzer erreichen es unter fritz.box oder 192.168.178.1, TP-Link und ASUS-Router meist unter 192.168.1.1, Huawei und ZTE unter 192.168.0.1. Langes, einzigartiges Passwort setzen. Zugriff nur aus dem lokalen Netz erlauben.
- WLAN-Verschlüsselung prüfen. WPA2-PSK oder WPA3-PSK aktivieren, WEP und WPA/TKIP deaktivieren. SSID umbenennen sodass Hersteller und Modell nicht erkennbar sind. Starkes WLAN-Passwort mit mindestens 20 Zeichen.
- WPS deaktivieren. Nach dem Koppeln aller Geräte WPS vollständig deaktivieren. Wenn WPS benotigt wird: nur Push-Button erlauben, PIN-Verfahren deaktivieren.
- UPnP und unnoetige Dienste abschalten. UPnP deaktivieren wenn nicht zwingend benotigt. Fernzugriff und Medienserver nur aktivieren wenn wirklich gebraucht.
- Firmware aktualisieren. Firmwareversion prüfen, direkt aktualisieren und automatische Updates einschalten.
- Gäste-WLAN für IoT-Geräte einrichten. Smart-Home-Geräte, Mähroboter und Kameras in ein getrenntes Netzwerk - nicht ins Hauptnetz mit PCs und NAS-Systemen.
FRITZ!Box vs. andere Router
AVM versorgt seine Geräte in der Regel über viele Jahre mit Sicherheitsupdates. Das FRITZ!OS wird regelmäßig gepflegt - ein Unterschied der bei Billigroutern ohne definierten Update-Support nicht selbstverständlich ist.
Aber auch bei FRITZ!Box-Modellen gibt es End-of-Life-Modelle die keine Updates mehr erhalten. Wer eine ältere FRITZ!Box betreibt, sollte prüfen ob das Modell noch mit FRITZ!OS versorgt wird.
Grundsätzlich gilt: Ein Hersteller mit langem Update-Support ist einem No-Name-Router mit unklaren Update-Zeiträumen vorzuziehen - unabhängig vom Preis.
Wann muss der Router ersetzt werden?
Sobald der Hersteller keine Sicherheitsupdates mehr liefert, ist der Router ein Sicherheitsrisiko. Viele Haushalte nutzen denselben Router über 10 Jahre, ohne je einen Patch eingespielt zu bekommen.
Weitere Austausch-Gründe: kein WPA3-Support, kein Gäste-WLAN, keine HTTPS-Adminoberfläche, häufige Abstürze oder unerklärliche Performance-Einbruche. Letztere konnen auf eine Kompromittierung hinweisen - besonders wenn unbekannte DNS-Server im Menü auftauchen oder Portfreigaben erscheinen die niemand eingerichtet hat.
Das FBI hat 2025 explizit vor veralteten Routern gewarnt, die aktiv in Botnetzen missbraucht werden. Wer ein Gerät betreibt das seit Jahren keine Firmware-Updates mehr bekommen hat, sollte einen Austausch ernsthaft in Betracht ziehen.
Häufige Fragen zur Router-Sicherheit
Was muss ich nach der Router-Einrichtung sofort ändern?
Sechs Punkte haben Priorität: Admin-Passwort ändern, WLAN auf WPA2 oder WPA3 setzen, WPS deaktivieren, UPnP abschalten, Firmware aktualisieren und Gäste-WLAN für IoT-Geräte einrichten. In 15 Minuten erledigt.
Wann sollte ich meinen Router ersetzen?
Sobald der Hersteller keine Sicherheitsupdates mehr liefert. Das FBI warnt explizit vor solchen Geräten die aktiv in Botnetzen missbraucht werden. Auch fehlende WPA3-Unterstützung und kein Gäste-WLAN sind Grunde für einen Wechsel.
Ist mein Router sicher wenn er neu ist?
Nein. Neue Router kommen oft mit Standardpasswörtern, aktiviertem WPS und unnützen Diensten vorkonfiguriert. Die Konfiguration nach der Einrichtung ist genauso wichtig wie die Gerätewahl.
Wie erkenne ich ob mein Router kompromittiert wurde?
Typische Anzeichen: unbekannte DNS-Server-Eintrage im Router-Menü, Portfreigaben die niemand eingerichtet hat, unerklarlich langsame Internetverbindung. Im Zweifel: Router auf Werkseinstellungen zurücksetzen, neu konfigurieren und alle Passwörter im Netzwerk ändern.
Was ist der Unterschied zwischen WLAN-Passwort und Admin-Passwort?
Das WLAN-Passwort verbindet Geräte mit dem WLAN. Das Admin-Passwort schutzt die Konfigurationsoberflache des Routers selbst. Beides muss mit einem eigenen starken Passwort geschutzt werden.
Fazit
Der Router ist das Herzstück des Heimnetzes - und das am häufigsten vernachlassigte Gerät. Standardpasswort, alte Firmware, aktives WPS: Das sind die Schwächstellen die Botnets wie KadNap täglich ausnutzen, um Tausende Heimrouter zu übernehmen.
Fünfzehn Minuten in der Router-Oberfläche reichen aus, um die gröbsten Einfallstore zu schließen. Admin-Passwort ändern, WPA3 aktivieren, WPS abschalten, UPnP deaktivieren, Firmware aktualisieren - und Gäste-WLAN einrichten. Das ist kein Hexenwerk, aber es macht den entscheidenden Unterschied.