Die Kamera bekommt keine Updates mehr, läuft aber weiter. Das BSI nennt die Antwort: ein eigenes Netz für solche Geräte — und sagt, wann das nichts bringt.
Aufwand:
ca. 40 Min.
Voraussetzung:
Zugang zur Router-Oberfläche, Liste der Geräte im Heimnetz, Support-Seite des Herstellers
Gilt für:
Heimrouter mit separatem WLAN oder Gäste-WLAN, Kameras, Steckdosen, Fernseher, Saugroboter und Ähnliches
Das Symptom
Die Überwachungskamera von vor sechs Jahren macht immer noch klaglos ihre Bilder.
Die App dazu gibt es im Store nicht mehr, die Support-Seite des Herstellers ist
eine Weiterleitung auf die Startseite, und die letzte Firmware trägt ein Datum aus
einer Zeit, in der es das Gerät noch offiziell gab. Am Netz hängt es trotzdem —
im selben WLAN wie der Arbeitsrechner, das NAS und das Telefon.
Die „Layer 8“-Wahrheit
Der Denkfehler steckt im Wort „läuft noch“. Ein Gerät, das seine Aufgabe erfüllt,
fühlt sich in Ordnung an, und nichts an ihm zeigt an, dass die Software darin
seit Jahren dieselben bekannten Lücken mit sich herumträgt. Das BSI formuliert es
nüchtern und ohne Zahlenschau: Geräte ohne Updates sind ein Sicherheitsrisiko,
weil offene Schwachstellen offen bleiben, und wenn keine Updates mehr kommen,
sollte man das Gerät austauschen. Das ist die ehrliche Empfehlung. Sie hat nur
einen Haken: Sie kostet Geld, und deshalb wird sie im echten Haushalt selten am
selben Tag umgesetzt.
Genau für diese Lücke zwischen Einsicht und Neuanschaffung gibt es die zweite
Empfehlung, und die ist die eigentliche Antwort dieser Seite: ein eigenes Netz.
Nicht, weil ein zweites WLAN die Lücke in der Kamera schließt — das tut es nicht.
Sondern weil es die Frage beantwortet, was danach passiert. Ein übernommenes
Gerät im Heimnetz sieht das NAS, den Rechner und den Drucker. Dasselbe Gerät in
einem getrennten Netz sieht das Internet und sonst nichts. Der Unterschied ist
der ganze Punkt der Übung.
Und dann gibt es noch den Teil, den die meisten Anleitungen unterschlagen: Das
funktioniert nicht für jedes Gerät. Der Fernseher, der auf die Mediensammlung
zugreifen soll, gehört ausdrücklich nicht ins abgetrennte Netz — das BSI sagt das
selbst. Wer das ignoriert, baut eine Trennung und reißt sie am nächsten Abend
wieder ein, weil der Film nicht startet. Sortieren heißt hier also nicht: alles
Smarte raus. Es heißt: Wer Daten im Heimnetz braucht, bleibt drin und wird
gepflegt. Wer nur telefonieren will, zieht um.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Aufschreiben, was überhaupt am Netz hängt
Die Geräteliste des Routers ist der einzige vollständige Überblick, den es im Haushalt gibt. Sie durchgehen und für jeden Eintrag notieren, was das Gerät ist. Erfahrungsgemäß tauchen dabei zwei oder drei Sachen auf, an die sich niemand mehr erinnert — die alte Kamera im Keller, ein Radio, ein Drucker mit WLAN.
https://fritz.box/
https://192.168.178.1/
2.
Für jedes Gerät den Update-Stand klären
In der App oder der Weboberfläche des Geräts steht die installierte Version, auf der Support-Seite des Herstellers steht, ob es noch versorgt wird. Wo automatische Updates angeboten werden, einschalten — das BSI empfiehlt genau das: „Aktivieren Sie nach Möglichkeit automatische Updates bei Ihrem Gerät, um dessen Sicherheitsfunktionen stets aktuell zu halten.“
3.
Die Geräte in zwei Stapel sortieren
Stapel eins: Geräte, die Zugriff auf Daten im Heimnetz brauchen — Fernseher mit Zugriff auf die Mediensammlung, Netzwerkdrucker, das NAS selbst. Die bleiben, wo sie sind, und müssen aktuell gehalten werden. Stapel zwei: alles, was nur ins Internet oder zur eigenen App muss — Steckdosen, Lampen, Waage, Saugroboter, Kamera mit Cloud. Nur Stapel zwei zieht um.
4.
Das separate Netz im Router einrichten
Je nach Hersteller heißt die Funktion „zusätzliches WLAN“, „IoT-Netz“, „Netzwerksegmentierung“ oder schlicht „Gäste-WLAN“. Ein eigener Name, ein eigenes langes Passwort, und die Isolation gegenüber dem Heimnetz eingeschaltet lassen — sie ist der ganze Zweck der Übung.
5.
Die Geräte aus Stapel zwei umziehen
Jedes Gerät muss dafür einmal neu angelernt werden, weil es sich das WLAN merkt und nicht selbst wechselt. Bei vielen Geräten geht das in der App über die WLAN-Einstellungen, bei manchen nur über einen Reset. Das ist der einzige zeitraubende Schritt — und der Grund, warum man ihn an einem Nachmittag und nicht zwischen Tür und Angel macht.
6.
Den Weg nach außen für diese Geräte zumachen
Im neuen Netz haben selbstständige Portfreigaben nichts zu suchen. Das BSI: „Sofern an Ihrem Router die Einstellung UPnP (Universal Plug and Play) aktiviert ist, sollten Sie diese deaktivieren, damit Ihre IoT-Geräte nicht unkontrolliert ins Internet kommunizieren können.“ Und wo ein Gerät gar keinen Fernzugriff braucht, ist die Verbindung ins Internet ohnehin verzichtbar — Zeitpläne für Rollläden und Licht laufen auch lokal.
7.
Für die Geräte ohne Updates ein Ablaufdatum setzen
Das separate Netz ist die Begrenzung des Schadens, nicht die Reparatur. Für alles, was der Hersteller nicht mehr versorgt, gehört ein Termin in den Kalender, an dem entschieden wird: ersetzen oder abschalten. Sonst wird aus der Zwischenlösung ein Dauerzustand — und der ist genau der, den man abstellen wollte.
Häufige Fragen (FAQ)
?Das Gerät funktioniert doch noch. Warum soll das ein Problem sein?
Weil Funktionieren und Sicherheit zwei verschiedene Dinge sind. Das BSI schreibt dazu auf seiner Smarthome-Seite: „IoT-Geräte, für die keine Updates zur Verfügung gestellt werden, stellen ein Sicherheitsrisiko dar. Bei ihnen bleiben Schwachstellen offen und können ausgenutzt werden, Fehler in der Software können nicht korrigiert werden. Angreifer können sich auf diese Weise Zugang zu den Geräten verschaffen und sie möglicherweise fremdsteuern.“ Und zur Konsequenz, ohne Umschweife: „Wenn Ihr Gerät nicht mehr mit Sicherheitsupdates versorgt wird, sollten Sie es austauschen.“ Das eigene Netz ist die Zwischenlösung für alles, was man nicht sofort austauscht.
?Warum ein eigenes Netz und nicht einfach ein besseres Passwort?
Weil das Passwort die Lücke in der Gerätesoftware nicht schließt. Das eigene Netz schließt sie auch nicht — es begrenzt aber, was ein übernommenes Gerät danach erreichen kann. Das BSI beschreibt genau das als Segmentierung: „Hierbei werden die IoT-Geräte in einem separaten Netzwerk betrieben, das keine Verbindung zu sensiblen Daten oder Geräten wie etwa Ihrem Computer hat.“ Und weiter: „Viele Heimrouter bieten die Möglichkeit, ein separates WLAN einzurichten, in dem dann nur IoT-Geräte eingebunden werden.“ Das Passwort bleibt trotzdem Pflicht — beides zusammen, nicht statt.
?Kann ich dafür einfach das Gäste-WLAN nehmen?
Ja, mit einer Bedingung. Das BSI: „Einige Router bieten keine Netzwerksegmentierung an, aber ein Gäste-WLAN. Dann können Sie auch überlegen, ob Sie die IoT-Geräte in dieses einbinden. In dem Fall sollte das Gäste-WLAN jedoch ausschließlich für IoT-Geräte genutzt und die Zugangsdaten nicht an Dritte weitergegeben werden.“ Also entweder Gäste oder Geräte, nicht beides im selben Netz. Wer sein Gastnetz weiterhin an Besuch weitergibt, braucht für die Geräte ein zweites — oder muss die Prioritäten sortieren.
?Gilt das für jedes vernetzte Gerät?
Nein, und das ist der Punkt, an dem gut gemeinte Anleitungen meist scheitern. Das BSI macht die Ausnahme selbst: „Für Geräte, die Zugriff auf Daten in Ihrem Heimnetz benötigen, ist die Verlagerung in ein separates Netz nicht sinnvoll. Ein Beispiel hierfür ist Ihr Smart-TV, wenn Sie mit diesem auch auf Ihre im Netzwerk gespeicherten Mediendateien zugreifen möchten.“ Wer den Fernseher ins Extranetz schiebt und sich dann wundert, dass er das NAS nicht mehr sieht, hat kein Netzproblem, sondern eine Trennung eingebaut und gleich wieder gebraucht. Solche Geräte bleiben im Heimnetz — und werden stattdessen aktuell gehalten oder ersetzt.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.