Die Router-Oberfläche hängt am offenen Internet, weil die Fernwartung an ist. Das BSI sagt klar, was damit zu tun ist — und was stattdessen geht.
Aufwand:
ca. 25 Min.
Voraussetzung:
Zugang zur Router-Oberfläche, Mobilfunkverbindung für den Gegentest
Gilt für:
Heimrouter mit Fernzugangsfunktion, Auch Router vom Internetanbieter
Das Symptom
Man ruft unterwegs aus Neugier die eigene öffentliche IP-Adresse im Browser auf —
und bekommt die Anmeldeseite des heimischen Routers zu sehen. Oder das Protokoll
des Routers zeigt Anmeldeversuche zu Uhrzeiten, zu denen im Haushalt
niemand wach war, mit Benutzernamen, die es dort gar nicht gibt. Beides bedeutet
dasselbe: Die Verwaltungsoberfläche des Geräts, das den ganzen Anschluss
kontrolliert, steht im offenen Internet.
Die „Layer 8“-Wahrheit
Diese Tür ist nicht aufgebrochen worden, sie wurde eingebaut und irgendwann
aufgeklinkt — bei der Einrichtung, beim Router-Tausch, oder ab Werk. Der Sinn
dahinter ist ehrenwert: einmal von unterwegs eine Portfreigabe nachziehen, ohne
nach Hause fahren zu müssen. Nur nutzt kaum jemand diese Möglichkeit mehr als
einmal, während die Tür jeden Tag offen steht. Und offen heißt hier wirklich
offen: Für die Anmeldeseite gibt es keinen Türsteher, der nach dem Grund fragt.
Es gibt nur ein Passwort.
Das BSI macht daraus keine Drohkulisse, sondern einen Prüfauftrag mit
Bedingungssatz — nachsehen, ob die Funktion da und aktiv ist, und abschalten,
falls man sie nicht braucht. Das ist die ganze Bewegung. Wer den Fernzugriff
tatsächlich braucht, baut ihn anders: nicht als Anmeldemaske im Internet, sondern
als VPN, bei dem nur freigeschaltete Geräte überhaupt hineinkommen. Der Unterschied
ist keine Feinheit. Im einen Fall darf jeder klopfen und muss nur das Passwort
erraten, im anderen wird gar nicht erst aufgemacht, wenn der Schlüssel fehlt.
Zwanzig Minuten Aufräumen, und die Frage ist für Jahre erledigt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Die Einstellung im Router finden
Die Funktion heißt je nach Hersteller „Internetzugriff auf die Benutzeroberfläche“, „Fernzugang“, „Fernwartung“, „Remote Management“ oder „TR-069“ und liegt meist unter Internet oder System. Die Konfiguration wie vom BSI empfohlen über https aufrufen, erkennbar in der Adresszeile des Browsers.
Am Handy das WLAN ausschalten, damit es wirklich über Mobilfunk geht. Die öffentliche Adresse des Anschlusses steht im Router auf der Übersichts- oder Internetseite. Diese Adresse im Browser des Handys aufrufen. Wer eine Anmeldemaske sieht, hat den Beweis in der Hand — und weiß gleichzeitig, dass jeder andere sie auch sieht.
3.
Den Fernzugang abschalten, wenn er nicht gebraucht wird
Das ist der eigentliche Schritt und er dauert eine Minute. Wer in den letzten zwölf Monaten nicht ein einziges Mal von unterwegs die Router-Einstellungen geändert hat, braucht die Funktion nicht. Sie lässt sich jederzeit wieder einschalten, und zwar für die Dauer, in der man sie tatsächlich benötigt.
4.
Das Router-Passwort neu setzen, falls der Zugang offen stand
Stand die Anmeldemaske offen im Internet, muss man damit rechnen, dass das Passwort erraten wurde — Zeit für ein neues. Das BSI empfiehlt „Passwörter mit mindestens acht Zeichen und aus verschiedenen Zeichenarten wie Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen“ und weist darauf hin, dass Standardpasswörter wie admin oder 1234 auch Angreifern bekannt sind. Ein Passwortmanager macht das erträglich.
5.
Wenn Fernzugriff wirklich nötig ist, VPN statt Weboberfläche
Die saubere Bauform ist ein VPN in das eigene Netz. Das BSI beschreibt sie so, dass der Tunnel „nur einen Eingang und einen Ausgang aufweist“ und „Ihr Heimnetz durch das VPN nur mit von Ihnen freigeschalteten Geräten erreichbar“ ist. Danach hängt keine Anmeldemaske mehr im Internet, und die Router-Oberfläche erreicht man von unterwegs trotzdem — über den Tunnel, so wie von der Couch.
6.
Bei der Gelegenheit die Firmware-Automatik einschalten
Ein Fernzugang ist nur so sicher wie die Software dahinter. Das BSI rät, die Firmware regelmäßig zu prüfen, und weiter: „Auch im Konfigurationsmenü des Routers findet sich zumeist die Option, Aktualisierungen (Updates) automatisch zu installieren. Machen Sie von dieser Option Gebrauch.“ Das ist der einzige Schritt hier, der auch dann noch weiterarbeitet, wenn man ihn vergessen hat.
Häufige Fragen (FAQ)
?Ist ein Fernzugang auf den Router grundsätzlich falsch?
Nein, aber er ist begründungspflichtig, und die meisten Haushalte haben keine Begründung. Das BSI formuliert es als Prüfauftrag: „Viele Router ermöglichen es, sie auch von außerhalb des Heimnetzwerks zu konfigurieren. Prüfen Sie, ob bei Ihrem Router diese Funktion vorhanden und gegebenenfalls aktiviert ist und deaktivieren Sie diese, falls Sie sie nicht benötigen.“ Der Kern steckt im letzten Halbsatz. Es geht nicht um ein Verbot, sondern darum, dass eine Tür, die niemand benutzt, keinen Grund hat, offen zu stehen.
?Mein Anbieter hat den Router gestellt und wartet ihn fern. Muss ich das abschalten?
Nein, und du solltest es meist auch nicht. Das ist ein anderer Kanal als die offene Konfigurationsoberfläche. Das BSI empfiehlt beim Thema Firmware sogar ausdrücklich, danach zu fragen: „Haben Sie Ihr Gerät von Ihrem Internetzugangsprovider erhalten, fragen Sie diesen, ob er die Aktualisierung der Firmware regelmäßig über eine Fernwartung vornimmt.“ Ein Anbieter, der die Sicherheitsupdates einspielt, tut etwas Sinnvolles. Die Frage dieser Seite ist eine engere: ob zusätzlich deine eigene Weboberfläche mit deinem eigenen Passwort aus dem Internet erreichbar ist.
?Wie kann ich prüfen, ob meine Router-Oberfläche wirklich von außen offen ist?
Nicht aus dem eigenen WLAN heraus — dieser Test beweist gar nichts, weil er die Firewall nie passiert. Man braucht einen Weg von außen: das Handy im Mobilfunknetz, WLAN dort abgeschaltet. Dann die öffentliche Adresse des Anschlusses im Browser aufrufen. Erscheint die Anmeldeseite deines Routers, ist die Frage beantwortet. Erscheint nichts, ist sie es fast — denn viele Fernzugänge laufen auf einem ungewöhnlichen Port oder auf einem Namen des Herstellers, den man im Router unter der Fernzugangs-Einstellung nachliest.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Manche Geräte im LAN kommen plötzlich nicht mehr ins Internet? Oft verteilt ein zweiter, ungewollter DHCP-Server falsche IP-Adressen. So findest du ihn.