Im Router stehen Portfreigaben, die niemand angelegt hat. Per UPnP macht sich jedes Gerät im Heimnetz selbst eine Tür nach außen auf.
Aufwand:
ca. 20 Min.
Voraussetzung:
Zugang zur Router-Oberfläche, Gerät im Heimnetz für die Abfrage
Gilt für:
Heimrouter mit UPnP oder PCP, Konsolen, Kameras, NAS und Smarthome-Geräte im Heimnetz
Das Symptom
Irgendwann klickt man aus Neugier in der Router-Oberfläche auf die Portfreigaben
— und findet dort eine Liste. Mehrere Einträge, TCP und UDP, hohe Portnummern,
Zieladressen, die man erst einmal nachschlagen muss. Angelegt hat sie niemand.
Der Verdacht liegt nahe, dass hier eingebrochen wurde, und die Suche im Netz
liefert prompt Texte, die genau das nahelegen.
Die „Layer 8“-Wahrheit
Es war kein Einbruch, es war der Hausdienst. Der Router hat eine Funktion, die
genau dafür da ist: Ein Gerät im Heimnetz fragt an, der Router legt die Freigabe
an, fertig. Das heißt UPnP, in der neueren Ausführung PCP, und es ist kein Fehler,
sondern die Erfüllung des Auftrags. Der Auftrag ist nur größer, als die meisten
ihn erteilt hätten. Denn die Vertrauensfrage wird an einer Stelle beantwortet, die
mit deiner Absicht nichts zu tun hat: RFC 6887 hält fest, dass alles, was ein Gerät
aus dem Heimnetz heraus ohnehin verbinden könnte, als genehmigt gilt. Der Router
prüft also die Herkunft der Anfrage, nicht ihren Sinn. Eine Spielkonsole, eine
Kamera und ein Stück Schadsoftware auf dem Notebook sehen für ihn gleich aus.
Deshalb ist die richtige Reaktion weder Panik noch Achselzucken, sondern
Inventur. Die Liste sagt dir präzise, welches Gerät was wollte — und das ist eine
Information, die man sonst nirgends bekommt. Danach kommt die eigentliche
Entscheidung: Pauschalerlaubnis aus, und was wirklich von außen erreichbar sein
muss, bekommt eine einzelne Freigabe mit Namen. Das BSI empfiehlt genau diese
Reihenfolge, und der praktische Gewinn ist unspektakulär, aber echt: Danach ist
die Liste in deinem Router eine Liste deiner Entscheidungen. Vorher war sie eine
Liste fremder.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Die tatsächliche Liste der Freigaben aufschlagen
In der Router-Oberfläche gibt es zwei getrennte Listen: die Freigaben, die du selbst angelegt hast, und die, die Geräte per UPnP bestellt haben. Sie stehen oft in verschiedenen Menüs, manchmal in derselben Tabelle mit einer kleinen Spalte „selbstständig“. Die Konfiguration wie vom BSI empfohlen über https aufrufen.
Wer es unabhängig von der Router-Oberfläche sehen will, fragt den Router direkt. Das Werkzeug upnpc aus dem Paket miniupnpc listet jede aktive Weiterleitung mit Port, Protokoll und der internen Zieladresse. Die Zieladresse ist die eigentliche Information: Sie sagt dir, welches Gerät die Öffnung bestellt hat.
upnpc -l
3.
Jede Freigabe einem Gerät und einem Zweck zuordnen
Für jede Zeile aus der Liste die Frage beantworten: Welches Gerät ist das, und wozu braucht es das? Die interne Adresse lässt sich in der Geräteliste des Routers in einen Namen auflösen. Konsolen, Videotelefonie und Mediaserver stehen hier regelmäßig zu Recht. Eine Kamera oder eine Steckdose, die sich eine Öffnung nach außen bestellt, ist dagegen begründungspflichtig — sie könnte ihre Cloud auch schlicht von innen anrufen.
4.
UPnP im Router abschalten
Die Einstellung heißt je nach Hersteller „Selbstständige Portfreigaben für dieses Gerät erlauben“, „UPnP“, „NAT-PMP“ oder „PCP“. Alle Varianten meinen dasselbe Prinzip und gehören zusammen aus. Das BSI zählt das unter „Deaktivieren Sie nicht benötigte Funktionen Ihres Routers“ und nennt UPnP auf seiner Smarthome-Seite noch einmal namentlich.
5.
Nach dem Abschalten prüfen, was tatsächlich fehlt
Jetzt läuft ein Praxistest von ein paar Tagen. Was danach nicht mehr funktioniert, bekommt eine einzelne, von Hand gesetzte Freigabe mit festem Port und fester Zieladresse — nicht die Pauschalerlaubnis zurück. Erfahrungsgemäß bleibt die Liste kurz. Damit die von Hand gesetzte Freigabe stabil bleibt, braucht das Zielgerät eine feste Adresse aus dem Router.
upnpc -l
6.
Statt Freigaben besser einen VPN-Zugang einrichten
Wenn es nur darum geht, von unterwegs an das eigene Netz zu kommen, ist eine Portfreigabe der teuerste Weg. Das BSI beschreibt die Alternative auf derselben Seite: Ein VPN baut einen Tunnel ins Heimnetz auf, und — Zitat — „Zudem ist Ihr Heimnetz durch das VPN nur mit von Ihnen freigeschalteten Geräten erreichbar“. Moderne Router bringen das mit; ein Dienst, der so erreichbar ist, braucht überhaupt keine offene Tür mehr.
Häufige Fragen (FAQ)
?Ich habe nie eine Portfreigabe eingerichtet. Wie kommt sie dann in den Router?
Ein Gerät im Heimnetz hat sie sich selbst bestellt. Genau dafür gibt es UPnP beziehungsweise dessen Nachfolger PCP: Ein Programm bittet den Router um eine Öffnung nach außen, und der Router legt sie an. Eine Rückfrage an dich ist dabei nicht vorgesehen. RFC 6887, der das Port Control Protocol beschreibt, formuliert die zugrunde liegende Annahme in Abschnitt 18 unmissverständlich: „All mappings that could be created by a specific host using implicit mapping mechanisms are inherently considered to be authorized.“ Übersetzt: Was ein Gerät aus deinem Netz heraus ohnehin an Verbindungen aufbauen könnte, darf es sich auch als Freigabe bestellen. Der Router prüft nicht, ob das eine gute Idee ist – er prüft nur, ob die Anfrage aus dem Heimnetz kam.
?Muss ich UPnP abschalten, oder ist das Panikmache?
Das BSI empfiehlt es ausdrücklich, und zwar auf seiner Verbraucherseite zum Smarthome: „Sofern an Ihrem Router die Einstellung UPnP (Universal Plug and Play) aktiviert ist, sollten Sie diese deaktivieren, damit Ihre IoT-Geräte nicht unkontrolliert ins Internet kommunizieren können.“ Das ist keine Behauptung über Angriffszahlen, sondern eine Aussage über Kontrolle: Mit UPnP entscheidet die Software auf dem Gerät, was von außen erreichbar ist, ohne UPnP entscheidest du es. Der Preis ist Handarbeit — Spielkonsolen, manche Videotelefonie und selbstgehostete Dienste wollen dann eine Freigabe von dir. Genau diese Freigaben sind dann aber die, die du kennst.
?Warum fragt mich mein Router nicht einfach, bevor er eine Freigabe anlegt?
Weil die Protokolle so nicht gebaut sind. RFC 6970 beschreibt das Zusammenspiel von UPnP IGD und PCP im Heimrouter und hält in den Sicherheitsbetrachtungen fest: „IGD:2 access control requirements and authorization levels SHOULD be applied by default“ und, für die ältere Fassung, „When only IGD:1 is available, operation on behalf of a third party SHOULD NOT be allowed.“ Es gibt also durchaus Rechteregeln — aber sie regeln, welches Gerät für welches andere Gerät sprechen darf, nicht, ob der Mensch im Haushalt einverstanden ist. Ein Zustimmungsdialog war in keiner Fassung vorgesehen.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Die Kamera bekommt keine Updates mehr, läuft aber weiter. Das BSI nennt die Antwort: ein eigenes Netz für solche Geräte — und sagt, wann das nichts bringt.
Port ist freigegeben, Firewall offen, Dienst läuft – und von außen kommt nichts an? Dann lauscht er nur auf 127.0.0.1. Ein Unterschied, den niemand sieht.
Manche Geräte im LAN kommen plötzlich nicht mehr ins Internet? Oft verteilt ein zweiter, ungewollter DHCP-Server falsche IP-Adressen. So findest du ihn.