Netzname verstecken, Zugang nur für bekannte Geräte: zwei beliebte Ratschläge. Was Apple und das BSI dazu schreiben — und wo sie sich uneinig sind.
Aufwand:
ca. 20 Min.
Voraussetzung:
Zugang zur Router-Oberfläche
Gilt für:
Heim-WLAN, Router und Access Points mit SSID- und MAC-Einstellungen
Das Symptom
Man hat es gut gemeint. Der Netzname wird nicht mehr gesendet, im Router steht
eine sorgfältig gepflegte Liste erlaubter Gerätekennungen, und trotzdem ist das
Ergebnis vor allem eines: Arbeit. Der Besuch bekommt den Namen buchstabiert, das
neue Tablet kommt trotz richtigem Passwort nicht hinein, und nach jedem
Systemupdate fängt das Rätselraten von vorn an. Die Frage, die sich dabei nie
jemand laut stellt: Was genau habe ich damit eigentlich abgewehrt?
Die „Layer 8“-Wahrheit
Die ehrliche Antwort lautet: den eigenen Besuch. Ein WLAN verschwindet nicht,
weil sein Name nicht mehr im Beacon steht — es meldet sich weiterhin bei jedem
Verbindungsaufbau, und Apple schreibt in seiner Router-Empfehlung ohne Umschweife,
dass das Verstecken das Netz weder vor Entdeckung verbirgt noch vor unbefugtem
Zugang schützt. Schlimmer noch, es verlagert die Gesprächigkeit auf deine eigenen
Geräte, die fortan nach dem versteckten Netz rufen, wo immer sie gerade sind.
Beim MAC-Filter ist die Lage interessanter, und hier wird gern eine Meinung als
Beleg verkauft. Tatsächlich stehen zwei ernstzunehmende Quellen nebeneinander:
Das BSI führt ihn unter den erweiterten Einstellungen und sagt, man solle ihn
nutzen, wenn der Router ihn anbietet. Apple sagt, man solle sich nicht auf ihn
verlassen, weil Adressen kopierbar sind. Beide beschreiben dasselbe Bauteil
richtig — es ist eine Anwesenheitsliste, kein Schloss. Wer das weiß und die Liste
trotzdem pflegen mag, tut nichts Falsches. Wer glaubt, damit sei die Frage nach
der Sicherheit erledigt, hat sich verrechnet.
Und der Ausweg aus beiden Debatten steht in beiden Quellen an derselben Stelle,
nur unspektakulärer: aktuelle Verschlüsselung, langes Passwort, Gastnetz für
alles, was nicht dir gehört. Das ist die Arbeit, die tatsächlich wirkt. Der Rest
ist Beschäftigungstherapie mit Nebenwirkungen.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Das Verstecken des Netznamens abschalten
In der WLAN-Konfiguration steht die Einstellung als „Name des WLAN sichtbar“, „SSID Broadcast“ oder — verwirrenderweise — als „closed network“. Apple weist in der Router-Empfehlung eigens darauf hin, dass Router die Bezeichnung closed fälschlich für versteckt und broadcast für nicht versteckt verwenden — man muss also nachlesen, was der eigene Hersteller meint. Sichtbar ist die richtige Einstellung. Der Gewinn ist praktisch spürbar: Geräte verbinden sich schneller und zuverlässiger, und Besuch muss den Namen nicht mehr diktiert bekommen.
2.
Den Netznamen stattdessen sinnvoll ändern
Das ist der Rat, den das BSI tatsächlich gibt: „Manche Router tragen im Namen des WLAN ausführliche Informationen zu etwa Hersteller oder Modell des Geräts. Diese Angaben können einem potentiellen Angreifer von Nutzen sein. Ändern Sie daher den Namen des Netzwerks in eine Bezeichnung, die nichts über Ihren Router verrät.“ Also weg mit Modellnummern — und auch weg mit dem Nachnamen und der Hausnummer. Ein eindeutiger Fantasiename ist besser als ein Allerweltsname, weil Geräte sonst versehentlich fremde Netze desselben Namens ansteuern.
3.
Die Verschlüsselung auf WPA3 oder den Mischbetrieb stellen
Dieser Schritt ersetzt beide Mythen zusammen. WPA3 Personal ist die aktuelle Wahl; wo ältere Geräte mitspielen müssen, nimmt man den Übergangsmodus WPA2/WPA3. Reines WPA oder gar ein offenes Netz gehören abgeschaltet. Die Einstellung sitzt in derselben WLAN-Maske wie der Netzname.
4.
Ein langes WLAN-Passwort setzen
Das BSI nennt für die Absicherung eines WLAN mindestens 20 zusammenhanglose Zeichen. Viele Router bringen ab Werk genau so eines mit — dann ist nichts zu tun. Steht dort etwas Kurzes oder Selbstgebasteltes, jetzt ersetzen und im Passwortmanager ablegen. Danach müssen alle Geräte einmal neu verbunden werden, das gehört dazu.
5.
Beim MAC-Filter bewusst entscheiden statt ihn zu erben
Wer ihn behält, sollte wissen, was er leistet und was nicht: Er hält niemanden davon ab, den Funkverkehr mitzuhören, und eine erlaubte Adresse lässt sich abschreiben. Wer ihn abschaltet, verliert entsprechend wenig. Der handfeste Nebeneffekt spricht meist für das Abschalten: Aktuelle Telefone und Notebooks melden sich mit einer zufälligen, pro Netz erzeugten Adresse an, und dann sperrt der Filter genau die Geräte aus, die hineindürfen.
6.
Gäste ins Gastnetz statt in die Ausnahmeliste
Für Besuch und für unsichere Geräte ist die Trennung die wirksame Maßnahme, nicht die Ausnahmeliste. Das BSI: „Für unsichere Geräte oder für die Geräte Ihrer Gäste sollten Sie, wenn möglich, ein Gast-Netzwerk einrichten. Damit trennen Sie diese Zugänge von sensiblen Diensten wie Onlinebanking oder Homeoffice-Anwendungen.“ Das kostet einen Schalter im Router und erledigt mehr als jede Namens- und Adressenkosmetik.
Häufige Fragen (FAQ)
?Schützt es mein WLAN, wenn ich den Netznamen nicht senden lasse?
Nein, und die Herstellerdokumentation sagt das offen. Apples Empfehlungsliste für Router führt den Punkt „Hidden network“ mit der Vorgabe „Set to Disabled“ und begründet: „Hiding the network name doesn't conceal the network from detection or secure it against unauthorized access.“ Es kommt sogar ein Nachteil hinzu: „And because of how devices search for and connect to Wi-Fi networks, using a hidden network might expose information that can be used to identify you and the hidden networks you use, such as your home network.“ Das versteckte Netz verschwindet also nicht, es macht nur deine Geräte gesprächiger. Das BSI empfiehlt in seinen Router-Tipps übrigens nirgends, den Namen zu verbergen — es empfiehlt, ihn zu ändern. Das ist etwas anderes.
?Und der MAC-Filter? Da widersprechen sich die Quellen doch.
Ja, und das gehört so gesagt statt weggelassen. Das BSI führt ihn unter „Erweiterte Einstellungen“ und schreibt: „Wenn Ihr Router die Möglichkeit bietet, einen MAC-Filter einzurichten, dann nutzen Sie diese Möglichkeit. Nur den von Ihnen freigegebenen Netzwerkkarten wird nach Überprüfung ihrer MAC-Adressen der Zugang gestattet.“ Apple rät in seiner Router-Empfehlung genau umgekehrt: „MAC address filtering, authentication, or access control — Set to Disabled“, mit der Begründung „You shouldn't rely on this feature to prevent unauthorized access to your network“, denn erstens „It doesn't prevent network observers from monitoring or intercepting traffic on the network“ und zweitens „MAC addresses can easily be copied, spoofed (impersonated), or changed“. Beide Seiten sind sich also einig, was der Filter technisch leistet. Uneinig sind sie nur, ob eine Hürde, die sich abschreiben lässt, den Aufwand wert ist.
?Was bringt denn dann wirklich etwas?
Die beiden Dinge, bei denen sich alle einig sind: eine aktuelle Verschlüsselung und ein langes Passwort. Apple nennt als Einstellung „Set to WPA3 Personal for better security, or set to WPA2/WPA3 Transitional for compatibility with older devices“ und ergänzt: „Whichever setting you choose, always set a strong password for joining the network.“ Das BSI beziffert das für WLAN konkret: Wenn der Router nicht ohnehin ab Werk ein sicheres Passwort mitbringt, „vergeben Sie ein Passwort, das aus mindestens 20 zusammenhanglosen Zeichen besteht“. Fünf Minuten Arbeit, und sie ersetzen jede Bastelei mit Netznamen und Gerätekennungen.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Die Kamera bekommt keine Updates mehr, läuft aber weiter. Das BSI nennt die Antwort: ein eigenes Netz für solche Geräte — und sagt, wann das nichts bringt.