Smart Home und Router: das Heimnetz als Einfallstor

Das Heimnetz ist bei exponierten Personen aus zwei Gründen heikel. Erstens hängen dort Geräte, die den Wohnort verraten oder Zugriff auf Bild und Ton bieten: Kameras, Türklingeln, Sprachassistenten, Babyfone. Zweitens wurde es oft von einer Person eingerichtet, vor der man sich heute schützen möchte. Dieser Artikel ist deshalb keine Router-Anleitung, sondern eine Antwort auf die Frage: Was hat Ihr Heimnetz mit Ihrer Auffindbarkeit und Ihrer Sicherheit zu tun, und welche Handgriffe ändern daran wirklich etwas?

Bestandsaufnahme: Was hängt eigentlich in Ihrem Netz?

Der erste Schritt ist eine Liste. Jeder Router zeigt die verbundenen Geräte in seiner Verwaltungsoberfläche an (bei der Fritz!Box unter „Heimnetz"). Gehen Sie die Liste durch und ordnen Sie jedes Gerät einer von drei Gruppen zu:

• Das Offensichtliche: Computer, Smartphones, Tablets, Fernseher, Spielkonsolen.
• Das Vergessene: Drucker, Saugroboter, smarte Steckdosen, Waagen, Glühbirnen, Repeater und Powerline-Adapter, das Solarmodul auf dem Balkon. Jedes dieser Geräte hat ein Konto, eine Cloud-Anbindung oder beides.
• Das Kritische: Kameras, Türklingeln mit Video, Babyfone, Sprachassistenten, smarte Türschlösser. Diese Geräte sehen und hören, wer wann zu Hause ist.

Geräte, die Sie nicht zuordnen können, gehören aus dem Netz: WLAN-Passwort ändern, Gerät beobachten. Meist ist es der vergessene Fernseher des Vormieters von der Einweihungsfeier, aber genau diese Prüfung sollte niemand überspringen.

Der Router als Fundament

Der Router ist die Tür zwischen Internet und Zuhause; alles andere hängt an ihm. Die Grundeinstellungen entsprechen den BSI-Empfehlungen und sind in einer halben Stunde erledigt:

• Individuelles Admin-Passwort für die Verwaltungsoberfläche, nicht das aufgedruckte Standardpasswort. Wer die Oberfläche öffnen kann, kontrolliert das gesamte Netz.
• Verschlüsselung auf WPA3, sonst WPA2, mit einem langen, eigenen WLAN-Passwort.
• Automatische Updates aktivieren, damit Sicherheitslücken der Firmware geschlossen werden, ohne dass Sie daran denken müssen.
• Fernzugriff deaktivieren: Die Möglichkeit, den Router aus dem Internet zu verwalten, braucht kaum ein Haushalt. Solange sie aktiv ist, ist sie ein Zugangsweg, auch für Personen, die die Zugangsdaten von früher kennen.
• WPS-PIN abschalten: Das bequeme Verbinden per PIN gilt als angreifbar; Verbinden per Knopfdruck oder Passworteingabe reicht.
• UPnP kritisch prüfen: Die Automatik, mit der Geräte selbstständig Portfreigaben öffnen, ist bequem und genau deshalb ein Risiko. Wer sie abschaltet, merkt schnell, ob überhaupt etwas sie brauchte.
• WLAN-Name ohne Namensbezug: „Familie-Weber-2OG" ist für jede Person in Funkreichweite lesbar und verknüpft Namen mit Adresse und Stockwerk. Ein neutraler Name verrät nichts.

Eine Verwechslung, die in der Praxis immer wieder auftaucht: Das WLAN-Passwort und das Admin-Passwort sind zwei verschiedene Dinge. Das WLAN-Passwort lässt Geräte ins Netz; das Admin-Passwort öffnet die Verwaltungsoberfläche, in der Portfreigaben, Fernzugriff und alle anderen Einstellungen liegen. Wer nur das WLAN-Passwort ändert, hat einer Person mit Admin-Zugang nichts entzogen. Beide Passwörter müssen eigenständig und stark sein.

Kameras und Türklingeln: Wer sieht mit?

Eine Kamera, die den Hauseingang filmt, dokumentiert Ihr Kommen und Gehen. Solange nur Sie die Aufnahmen sehen, ist das Schutz; sobald jemand anderes Zugriff auf das Konto hat, ist es Überwachung. Prüfen Sie deshalb weniger die Kamera als das Konto dahinter:

• Zugriffsliste: Mit wem ist die Kamera oder Türklingel geteilt? Alte Einladungen (Ex-Partner, frühere Mitbewohner, „nur mal zum Testen" der Nachbar) bleiben aktiv, bis sie jemand entfernt.
• Cloud oder lokal: Cloud-Aufzeichnung bedeutet, dass die Aufnahmen beim Anbieter liegen und mit den Kontodaten von überall abrufbar sind. Lokale Speicherung reduziert diese Angriffsfläche, verlangt aber eigene Sicherung.
• Aufbewahrung: Wie lange liegen Aufnahmen vor und wer kann sie herunterladen? Kürzere Fristen sind oft die bessere Einstellung.
• Konto härten: Kamera-Konten brauchen ein eigenes, starkes Passwort und Zwei-Faktor-Authentifizierung; ein übernommenes Kamera-Konto ist ein Livebild aus Ihrer Wohnung.
• Innenkameras sparsam einsetzen: Eine Kamera im Wohnraum beobachtet im Zweifel Sie, nicht den Einbrecher. Was es nicht gibt, kann niemand mitlesen; das Babyfon mit App zählt mit.

Sprachassistenten und Smart-Home-Zentralen

Ein Sprachassistent ist ein Mikrofon mit Konto. Die Frage ist auch hier nicht, ob das Gerät „sicher" ist, sondern wer über das Konto und den Haushalt darauf zugreifen kann:

• Haushalts-Freigaben: Sprachassistenten und Smart-Home-Zentralen kennen „Haushalte" oder „Familien" mit mehreren Mitgliedern. Prüfen Sie, wer Mitglied ist; ein Mitglied sieht je nach System Geräte, Routinen und teils die Anwesenheit.
• Sprachverläufe: Die Verläufe der Sprachbefehle lassen sich einsehen und löschen; sie zeigen, wer wann zu Hause war und was besprochen wurde, soweit es als Befehl erkannt wurde.
• Verknüpfte Drittanbieter: Skills, Routinen und verbundene Apps erweitern den Zugriff. Was nicht genutzt wird, wird getrennt.
• Bestellungen und Aktionen per Stimme: Wo Käufe oder Türöffnungen per Sprache möglich sind, gehört eine PIN davor.

Alte Zugänge aufräumen — nach Trennungen entscheidend

Wer den Router eingerichtet hat, kennt möglicherweise bis heute das Admin-Passwort, hat Portfreigaben oder einen VPN-Zugang ins Heimnetz angelegt oder die Fernzugriffs-App des Herstellers auf dem eigenen Handy. Dasselbe gilt für Kamera-, Türklingel- und Smart-Home-Konten, die auf die andere Person registriert sind. Die typischen Zugriffswege im Überblick:

Einzelne dieser Einstellungen nachträglich zu suchen ist fehleranfällig; der saubere Schnitt ist gründlicher und schneller:

1. Router auf Werkseinstellungen zurücksetzen und neu einrichten, mit neuem Admin-Passwort und neuem WLAN-Passwort.
2. Portfreigaben, VPN-Zugänge und Fernzugriff im neuen Setup bewusst leer lassen beziehungsweise deaktiviert lassen.
3. Kameras, Türklingel und Smart-Home-Geräte auf ein eigenes, neues Konto umziehen oder zurücksetzen; geteilte Zugriffe entfernen. Geräte, die sich nicht sauber übertragen lassen, im Zweifel ersetzen.
4. Danach die Geräteliste kontrollieren: Alles, was Sie nicht zuordnen können, bleibt draußen.

Wie Sie in dieser Konstellation insgesamt vorgehen, von gemeinsamen Konten bis zum Fahrzeug, beschreibt Wenn die Bedrohung aus der Familie kommt. Ob Ihr Smartphone selbst überwacht wird, klärt Stalkerware erkennen; der Router-Reset ersetzt diese Prüfung nicht.

Netzwerk trennen: IoT ins Gastnetz

Ein Gastnetz (bei der Fritz!Box als „Gastzugang" in wenigen Klicks aktiviert) trennt Geräte voneinander: Was im Gastnetz hängt, erreicht Ihre Computer, Ihr NAS und Ihre Smartphones nicht. Das ist der Grund, warum das BSI die Trennung empfiehlt. Smarte Steckdosen, Glühbirnen und der Saugroboter bekommen selten lange Sicherheitsupdates; wird eines dieser Geräte übernommen, endet der Zugriff im Gastnetz statt bei Ihren persönlichen Daten. Besucher gehören aus demselben Grund dorthin: nicht aus Misstrauen, sondern weil deren Geräte nicht Ihr Problem sein sollten.

Wichtig ist, was das Gastnetz nicht löst: Es trennt Geräte innerhalb des Heimnetzes, ändert aber nichts an den Cloud-Konten. Eine Kamera im Gastnetz sendet ihr Bild weiterhin an jeden, der Zugriff auf das Kamera-Konto hat. Netztrennung und Kontenhygiene sind zwei getrennte Aufgaben, und im Trennungskontext ist die zweite die wichtigere.

Was Ihr Heimnetz über Ihren Wohnort verrät

• Der WLAN-Name ist in Funkreichweite für jeden sichtbar, auch von der Straße aus. Ein Name mit Nachnamen oder Wohnungsbezug bestätigt jeder Person vor dem Haus, dass sie richtig steht. Neutral benennen kostet nichts.
• Gerätenamen wie „iPhone von Vorname Nachname" sind im Netz und teils per Funk in der Umgebung sichtbar; auch hier gilt: neutral benennen.
• Standortdienste großer Anbieter erfassen WLAN-Netze als Ortungshilfe. Ein neutraler Netzname gibt auch in solchen Datenbanken keinen Personenbezug preis.
• Nachbarschafts-Apps und Umgebungsfunktionen: Dienste mit Nachbarschaftsbezug zeigen je nach Einstellung Ihr Viertel oder Ihre Straße im Profil. Prüfen Sie dort die Standort- und Sichtbarkeitsangaben mit derselben Sorgfalt wie in sozialen Netzwerken.

Die jährliche Prüfroutine

1. Geräteliste im Router durchgehen; Unbekanntes aussperren.
2. Firmware-Stand prüfen: Router, Kameras, Türklingel, Zentrale. Auto-Update an, wo es das gibt; Geräte ohne Updates seit Jahren ersetzen oder ins Gastnetz verbannen.
3. Zugriffslisten aller Smart-Home- und Kamera-Konten: Wer hat noch Zugang und braucht ihn noch?
4. Portfreigaben, VPN-Zugänge und Fernzugriff: Ist alles davon noch gewollt? Im Zweifel abschalten.
5. Passwörter der kritischen Konten prüfen und Zwei-Faktor-Authentifizierung aktivieren, wo sie fehlt.

Der Jahresrhythmus gilt für den Normalfall. In einer konkreten Bedrohungslage, etwa nach einer Trennung mit Kontrollverhalten, gehört die komplette Runde an den Anfang und danach in einen deutlich kürzeren Takt, bis sich die Lage beruhigt hat. Notieren Sie sich dabei offline, was Sie wann geändert haben: Diese Liste hilft, den Überblick zu behalten, und ist im Zweifel Teil Ihrer Dokumentation.