Muss ich WPS ausschalten?

Das BSI nennt die WPS-PIN-Methode unter den Diensten, die grundsätzlich abzuschalten sind. Ein Landes-Factsheet lässt nur die Tastendruckmethode zu. Wer WPS nicht braucht, schaltet es ganz ab.

Woran erkenne ich, dass mein Router keine Updates mehr bekommt?

Die Technische Richtlinie TR-03148 verlangt, dass Hersteller das Supportende in der Routerkonfiguration anzeigen. Ob ein älteres Gerät das tut, hängt vom Modell ab; dann bleibt nur der Blick auf die Herstellerseite und das Datum der letzten Firmware.

Muss ich den Router meines Internetanbieters nehmen?

Nein. Anbieter dürfen Geräte überlassen, aber Anschluss und Nutzung nicht zwingend vorschreiben (§ 73 TKG). Wer ein eigenes Gerät verwendet, muss Sicherheitsupdates selbst im Blick behalten.

Netzwerk und Hardware

Router absichern: Die wichtigsten Einstellungen für DSL-, Kabel- und Glasfaserrouter

Ein Router ist abgesichert, wenn die Firmware aktuell ist, Router- und WLAN-Passwort unterschiedlich und lang sind, WPA2 oder WPA3 gilt und nicht benötigte Dienste wie Fernzugriff, WPS-PIN und UPnP aus sind. Das BSI fasst diese Schritte in einer Checkliste mit acht Punkten zusammen.

Stand: 11. November 2026 · ca. 7 Min. Lesezeit · 11 Quellen

Der Router ist das zentrale Gerät jedes Büro- und Haushaltsnetzes. Das BSI beschreibt ihn für kleine und mittlere Unternehmen als häufig einzige zentrale Sicherheitskomponente zum Schutz des internen Netzes. Gelingt Angreifern der Zugriff, können sie Passwörter und E-Mails ausspähen, die Telefonleitung für teure Nummern missbrauchen oder den Anschluss für Spam und DDoS-Angriffe nutzen. (Quelle: allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf, BSI-CS 131, Version 1.00 vom 24.04.2018)

Welche Einstellungen sind am wichtigsten?

Das BSI nennt für das Heimnetz acht Basis-Tipps. Sie gelten sinngemäß auch für ein kleines Büro (Quelle: bsi.bund.de/…/Wegweiser_kompakt_Router_einrichten.pdf):

Standard-Passwort der Weboberfläche ändern.
Firmware mit automatischen Updates aktuell halten.
Ein langes, komplexes WLAN-Passwort vergeben.
Den voreingestellten Netzwerknamen ändern.
Den Status der Firewall prüfen.
Eine sichere WLAN-Verschlüsselung wählen.
Den Fernzugriff deaktivieren.
Ein Gastnetzwerk einrichten.

Das BSI weist darauf hin, dass sich Menübezeichnungen je nach Routermodell und Firmware-Version unterscheiden. Genaue Schritte stehen im Handbuch des Geräts.

Achtung: Vor Änderungen an den Einstellungen sollten Sie eine Sicherung der aktuellen Konfiguration anlegen und die Oberfläche über HTTPS aufrufen. (Quelle: cybersicherheit-bw.de/…/Factsheet_Konfiguration_Home-Router.pdf, Stand 05.2023)

Wie halte ich die Firmware aktuell?

Aktivieren Sie die automatische Installation von Sicherheitsupdates, sofern der Router sie anbietet. Andernfalls prüfen Sie regelmäßig selbst, ob neue Firmware vorliegt, und installieren sicherheitsrelevante Updates. Firmware-Updates können vom Hersteller oder vom Internetanbieter kommen, je nachdem, wer das Gerät geliefert hat. (Quelle: allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf)

Bei einer FRITZ!Box liegt die Einstellung laut Hersteller unter „System“, „Update“, Reiter „Auto-Update“. Stufe III installiert neue Versionen automatisch und ist laut Hersteller standardmäßig aktiv; Stufe II installiert nur als notwendig gekennzeichnete Updates wie Sicherheitsupdates; Stufe I informiert nur. Bei der Installation werden Internet- und Telefonverbindungen kurz unterbrochen. (Quelle: fritz.com/de-at/blogs/fritz-entdecken/sicherheit-automatische-updates-…)

Wie lange liefern Hersteller Updates?

Eine gesetzliche Mindestdauer für Router-Updates gibt es nicht. Das BSI empfahl 2018 beim Kauf, Hersteller oder Anbieter zu bevorzugen, die in der Vergangenheit mindestens fünf Jahre lang Software-Updates für ihre Modelle bereitgestellt haben. (Quelle: allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf)

Die Technische Richtlinie BSI TR-03148 („Secure Broadband Router“) enthält Anforderungen an Hersteller. Nach der Fassung 1.2 vom 16.01.2023 muss der Hersteller angeben, wie lange Updates für Schwachstellen mit hohem Schweregrad (CVSS-Wert ab 7,0) bereitgestellt werden. Ist das Supportende erreicht, muss das in der Routerkonfiguration angezeigt werden. Firmware-Pakete müssen vor der Installation auf Echtheit geprüft werden. Die Richtlinie richtet sich an Hersteller von Routern für kleine Büros und Heimarbeitsplätze, sie ist keine Einstellpflicht für Anwender. (Quelle: bsi.bund.de/…/TR03148.pdf)

Ein Router, dessen Hersteller keine Sicherheitsupdates mehr liefert, gehört deshalb zu den Geräten, die Sie ersetzen sollten. Die Verbraucherzentrale rät allgemein, Geräte ohne Sicherheitsupdates zu ersetzen oder zumindest aus dem kritischen Netzwerk auszuschließen. (Quelle: verbraucherzentrale.de/wissen/…/so-staerken-sie-ihr-wlan-zu-hause-gegen-cyberangriffe-87633, Stand 19. Oktober 2023)

Beim Neukauf kann das IT-Sicherheitskennzeichen des BSI für Router als Kaufkriterium dienen. Dahinter steht die Zusicherung des Herstellers, dass das Produkt den Sicherheitsanforderungen des BSI entspricht; Details zeigt die Produktinformationsseite hinter dem QR-Code auf der Verpackung. (Quelle: bsi.bund.de/…/Wegweiser_kompakt_Router_einrichten.pdf)

Welche Passwörter braucht ein Router?

Ein Router hat zwei verschiedene Passwörter, die nicht identisch sein sollten: eines für die Weboberfläche und eines für das WLAN. Das BSI weist ausdrücklich darauf hin, dass das WLAN-Passwort nicht dem Passwort der Benutzeroberfläche entsprechen darf. Standardpasswörter wie „admin“ oder „1234“ müssen bei der ersten Konfiguration ersetzt werden. (Quellen: bsi.bund.de/…/Wegweiser_kompakt_Router_einrichten.pdf, allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf)

Für das WLAN empfiehlt das BSI ein Passwort aus mindestens 20 zusammenhanglosen Zeichen. Ist das vorhandene kürzer, sollte es geändert werden. Für die Weboberfläche nannte BSI-CS 131 im Jahr 2018 mindestens acht Zeichen; als Maßstab gilt auch hier: je länger, desto besser. Ein Passwortmanager erleichtert den Umgang mit langen Zufallspasswörtern, siehe Passwort-Manager und Zwei-Faktor-Authentisierung. (Quellen: bsi.bund.de/…/Wegweiser_kompakt_Router_einrichten.pdf, allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf)

Auch der Netzwerkname sollte nichts über Sie oder das Routermodell verraten, weil Standardnamen Rückschlüsse auf Hersteller oder Modell erlauben. (Quelle: cybersicherheit-bw.de/…/Factsheet_Konfiguration_Home-Router.pdf, Stand 05.2023)

WPA2 oder WPA3?

Am besten ist der gemischte Modus „WPA2 + WPA3“. Das Cybersicherheitsfactsheet des Landes Baden-Württemberg empfiehlt diesen Modus und für ältere Geräte ohne WPA3 den Modus WPA2 (CCMP). Die veralteten Verfahren WPA und WEP sollten Sie keinesfalls wählen. Das BSI nennt WPA2 und WPA3 als die aktuell sichersten Verschlüsselungsmethoden; unterstützt der Router keines von beiden, sollten Sie auf ein neues Modell umsteigen. (Quellen: cybersicherheit-bw.de/…/Factsheet_Konfiguration_Home-Router.pdf, bsi.bund.de/…/Wegweiser_kompakt_Router_einrichten.pdf)

Was sind WPS, UPnP und Fernzugriff, und müssen sie aus?

Das BSI rät, alle Dienste abzuschalten, die nicht gebraucht werden. Es nennt dabei grundsätzlich die WPS-PIN-Methode und UPnP-IGD. Mit UPnP-IGD können Netzwerkgeräte, zum Beispiel IoT-Geräte, selbstständig Portweiterleitungen auf dem Router einrichten. Vorhandene Portweiterleitungen sollten Sie regelmäßig auf ihre Notwendigkeit prüfen. (Quelle: allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf)

Bei WPS (Wi-Fi Protected Setup) kommt es auf die Variante an. Das Factsheet aus Baden-Württemberg empfiehlt, nur die Tastendruckmethode zuzulassen, weil bei den anderen Varianten immer wieder Sicherheitslücken entdeckt würden. Die Technische Richtlinie TR-03148 erlaubt PIN-basiertes WPS nur, wenn es im Auslieferungszustand deaktiviert ist und für jedes neu registrierte Gerät eine neue PIN erzeugt wird. (Quellen: cybersicherheit-bw.de/…/Factsheet_Konfiguration_Home-Router.pdf, bsi.bund.de/…/TR03148.pdf)

Fernzugriff aus dem Internet sollten Sie laut BSI deaktivieren, wenn er nicht genutzt wird. Das BSI beschreibt die Stelle dafür allgemein: unter „Internet“, „Freigabe“, Unterpunkte wie „Router-Dienste“ oder „Internetzugriff“; dort den Haken bei „Internetzugriff auf Router aktiviert“ entfernen. Ist der Zugriff aus dem Internet wirklich nötig, muss er verschlüsselt über HTTPS laufen, und das Passwort muss stärker sein als sonst. Das baden-württembergische Factsheet empfiehlt in diesem Fall, ihn von einer fachkundigen Person einrichten zu lassen. (Quellen: bsi.bund.de/…/Wegweiser_kompakt_Router_einrichten.pdf, allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf, cybersicherheit-bw.de/…/Factsheet_Konfiguration_Home-Router.pdf)

Bei FRITZ!Box-Geräten verweist das ältere Handbuch der FRITZ!Box 6840 LTE für den Zugriff aus dem Internet auf das Menü „Internet“, „Freigaben“, „FRITZ!Box-Dienste“. Jeder Benutzer, der von außen zugreifen will, braucht dort ein Benutzerkonto mit der Berechtigung für den Zugriff aus dem Internet. Menünamen können bei neueren Modellen und Versionen von FRITZ!OS abweichen. (Quelle: ch.fritz.com/fileadmin/…/6840_man_de.pdf)

Wie hilft das Gastnetz?

Ein getrenntes Gastnetz hält Besuchergeräte aus dem normalen WLAN fern. Außerdem lässt sich der Schlüssel des Gastzugangs unabhängig vom Schlüssel des normalen WLAN und häufiger ändern; ein nicht mehr benötigter Gastzugang sollte abgeschaltet werden. (Quelle: allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf) Einrichtung, Isolation und rechtliche Fragen behandelt der Artikel Gäste-WLAN einrichten.

Was gehört bei Telefonie und Sicherung dazu?

Wer den Router als Telefonanlage nutzt, kann Rufnummernbereiche wie 0900, 0137 und 0180 sowie ausgehende Auslandsanrufe sperren, wenn sie nicht gebraucht werden. Das BSI zieht die Sperre im Kundenportal des Internetanbieters vor, weil sie auch dann wirkt, wenn der Router kompromittiert ist. Die fertige Konfiguration sollte gesichert werden, damit sie sich bei Bedarf wieder laden lässt; die Konfigurationsdatei sollte sich per Passwort schützen lassen. Eine Zwei-Faktor-Authentifizierung für kritische Aktionen am Router sollte aktiviert werden, soweit der Router sie bietet. (Quelle: allianz-fuer-cybersicherheit.de/…/BSI-CS_131.pdf)

Darf ich einen eigenen Router verwenden?

Ja. Nach § 73 TKG endet das öffentliche Netz an einem passiven Netzabschlusspunkt. Anbieter dürfen Endgeräte überlassen, deren Anschluss und Nutzung aber nicht zwingend vorschreiben; notwendige Zugangsdaten müssen sie bei Vertragsschluss in Textform, unaufgefordert und kostenfrei bereitstellen. Wer ein Endgerät betreibt, muss für den fachgerechten Anschluss sorgen. Verursacht ein Gerät ernsthafte Schäden oder schädliche Störungen, kann die Bundesnetzagentur dem Netzbetreiber gestatten, den Anschluss zu verweigern. (Quelle: gesetze-im-internet.de/tkg_2021/__73.html)

Die Bundesnetzagentur stellte am 22.01.2025 klar, dass die freie Endgerätewahl auch für passive optische Glasfasernetze (PON) gilt; eine beantragte Ausnahme sei nicht gerechtfertigt. (Quelle: bundesnetzagentur.de/…/20250122_PON_Glasfaser.html) Die Verbraucherzentrale schreibt, die freie Routerwahl bestehe seit dem 1. August 2016, und weist darauf hin, dass einige Glasfaser-Anbieter weiterhin versuchen, eigene Geräte vorzugeben. Wer einen eigenen Router einsetzt, ist selbst für das Einspielen von Updates verantwortlich und sollte die automatische Update-Funktion aktivieren. Für Mietrouter mit WLAN oder höherwertigem Modell nennt sie als Orientierung drei bis sieben Euro monatlich Aufpreis. (Quelle: verbraucherzentrale.de/…/internetrouter-wechseln-das-muessen-sie-beachten-12893, Stand: 16. Juli 2026)

Und wenn der Router ausgedient hat?

Das Umweltbundesamt empfiehlt, noch funktionierende Geräte zu verkaufen oder zu verschenken. Elektroaltgeräte gehören nicht in den Hausmüll, und persönliche Daten auf Geräten sollten vor der Entsorgung gelöscht werden; die Verantwortung dafür liegt bei den Nutzenden. (Quelle: umweltbundesamt.de/umwelttipps-fuer-den-alltag/wohin-dem-elektroschrott-alte-elektrogeraete) Welche Rücknahmewege es gibt, steht im Artikel Alten PC weiterverwenden oder entsorgen.

Häufige Fragen

Muss ich WPS ausschalten?: Das BSI nennt die WPS-PIN-Methode unter den Diensten, die grundsätzlich abzuschalten sind. Ein Landes-Factsheet lässt nur die Tastendruckmethode zu. Wer WPS nicht braucht, schaltet es ganz ab.
Woran erkenne ich, dass mein Router keine Updates mehr bekommt?: Die Technische Richtlinie TR-03148 verlangt, dass Hersteller das Supportende in der Routerkonfiguration anzeigen. Ob ein älteres Gerät das tut, hängt vom Modell ab; dann bleibt nur der Blick auf die Herstellerseite und das Datum der letzten Firmware.
Muss ich den Router meines Internetanbieters nehmen?: Nein. Anbieter dürfen Geräte überlassen, aber Anschluss und Nutzung nicht zwingend vorschreiben (§ 73 TKG). Wer ein eigenes Gerät verwendet, muss Sicherheitsupdates selbst im Blick behalten.