Router absichern 2026: Die acht Einstellungen, die das BSI nennt

Einen Router absichern heißt, das Passwort seiner Weboberfläche, seine Funkverschlüsselung und seine offenen Dienste so einzustellen, dass weder jemand aus dem Internet noch jemand aus der Nachbarschaft ins Heimnetz kommt — und das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt dafür acht Schritte, nicht vier. Zwei davon dauern keine fünf Minuten: das Standardpasswort der Weboberfläche ändern und automatische Firmware-Updates einschalten. Das aufgedruckte WLAN-Passwort dagegen ist bei heutigen Geräten meist kein Problem — das BSI nennt 20 Zeichen ab Werk ausdrücklich als Regelfall. Stand: September 2026.

Das Wichtigste in Kürze

• Das BSI nennt acht Basis-Tipps für das Heimnetz, nicht vier: Router-Passwort, Updates, WLAN-Passwort, Netzwerkname, Firewall, Verschlüsselung, Fernzugriff, Gastnetz.
• Zwei Passwörter, zwei Regeln: mindestens acht Zeichen aus mehreren Zeichenarten für die Weboberfläche, mindestens 20 zusammenhanglose Zeichen für das WLAN.
• Unterstützt euer Router weder WPA2 noch WPA3, rät das BSI nicht zu einer Einstellung, sondern zum Gerätewechsel.
• WPS taucht in den acht Verbraucher-Tipps gar nicht auf — geregelt ist es nur in der Technischen Richtlinie des BSI für Router, und dort restriktiv.

Anzeige / Transparenz: Dieser Artikel enthält Partner-Links. Kauft ihr über einen solchen Link, erhalten wir eine kleine Provision. Für euch bleibt der Preis identisch.

Welche Router-Einstellungen das BSI wirklich empfiehlt

Es sind acht, nicht vier. Das BSI fasst seine Empfehlungen für Privathaushalte in der Broschüre „Wegweiser kompakt — 8 Tipps für ein sicheres Heimnetzwerk“ zusammen (Artikelnummer BSI-IFB 23/150); die ausführliche Fassung steht auf der Seite Sicherheitstipps für privates und öffentliches WLAN. Wer eine Vierer-Liste liest, liest eine Verkürzung, keine Behördenvorgabe.

Die Reihenfolge der acht Punkte ist keine Rangfolge nach Wirkung, sondern eine Reihenfolge nach Handgriffen: Das BSI beginnt mit dem, was man beim ersten Einloggen ohnehin vor sich hat, und arbeitet sich durch das Menü. Genau deshalb lohnt es sich, die Liste einmal von oben nach unten abzuarbeiten, statt sich den vermeintlich wichtigsten Punkt herauszupicken.

Die acht Basis-Tipps aus dem BSI-Wegweiser, in der Reihenfolge der Broschüre. Die Menübezeichnungen stammen ebenfalls aus dem BSI-Text; das Amt schreibt dazu ausdrücklich, je nach Routermodell und Firmware-Version könnten „Begrifflichkeiten geringfügig abweichen“. Die genauen Pfade stehen im Handbuch eures Geräts.

Router-Passwort und WLAN-Passwort: zwei Passwörter, zwei Regeln

Symbolbild — KI-generiert / MonsterDealz

Für die Weboberfläche empfiehlt das BSI „Passwörter mit mindestens acht Zeichen und aus verschiedenen Zeichenarten wie Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen“, für das WLAN dagegen mindestens 20 zusammenhanglose Zeichen. Das sind zwei völlig verschiedene Anforderungen an zwei völlig verschiedene Schlüssel — und genau diese Verwechslung steckt hinter der verbreiteten Warnung, das aufgedruckte Werkspasswort sei gefährlich.

Gefährlich ist das Standardpasswort der Verwaltung. Dazu schreibt das BSI: Es gebe „immer noch Router, die mit Standardpasswörtern wie ‚admin‘ oder ‚1234′ ausgeliefert werden“, und „solche Zugangscodes sollten Sie sofort ändern, denn auch Angreifer kennen (und nutzen!) diese Standardpasswörter“. Das aufgedruckte WLAN-Passwort dagegen ist bei aktuellen Geräten in der Regel schon sicher: „In der Regel haben die Router werksseitig bereits ein sicheres WLAN-Passwort eingestellt, das aus 20 Zeichen besteht.“

Diese 20 Zeichen sind kein Zufall, sondern eine Herstellervorgabe. In der Technischen Richtlinie BSI TR-03148 „Secure Broadband Router“ steht, dass die ab Werk konfigurierte Passphrase mindestens 20 Stellen haben soll und keine Informationen enthalten darf, die sich aus dem Gerät selbst ableiten lassen — also weder Hersteller noch Modellname noch MAC-Adresse. Für das Verwaltungspasswort verlangt dieselbe Richtlinie mindestens acht Zeichen aus mehreren Zeichenklassen. Ein Router, der beides einhält, kommt also bereits brauchbar aus dem Karton; verlassen solltet ihr euch darauf trotzdem nicht, sondern nachsehen.

Gegenüberstellung nach den Vorgaben aus dem BSI-Wegweiser und der Seite „Sicherheitstipps für privates und öffentliches WLAN“, abgerufen am 15. September 2026. Wörtlich heißt es beim WLAN-Passwort: „Sofern das WLAN-Passwort weniger als 20 Zeichen besitzt, sollte es geändert werden.“ Und: Das WLAN-Passwort darf niemals dasselbe sein wie das der Weboberfläche.

Wenn ihr das WLAN-Passwort ändert, müsst ihr es anschließend auf jedem Gerät neu eintragen — vom Fernseher über die Spielkonsole bis zum Saugroboter. Wo ihr das aktuelle Passwort auf den verschiedenen Geräten nachschlagt, ohne den Router zurückzusetzen, haben wir im Ratgeber WLAN-Passwort anzeigen zusammengestellt.

WPA2 oder WPA3: Was die Verschlüsselung ändert

Symbolbild — KI-generiert / MonsterDealz

Das BSI nennt beide Standards gleichrangig: „WPA2 und WPA3 beschreiben die aktuell sichersten Verschlüsselungsmethoden für WLAN-Netze.“ Alles davor ist ausgemustert — das Verbraucherportal Baden-Württemberg, herausgegeben vom baden-württembergischen Verbraucherschutzministerium, schreibt zur Absicherung von Router und WLAN, die WEP-Verschlüsselung dürfe nicht mehr verwendet werden, da sie keinen ausreichenden Schutz biete.

Umgestellt wird das im Menü unter WLAN und dort unter Sicherheit: Dort steht der WLAN-Modus, der auf WPA2 oder WPA3 gehört, darunter der WLAN-Schlüssel. Viele Geräte bieten einen kombinierten Modus an, in dem sich sowohl WPA2- als auch WPA3-fähige Geräte anmelden können — das ist der praktikable Weg, solange noch ältere Drucker, Kameras oder Lautsprecher im Haushalt hängen, die WPA3 nicht beherrschen.

Der interessanteste Satz des BSI zu diesem Punkt ist aber kein Einstellungshinweis, sondern ein Kaufhinweis: „Falls Ihr Router keinen dieser beiden Standards unterstützt, sollten Sie auf ein neues Router-Modell umsteigen.“ Für ein Gerät ohne WPA2 gibt es also keine Einstellung, die das Problem löst. Die Technische Richtlinie TR-03148 zieht dieselbe Linie auf der Herstellerseite: Ein Router muss WPA2 oder neuer für jedes private und jedes Gastnetz unterstützen, und die Verschlüsselung muss in den Werkseinstellungen bereits aktiv sein, sofern das WLAN ab Werk eingeschaltet ist.

Rechnet damit, dass die Umstellung auf WPA3 einzelne Altgeräte aussperrt. Wenn nach dem Wechsel ausgerechnet der Drucker fehlt, liegt das häufiger am Standard oder am Frequenzband als am Passwort — die Reihenfolge, in der ihr das prüft, steht im Ratgeber Drucker mit WLAN verbinden.

Firmware-Updates: der Punkt, an dem die anderen sieben hängen

Von den acht Tipps ist dieser der einzige, der dauerhaft wirkt, ohne dass ihr etwas tut — vorausgesetzt, ihr schaltet ihn einmal ein. Das BSI rät, in der Benutzeroberfläche unter System nach dem Auto-Update zu suchen und die Einstellung „Über neue Versionen informieren und neue Versionen automatisch installieren (empfohlen)“ zu übernehmen. Wer seinen Router vom Internetanbieter bekommen hat, soll dort nachfragen, ob die Firmware regelmäßig über eine Fernwartung aktualisiert wird.

Warum das kein Nebenpunkt ist, zeigt der Lagebericht des BSI. Im Berichtszeitraum Juli 2024 bis Juni 2025 wurden nach dem Kapitel zu Botnetzen durchschnittlich 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Zeitraum davor. Bei den Botnetzen dominierten zwei Familien, BadBox und Vo1d, die „teilweise bereits ab Werk auf betroffenen IoT-Systemen, vor allem TV-Set-Top-Boxen, vorinstalliert bzw. für diese konzipiert sind“; BadBox war mit bis zu 58 Prozent der infizierten Systeme das größte in Deutschland aktive Botnetz. Der Router ist in dieser Rechnung nicht das Ziel, sondern die Tür: Er steht zwischen diesen Geräten und dem Internet.

Wichtig ist die Zuständigkeitsfrage, und die fällt anders aus, als viele annehmen. Die Verbraucherzentrale schreibt zum Wechsel des Internetrouters klar: „Sie sind für das Einspielen von Updates selber verantwortlich.“ Wer also einen eigenen Router betreibt statt des Anbietergeräts, übernimmt damit auch die Update-Pflicht — ein Argument für das automatische Update, nicht gegen den eigenen Router.

Fernzugriff, WPS und ungenutzte Dienste: Was abgeschaltet gehört

Symbolbild — KI-generiert / MonsterDealz

Das BSI formuliert diesen Punkt als Regel, nicht als Liste: „Deaktivieren Sie auf Ihrem Router daher alle Dienste, die Sie nicht benötigten.“ Namentlich genannt wird der Fernzugang — viele Router lassen sich von außerhalb des Heimnetzes konfigurieren, und das Amt rät, diese Funktion zu deaktivieren, falls ihr sie nicht braucht. Im Menü sucht ihr dafür unter Internet nach Freigabe und entfernt den Haken bei „Internetzugriff auf Router aktiviert“.

Die Firewall dagegen müsst ihr in aller Regel gar nicht anfassen. Das BSI stellt fest, sie sei standardmäßig aktiviert, und rät ausdrücklich davon ab, an ihr zu drehen: Ändert die Einstellungen „nur, wenn Sie entsprechende Kenntnisse über die einzelnen Ports besitzen“. Tipp fünf heißt deshalb „Status der Firewall prüfen“ und nicht „Firewall konfigurieren“ — es geht um einen Blick, nicht um einen Eingriff.

Und WPS? Der Knopf zum schnellen Anmelden neuer Geräte kommt in den acht Verbraucher-Tipps überhaupt nicht vor, und auch auf der ausführlichen BSI-Seite zum WLAN steht kein Wort dazu. Geregelt ist WPS nur auf der Herstellerebene, in der TR-03148: Die PIN-Variante darf demnach nur angeboten werden, wenn sie im ausgelieferten Zustand deaktiviert ist und für jedes neu angemeldete Gerät eine neue PIN erzeugt wird; WPS über NFC soll ab Werk ebenfalls abgeschaltet sein. Die Tastenvariante und die Anmeldung per USB-Stick sind ausdrücklich erlaubt. Wer WPS also gar nicht nutzt, schaltet es nach der allgemeinen Regel „alles Ungenutzte aus“ ab — eine eigene BSI-Warnung davor gibt es aber nicht, und wer etwas anderes behauptet, hat die Richtlinie mit den Verbrauchertipps verwechselt.

Gastnetz und Smart Home: Trennen bringt mehr als der MAC-Filter

Symbolbild — KI-generiert / MonsterDealz

Das Gastnetz ist Tipp acht und der einzige der acht, der Geräte voneinander trennt statt sie nur besser zu verriegeln. Das BSI beschreibt den Zweck so: „Mit einem Gast-Netzwerk trennen Sie z. B. die Geräte Ihrer Gäste von Ihren eigenen Geräten, auf denen Sie sensible Dienste wie Onlinebanking oder Homeoffice-Anwendungen nutzen.“ Eingerichtet wird es unter WLAN → Gastzugang, mit eigenem Netzwerknamen, eigenem Schlüssel und, wenn das Gerät es anbietet, ebenfalls mit WPA2 oder WPA3.

Der praktische Gewinn liegt weniger beim Besuch als bei den vernetzten Geräten, die ihr nicht selbst aktuell halten könnt: Saugroboter, Steckdosen, Überwachungskameras, Fernseher. Das BSI nennt als Adressaten des Gastnetzes ausdrücklich auch „unsichere Geräte“. Landen sie dort, erreichen sie zwar weiter das Internet, aber nicht mehr den Rechner mit den Steuerunterlagen. Was ein Fernseher im Heimnetz nebenbei mitschneidet und wo ihr das abstellt, steht im Ratgeber zum Smart-TV-Datenschutz.

Den MAC-Filter führt das BSI dagegen nicht unter den acht Basis-Tipps, sondern unter „Erweiterte Einstellungen“: Wenn euer Router die Möglichkeit biete, einen MAC-Filter einzurichten, dann nutzt sie — nur den freigegebenen Netzwerkkarten wird nach Prüfung ihrer Adresse der Zugang gestattet. Im Alltag ist dieser Punkt der mühsamste der ganzen Liste, weil aktuelle Smartphones ihre MAC-Adresse je Netzwerk zufällig erzeugen (Android nennt es randomisierte MAC-Adresse, Apple private WLAN-Adresse). Jedes neue Gerät und jede zurückgesetzte Verbindung bedeutet dann einen neuen Eintrag von Hand. Die Trennung über ein Gastnetz erreicht mit einem Handgriff mehr als eine Geräteliste, die ihr laufend pflegen müsst.

Für den Besuch spart ihr euch das Buchstabieren des 20-Zeichen-Schlüssels ohnehin besser: Ein ausgedruckter Code an der Pinnwand erledigt die Anmeldung ins Gastnetz in zwei Sekunden. Wie ihr ihn erzeugt und worauf ihr bei Generatoren im Netz achten müsst, steht im Ratgeber WLAN-QR-Code.

Wer im Netz hängt — und wann der Router ersetzt gehört

Für die Frage „hängt da jemand Fremdes drin?“ gibt es in den acht BSI-Tipps keinen eigenen Punkt; die Geräteliste eures Routers beantwortet sie trotzdem am schnellsten. Jeder aktuelle Router führt unter Heimnetz oder Netzwerk auf, welche Geräte verbunden sind und welche jemals verbunden waren. Rechnet dabei mit zwei Effekten: Geräte ohne übermittelten Hostnamen erscheinen nur mit ihrer IP-Adresse, und wegen der zufälligen MAC-Adressen moderner Smartphones lässt sich nicht jeder Eintrag einem Hersteller zuordnen. Ein unbekannter Name ist deshalb noch kein Einbruch — ein Gerät, das auch nach dem Abschalten aller eigenen Geräte weiter aktiv ist, dagegen schon.

Der härtere Fall ist das Support-Ende. Die TR-03148 verpflichtet Hersteller, über das Ende der Unterstützung („End of Support“) zu informieren, und zwar über dieselbe Stelle, an der das Gerät auch sonst Informationen anzeigt: die Router-Konfiguration. Ein Router, für den keine Firmware mehr erscheint, behält jede bis dahin bekannt gewordene Lücke dauerhaft — und genau das macht ihn zum Kandidaten für den Austausch, nicht sein Alter allein. Die Verbraucherzentrale rät in ihrem Ratgeber So stärken Sie Ihr WLAN zu Hause gegen Cyberangriffe in dieselbe Richtung: Geräte, die keine Sicherheitsupdates mehr erhalten, gehören ausgetauscht oder vom Netzwerk getrennt. Beim Neukauf nennt das BSI ein konkretes Kriterium: das IT-Sicherheitskennzeichen auf der Verpackung, dessen QR-Code auf eine Produktinformationsseite des Amtes führt.

MonsterDealz.de ist eine deutsche Deal-Community, die täglich geprüfte Schnäppchen kuratiert — in unserem eigenen Bestand stehen 110 Deal-Beiträge zu Routern, 87 davon zu FRITZ!Box-Modellen, der älteste vom März 2020. Von unseren 1.233 veröffentlichten Magazin-Ratgebern drehen sich elf um WLAN oder Router; die Absicherung behandelt dieser hier als erster.

Dass ihr überhaupt frei wählen könnt, ist keine Selbstverständlichkeit, sondern eine Regel: Seit dem 1. August 2016 dürfen Anbieter kein bestimmtes Gerät vorschreiben, und die nötigen Zugangsdaten müssen sie laut Verbraucherzentrale „unaufgefordert und kostenlos“ herausgeben. Welche Bauart an euren Anschluss passt, hängt an der Technik davor — für Glasfaser haben wir das im Ratgeber Router für Glasfaser aufgeschlüsselt, die Auswahl nach Wohnungsgröße und Tempo im Ratgeber Bester WLAN-Router.

Ein Beispiel aus der Praxis: Für die EasyBox nennt Vodafone ab Werk den Benutzernamen root und das Kennwort 123456, bei Vodafone Station und Connect Box steht das Gerätepasswort auf dem Aufkleber. Wie ihr in die Oberfläche kommt und das Kennwort ändert, zeigt unser Ratgeber zum Vodafone Router Login.

Router absichern: Vor- & Nachteile

Häufige Fragen zur Router-Absicherung

Ist WPS ein Sicherheitsrisiko?

In den acht Verbraucher-Tipps des BSI kommt WPS nicht vor, eine Warnung davor gibt es dort also nicht. Geregelt ist es in der Technischen Richtlinie TR-03148, und zwar nur für die PIN-Variante: Sie darf im ausgelieferten Zustand nicht aktiv sein, und für jedes neu angemeldete Gerät muss eine neue PIN erzeugt werden. Die Tastenvariante bleibt erlaubt. Praktisch heißt das: Nutzt ihr WPS nicht, schaltet es nach der allgemeinen Regel ab, alles Ungenutzte zu deaktivieren.

Wie oft sollte ich das WLAN-Passwort ändern?

Ein Intervall nennt das BSI nicht. Maßgeblich ist die Länge: „Sofern das WLAN-Passwort weniger als 20 Zeichen besitzt, sollte es geändert werden.“ Ein regelmäßiger Wechsel ohne Anlass bringt nichts und kostet euch jedes Mal die Neuanmeldung sämtlicher Geräte. Anlässe für einen Wechsel gibt es dagegen genug: Das Passwort war einem größeren Kreis bekannt, ein verlorenes Gerät hatte es gespeichert, oder es ist kürzer als 20 Zeichen.

Warum sind Standardpasswörter das größte Risiko?

Weil sie öffentlich bekannt sind. Das BSI formuliert es so: Auch Angreifer kennen und nutzen Standardpasswörter wie „admin“ oder „1234″. Ein solcher Zugang muss nicht geknackt werden, er muss nur gefunden werden — und dafür genügt ein automatisierter Scan. Wichtig ist dabei die Unterscheidung: Gemeint ist das Passwort der Weboberfläche, nicht der aufgedruckte WLAN-Schlüssel, der bei aktuellen Geräten in der Regel schon 20 Zeichen hat.

Brauche ich ein VPN für den Zugriff auf mein Heimnetz?

Wenn ihr von unterwegs auf Geräte zu Hause zugreift, ja. Die Polizeiliche Kriminalprävention der Länder und des Bundes rät in ihren Tipps zu öffentlichen WLAN-Hotspots, eine VPN-Verbindung zu nutzen, wenn ihr vertrauliche Daten über einen Hotspot abruft, und empfiehlt sie besonders für den Zugriff auf das eigene Heimnetzwerk und für Smart-Home-Anwendungen. Das BSI rät ebenfalls dazu, vertrauliche Daten in fremden Netzen möglichst nur über ein VPN abzurufen. Ein VPN ersetzt aber nicht den abgeschalteten Fernzugriff auf die Router-Oberfläche — es ist der sichere Weg dorthin, nicht ein zusätzlicher offener.

Muss ich den MAC-Filter wirklich einrichten?

Das BSI führt ihn unter „Erweiterte Einstellungen“, nicht unter den acht Basis-Tipps — er ist also eine Ergänzung, keine Grundlage. Rechnet mit erheblichem Pflegeaufwand: Weil aktuelle Smartphones ihre MAC-Adresse je Netzwerk zufällig erzeugen, müsst ihr bei jedem neuen Gerät und nach jedem Zurücksetzen einer Verbindung nachtragen. Wer die acht Basis-Tipps umgesetzt und ein Gastnetz eingerichtet hat, gewinnt durch den Filter wenig hinzu.

Mein Router bekommt keine Updates mehr — muss ich ihn ersetzen?

Ja, oder ihr nehmt ihn vom Netz. Die Verbraucherzentrale rät, Geräte ohne Sicherheitsupdates auszutauschen oder vom Netzwerk zu trennen, und die TR-03148 verpflichtet Hersteller, das Support-Ende in der Router-Konfiguration anzuzeigen. Schaut also zuerst dort nach, statt euch am Kaufdatum zu orientieren. Fällt die Entscheidung für ein neues Gerät, achtet auf das IT-Sicherheitskennzeichen des BSI auf der Verpackung; das alte Gerät könnt ihr hinter dem neuen weiterbetreiben, dann aber ohne eigene Internetverbindung.

Fazit: Einmal von oben nach unten durch das Menü

Die Absicherung eines Routers ist keine Frage von vier klugen Einstellungen, sondern eine Liste von acht Handgriffen, die das BSI in der Reihenfolge des Menüs sortiert hat. Wer sie einmal von oben nach unten abarbeitet, braucht dafür eine halbe Stunde und hat danach den Teil erledigt, der dauerhaft wirkt: das automatische Update, die Verschlüsselung, den abgeschalteten Fernzugriff und das Gastnetz für alles, was ihr nicht selbst aktuell halten könnt.

Zwei Dinge lassen sich dabei nicht durch Einstellungen lösen, und beide enden beim Gerät: ein Router ohne WPA2 und ein Router ohne Firmware-Nachschub. Beides ist kein Grund zur Eile, aber ein Grund, den Nachfolger in Ruhe auszusuchen — nicht erst dann, wenn ohnehin gerade nichts mehr geht. Wenn euer WLAN dagegen nur langsam ist, ist die Absicherung der falsche Hebel: Die richtige Prüfreihenfolge steht im Ratgeber WLAN-Störung beheben. Tagesaktuelle Angebote rund um Netzwerk und Technik findet ihr auf unserer Startseite.