Ein Heimnetzwerk abzusichern läuft auf eine kurze, wiederholbare Checkliste hinaus: das Standardpasswort des Routers ersetzen, WPA3 aktivieren, IoT-Geräte in ein Gastnetz auslagern, WPS abschalten, Ports schließen, die du nicht brauchst, Firmware einspielen und im Blick behalten, was tatsächlich verbunden ist. Nichts davon braucht Enterprise-Hardware. Hier ist jeder Schritt in der Reihenfolge, auf die es ankommt.
Fang damit an zu wissen, was in deinem Netz hängt
Du kannst nicht absichern, was du nicht siehst. Öffne die Admin-Seite deines Routers und schau dir die DHCP-Client- oder Geräteliste an. Sie zeigt IP- und MAC-Adressen, oft auch Hostnamen. Gleiche die ersten drei Bytes jeder MAC (die OUI) mit einem Vendor-Lookup ab, um auf den Hersteller zu schließen. Alles, was du nicht zuordnen kannst, wird untersucht.
Für ein vollständigeres Bild scannt nmap -sn 192.168.1.0/24 das ganze Subnetz und listet alle aktiven Hosts. Ein spezialisierter Scanner macht das schneller und ergänzt eine Identifikation. DeviceShelf findet jedes Gerät im LAN, löst Hostnamen über DNS, mDNS und NetBIOS auf, schätzt Betriebssystem und Gerätetyp und läuft komplett auf deinem Rechner, ohne Konto. Wenn du schon Fing nutzt: Die Seite zur Fing-Alternative beschreibt, was ein Local-First-Werkzeug anders macht.
Ändere zuerst das Standardpasswort des Routers
Standard-Admin-Zugangsdaten sind die meistausgenutzte Schwachstelle in Heimnetzwerken. Melde dich am Router an, ändere das Admin-Passwort auf etwas Langes und Einmaliges, und benenne bei der Gelegenheit die Standard-SSID um, falls sie das Modell verrät. Das ist der eine Schritt, der die häufigsten Angriffe aushebelt – also mach ihn vor allem anderen.
Schalte WPA3 ein, mindestens aber WPA2
Setze in den WLAN-Einstellungen die Verschlüsselung auf WPA3, wenn alle Geräte es unterstützen. Gemischte Netze können den WPA2/WPA3-Übergangsmodus nutzen. Vermeide WPA/WPA2-TKIP und betreibe niemals ein offenes Netz. Wähle eine WLAN-Passphrase mit mindestens 12 Zeichen, die du nirgends sonst wiederverwendest.
Steck IoT-Geräte in ein Gastnetz
Smart Plugs, Kameras und Fernseher sind das Unvertrauenswürdigste, was du besitzt, und viele funken ständig nach Hause. Verschiebe sie in ein Gast- oder separates SSID mit aktivierter Client-Isolierung, damit eine kompromittierte Glühbirne nicht an dein Notebook oder NAS herankommt. Die meisten Consumer-Router können das mit wenigen Klicks; Prosumer-Hardware lässt dich das in ein richtiges VLAN aufteilen.
Schalte WPS ab und prüfe UPnP
WPS (die Kopplung per Knopfdruck oder PIN) hat eine bekannte Brute-Force-Schwäche. Deaktiviere es. UPnP ist differenzierter: Es lässt Geräte automatisch eingehende Ports öffnen, was für Spielkonsolen bequem ist, aber unbemerkt Dienste ins Internet freigeben kann. Wenn du nicht darauf angewiesen bist, schalte es ab und leite Ports stattdessen manuell weiter.
Finde deine offenen Ports und riskanten Dienste
Hier tappen die meisten Heimanwender im Dunkeln. Ein Gerät mit Telnet (Port 23), offenem RDP (3389) oder einem unauthentifizierten Web-Panel ist ein echtes Problem. Lauf nmap -sV 192.168.1.50 gegen einen Host, um offene Ports und Dienstversionen aufzulisten, und frag dann bei jedem, ob er überhaupt erreichbar sein muss.
DeviceShelf macht daraus einen priorisierten Sicherheitsbericht: einen Risiko-Score pro Gerät, Markierungen für exponierte Dienste wie Telnet und RDP, Prüfungen auf Standard-Zugangsdaten und CVE-Hinweise, die an die gefundene Software gekoppelt sind. Es behebt nichts für dich, aber es sagt dir, wo du tatsächlich stehst. Die Seite zum DeviceShelf-Vergleich stellt gegenüber, wie sich diese Berichte von anderen LAN-Scannern unterscheiden.
Halte die Firmware aktuell
Prüfe zuerst den Router, weil er das Gateway ist, durch das alles läuft, und arbeite dich dann zu APs, NAS-Boxen und IoT-Hubs vor. Aktiviere automatische Updates, wo der Hersteller sie anbietet und du der Zuverlässigkeit vertraust. Miste jedes Gerät aus, das keine Sicherheitspatches mehr bekommt.
Achte auf Geräte, die du nicht kennst
Sicherheit ist kein einmaliger Scan. Neue Geräte tauchen auf, Gäste verbinden sich, und irgendwann kommt etwas Unerwartetes dazu. Kontinuierliches Presence-Monitoring mit Warnungen bei neuen Geräten fängt das ab, ohne dass du von Hand nachsehen musst, und die Bandbreite pro Gerät hilft, eine Maschine zu erkennen, die sich seltsam verhält.
Wenn du das alles lieber auf einem Bildschirm sehen willst, statt nmap-Ausgaben zusammenzustückeln: DeviceShelf bietet eine kostenlose 7-Tage-Testphase, ohne Konto. So oder so – geh die Checkliste einmal von oben nach unten durch und schau dann alle paar Monate wieder rein.