Ein unbekannter Eintrag in der Geräteliste deines Routers ist einen genaueren Blick wert. Für sich genommen bedeutet er aber nicht, dass sich jemand Zugang zum Netzwerk verschafft hat. Router-Oberflächen zeigen oft aktuelle WLAN-Verbindungen zusammen mit DHCP-Leases, gespeicherten Geräten und Namen an, die von den Geräten selbst stammen. Jeder dieser Einträge kann unvollständig oder veraltet sein. Ein Smartphone mit einer privaten WLAN-Adresse kann wie ein neues Gerät aussehen. Ein Lease kann noch in der Liste stehen, wenn ein Laptop bereits im Ruhemodus ist, und ein Name wie „android-1234“ sagt kaum etwas aus.
Statt sofort zu fragen „Was ist das?“, fang mit dieser Frage an: „Was hat der Router erfasst, in welchem Netzwerk, und womit kann ich das gefahrlos vergleichen?“ Dieses Vorgehen ist für ein Netzwerk gedacht, das dir gehört oder das du verwalten darfst. Beginne mit Beobachtungen und Änderungen, die du rückgängig machen kannst. Sperre Geräte nicht und setze sie nicht zurück, bevor du genügend Anhaltspunkte hast.
Die erste Bestandsaufnahme
Bevor du eine Einstellung änderst, halte fest, was der Router anzeigt. Notiere Datum und Uhrzeit, Netzwerkname oder VLAN, die angezeigte IP-Adresse, die MAC-Adresse, den Gerätenamen, die Verbindungsart und gegebenenfalls die Angaben zum letzten Kontakt oder zum Ablauf des Leases. Ein Screenshot kann helfen, solange du ihn vor fremdem Zugriff schützt. Wenn du um Hilfe bittest, veröffentliche keine Router-Screenshots mit lokalen Adressen, WLAN-Namen, Seriennummern oder Angaben zur Administration.
Prüfe auch, welche Liste du gerade ansiehst. Eine Seite mit der Bezeichnung DHCP-Leases zeigt nicht unbedingt dasselbe wie eine Seite namens Verbundene Geräte. Ein DHCP-Lease hält fest, dass eine Adresse für eine bestimmte Zeit zugewiesen wurde. RFC 2131 beschreibt, wie ein Client diese Zuweisung erhalten, verlängern oder freigeben kann. Deshalb kann ein Eintrag sichtbar bleiben, obwohl das Gerät nicht mehr aktiv verbunden ist. Eine WLAN-Clientliste kann aktueller sein. Wem das Gerät gehört, verrät sie aber nicht unbedingt.
Schreib die Quelle neben deine Beobachtung, zum Beispiel: „DHCP-Leaseliste des Hauptrouters, 11. Oktober, 09:40 Uhr“. Diesen Zusammenhang brauchst du später, wenn du Einträge vergleichst. Ein gespeicherter Lease beweist nicht, dass ein Client gerade Daten sendet.
Die Grenzen des Netzwerks
In vielen Haushalten gibt es mehr als ein Netzwerk. Eine Gäste-SSID, ein IoT-Segment, ein Mesh-Netzwerk, ein zweiter Router oder ein beruflich genutztes VPN können beeinflussen, was in einer bestimmten Liste auftaucht. Prüfe, welcher Router oder DHCP-Server für das Netzwerk zuständig ist, in dem du den Eintrag gefunden hast. Notiere auf einem Computer, den du benutzen darfst, die lokale IPv4-Adresse, die Präfixlänge oder Subnetzmaske und das Standardgateway.
Private IPv4-Adressen sind üblich. Ein Präfix wie 192.168 verrät dir aber nicht, ob zwei Geräte im selben lokalen Segment sind. RFC 1918 reserviert mehrere private Adressbereiche. Die Präfixlänge und die Routing-Regeln bestimmen, welche Adressen aus Sicht einer bestimmten Netzwerkschnittstelle lokal sind. Ein Client im Gastnetz kann bei einem Scan aus dem Haupt-LAN unsichtbar bleiben, genau wie vorgesehen. Prüfe, ob diese Trennung beabsichtigt ist, bevor du sie als Fehler einstufst.
Wenn du einen Router mit eingebautem Modem und einen separaten WLAN-Router hast, finde heraus, welcher die Adressen vergibt. Zwei DHCP-Server in einem einfachen Netzwerk können für Verwirrung sorgen. Ein zweiter Router, der ein bewusst getrenntes Netzwerk versorgt, kann dagegen völlig normal sein. Unterschiedliche Gerätelisten sind kein Grund, einen der Router zurückzusetzen.
Naheliegende Erklärungen
Fang mit den Geräten an, die es in deinem Haushalt bereits gibt. Smartphones, Tablets, Uhren, Streaming-Boxen, Drucker, smarte Steckdosen und Geräte von Besuchern vergisst man leicht. Sieh in ihren WLAN-Einstellungen nach, während sie mit demselben Netzwerk verbunden sind. Vergleiche den Verbindungszeitpunkt, die IP-Adresse und einen eventuell angezeigten Gerätenamen mit dem Eintrag im Router. Frag den Besitzer, bevor du die Verbindung eines Geräts trennst, das dir nicht gehört.
Achte besonders auf private WLAN-Adressen. Apple beschreibt, dass seine Geräte für jedes Netzwerk eine private WLAN-Adresse verwenden können. Ein bekanntes Gerät kann mit einer anderen MAC-Adresse auftauchen, etwa nach dem Ändern einer Datenschutzeinstellung, nach dem Entfernen und erneuten Einrichten des Netzwerks oder nach einem Zurücksetzen der Einstellungen. Das ist eine Datenschutzfunktion. Allein ist das kein Anzeichen für unbefugten Zugriff. Andere Plattformen können sich ähnlich verhalten. Schalte eine Datenschutzfunktion deshalb nicht nur ab, um die Geräteliste des Routers aufzuräumen.
Gerätenamen liefern Hinweise, identifizieren ein Gerät aber nicht eindeutig. Ein Name kann vom Hersteller oder vom Nutzer stammen oder aus einem alten Lease übernommen worden sein. Manchmal fehlt der Name ganz. Auch das Präfix einer MAC-Adresse kann einen Hinweis auf den Hersteller der Netzwerkschnittstelle geben. Es identifiziert aber weder Modell noch Besitzer eindeutig, besonders wenn die Adresse privat oder zufällig gewählt ist.
Ein Abgleich ohne Änderungen
Prüfe von einem Computer im selben Netzwerk aus, das du verwalten darfst, einmal den aktuellen Stand, ohne etwas zu ändern. Du kannst einen lokalen Netzwerkscan ausführen, die aktuelle Verbindungsübersicht des Routers prüfen oder die Adresstabelle eines verwaltbaren Switches ansehen, sofern du ihn administrierst. Notiere neben dem Ergebnis auch die Methode und die Uhrzeit. Was du lokal siehst, kann eine Vermutung stützen. Wenn ein Gerät fehlt, beweist das aber nicht, dass es das Netzwerk verlassen hat. Ein Smartphone im Ruhemodus, eine Firewall-Regel, Client-Isolation oder ein anderes Segment können beeinflussen, was sichtbar ist.
Wenn unter der Adresse etwas zu antworten scheint, suche nach einer Möglichkeit, das Gerät zu erkennen, ohne seinen Betrieb zu stören. Öffne die lokale Statusseite des bekannten Druckers, prüfe die Netzwerkeinstellungen des NAS oder beobachte, was sich ändert, wenn ein berechtigter Besitzer sein Gerät mit dem WLAN verbindet oder die Verbindung trennt. Untersuche keine Dienste, die du nicht nutzen musst. Vergib für diesen Test niemals dieselbe IP-Adresse an ein zweites Gerät. Ein Adresskonflikt kann die Verbindung anderer Geräte unterbrechen. RFC 5227 erklärt, wie Hosts damit umgehen, wenn sie eine Erkennung von Adresskonflikten implementieren. Einen Konflikt absichtlich herbeizuführen, ist keine Abkürzung bei der Fehlersuche.
Halte in deinen Notizen nur fest, was du tatsächlich festgestellt hast. „Lease vorhanden; bisher keinem Gerät im Haushalt zugeordnet“ ist hilfreicher als die Vermutung, das Gerät gehöre einem Nachbarn oder einem Eindringling. Ein Tool zur lokalen Netzwerkbeobachtung wie DeviceShelf kann dir in einem von dir verwalteten Netzwerk einen weiteren Vergleichspunkt liefern. Es ersetzt aber weder die Angaben des Routers noch die Einstellungen am Gerät selbst.
Gründe für Sicherheitsmaßnahmen
Wenn der Eintrag nach diesen Vergleichen immer noch ungeklärt ist, sieh genauer hin. Prüfe, wer das WLAN-Passwort kennt, ob das Gastnetz getrennt ist und ob die Router-Firmware aktuell ist. Die NIST-Empfehlungen zur Sicherheit von WLAN-Netzwerken bieten eine nützliche Checkliste für die Prüfung der Sicherheitseinstellungen und der Router-Administration. Halte dich beim Update an die Anleitung des Router-Herstellers. Verwende keinen Update-Link, der in einem unerwarteten Gerätenamen oder einer unerwarteten Nachricht auftaucht.
Das WLAN-Passwort zu ändern kann sinnvoll sein, wenn es Hinweise darauf gibt, dass eine unbefugte Person es kennen könnte, oder wenn Zugangsdaten zur Router-Administration offengelegt wurden. Dadurch werden auch berechtigte Geräte getrennt. Plane ein, sie wieder zu verbinden und ihre gespeicherten Zugangsdaten zu aktualisieren. Wähle eine neue Passphrase, die du nirgendwo sonst verwendest, und prüfe das Administratorpasswort des Routers separat. Eine einzelne MAC-Adresse zu sperren, löst das Problem nicht vollständig: Eine MAC-Adresse identifiziert ein Gerät nicht dauerhaft, und ihre Sperrung ersetzt nicht die Absicherung des WLANs.
Wenn du das Gerät erkennst, halte es kurz in einer datierten Übersicht deiner Netzwerkgeräte fest. Bleibt es unbekannt, bewahre die beobachteten Fakten und eine Liste deiner Prüfschritte auf. Diese Notizen helfen dir bei der nächsten Prüfung, ohne dass du aus einer einzigen mehrdeutigen Zeile in der Router-Liste bereits einen Schluss ziehst.