Ein unbekannter Name, eine fremde Adresse oder ein scheinbar alter Eintrag im Router kann dich stutzig machen. Für sich genommen sagt das aber wenig aus. Router-Oberflächen zeigen oft verschiedene Informationen auf derselben Seite: gerade verbundene WLAN-Geräte, früher vergebene DHCP-Leases, gespeicherte Hostnamen und manchmal auch eine Liste früherer Clients. Ein solcher Eintrag kann ein hilfreicher Hinweis sein. Allein belegt er aber weder, dass ein Gerät gerade verbunden ist, noch, dass es einem Eindringling gehört.
Fang mit einer konkreteren Frage an: Was für ein Eintrag ist das, und wann wurde das Gerät zuletzt gesehen? Kläre das, bevor du eine Adresse sperrst, den Router zurücksetzt oder ein Passwort änderst. Die folgenden Schritte sind für ein Netzwerk gedacht, das dir gehört oder das du verwalten darfst. Die ersten Prüfungen lassen sich rückgängig machen, und bei jeder hältst du fest, was du tatsächlich beobachtet hast.
Die Art der Router-Liste
Achte neben dem Gerätenamen auch auf die Bezeichnung der Seite und ihre Felder. Eine Seite namens DHCP-Leases, Adressreservierungen oder Bekannte Clients kann Informationen behalten, nachdem ein Client offline gegangen ist. DHCP ist das Protokoll, mit dem ein Server eine Adresse für eine bestimmte Laufzeit vergibt. RFC 2131 beschreibt, wie Clients diese Leases erhalten, verlängern und freigeben. Eine Lease sagt dir, dass der Server eine Adresse zugeteilt hat. Sie bedeutet nicht unbedingt, dass gerade eine WLAN-Verbindung besteht.
Eine Liste der aktuell verbundenen WLAN-Geräte liefert andere Informationen. Sie zeigt möglicherweise Signalstärke, Frequenzband, Verbindungsdauer oder die Zeit seit der letzten Aktivität an. Eine MAC-Adresstabelle eines Ethernet-Switches liefert wiederum eine andere Art von Beobachtung. Ein Router-Dashboard kann alle drei Ansichten zusammenführen, ohne die Unterschiede deutlich zu machen. Notiere neben dem Eintrag auch den Namen der Seite. Bei einem späteren Vergleich hilft dir das, eine gespeicherte Lease nicht mit dem Nachweis einer aktuellen Verbindung zu verwechseln.
Halte Uhrzeit, Netzwerkname oder VLAN, IP-Adresse, angezeigte MAC-Adresse, Hostname und alle Angaben zur letzten Sichtung oder zum Ablauf fest. Bewahre die Notiz privat auf: Screenshots vom Router können lokale Adressen, WLAN-Namen oder Angaben zur Administration offenlegen. Kein Zeitstempel vorhanden? Schreib auch das dazu. Halte diese Unsicherheit fest, statt aus dem Gedächtnis eine Uhrzeit einzutragen.
Die Laufzeit der Lease
Ein Gerät kann den Raum verlassen, während seine DHCP-Lease weiterhin angezeigt wird. Ein Smartphone ist vielleicht im Ruhezustand, ein Laptop inzwischen in einem anderen Netzwerk oder eine Streaming-Box einfach ausgeschaltet. Wann eine Adresse erneut vergeben wird, hängt normalerweise davon ab, wie der Router Leases verwaltet. Wenn du einen Eintrag von Hand löschst, beweist das nichts darüber, wer die Adresse genutzt hat.
Vergleiche die Ablaufzeit oder den Zeitpunkt der letzten Sichtung mit der Uhrzeit deiner Beobachtung. Eine kürzlich festgestellte WLAN-Verbindung und Datenpakete, die über den Router laufen, sind stärkere Hinweise auf aktuelle Aktivität als eine Adresse mit einer alten Lease. Eine längst abgelaufene Lease, die noch angezeigt wird, kann dagegen einfach zu einem gespeicherten Client gehören. Router-Hersteller verwenden unterschiedliche Begriffe für diese Felder. Lies die Bezeichnungen als Beschreibungen des jeweiligen Herstellers, nicht als Statusangaben, die auf jedem Router dasselbe bedeuten.
Erzeuge keinen Adresskonflikt, um den Eintrag zu prüfen. RFC 5227 beschreibt die Erkennung von IPv4-Adresskonflikten durch Hosts, die dieses Verfahren unterstützen. Wenn du absichtlich dieselbe Adresse vergibst, kannst du einen Drucker, ein NAS oder ein anderes berechtigtes Gerät stören. Es ist sicherer, den vorhandenen Zustand zu beobachten, als einen Konflikt auszulösen.
Die Netzwerkgrenzen und ein bekanntes Gerät
Prüfe zuerst, welches Gerät tatsächlich die Adressen vergibt. In einem Heimnetz mit Modem-Router und zusätzlichem WLAN-Router, Mesh-System, Gastnetz oder VLAN kann es mehrere Client-Listen geben. Ein Gerät kann zu einer Liste gehören und auf einer anderen zu Recht fehlen. Notiere SSID, Subnetz und Gateway des Netzwerks, das du prüfst, bevor du Ergebnisse eines Scanners oder Computers vergleichst.
Prüfe dann eine naheliegende Erklärung. Sieh dir Smartphones, Tablets, Drucker, Konsolen, Uhren und IoT-Geräte im Haushalt an, die dasselbe Netzwerk nutzen. Vergleiche mit Erlaubnis der Besitzer ihre WLAN-Details, Verbindungsdauer und angezeigte IP-Adresse mit dem Router-Eintrag. Denk dabei auch an private WLAN-Adressen. Apple dokumentiert die Verwendung privater WLAN-Adressen pro Netzwerk. Eine geänderte Einstellung, das Entfernen und erneute Hinzufügen eines Netzwerks oder ein anderer Datenschutzmodus kann dazu führen, dass ein bekanntes Gerät unter einer anderen Adresse erscheint. Das beweist nicht, dass der Eintrag harmlos ist. Es ist aber ein guter Grund, vor dem Sperren genauer zu vergleichen.
Namen und Adresspräfixe sind Hinweise, keine Identitätsnachweise. Ein Hostname kann allgemein gehalten sein, aus einem älteren Eintrag stammen oder von einem Nutzer festgelegt worden sein. Eine private oder zufällig erzeugte Adresse lässt keinen verlässlichen Schluss auf den Hersteller zu. Notiere, was übereinstimmt und was noch unklar ist, statt aus einer einzelnen Bezeichnung abzuleiten, wem ein Gerät gehört.
Eine begrenzte Prüfung ohne Änderungen
Wenn der Eintrag weiterhin unklar ist, prüfe ihn einmal von einem Computer im selben Netzwerk aus, den du dafür nutzen darfst. Sieh dir die aktuelle Verbindungsliste des Routers oder die Tabelle eines verwalteten Switches an, oder nutze einen lokalen Netzwerkscan, dessen Funktionsweise du verstehst. Halte Methode und Uhrzeit zusammen mit dem Ergebnis fest. Wenn ein Gerät im Scan fehlt, ist das kein eindeutiges Ergebnis: Geräte im Ruhezustand, Firewalls, Client-Isolation und getrennte Subnetze können beeinflussen, was du siehst.
Vermeide umfangreiche Scans nach Diensten und versuche nicht, dich bei einem unbekannten Gerät anzumelden. Wenn du einen Drucker oder ein NAS aus dem Haushalt vermutest, kannst du das mit weniger Eingriffen prüfen: Schau in die Netzwerkeinstellungen des bekannten Geräts oder beobachte seinen Eintrag, während der Besitzer es mit dem Netzwerk verbindet und wieder trennt. DeviceShelf ist eine Möglichkeit für eine weitere lokale Prüfung in einem Netzwerk, das du verwaltest. Einen mehrdeutigen Router-Eintrag kann es aber nicht in einen sicheren Identitätsnachweis verwandeln.
Du brauchst kein abschließendes Urteil. „Alte DHCP-Lease; keine aktuelle Verbindung beobachtet“ ist eine nützliche Feststellung. Ebenso „Aktuelle Verbindung beobachtet; Besitzer noch nicht bestätigt“. Für die nächste Prüfung ist eine datierte Notiz darüber, was du gesehen hast und was nicht, aussagekräftiger als eine selbstsichere Einordnung anhand einer einzelnen Zeile im Dashboard.
Weitere Schritte anhand der Fakten
Wenn eine aktuelle Verbindung nach diesen Vergleichen weiterhin ungeklärt ist, prüfe, wer das WLAN-Passwort kennt, ob das Gastnetz getrennt ist und ob Router-Firmware und Zugangsdaten für die Administration auf dem aktuellen Stand sind. Der WLAN-Leitfaden des NIST bietet eine hilfreiche Checkliste zur Prüfung der Sicherheitskonfiguration. Nimm Änderungen über die vom Router-Hersteller dokumentierte Oberfläche vor, nicht über einen Link in einem Gerätenamen oder in einer Nachricht über das Gerät.
Das WLAN-Passwort zu ändern kann sinnvoll sein, wenn konkrete Hinweise dafür sprechen, dass eine unberechtigte Person es kennt. Die Änderung trennt auch berechtigte Geräte vom Netzwerk. Plane das ein und verbinde sie anschließend gezielt wieder. Eine einzelne MAC-Adresse zu sperren reicht als Sicherheitsmaßnahme nicht aus: Adressen können sich ändern, und eine Sperre ersetzt weder ein sicher eingerichtetes WLAN noch eine abgesicherte Router-Verwaltung. Wenn du den Eintrag zuordnen konntest, halte das kurz in deiner Geräteübersicht fest. Wenn nicht, bewahre deine Beobachtungen auf und hole dir vor Ort passende Unterstützung bei der Netzwerkverwaltung. Halte genau fest, was die Router-Liste tatsächlich belegt hat.