So wählen Sie einen WLAN-Router mit WPA3-Verschlüsselung und privatem DNS zum Schutz Ihres Heimnetzwerks

Der Heimrouter ist das digitale Eingangstor der Wohnung: Er verwaltet den Datenverkehr aller verbundenen Geräte, vom Smartphone bis zum intelligenten Haushaltsgerät. Obwohl jedes Gerät eigene Einstellungen hat, nimmt der Router eine zentrale Stellung ein, weil er die Verbindungen im ganzen Haus bündelt und gemeinsame Sicherheits- und Datenschutzregeln ermöglicht.

Diese zentrale Verwaltung bedeutet nicht, dass der Router alle Sicherheitsprobleme allein lösen kann. Sie macht ihn jedoch zu einem wichtigen Schutzpunkt im lokalen Netzwerk. Entscheidungen am Router – etwa dazu, welche Verschlüsselungsoptionen aktiviert sind oder wie DNS-Anfragen verwaltet werden – können mehrere Geräte gleichzeitig betreffen, statt separate Änderungen an jedem einzelnen Gerät zu erfordern.

Laut INCIBE birgt die Vernetzung eines intelligenten Zuhauses Risiken, wenn sie nicht angemessen verwaltet wird. Dazu zählen der Verlust der Privatsphäre und die unbefugte Fernsteuerung. Verbundene Geräte können diesen Risiken ausgesetzt sein; deshalb sollte die Routerkonfiguration als erste Verteidigungslinie verstanden werden, nicht als absolute Garantie.

Die Konfiguration bestimmt unter anderem, welche Daten das Netzwerk verlassen und wie sie bei der Übertragung geschützt werden. Bei der Auswahl eines Geräts lohnt es sich daher, nicht nur auf Geschwindigkeit und Reichweite zu achten: Auch die verfügbaren Sicherheitsoptionen und die Möglichkeit, sie aktuell zu halten, gehören zu den wichtigen Spezifikationen.

WPA3 wurde 2018 von der Wi-Fi Alliance eingeführt und ist der neueste Sicherheitsstandard für drahtlose Netzwerke. Die Neuerung ist wichtig, weil Zugangsschlüssel die Verbindung zwischen Geräten und Router schützen und das verwendete Authentifizierungsverfahren beeinflusst, wie widerstandsfähig diese Verbindung gegen Passwortversuche ist.

WPA2 verwendet AES-Verschlüsselung, die robuster als das bei WPA eingesetzte TKIP ist, war jedoch 2017 für den KRACK-Angriff anfällig. WPA3 enthält SAE (Simultaneous Authentication of Equals), ein Authentifizierungsverfahren, das Brute-Force-Angriffe auf schwache Passwörter deutlich erschwert. Die Wahl eines geeigneten Passworts bleibt wichtig, doch während der Authentifizierung bietet WPA3 einen stärkeren Schutz.

Prüfen Sie die Kompatibilität anhand des Datenblatts des konkreten Modells und der Bedienungsanleitung; Marke oder Aktualität des Routers allein reichen nicht aus. Achten Sie auf einen ausdrücklichen Hinweis auf WPA3 und darauf, welche Modi sich über die Web-Verwaltungsoberfläche aktivieren lassen. Die Verfügbarkeit kann sich zwischen Modellen desselben Herstellers unterscheiden.

Viele moderne Router bieten WPA3 oder einen gemischten WPA3/WPA2-Modus (AES). Letzterer ermöglicht älteren Geräten ohne WPA3-Unterstützung weiterhin eine Verbindung, während kompatible Geräte den neueren Standard verwenden können. Lesen Sie vor der Auswahl die Hinweise des Herstellers, um zu verstehen, wie der gemischte Modus bei diesem Gerät umgesetzt wird.

Bei manchen älteren Modellen kann ein Firmware-Update WPA3 ergänzen. Allerdings sind nicht alle früheren Geräte kompatibel, und ein Update darf nicht vorausgesetzt werden: Die Unterstützung muss in der Dokumentation des Herstellers bestätigt sein. Wird die Option nicht angezeigt, können Handbuch oder Kundendienst klären, ob das Gerät sie unterstützt.

Das DNS-System übersetzt die im Browser eingegebenen Domainnamen in IP-Adressen, über die Dienste im Internet gefunden werden. Sind diese Anfragen unverschlüsselt, können Dritte sie abfangen und erfahren, welche Domains aufgerufen wurden. Dadurch kann ein Teil des Browserverlaufs sichtbar werden. Der Schutz von Anfragen unterscheidet sich daher von der WLAN-Verschlüsselung: Er betrifft Informationen über die angeforderten Ziele.

Ein privates oder verschlüsseltes DNS auf dem Router schützt diese Anfragen während der Übertragung, wenn DoH (DNS over HTTPS) oder DoT (DNS over TLS) verwendet wird. Das kann auch dazu beitragen, unerwünschte Filterung oder Überwachung durch Dienstanbieter zu vermeiden. Voraussetzung ist, dass der Router die entsprechende Option bietet und der gewählte DNS-Dienst den einzurichtenden Modus unterstützt.

Die AEPD empfiehlt Familien, beim Einrichten des heimischen DNS den Datenschutz zu berücksichtigen und Lösungen zu wählen, die den Datenschutzbestimmungen entsprechen. Sie weist außerdem darauf hin, dass die DNS-Konfiguration auf Routern oder Geräten Minderjährige wirksam schützen kann, dafür aber die aktive Beteiligung der Familien erforderlich ist. Diese Maßnahme ist Teil der alltäglichen Netzwerkverwaltung und kein Ersatz für die Aufsicht durch die Familie.

Dienste wie DNS4EU oder CleanBrowsing bieten Filter- und Verschlüsselungsprofile, die sich auf dem Router für das Heimnetzwerk einrichten lassen. Bei der Auswahl sollten verfügbare Optionen, Datenschutz und die Bedürfnisse der Familie berücksichtigt werden. Filterung und Verschlüsselung hängen zusammen, sind aber nicht identisch; prüfen Sie deshalb, was das ausgewählte Profil bietet.

Prüfen Sie auch, was auf den einzelnen Geräten geschieht. Manche verwenden integriertes DoH und senden Anfragen über einen anderen Dienst als den am Router eingerichteten. Dadurch kann die zentrale Konfiguration einzelne Anfragen umgehen; ein Blick auf die individuellen Einstellungen hilft zu verstehen, wie Domainnamen im Netzwerk tatsächlich aufgelöst werden.

Die Sicherheit eines Routers hängt maßgeblich davon ab, ob der Hersteller regelmäßig Sicherheitspatches veröffentlicht. Die Firmware ist die Software, die den Betrieb des Geräts steuert. Wenn sie keine Updates erhält, können bekannte Schwachstellen ungepatcht bleiben und das Heimnetzwerk gefährden. Das Support-Enddatum ist deshalb eine wichtige Information und kein nebensächliches Kaufdetail.

Achten Sie beim Vergleich auf Hersteller, die langfristigen Support bieten und Sicherheitsupdates proaktiv veröffentlichen. Anhand des Datums des letzten verfügbaren Updates lässt sich erkennen, ob das Gerät noch gewartet wird. Diese Angabe sollte jedoch zusammen mit der Support-Richtlinie betrachtet werden: Ein aktuelles Update allein verrät nicht, wie lange der Hersteller weiterhin Probleme beheben wird.

INCIBE betont, dass aktuelle Betriebssysteme und Programme wesentlich sind, um bekannte Schwachstellen zu beheben. Beim Router bedeutet diese Empfehlung, die installierte Firmware-Version zu prüfen, nach der neuesten Version zu suchen und die Support-Richtlinie des Herstellers für das konkrete Modell zu bestätigen.

Geräte, deren Lebenszyklus EOL (End of Life) erreicht hat, erhalten keine Sicherheitspatches mehr. Werden danach Schwachstellen entdeckt, gibt es möglicherweise keine Korrektur; der Router kann so zu einer dauerhaften Schwachstelle im Netzwerk werden. Vermeiden Sie deshalb Modelle, deren Support ausgelaufen ist, und prüfen Sie den Produktlebenszyklus vor dem Kauf.

Updates gehören auch zur Wartung nach dem Kauf. Regelmäßig nach einer neuen Version zu suchen und sie gemäß den Anweisungen des Herstellers zu installieren, hält die Firmware aktuell. Das ist eine fortlaufende Aufgabe – ebenso wie zu prüfen, welche Geräte verbunden sind und ob die Sicherheitseinstellungen weiterhin zu den Bedürfnissen des Haushalts passen.

Konzentrieren Sie sich beim Routervergleich auf Spezifikationen, die sich direkt auf Datenschutz und Sicherheit auswirken. Datenblatt und Handbuch zeigen, ob die benötigten Funktionen vorhanden sind; die Support-Richtlinie hilft einzuschätzen, ob sie dauerhaft gepflegt werden. Die folgende Tabelle fasst die wichtigsten Kriterien und ihre Bedeutung zusammen:

Die Tabelle dient als Orientierung für den Modellvergleich und garantiert nicht, dass alle Geräte dieselben Funktionen auf dieselbe Weise anbieten. Insbesondere sind DNSSEC und DoH/DoT nicht gleichbedeutend: DoH und DoT verschlüsseln Anfragen, während DNSSEC mit der Überprüfung der Integrität zusammenhängt. Prüfen Sie genau, was der Router unterstützt und welche Option tatsächlich aktiviert wird.

Unterscheiden Sie außerdem zwischen einem beworbenen Merkmal und einer Einstellung, die sich tatsächlich nutzen lässt. WPA3-Kompatibilität sollte sich beispielsweise in den verfügbaren Betriebsmodi des Geräts widerspiegeln; bei DNS sollte angegeben sein, welche Protokolle oder Dienste unterstützt werden; und Wartungszusagen müssen für das Modell gelten, nicht nur als allgemeines Versprechen der Marke.

Prüfen Sie vor dem Kauf, ob das konkrete Modell WPA3 unterstützt und erweiterte DNS-Konfigurationsmöglichkeiten bietet. Lesen Sie das Datenblatt und bei unklarer Beschreibung die Bedienungsanleitung. Prüfen Sie außerdem die Support-Richtlinie und das Datum des letzten Firmware-Updates, damit Sie kein Gerät auswählen, das bereits keine Patches mehr erhält.

Nach dem Kauf sollte die Ersteinrichtung diese Schritte umfassen:

• Das werkseitige Administrationspasswort durch ein starkes Passwort ersetzen.
• WPS deaktivieren.
• Die Firmware auf die neueste verfügbare Version aktualisieren.
• Das gewünschte private DNS einrichten und die Filteroptionen prüfen.
• WPA3 aktivieren oder, falls ältere Geräte es benötigen, den gemischten WPA3/WPA2-Modus (AES) auswählen.

Nehmen Sie die Änderungen über die Verwaltungsoberfläche des Routers vor und befolgen Sie die Anweisungen des Herstellers. Der gemischte Modus soll älteren Geräten die Verbindung erleichtern, ohne kompatiblen Geräten WPA3 vorzuenthalten. Prüfen Sie vor der Änderung, welche Geräte im Haushalt eine Verbindung benötigen.

Netzwerksicherheit ist ein fortlaufender Prozess und keine einmalige Konfiguration. Die regelmäßige Überprüfung verbundener Geräte hilft dabei, den Überblick über die Nutzung des Netzwerks zu behalten; Updates wiederum helfen, bekannte Schwachstellen zu beheben. Auch die DNS-Regeln müssen möglicherweise angepasst werden, wenn sich die Bedürfnisse der Familie ändern.

Behörden wie INCIBE und AEPD empfehlen Konfigurations- und Wartungspraktiken, die zu einem privateren und sichereren Heimnetzwerk beitragen. Werden sie konsequent angewendet – Firmware aktuell halten, Verbindungen überwachen und DNS überprüfen –, bleiben die anfänglichen Entscheidungen langfristig nützlich.