Schützen Sie den Router, indem Sie die Werkseinstellungen ändern

Ein unsicheres Modem gefährdet Ihr Netzwerk durch standardmäßige Einstellungen. Durch gezielte Anpassungen können Sie Cyberangriffe abwehren und die Leistung verbessern.

Ein Modem ohne Anpassungen an die Telefonbuchse zu verbinden, öffnet dem gesamten Heimnetzwerk die Tür zu Botnetzen und Cyberangriffen. Standardkonfigurationen lassen Fernzugangstore und Schwachstellen bei IPv6 ungeschützt. Kameras, Computer und lokale Speicher werden zu angreifbaren Zielen.

Internetdienstanbieter liefern Geräte, die sofort funktionieren, opfern dabei jedoch die Privatsphäre. Mit Anpassungen können gefährliche Lücken geschlossen, die Latenz bei Belastung gesenkt und der Datenverkehr anonymisiert werden.

Risiken der Standardoptionen und IPv6-Schwachstellen

Router mit Standardkonfiguration bleiben anfällig. Aktivierte Fernzugangsports und permissive IPv6-Tabellen umgehen NAT. Jedes Heimgerät erhält eine globale IP-Adresse, die von externen Scans erfasst werden kann, es sei denn, die Firewall blockiert eingehende Verbindungen.

In IPv4-Netzwerken schützte NAT interne Geräte hinter einer gemeinsamen Adresse. Mit IPv6 hat jedes Gerät eine einzigartige, von außen erreichbare Adresse. Ist die Firewall des Modems nicht richtig eingestellt, kann jeder im Internet direkt auf das Netzwerkinterface eines Fernsehers oder einer Innenkamera zugreifen.

Zugang zum Panel und Deaktivierung der Fernsteuerports

Zuerst die Modemkoordinaten ermitteln, indem die Gateway-Adresse in die Browserleiste eingegeben wird. Häufig ist dies 192.168.1.1 oder 192.168.0.1; bei Fastweb-Geräten oft 192.168.1.254.

Falls die IP-Adresse des Modems unbekannt ist, lässt sie sich schnell über die Systemkonsole abrufen.

Unter Windows Eingabeaufforderung öffnen und ausführen:

ipconfig

Unter macOS Terminal-App öffnen und eingeben:

netstat -nr | grep default

Der Eintrag für das Standardgateway ist der Wert, den wir in den Browser einfügen, um auf den Router zuzugreifen und die Einstellungen zu ändern. Der Anmeldebildschirm erscheint. Neu angeschlossene Geräte haben generische Kombinationen; für ältere Modelle können wir alle Router-Passwörter nachschlagen.

Wenn die Anmeldedaten verloren sind, kann der Router und das Passwort zurückgesetzt werden. Dazu die Reset-Taste auf der Rückseite zehn Sekunden lang gedrückt halten.

Nach der Anmeldung sollte als erste Maßnahme die Fernverwaltungsprotokolle des Anbieters deaktiviert werden. Diese sind oft als TR-069, CWMP oder TR-369 bekannt. Diese Dienste halten Port 7547 offen, um dem Anbieter Parameteränderungen zu ermöglichen. Das Deaktivieren dieser Funktion schützt vor automatisierten Scans, die nach Schwachstellen in den Fernverwaltungskomponenten suchen.

Schutz der Ports: UPnP, gezielte Weiterleitung und DMZ-Gefahren

Kommerzielle Router kommen standardmäßig mit aktiviertem UPnP, um Fehlermeldungen von unerfahrenen Nutzern zu vermeiden. Diese Option erlaubt jedem Programm im lokalen Netzwerk, Kommunikationsports in der Firewall sofort zu öffnen.

Werden Smart-Geräte oder Computer infiziert, öffnet UPnP Zugänge nach außen, ohne Rückfrage. Das Deaktivieren von UPnP verhindert, dass ohne Wissen des Administrators Kanäle geöffnet werden.

Benötigt ein Programm eingehende Verbindungen für Datenübertragungen oder Spiele, sollte die Portweiterleitung des Routers durch spezifische Regeln erfolgen. Bevor die Weiterleitung festgelegt wird, sollte die Adresse des Geräts durch statische IP-Zuweisung über DHCP gesichert werden.

Vernetzung und öffentliche IP-Adresse

Die DMZ-Funktion (Demilitarisierte Zone) sollte nicht genutzt werden.

Diese Einstellung leitet unzugewiesenen Datenverkehr auf einen einzigen Computer um. Damit fallen Verteidigungsbarrieren, was die Maschine Angriffen aussetzt.

DNS-Verschlüsselung mit DoH und DoT

DNS-Server des Anbieters ersetzen. Das beschleunigt das Surfen und umgeht nationale Netzfilter. Anleitungen zu DNS am Modem einrichten und schnellste DNS auswählen helfen, zuverlässige Resolver wie Cloudflare oder Quad9 auszuwählen.

Das bloße Eintragen von IP-Adressen (wie 1.1.1.1 oder 9.9.9.9) lässt Anfragen über Port 53 unverschlüsselt reisen. Das ermöglicht es jedem im Netzwerk, die besuchten Seiten zu protokollieren. Moderne Router sollten DNS-over-HTTPS (DoH) oder DNS-over-TLS (DoT) unterstützen. Diese Standards verschlüsseln Abfragen in einem geschützten Kanal und machen es Internetanbietern unmöglich, den Surfverlauf nachzuvollziehen.

Blockiert das vom Anbieter bereitgestellte Gerät die Anpassung der Resolver, degradiert die 247ComputerSupports-Route das Gerät zu einem reinen Modem. Dadurch wird ein neuer Router kaskadierend mit dem Modem verbunden. Diese Konfiguration sichert die Kontrolle über Verschlüsselung, Routing und Firewall-Regeln.

Wi-Fi optimieren: WPS deaktivieren und WPA3 verwenden

Der drahtlose Bereich beinhaltet einige der gravierendsten Schwachstellen, die sofort behoben werden sollten.

Das WPS-System zur schnellen Kopplung sollte sofort deaktiviert werden. Der 8-stellige PIN-Code bietet automatisierten Crack-Programmen die Möglichkeit, den WLAN-Schlüssel innerhalb weniger Stunden zu knacken.

Bei der Verschlüsselung ist WPA3-Personal ideal; das Verwenden des Mischmodus WPA2/WPA3 sollte vermieden werden, sofern alle Geräte aktuell sind. Der Übergangsmodus macht das Netzwerk anfällig für Angriffe, wenn ein Angreifer das Gerät dazu zwingt, einen alten WPA2-Standard zu nutzen, um den Handshake abzufangen.

Um die Signalstärke zu optimieren, sollten die Funkkanäle getrennt werden. Vor der endgültigen Konfiguration prüfen wir, wie das 5-GHz- und 6-GHz-Netzwerk für Arbeitsstationen genutzt werden kann, indem wir die Umgebung analysieren, um den besten WLAN-Kanal zu finden, der von Nachbarsignalen weit entfernt ist.

Bei Bedarf an größerer Abdeckung können wir das Wi-Fi-Signal mit zwei über Ethernet verbundenen Routern verstärken. Smart-Home-Geräte sollten isoliert werden, indem das Gastnetzwerk mit Client-Trennung aktiviert wird. Regelmäßige Protokollprüfungen zeigen, wer mit dem WLAN verbunden ist und helfen, unerwünschte Zugriffe zu blockieren.

Bufferbloat mit SQM-Algorithmen beseitigen

Bei Videoanrufen oder Online-Spielen leiden viele unter Spitzenlatenzen, wenn ein Familienmitglied einen großen Download startet.

Dieses Problem, Bufferbloat genannt, ergibt sich aus der Überfüllung der Router-Puffer. Statt veralteter Prioritätskontrollen sollte QoS aktiviert werden, um flüssiges Surfen zu ermöglichen. Geräte, die intelligente Wartungsmanagement (SQM) unterstützen und auf Algorithmen wie CAKE oder FQ-CoDel basieren, fragmentieren den Datenverkehr.

Parallele Flüsse neutralisieren Warteschlangen, halten selbst bei großen Dateiübertragungen die Verbindung flüssig.

Um extern auf Computer oder Heimarchive zuzugreifen – ohne statische IP – folgen wir den Schritten, um mit einer dynamischen DNS-Lösung über No-IP eine Verbindung zum Heim-PC herzustellen. Dabei regelmäßig die Verwaltungssoftware aktualisieren. Die Dateien von offiziellen Seiten wie TP-Link und ASUS herunterladen.

Diario di bordo di 247ComputerSupports

Bei der Analyse eines Haushaltsgeräts, das in Meetings häufig blockierte, entdeckte ich einige tückische Standardeinstellungen: Die IPv6-Firewall öffnete Eingangsports zu Innenkameras, UPnP war aktiv, und Bufferbloat sorgte für Latenzspitzen bis zu vierhundert Millisekunden bei Cloud-Backups. Es genügte, die Fernverwaltung TR-069 abzuschalten, den SQM-Algorithmus zu aktivieren, und DNS-Server mit dem DoT-Protokoll einzurichten. Dadurch wurde eine instabile Verbindung in einen schnellen, geschützten Kanal verwandelt. Ein einfaches Modem ist nicht einsatzbereit, wenn es frisch ausgepackt wurde: Eine halbe Stunde für das Deaktivieren störender Automatisierungen schützt vor Eindringlingen und gibt die Kontrolle über das eigene Netzwerk zurück.

Weitere Informationen bieten unsere Anleitungen, wie man ein Modem durch ein neues (Glasfaser, Dualband, Wireless AC) ersetzt.