Smart Home absichern: Heimnetz, Updates und Zugangsdaten für vernetzte Geräte

Ein Smart Home wird nicht dadurch sicher, dass du einzelne Geräte besonders sorgfältig aussuchst. Entscheidend sind der Router, die Konten bei den Herstellern und die Frage, wie lange ein Gerät noch Updates bekommt. Dieser Ratgeber sortiert die Maßnahmen nach Wirkung und zeigt, welche Einstellungen sich an einem Nachmittag erledigen lassen. Weitere Ratgeber rund um Smart Home und vernetzte Geräte findest du in der Themenübersicht.

Warum vernetzte Geräte ein eigenes Risiko mitbringen

Eine Lampe, ein Saugroboter und ein Türsensor sind kleine Computer mit dauerhafter Netzwerkverbindung. Sie laufen jahrelang unbeaufsichtigt, haben selten eine eigene Bedienoberfläche und melden sich nicht von selbst, wenn etwas nicht stimmt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt den Router dabei als zentralen Punkt: Über ihn laufen alle Verbindungen zwischen Heimnetz und Internet, und eine Schwachstelle dort betrifft alle angeschlossenen Geräte. Wer absichert, fängt deshalb sinnvollerweise beim Router an und nicht bei der Lampe.

Dazu kommt ein zweiter Unterschied zum Rechner: Bei vielen vernetzten Geräten entscheidest du nicht, wann Updates kommen, sondern nur, ob du sie einspielst. Stellt der Hersteller die Pflege ein, bleibt das Gerät im Netz und arbeitet weiter, ohne dass sich nach außen etwas ändert. Genau deshalb gehören Update-Versorgung und Support-Ende in dieselbe Betrachtung wie Passwörter und Netzstruktur.

Zuerst den Router absichern

Das voreingestellte Kennwort für die Router-Oberfläche gehört als Erstes ersetzt, sofern der Router nicht ab Werk ein individuelles, sicheres Kennwort mitbringt. Das BSI empfiehlt ein eigenes, starkes Passwort, weil Standardzugänge bekannt sein können.

Zum Grundschutz zählen laut BSI außerdem: die Firmware aktuell halten und automatische Updates aktivieren, den voreingestellten Netzwerknamen ersetzen, die Firewall aktiviert lassen und Dienste abschalten, die du nicht brauchst. Der Netzwerkname sollte nichts über Hersteller, Modell oder deine Adresse verraten, weil das einem Angreifer die Vorarbeit abnimmt.

Nimm dir für diesen Durchgang einmal Zeit und arbeite die Punkte der Reihe nach ab, statt sie über Monate zu verteilen. Notiere dabei, was du geändert hast. Wenn später eine Verbindung nicht mehr funktioniert, findest du die Ursache in aller Regel in genau dieser Liste.

WLAN-Verschlüsselung und Passwortlänge

Für die Verschlüsselung gilt die Empfehlung WPA3, ersatzweise WPA2. Veraltete Verfahren wie WEP oder ein offenes Netz gehören abgeschaltet. In der Router-Oberfläche findest du die Einstellung meist unter den WLAN-Sicherheitseinstellungen. Manche ältere Smart-Home-Geräte beherrschen nur WPA2; ein Mischmodus aus WPA2 und WPA3 hält sie verbunden, während neuere Geräte den stärkeren Standard nutzen.

Beim WLAN-Kennwort gilt: lang schlägt kompliziert. Das BSI empfiehlt für das WLAN ein deutlich längeres Passwort als für gewöhnliche Online-Konten, weil es nicht regelmäßig eingetippt werden muss. Viele Router bringen ab Werk bereits ein langes, zufälliges WLAN-Passwort mit; dann musst du es nicht ersetzen, solltest es aber auch nicht leichtfertig weitergeben.

UPnP, WPS und Fernzugriff

Viele Router lassen sich auch von außerhalb des Heimnetzes konfigurieren. Das BSI rät, zu prüfen, ob diese Funktion aktiv ist, und sie abzuschalten, wenn du sie nicht brauchst. Dasselbe gilt für UPnP, über das Geräte im Heimnetz selbstständig Ports am Router öffnen können, und für WPS, das die WLAN-Anmeldung per Knopfdruck oder PIN vereinfacht. Beide Funktionen tauschen Komfort gegen Angriffsfläche.

Für Smart-Home-Geräte ist der Verzicht meist unproblematisch, denn ein Fernzugriff ist oft gar nicht nötig, wenn die Steuerung innerhalb des eigenen Heimnetzes ausreicht. Brauchst du ihn doch, ist ein Zugang über ein VPN des Routers in der Regel die sauberere Lösung als einzeln freigegebene Ports für jedes Gerät. Manche Basisstationen lassen sich zudem so einstellen, dass sie ausschließlich lokal arbeiten.

Ein eigenes Netz für vernetzte Geräte

Das BSI nennt ein getrenntes Gastnetz ausdrücklich als Maßnahme, nicht nur für Besuch, sondern auch für Geräte aus dem Internet der Dinge. Der Gedanke dahinter: Ein kompromittierter Sensor sieht dann nicht denselben Netzwerkbereich wie dein Rechner oder dein Netzwerkspeicher.

Vor der Umstellung lohnt ein Blick darauf, welche Geräte miteinander sprechen müssen. Ein Lautsprecher, der gleichzeitig als Steuerzentrale dient, oder ein Hub, der andere Geräte einbindet, braucht möglicherweise Verbindung zu Geräten im Hauptnetz. Gerade bei Standards wie Matter und Thread, die Geräte verschiedener Hersteller verbinden, kann eine zu strenge Trennung die Einrichtung verhindern. Gehe deshalb schrittweise vor und prüfe nach jeder Änderung, ob die wichtigsten Funktionen noch laufen.

Manche Router bieten statt eines einfachen Gastnetzes eine feinere Aufteilung in mehrere Netzsegmente an. Das lohnt sich vor allem, wenn Kameras, Sprachassistenten oder Türtechnik im Haus sind, weil sich diese Gruppe dann getrennt behandeln lässt. Wichtig ist nur, dass du die Aufteilung selbst noch verstehst: Eine Struktur, die nach einem halben Jahr niemand mehr nachvollzieht, wird bei der nächsten Störung wieder aufgelöst.

Die Konten beim Hersteller

Das Konto beim Anbieter ist häufig der bequemste Weg zu deinen Geräten, weil daran Fernzugriff, Kamerabilder und Freigaben hängen. Es verdient deshalb dieselbe Sorgfalt wie dein E-Mail-Konto: ein eigenes, nirgends sonst verwendetes Passwort und, wo angeboten, eine Zwei-Faktor-Authentisierung bei der Anmeldung.

Ebenso wichtig ist Aufräumen. Entferne verkaufte oder ersetzte Geräte aus dem Konto, sieh die verbundenen Dienste und Autorisierungen durch und beschränke Freigaben für andere Personen auf das, was im Alltag wirklich gebraucht wird. Bei Kameras und Türklingeln geht es dabei nicht nur um Sicherheit, sondern auch um die Frage, wer Aufnahmen sehen darf – welche Bereiche eine Kamera am Haus überhaupt erfassen darf, ist ein eigenes, rechtliches Thema.

Updates als Kaufkriterium behandeln

Ein Gerät bleibt nur so lange sicher, wie der Hersteller bekannt gewordene Sicherheitslücken schließt. Die Dauer der Update-Versorgung gehört deshalb schon vor dem Kauf auf die Liste, genauso wie Funktionen und Preis.

Eine Orientierung bietet das IT-Sicherheitskennzeichen des BSI. Hersteller sichern damit zu, dass ihr Produkt bestimmte Sicherheitsanforderungen erfüllt; für smarte Verbrauchergeräte orientieren sich diese an der europäischen Norm ETSI EN 303 645. Über den QR-Code auf Verpackung oder Produktseite gelangst du zu einer Informationsseite des BSI mit dem Herstellerversprechen und aktuellen Sicherheitsinformationen zum Produkt. Wichtig zu wissen: Es handelt sich um eine Erklärung des Herstellers, die das BSI prüfen kann, nicht um eine vorab durchgeführte Zertifizierung jedes einzelnen Geräts.

Eine Geräteliste anlegen

Nach ein paar Jahren weiß kaum jemand noch, welche Geräte im Netz hängen und wer welchen Zugang hat. Eine schlichte Liste löst das Problem und ist schnell angelegt.

Sinnvoll sind pro Gerät: Bezeichnung und Einsatzort, Kaufdatum, zugehöriges Konto, ob es Automationen auslöst und bis wann Updates zugesagt sind. Ein zweimal jährlich wiederkehrender Termin im Kalender reicht, um die Liste durchzugehen, nicht mehr genutzte Geräte vom Netz zu nehmen und offene Aktualisierungen einzuspielen.

Die Liste hat noch einen zweiten Zweck. Wenn ein Hersteller eine Sicherheitslücke meldet, betrifft die Meldung fast immer bestimmte Modelle und Firmware-Stände. Mit einer gepflegten Übersicht beantwortest du schnell, ob du überhaupt betroffen bist, statt jedes Gerät einzeln nachzusehen.

Was passiert, wenn der Support endet

Irgendwann stellt ein Hersteller die Updates ein oder schaltet einen Clouddienst ab. Dann steht die Entscheidung an: weiter betreiben, einschränken oder ersetzen.

Ein pragmatischer Plan sieht drei Stufen vor. Geräte, die Kamerabilder oder Tonaufnahmen verarbeiten oder Zugänge wie Türschlösser steuern, werden ersetzt. Geräte ohne Kamera und Mikrofon können in ein abgeschottetes Netz ohne Internetzugang wandern und dort lokal weiterlaufen, solange sie ohne Cloud funktionieren. Alles, was ohne Cloud gar nicht arbeitet, wird abgebaut und über die Sammelstellen für Elektroaltgeräte entsorgt. Diese Reihenfolge vorher festzulegen, erspart im Ernstfall die hektische Suche nach einer Ersatzlösung.

Vorfälle erkennen und darauf reagieren

Auffällig sind meist Kleinigkeiten: eine Anmeldebenachrichtigung, die du nicht ausgelöst hast, ein Gerät, das sich ohne Grund neu startet, oder eine Automation, die zu unerwarteten Zeiten schaltet.

Die erste Maßnahme ist, aktive Sitzungen im Herstellerkonto zu beenden und das Passwort von einem Gerät aus zu ändern, dem du vertraust. Danach prüfst du verbundene Dienste, entziehst unbekannte Berechtigungen und siehst dir die Liste der verbundenen Geräte im Router an. Taucht dort etwas auf, das du nicht zuordnen kannst, trenne es vom Netz und setze betroffene Geräte im Zweifel auf Werkseinstellungen zurück. Beziehe Firmware und Apps nur über die offiziellen Wege des Herstellers.