WLAN-Access-Points sicher prüfen: Zustand, Warnzeichen und Abschaltkriterien
Einen Sicherheitscheck mit Prioritäten für sofort, bald und planbar. Im Mittelpunkt: sichtbarer Zustand, gefahrlose Eigenkontrollen, Prüfprotokolle, Warnzeichen.
Das Wichtigste in Kürze
- Sichtbarer Zustand, gefahrlose Eigenkontrollen, Prüfprotokolle.
- Der Beitrag liefert einen Sicherheitscheck mit Prioritäten für sofort, bald und planbar.
- Die Seite prüft eine vorhandene Anlage, ohne unzulässige Eigenarbeiten anzuleiten.
Der Update-Stand ist der wichtigste Einzelbefund
Bei einem vorhandenen Funknetz beginnt die Prüfung nicht an der Antenne, sondern in der Verwaltungsoberfläche. Notieren Sie für jedes Gerät Modellbezeichnung, installierte Softwareversion, Datum der letzten Aktualisierung und die Angabe des Herstellers zum Ende der Sicherheitsversorgung. Diese vier Angaben entscheiden über den weiteren Betrieb deutlicher als jede Signalmessung.
Ein Gerät, für das keine Sicherheitsaktualisierungen mehr erscheinen, gehört ersetzt, auch wenn es tadellos funktioniert. Das Bundesamt für Sicherheit in der Informationstechnik stellt für die Einrichtung und Absicherung von Routern und Funknetzen kompakte Handreichungen bereit, die genau diesen Punkt an den Anfang stellen. Findet sich zum Modell keine Herstellerseite mehr, ist das die Antwort auf die Frage nach dem Support.
Konfiguration prüfen: acht Schalter
Die folgenden Einstellungen lassen sich ohne Eingriff in die Hardware kontrollieren und decken den überwiegenden Teil der praktisch relevanten Schwachstellen ab:
- Verschlüsselungsverfahren. Aktuelles Verfahren aktiv, kein Rückfallbetrieb auf veraltete Verfahren, kein offenes Netz.
- Passphrase. Lang, zufällig, nicht aus dem Werkszustand, nicht identisch mit dem Verwaltungskennwort.
- Verwaltungskennwort. Geändert, nicht auf dem Geräteaufkleber ablesbar.
- Anmeldung per Knopfdruckverfahren. Abgeschaltet.
- Fernzugriff aus dem Internet. Abgeschaltet, sofern nicht ausdrücklich benötigt und abgesichert.
- Gastnetz. Aktiv, ohne Zugriff auf das Hauptnetz, Teilnehmer untereinander isoliert.
- Geräteliste. Vollständig durchgesehen, jedes Gerät zuordenbar, unbekannte Einträge geklärt.
- Automatische Aktualisierung. Aktiviert, sofern das Gerät sie anbietet.
Jeder Punkt bekommt einen Vermerk: erfüllt, nicht erfüllt, nicht vorhanden. Ein Gerät, das mehrere dieser Funktionen gar nicht anbietet, ist für den Betrieb am Übergang zum Internet nicht geeignet.
Was Sie am Gerät selbst sehen müssen
Die körperliche Prüfung betrifft Montage, Wärme und Feuchte. Sitzt das Gerät fest an Decke oder Wand, oder hängt es am Anschlusskabel. Sind Lüftungsöffnungen frei, oder liegt das Gerät unter Textilien, hinter Möbeln oder in einem geschlossenen Schrank. Ist das Gehäuse an einer Stelle deutlich wärmer als sonst. Gibt es Verfärbungen am Netzteil, am Speiseeinspeiser oder am Steckverbinder.
Bei Geräten im Außenbereich oder in unbeheizten Nebenräumen kommen Dichtungen, Kabeleinführungen und Kondensat hinzu. Wasser in einem Gehäuse ist ein Sofortbefund, unabhängig davon, ob das Gerät noch arbeitet.
Störungsbild richtig zuordnen
Ein häufiger Fehler bei der Diagnose ist die Verwechslung von Anschluss und Funknetz. Wenn Seiten langsam laden, liegt das entweder am Internetzugang oder an der Funkstrecke, und beide werden unterschiedlich geprüft. Die Bundesnetzagentur stellt für die Messung der Anschlussleistung ein eigenes Verfahren bereit; dessen Ergebnisse sind allerdings nur aussagekräftig, wenn die Messung über eine Kabelverbindung erfolgt, weil sonst die Funkstrecke mitgemessen wird.
Prüfen Sie deshalb in dieser Reihenfolge: zuerst über Kabel am Router messen, um den Anschluss zu bewerten, danach dieselbe Prüfung über Funk an mehreren Standorten wiederholen. Weichen beide stark voneinander ab, liegt das Problem im Funknetz. Sind beide gleich niedrig, liegt es am Anschluss und keine Umstellung im Haus wird es lösen.
Im Funknetz selbst sind drei Ursachen dominant: eine überfüllte Kanalbelegung im 2,4-Gigahertz-Bereich, ein Gerät, das sich an einer zu weit entfernten Zelle festhält, und ein Kanalwechsel im 5-Gigahertz-Bereich durch die vorgeschriebene Radarerkennung.
Prioritäten: sofort, bald, planbar
| Befund | Priorität | Maßnahme |
|---|---|---|
| Wasser oder Kondensat im Gehäuse, auch bei laufendem Betrieb | sofort | Spannungsversorgung trennen, Gerät nicht wieder einschalten |
| Verfärbung, Schmelzspur oder Geruch an Netzteil oder Speiseeinspeiser | sofort | Netzstecker ziehen, Fachbetrieb hinzuziehen |
| Offenes Funknetz oder veraltetes Verschlüsselungsverfahren aktiv | sofort | Verfahren umstellen, neue Passphrase setzen |
| Werkskennwort für die Verwaltung noch aktiv | sofort | Kennwort ändern, Zugriffswege prüfen |
| Unbekanntes Gerät in der Teilnehmerliste | sofort | Passphrase aller Netze wechseln, Liste erneut prüfen |
| Hersteller stellt keine Sicherheitsaktualisierungen mehr bereit | bald | Austausch planen, bis dahin Fernzugriff abschalten |
| Fernzugriff aus dem Internet ohne erkennbaren Zweck aktiv | bald | Deaktivieren oder mit dokumentiertem Zugangsweg absichern |
| Gastnetz fehlt oder erlaubt Zugriff auf das Hauptnetz | bald | Trennung einrichten, Wirkung nachprüfen |
| Gerät verdeckt montiert, Lüftungsöffnungen blockiert | bald | Montageort ändern, freien Luftweg herstellen |
| Kanalbelegung in der Nachbarschaft verändert | planbar | Kanalwahl prüfen, feste Kanäle nur begründet setzen |
| Keine dokumentierten Messpunkte im Haus | planbar | Empfangsqualität an festen Punkten aufnehmen und ablegen |
| Zugangsdaten nur mündlich bekannt | planbar | Dokumentation anlegen und sicher verwahren |
Was Sie ausdrücklich nicht tun sollten
Öffnen Sie keine Gehäuse, um Bauteile zu begutachten. Setzen Sie kein Gerät wieder in Betrieb, an dem Feuchtigkeit oder Wärmeschäden aufgetreten sind, auch nicht probeweise. Verändern Sie keine Sendeleistung über die vom Gerät angebotenen Einstellungen hinaus und setzen Sie keine Firmware fremder Herkunft ein, die die Einhaltung der Vorgaben aus den Allgemeinzuteilungen der Bundesnetzagentur aufhebt. Die Auflagen zu Sendeleistung, Innenraumbeschränkung und Radarerkennung gelten für den Betreiber, also für Sie.
Lösen Sie außerdem keine Erdungs- oder Potentialausgleichsverbindung an Außengeräten und Verteilern, auch nicht kurzzeitig zur Prüfung.
Wann die Fachkraft übernimmt
Drei Befundgruppen beenden die Eigenprüfung. Erstens alles, was auf Wärmeentwicklung an einer Speisestelle hindeutet, weil dort reale Ströme fließen und die Ursache in der Regel eine schlechte Kontaktstelle ist. Zweitens jeder Verdacht auf einen Fehler in der Anbindungsleitung, weil dessen Klärung eine Streckenmessung erfordert. Drittens alle Fragen, die Erdung, Überspannungsschutz oder die Führung neben Energieleitungen betreffen.
Arbeiten an der festen elektrischen Anlage hinter der Messeinrichtung sind nach der Niederspannungsanschlussverordnung einem eingetragenen Installationsunternehmen vorbehalten. Halten Sie Ihre Befunde mit Datum, Foto und Gerätebezeichnung fest und übergeben Sie diese Aufstellung; das verkürzt die Fehlersuche erheblich und verhindert, dass an derselben Stelle zweimal gesucht wird.
