Modul 5 · 5.3
Deutsch
WLAN, Homeoffice und unterwegs
Modul 5: Geräte, Software und Netzwerk · Lesezeit: 11 Minuten
Lernziel: Nach dieser Lektion können Sie WLAN im Büro und zu Hause sicher einrichten, smarte Geräte und Gäste von Ihrem Arbeitsnetzwerk trennen und unterwegs sicher arbeiten, einschließlich dessen, was ein VPN für Sie tut und was nicht.
Kernbegriffe: Router, Administratorpasswort, WPA2, WPA3, SAE, Übergangsmodus, WPS, UPnP, Gastnetzwerk, öffentliches WLAN, gefälschter Hotspot, https, VPN, Hotspot Ihres Telefons
Der Router ist Ihre Haustür
Alles, was Ihr Büro oder Ihren Heimarbeitsplatz mit dem Internet verbindet, läuft über den Router (oft in einem Gehäuse zusammen mit dem Modem Ihres Anbieters). Er erledigt drei Aufgaben: Er verbindet Ihr Netzwerk mit dem Internet, er hält unaufgeforderten Datenverkehr von außen ab (die Firewall) und meist strahlt er auch das WLAN-Netzwerk aus.
Ein Router wird selten noch einmal angeschaut, nachdem der Techniker gegangen ist. Deshalb sind oft noch Werkseinstellungen aktiv. Vier Dinge, die Sie sofort regeln sollten:
- Ändern Sie das Administratorpasswort. Das ist das Passwort für die Einstellungsseite des Routers, nicht das WLAN-Passwort. Standardpasswörter sind oft markenweise oder serienweise bekannt. Verwenden Sie ein langes, einzigartiges Passwort aus Ihrem Passwort-Manager.
- Deaktivieren Sie die Verwaltung von außen, außer Ihr Anbieter benötigt sie wirklich. Dann ist die Einstellungsseite nur aus Ihrem eigenen Netzwerk erreichbar.
- Deaktivieren Sie UPnP, wenn Sie es nicht benötigen. Mit UPnP kann jedes Gerät in Ihrem Netzwerk selbstständig einen Port in der Firewall öffnen, auch eine Kamera mit einer Sicherheitslücke. Das BSI empfiehlt, es zu deaktivieren.
- Aktualisieren Sie die Firmware oder prüfen Sie, dass Ihr Anbieter das automatisch erledigt (Lektion 5.1). Erhält Ihr Router keine Updates mehr, ersetzen Sie ihn.
WPA2 und WPA3: wie Ihr WLAN verschlüsselt ist
WLAN überträgt über die Luft. Jeder in der Nähe kann die Signale auffangen. Deshalb wird es verschlüsselt. Der zugehörige Standard wird von der Wi-Fi Alliance verwaltet.
| Standard | Bewertung | Erklärung |
|---|---|---|
| Offen (kein Passwort) | Nicht für Ihr Unternehmen | Jeder kann sich verbinden und, ohne https, mitlesen. |
| WEP, WPA (das erste), TKIP | Unsicher | Veraltet und geknackt. Sehen Sie das, ersetzen Sie den Router oder ändern Sie die Einstellung. |
| WPA2-Personal (AES) | Ausreichend, mit einem langen Passwort | Wer die Verbindung eines einzigen Geräts auffängt, kann danach zu Hause, ohne in der Nähe zu bleiben, endlos Passwörter ausprobieren. Ein kurzes oder vorhersehbares WLAN-Passwort fällt dann schnell. |
| WPA3-Personal | Beste Wahl | Verwendet SAE anstelle des alten Systems mit geteiltem Schlüssel. Laut der Wi-Fi Alliance kann ein Angreifer dann keine Passwörter mehr offline ausprobieren: Jeder Versuch erfordert eine neue Anfrage beim Router selbst. Und selbst wenn jemand später das Passwort kennt, kann er zuvor aufgefangenen Datenverkehr nicht entschlüsseln (Forward Secrecy). |
| WPA2/WPA3 Übergangsmodus | Gut als Zwischenschritt | Neue Geräte verbinden sich mit WPA3, ältere mit WPA2. Praktisch, solange Sie noch alte Geräte haben; diese erhalten dann allerdings nur den Schutz von WPA2. |
WPA3 ist laut der Wi-Fi Alliance für Geräte mit dem Zertifikat Wi-Fi CERTIFIED verpflichtend, sodass nahezu jeder neue Router und jedes neue Telefon es unterstützt. Wählen Sie WPA3, wenn alle Ihre Geräte es unterstützen, ansonsten den Übergangsmodus.
Verwenden Sie in jedem Fall ein langes WLAN-Passwort, zum Beispiel eine Passphrase aus vier oder fünf einzelnen Wörtern (Lektion 2.1). Es ist ohnehin in Ihren Geräten gespeichert; Sie müssen es selten eintippen.
WPS (Wi-Fi Protected Setup) ist eine Taste oder ein PIN-Code, um Geräte einfach zu koppeln. Die PIN-Variante hat einen bekannten Konstruktionsfehler: Durch die Art, wie der Router antwortet, muss ein Angreifer nicht hundert Millionen, sondern nur etwa elftausend Kombinationen ausprobieren, und findet danach das WLAN-Passwort (CERT/CC, 2011). Deaktivieren Sie WPS, wenn Ihr Router das zulässt.
Gastnetzwerk: trennen, was nicht zusammengehört
Ein kleines Büro hat schnell Geräte mit ganz unterschiedlicher Vertrauenswürdigkeit im selben Netzwerk: die Laptops mit der Buchhaltung, das NAS mit Kundendaten, aber auch die Telefone von Besuchern, ein smarter Fernseher im Wartebereich, ein Thermostat und ein paar Kameras. Befinden sich all diese in einem einzigen Netzwerk, kann eine gehackte Kamera direkt mit dem NAS kommunizieren.
Deshalb richten Sie ein Gastnetzwerk ein: ein zweites WLAN-Netzwerk mit eigenem Namen und Passwort, das zwar Internet bietet, aber keinen Zugriff auf die Geräte in Ihrem Hauptnetzwerk. Fast jeder Router kann das. Legen Sie darauf:
- Besucher und deren Telefone;
- smarte Geräte: Fernseher, Thermostat, Türklingel, Lautsprecher und, wo möglich, Kameras. Das BSI empfiehlt dies ausdrücklich;
- private Geräte von Mitarbeitern, sofern diese keinen Zugriff auf Unternehmensdaten benötigen.
Prüfen Sie nach der Einrichtung, dass es funktioniert: Von einem Telefon im Gastnetzwerk aus dürfen Sie den Drucker oder das NAS nicht finden können.
Homeoffice
Zu Hause arbeiten Sie in einem Netzwerk, das Sie nicht als Unternehmen verwalten, oft gemeinsam mit Familienmitgliedern, einer Spielkonsole und dem smarten Lautsprecher der Nachbarn in der Netzwerkliste. Vereinbaren Sie mit Ihrem Team:
- der Heimrouter erhält die gleiche Grundbehandlung: eigenes Administratorpasswort, WPA2 oder WPA3 mit einem langen Passwort, aktualisierte Firmware;
- der Arbeitslaptop ist für die Arbeit da: nicht von Kindern oder Mitbewohnern nutzen lassen und sperren, wenn Sie weggehen (Lektion 5.2);
- Updates laufen auch zu Hause weiter. Ein Laptop, der wochenlang nicht ins Büro kommt, verpasst mitunter Updates, die zentral gesteuert werden. Überprüfen Sie das;
- der Zugriff auf Unternehmenssysteme erfolgt über eine sichere Verbindung: einen Clouddienst mit https und Zwei-Faktor-Authentifizierung oder ein VPN zum Büro. Öffnen Sie niemals einfach so einen Port, um "mal eben" von zu Hause aus auf das NAS zugreifen zu können.
Unterwegs: öffentliches WLAN
In einem Hotel, Zug oder Café wissen Sie nicht, wer das Netzwerk verwaltet. Das größte Risiko ist ein gefälschter Hotspot: Ein Angreifer richtet ein Netzwerk mit demselben Namen wie das echte ein, zum Beispiel "Hotel-Gäste". Ihr Telefon verbindet sich automatisch, und Ihr gesamter Datenverkehr läuft über sein Gerät.
Zum Glück läuft der größte Teil des Datenverkehrs heutzutage über https (Lektion 4.2) und Mail über verschlüsselte Verbindungen. Der Angreifer sieht dann zwar, welche Seiten Sie besuchen, aber nicht, was Sie eingeben. Dennoch bleiben Risiken: eine Anmeldeseite, die Sie auf eine gefälschte Website umleitet, eine Meldung "Dieses Zertifikat installieren" oder alte Apps, die nicht verschlüsseln.
Das BSI rät:
- verwenden Sie lieber mobile Daten oder den Hotspot Ihres eigenen Telefons als öffentliches WLAN;
- lassen Sie Ihr Gerät sich nicht automatisch verbinden mit WLAN-Netzwerken;
- erledigen Sie keine Bankgeschäfte oder vertrauliche Arbeit über öffentliches WLAN, und laden Sie dort nichts herunter oder installieren Sie nichts;
- deaktivieren Sie die Dateifreigabe und melden Sie sich ab, wenn Sie fertig sind.
Erhalten Sie in einem öffentlichen WLAN eine Zertifikatswarnung bei einer Website, die Sie gut kennen, fahren Sie nicht fort. Das ist genau das Signal, dass jemand mitliest.
Was ein VPN tut und was nicht
Das Wort VPN wird für zwei verschiedene Dinge verwendet. Ein geschäftliches VPN verbindet Ihren Laptop verschlüsselt mit dem Netzwerk Ihres Büros, sodass Sie von außerhalb auf das NAS oder die Buchhaltungssoftware zugreifen können. Ein kommerzieller VPN-Dienst leitet Ihren gesamten Internetverkehr verschlüsselt an den Server eines Anbieters weiter, der ihn anschließend ins Internet weiterleitet.
| Ein VPN tut | Ein VPN tut nicht |
|---|---|
| Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server verschlüsseln, sodass das lokale (WLAN-)Netzwerk nicht mitlesen kann | Sie vor Phishing schützen: Eine gefälschte Website ist über ein VPN genauso gefälscht |
| Ihnen sicheren Zugriff auf das Büronetzwerk geben (geschäftliches VPN) | Malware aufhalten oder einen infizierten Laptop bereinigen |
| Ihre IP-Adresse vor den Websites verbergen, die Sie besuchen | Sie anonym machen: Das Anmelden bei einem Dienst verrät weiterhin, wer Sie sind |
| Das Vertrauen beseitigen: Der VPN-Anbieter kann nun sehen, was zuvor das Hotelnetzwerk sehen konnte |
Ein VPN verschiebt also den Punkt, an dem Sie Vertrauen haben müssen. In einem unbekannten Netzwerk kann das sinnvoll sein. In Ihrem eigenen Heimnetzwerk mit https-Websites bringt ein kommerzielles VPN für die Sicherheit wenig zusätzlichen Nutzen.
Und beachten Sie: Ein VPN-Server in Ihrem Büro ist selbst ein Randgerät, das vom Internet aus erreichbar ist. Veraltete VPN-Server sind ein bekannter Einstiegspunkt für Ransomware (Lektion 1.3). Aktualisieren, Zwei-Faktor-Authentifizierung aktivieren und deaktivieren, wenn Sie ihn nicht nutzen.
In der Praxis: so sieht es aus
Auch Ihre Mail läuft unterwegs über das Netzwerk. Richten Sie Ihr Mailprogramm deshalb mit verschlüsselten Verbindungen ein. Bei WebOké sind das zum Beispiel IMAP auf Port 993 mit SSL/TLS und SMTP auf Port 587 mit STARTTLS (oder 465 mit SSL/TLS); bei anderen Anbietern sind die Ports meist gleich. Steht in Ihrem Mailprogramm "keine Sicherheit" oder Port 143 oder 25 ohne Verschlüsselung, passen Sie es an.
Zusammenfassung
- Geben Sie Ihrem Router ein eigenes Administratorpasswort, deaktivieren Sie die Verwaltung von außen, UPnP und WPS, und aktualisieren Sie die Firmware.
- Wählen Sie WPA3 oder den Übergangsmodus WPA2/WPA3 mit einem langen WLAN-Passwort. Niemals WEP, WPA oder TKIP.
- Legen Sie Besucher und smarte Geräte auf ein Gastnetzwerk, getrennt von Ihren Arbeitsgeräten.
- Unterwegs: lieber mobile Daten oder Ihr eigener Hotspot, nicht automatisch verbinden, und bei einer Zertifikatswarnung abbrechen.
- Ein VPN verschlüsselt die Strecke bis zum VPN-Server, schützt aber nicht vor Phishing oder Malware und macht Sie nicht anonym.
Quiz
Aufgabe
Aufgabe D5.3: Ihren Router und Ihr WLAN überprüfen. Melden Sie sich auf der Einstellungsseite Ihres Routers an (zu Hause oder im Büro). Überprüfen Sie das Administratorpasswort, die Verschlüsselung, WPS, UPnP, die Verwaltung von außen, die Firmware und das Gastnetzwerk. Haken Sie die Checkliste ab, testen Sie das Gastnetzwerk und beantworten Sie die Reflexionsfragen.
Aufgabe D5.3: Ihren Router und Ihr WLAN überprüfen
So gehen Sie vor: (1) Melden Sie sich bei der Einstellungsseite Ihres Routers an (Adresse und erstes Passwort stehen in der Anleitung oder auf dem Aufkleber) oder in der App Ihres Anbieters. Handelt es sich um einen Router Ihres Anbieters, prüfen Sie, welche Einstellungen Sie selbst ändern dürfen. (2) Ändern Sie das Administratorpasswort in ein langes, einzigartiges Passwort aus Ihrem Passwort-Manager. (3) Prüfen Sie die WLAN-Verschlüsselung: WPA3, oder WPA2/WPA3-Übergangsmodus, wenn Sie ältere Geräte haben; niemals WEP, WPA oder TKIP. Verwenden Sie ein langes WLAN-Passwort (Passphrase). (4) Deaktivieren Sie WPS, UPnP und die Fernverwaltung, wenn Sie sie nicht benötigen. (5) Prüfen Sie, ob die Firmware aktuell ist und automatisch aktualisiert wird. (6) Richten Sie ein Gastnetzwerk ein und verbinden Sie Besucher und smarte Geräte (Fernseher, Thermostat, Lautsprecher, Kameras wo möglich) damit. (7) Testen Sie das Gastnetzwerk: Verbinden Sie ein Telefon mit dem Gastnetzwerk und versuchen Sie, den Drucker, das NAS oder einen freigegebenen Ordner zu finden. Das sollte nicht gelingen. (8) Prüfen Sie die Liste der verbundenen Geräte in Ihrem Router. Kennen Sie ein Gerät nicht, finden Sie heraus, was es ist. (9) Prüfen Sie Ihr Mailprogramm auf Laptop und Telefon: eingehend und ausgehend mit SSL/TLS oder STARTTLS (zum Beispiel IMAP 993, SMTP 587 oder 465).
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- DirectAdmin Anleitung 8.1: Alle Einstellungen im Überblick: Server, Ports und Sicherheit
- BSI, Hinweise zu WLAN-Hotspots: https://www.bsi.bund.de/
- BSI, Basisschutzmaßnahmen für smarte Geräte: https://www.bsi.bund.de/
- BSI, Hinweise zum Homeoffice: https://www.bsi.bund.de/
- Wi-Fi Alliance, Sicherheit von WLAN (Englisch): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, die Schwachstelle in WPS (Englisch): https://www.kb.cert.org/vuls/id/723755