Dein Router hat zwei Passwörter, und fast niemand weiß das.
Eines ist das WLAN-Passwort: das, was du am Telefon durchgibst, das auf einem Zettel in der Küche steht, das du dem Handwerker vorliest. Das andere ist das Verwaltungspasswort des Geräts selbst, das die Oberfläche öffnet, in der alles eingestellt wird. An das zweite geht fast nie jemand ran, und wenn du nie drangegangen bist, ist es noch genau das, was unten auf dem Aufkleber gedruckt steht.
Die beiden schützen unterschiedliche Dinge und versagen auf unterschiedliche Weise. Es lohnt sich, sie auseinanderzuhalten, denn zwanzig Jahre Gerede über „das WLAN-Passwort“ haben unter anderem dazu gedient, das andere zu verdecken.
Das, das du auswendig kennst, und das, das du nie angesehen hast
Der WLAN-Schlüssel entscheidet, wer sich verbinden darf. Er ist eine Eintrittserlaubnis: damit kommt ein Gerät in dein lokales Netz und lebt dort neben allen anderen.
Das Verwaltungspasswort entscheidet, wer ändern darf, wie das Netz funktioniert. Aus dieser Oberfläche heraus werden der Netzname, die Verschlüsselung, die DNS-Server für den ganzen Haushalt, die nach außen offenen Ports und die Frage geregelt, ob sich der Router überhaupt aus dem Internet verwalten lässt. Das ist keine weitere Tür: das ist die Tür, von der aus die anderen umgebaut werden.
Da liegt die unangenehme Asymmetrie. Wer deinen WLAN-Schlüssel hat, ist in deinem Netz. Wer dein Verwaltungspasswort hat, dem gehört dein Netz: Er kann den WLAN-Schlüssel ändern, die Verschlüsselung herabsetzen oder umleiten, wo dein Verkehr hinausgeht — und du würdest es an der Wirkung merken, nie an einer Meldung.
Die Empfehlung der CISA dazu kennt keine Zwischentöne: Ändere Benutzernamen und Passwort für den Zugang zum Router, denn die Werksangaben können öffentlich und für jeden auffindbar sein, und nimm ein langes, zufälliges, einmaliges. Dazu kommt eine Regel, gegen die fast alle unbemerkt verstoßen: Es darf nicht dasselbe sein wie das WLAN-Passwort. Das sind zwei verschiedene Dinge, und sie werden völlig verschieden weitergegeben — das eine kennt die halbe Nachbarschaft, das andere sollte niemand kennen.
2011 der Knopf, der so praktisch aussah
In deinem Router steckt noch ein drittes Geheimnis, über das kaum jemand spricht: die WPS-PIN, das schnelle Kopplungsverfahren, das als Knopf am Gerät und als achtstellige Zahl auf dem Aufkleber auftaucht.
Im Dezember 2011 veröffentlichte das CERT/CC die Schwachstellenmeldung VU#723755, ausgehend von der Arbeit von Stefan Viehböck, über eine Designschwäche bei der Prüfung dieser PIN. Für dich zählt nicht das technische Detail, sondern die offizielle Antwort, die fünfzehn Jahre später noch immer dieselbe ist. Es gab keinen Patch; es gab einen Schalter. Die Empfehlung war — und ist — in die Konfiguration zu gehen und WPS abzuschalten. Die CISA wiederholt das heute in ihrem Leitfaden für Heimnetze, auf derselben Liste, auf der sie auch verlangt, die Fernverwaltung zu deaktivieren.
Das ist der lohnendste Teil dieses ganzen Artikels: zwei Häkchen, die man einmal entfernt und die einen nie wieder stören.
2015 als der Werksschlüssel schon vorberechnet ankam
Ein Werkspasswort ist kein Geheimnis von dir. Es ist ein Wert, den der Hersteller gewählt hat, der auf dem Gerät gedruckt ist, im Handbuch steht und sich oft auf allen Exemplaren eines Modells wiederholt.
Und es gibt veröffentlichte Fälle von etwas Schlimmerem: Werksschlüssel, die nicht zufällig waren, sondern aus Daten berechnet, die der Router selbst in die Luft sendet. Im Katalog des NIST steht CVE-2015-0558, über einen Heimrouter, der seinen WPA-Schlüssel aus einer festen Zeichenkette und seiner MAC-Adresse erzeugte. Kurz darauf brachte eine öffentliche Meldung von SEARCH-LAB über ein in Europa weit verbreitetes Kabelmodem es in einem Satz auf den Punkt: „SSID und Standardpassphrase werden ausschließlich aus der MAC-Adresse abgeleitet. Da die MAC-Adresse des Geräts per WLAN ausgestrahlt wird, lässt sich das Standardpasswort leicht berechnen.“ Der Anbieter schrieb am Ende seine Kunden an und bat sie, es zu ändern.
Man muss nicht wissen, wie das gemacht wurde — und hier wird es auch nicht erzählt —, um das Einzige mitzunehmen, worauf es ankommt: Einen Schlüssel, den der Hersteller erzeugen konnte, konnte jemand anderes nachbauen. Dein Werksschlüssel ist nicht zufällig, nur weil er lang und hässlich ist. Er ist hässlich, weil er aus einem Verfahren kam — und Verfahren werden untersucht.
Das Passwort, das am leichtesten lang zu machen ist
Jetzt die gute Nachricht, und die ist selten, denn Sicherheitsratschläge sind fast nie umsonst.
Alle Passwörter deines Lebens schleppen denselben verborgenen Feind mit sich: Man muss sie tippen. Oft von Hand, auf einem Handy, in Eile. Deshalb macht man sie kurz, und deshalb klingt „nimm eines mit dreißig Zeichen“ nach Strafe.
Das WLAN-Passwort hat dieses Problem nicht. Du tippst es einmal pro Gerät und siehst es nie wieder: Handy, Laptop und Fernseher merken es sich für immer. Und wenn es doch jemand braucht, geben die meisten Handys und viele moderne Router es als QR-Code weiter, ohne dass irgendwer irgendetwas tippt.
Anders gesagt: Länge ist hier praktisch kostenlos, und deshalb gibt es keine Ausrede für ein kurzes. Der Standard IEEE 802.11i, der das seit 2004 festlegt, erlaubt Passphrasen mit bis zu 63 Zeichen. Kaum jemand kommt auch nur auf die Hälfte.
Was also nehmen? Die CISA schlägt etwas sehr Konkretes und sehr Umsetzbares vor: eine merkbare Passphrase aus fünf bis sieben Wörtern ohne Zusammenhang, insgesamt mindestens sechzehn Zeichen, und für kein anderes Konto verwendet. Das ist die Diceware-Logik, angewandt auf dein Wohnzimmer. Wenn dir eine zufällige Zeichenkette lieber ist und der QR-Code die Arbeit macht, umso besser: Hol sie dir aus dem Generator und sieh sie nie wieder an. Und wenn dich das zweifeln lässt, was du gerade drin hast, schick es durch den Passwort-Checker, bevor du irgendetwas entscheidest.
2018 was WPA3 ist und warum es die Rechnung ändert
2018 stellte die Wi-Fi Alliance WPA3 vor, die Ablösung von WPA2. Heute ist es Pflicht für jedes Gerät, das das Siegel Wi-Fi CERTIFIED tragen will.
Die eigentliche Änderung hat einen hässlichen Namen, SAE, und eine sehr leicht verständliche Folge. Unter WPA2 konnte jemand in der Nähe den anfänglichen Handshake zwischen deinem Handy und dem Router mitschneiden, nach Hause fahren und gegen diese Datei Millionen Schlüssel pro Sekunde durchprobieren, ohne Versuchsgrenze und ohne dass irgendwer etwas merkt. Das ist exakt das Problem eines Passwortlecks: Sobald das Material auf der Platte des Angreifers liegt, sitzt am anderen Ende niemand mehr, der Nein sagt.
WPA3 bricht das. In den Worten der Wi-Fi Alliance selbst: „WPA3-Personal ersetzt den Pre-Shared Key von WPA2 (WPA2-PSK) durch Simultaneous Authentication of Equals (SAE). Anders als WPA2-PSK ist SAE widerstandsfähig gegen Offline-Wörterbuchangriffe.“ Jeder Versuch verlangt wieder ein Gespräch mit dem Router, und ein Router, der Tausende Fehlversuche sieht, kann das bemerken und bremsen.
Und dann kommt der ehrliche Teil, den dasselbe Dokument ausdrücklich festhält. Diese Widerstandsfähigkeit bedeutet, dass „die Last der Passwortsicherheit nicht mehr bei den Nutzern liegt“, und dass Groß- und Kleinschreibung und Sonderzeichen zu verlangen unter SAE keine gültige Anforderung mehr ist. Aber das ist keine Erlaubnis für ein schlechtes: Der aktive Angriff existiert weiter, und die Spezifikation sagt es unumwunden — mit SAE verwendete Passwörter müssen außerordentlich schwer zu erraten sein. Genau das sagt das NIST seit Jahren über alle deine übrigen Passwörter: Länge schlägt Verrenkung.
Zwei praktische Hinweise. Wenn dein Router kein WPA3 kann, lässt die CISA WPA3 Personal und WPA2 mit AES gelten, und nur diese beiden; ein offenes Netz, WEP oder TKIP sind kein schwaches Passwort, sondern gar keins. Und wenn du den Übergangsmodus einschaltest, akzeptiert dein Netz WPA3 und WPA2 gleichzeitig, damit alte Geräte noch hineinkommen: eine vernünftige Entscheidung in einem Haushalt mit einem Drucker von 2013, aber man sollte wissen, was das ist — solange er an ist, behält dein Netz eine WPA2-Tür. Wenn alles, was du hast, WPA3 spricht, schalte ihn ab.
2024 das Gesetz greift unter den Aufkleber
Jahrzehntelang war das ein Problem von Ratschlägen. Jetzt ist es auch eines von Vorschriften.
Am 29. April 2024 trat im Vereinigten Königreich das Regime des PSTI in Kraft, das Gesetz über die Sicherheit vernetzter Produkte, das universelle Standardpasswörter verbietet: vorbei ist das Modell, bei dem alle Exemplare eines Produkts mit demselben Schlüssel das Werk verließen. Ein Standardpasswort, das pro Gerät einmalig ist, lässt das Gesetz sehr wohl zu — und genau das ist der Aufkleber mit einer anderen Zeichenkette auf jedem Router. In der Europäischen Union sind die Cybersicherheitsanforderungen der Funkanlagenrichtlinie — die Delegierte Verordnung (EU) 2022/30 — seit dem
- August 2025 verbindlich anzuwenden.
Daraus folgen zwei Dinge, und sie sind nicht dasselbe. Erstens: Neue Router kommen in besserem Zustand aus dem Werk. Zweitens, und das betrifft dich: Nichts davon gilt rückwirkend für das Gerät, das schon in deinem Flur steht. Wenn es dort seit sechs Jahren hängt, herrscht bei dir zu Hause weiter die alte Welt.
Das Gastnetz, oder aufhören, deinen Schlüssel zu diktieren
Denk mal darüber nach, wie viele Leute deinen WLAN-Schlüssel kennen. Der Schwager, die Babysitterin, der Freund, der 2022 zum Essen kam und das Handy immer noch eingerichtet hat, der Techniker, der etwas installieren sollte.
Keiner von ihnen hat nur die Erlaubnis, ins Internet zu gehen: Jeder hat ein Gerät innerhalb deines lokalen Netzes, neben deiner Netzwerkfestplatte, deinem Drucker und deinen Kameras. Und du hast keine Ahnung, in welchem Zustand dieses Gerät ist.
Das Gastnetz ist die Antwort, und es ist eine Funktion, die du längst hast und nicht benutzt. Die CISA sagt es unmissverständlich: Wenn dein Router ein Gast-WLAN anbietet, schalte es ein, gib ihm ein eigenes Passwort — lang, zufällig und einmalig — und lass es alle benutzen, die sich nicht regelmäßig mit deinem WLAN verbinden. Und dann noch das, was fast niemand macht: Schick auch die vernetzten Geräte dorthin — die smarte Steckdose, den Fernseher, den Saugroboter —, wenn sie nichts weiter brauchen als Internet, damit sie den Rest der Geräte im Haus nicht entdecken können.
Es ist das Prinzip dieses ganzen Blogs, angewandt aufs Wohnzimmer: eine Zugangsdatei pro Ort. Dein Haupt-WLAN ist ein Ort. Der Besuch ist ein anderer.
Was zu tun ist, der Reihe nach
- Geh in die Router-Oberfläche und ändere das Verwaltungspasswort. Es ist das einzige auf dieser Liste, das du vermutlich nie angefasst hast, und das mit der größten Macht. Lang, zufällig und anders als das WLAN-Passwort.
- Setz einen langen WLAN-Schlüssel. Fünf bis sieben zusammenhanglose Wörter oder eine Zeichenkette aus dem Generator. Du tippst ihn einmal, danach teilst du ihn per QR.
- Geh auf WPA3, wenn dein Router es kann. Wenn nicht, WPA2 mit AES.
- Schalte WPS und die Fernverwaltung ab. Zwei Häkchen, ein einziges Mal.
- Aktiviere das Gastnetz und schick Besuch und Geräte dorthin.
- Aktualisiere die Firmware und lass automatische Updates an, falls es welche gibt.
- Verwende keines der beiden anderswo wieder. Wenn du bei einem deiner bisherigen zweifelst, schick es durch den Passwort-Checker.
Nichts davon dauert länger als zwanzig Minuten, und es sind zwanzig Minuten, die man einmal aufbringt.
Der Router ist das wichtigste Gerät in deinem Zuhause und das einzige, das sich selbst verwaltet, solange es niemand verwaltet. Er läuft seit Jahren in einer Ecke, macht klaglos seine Arbeit, und genau deshalb ist nie der Moment, ihn anzusehen.
Das Werkspasswort ist nicht schlecht, weil es kurz oder hässlich wäre. Es ist schlecht, weil es nicht deines ist. Jemand anders hat es gewählt, auf einen Aufkleber gedruckt und in Tausende Haushalte geschickt, die genauso aussehen wie deiner. Es zu ändern, ist das, was in der Heim-IT dem Auswechseln des Schlosses beim Einzug am nächsten kommt.
Quellen: CISA, „Project Upskill · Module 5: Securing Your Home Wi-Fi“ vom Joint Cyber Defense Collaborative — Benutzernamen und Passwort für den Router-Zugang ändern, weil die Werksangaben öffentlich sein können; Passphrase aus fünf bis sieben zusammenhanglosen Wörtern mit mindestens sechzehn Zeichen; WPA3 Personal oder WPA2 AES als einzige als sicher geltende Verschlüsselungen; WPS und Fernverwaltung abschalten; Gast-WLAN einrichten, auch für vernetzte Geräte · Wi-Fi Alliance, „WPA3 Security Considerations Overview“ (April 2019), zur Ablösung von WPA2-PSK durch SAE, dessen Widerstandsfähigkeit gegen Offline-Wörterbuchangriffe und zur Anforderung, dass Passwörter weiterhin außerordentlich schwer zu erraten sein müssen · CERT/CC, Schwachstellenmeldung VU#723755 (27. Dezember 2011), gemeldet von Stefan Viehböck, deren empfohlene Lösung das Abschalten von WPS ist · NVD (NIST), CVE-2015-0558, über einen Heimrouter, der seinen WPA-Schlüssel aus einer festen Zeichenkette und seiner MAC-Adresse erzeugte · öffentliche Meldung von SEARCH-LAB (Gergely Eberhardt) zum Modem Ubee EVW3226, veröffentlicht auf Full Disclosure im Juli 2016 · IEEE 802.11i, das die Passphrase mit 8 bis 63 Zeichen festlegt · Vereinigtes Königreich, Regime des Product Security and Telecommunications Infrastructure Act, in Kraft seit dem 29. April 2024 · Europäische Union, Delegierte Verordnung (EU) 2022/30 zur Funkanlagenrichtlinie, verbindlich seit dem 1. August 2025 · NIST SP 800-63B, zu Länge statt Komplexität.
Foto von Jakub Zerdzicki · Pexels